Berechtigungskonzept#

In diesem Kapitel lernst du, wie das Berechtigungssystem im CRM-Modul funktioniert und wie du Zugriffsrechte für Benutzer und Teams konfigurierst.

Überblick#

Das CRM-Modul verwendet das ELIZA-Berechtigungssystem in Kombination mit Systemgruppen, Spaces und Organisationseinheiten (Orgunits).

Berechtigungsebenen#

┌─────────────────────────────────────────────────────┐
│  1. System-Berechtigungen (Basis-Level)             │
│     ↓                                               │
│  2. Systemgruppen (ELIZA-Rollen)                    │
│     ↓                                               │
│  3. Spaces (Team-basierte Berechtigung)             │
│     ↓                                               │
│  4. Orgunits (Abteilungs-basierte Berechtigung)     │
└─────────────────────────────────────────────────────┘

System-Berechtigungen (Basis-Berechtigungen)#

Standard CRM-Permissions#

Jedes Model im CRM hat vier Basis-Permissions:

Permissions nach Model#

Kontakte (Contact)#

• crm.view_contact - Kontakte ansehen
• crm.add_contact - Neue Kontakte erstellen
• crm.change_contact - Kontakte bearbeiten
• crm.delete_contact - Kontakte löschen

Organisationen (Organisation)#

• crm.view_organisation - Organisationen ansehen
• crm.add_organisation - Neue Organisationen erstellen
• crm.change_organisation - Organisationen bearbeiten
• crm.delete_organisation - Organisationen löschen

Labels#

• crm.view_label - Labels ansehen
• crm.add_label - Neue Labels erstellen
• crm.change_label - Labels bearbeiten
• crm.delete_label - Labels löschen

Rollen (Role)#

• crm.view_role - Rollen ansehen
• crm.add_role - Neue Rollen erstellen
• crm.change_role - Rollen bearbeiten
• crm.delete_role - Rollen löschen

Beteiligungen (Participation)#

• crm.view_participation - Beteiligungen ansehen
• crm.add_participation - Neue Beteiligungen erstellen
• crm.change_participation - Beteiligungen bearbeiten
• crm.delete_participation - Beteiligungen löschen

Systemgruppen#

ELIZA verwendet vordefinierte Systemgruppen, die Permissions bündeln.

CRM-Systemgruppen#

1. CRM Admin (crm_admin)#

Vollzugriff auf das CRM-Modul

Permissions:

• Alle view_* Permissions
• Alle add_* Permissions
• Alle change_* Permissions
• Alle delete_* Permissions

Anwendungsfälle:

• CRM-Verantwortliche
• Marketing-Leiter
• Vertriebsleiter

Was du damit tun kannst:

• ✅ Alle Kontakte und Organisationen sehen
• ✅ Kontakte und Organisationen erstellen, bearbeiten, löschen
• ✅ Labels und Rollen verwalten
• ✅ Beteiligungen erstellen und verwalten
• ✅ System-Konfiguration vornehmen

2. CRM User (crm_user)#

Standard-Benutzerzugriff

Permissions:

• crm.view_contact
• crm.view_organisation
• crm.add_contact
• crm.add_organisation
• crm.change_contact
• crm.change_organisation
• crm.view_label
• crm.add_label
• crm.view_role
• crm.add_participation
• crm.change_participation

Anwendungsfälle:

• Vertriebsmitarbeiter
• Marketing-Mitarbeiter
• Projektmanager

Was du damit tun kannst:

• ✅ Kontakte und Organisationen sehen
• ✅ Neue Kontakte und Organisationen erstellen
• ✅ Bestehende Einträge bearbeiten
• ✅ Labels zur Kategorisierung nutzen
• ✅ Beteiligungen erstellen
• ❌ Keine Lösch-Rechte
• ❌ Keine Rollen-Verwaltung

3. CRM Viewer (crm_viewer)#

Nur Lese-Zugriff

Permissions:

• crm.view_contact
• crm.view_organisation
• crm.view_label
• crm.view_role
• crm.view_participation

Anwendungsfälle:

• Controlling
• Geschäftsführung
• Reporting-Zugriff

Was du damit tun kannst:

• ✅ Alle Kontakte und Organisationen sehen
• ✅ Beteiligungen anzeigen
• ❌ Keine Bearbeitungs-Rechte
• ❌ Keine Erstellungs-Rechte
• ❌ Keine Lösch-Rechte

Systemgruppen zuweisen#

Schritt-für-Schritt:

1. Navigiere zu Core → Benutzerverwaltung
2. Wähle den Benutzer aus
3. Scrolle zu Gruppen
4. Wähle die gewünschte CRM-Systemgruppe:
   • crm_admin für Administratoren
   • crm_user für Standard-Benutzer
   • crm_viewer für Lesezugriff
5. Klicke auf Speichern

💡 Tipp: Ein Benutzer kann mehrere Systemgruppen haben. Die Permissions werden kombiniert (additive Permissions).

Spaces (Team-basierte Berechtigungen)#

Spaces ermöglichen team-basierte Zugriffskontrolle auf Objekte.

Was sind Spaces?#

Ein Space ist ein virtueller Bereich, dem:

• Benutzer zugewiesen werden können
• Objekte (Kontakte, Organisationen) zugeordnet werden können

Prinzip: Nur Benutzer im gleichen Space können die zugeordneten Objekte sehen.

Space-Konzept im CRM#

Space "Vertrieb Deutschland"
├── Benutzer:
│   ├── Hans Müller (Vertriebsleiter)
│   ├── Maria Schmidt (Vertrieb)
│   └── Peter Wagner (Vertrieb)
└── Objekte:
    ├── Kontakte: Deutsche Kunden
    └── Organisationen: Deutsche Unternehmen

Space "Vertrieb Schweiz"
├── Benutzer:
│   ├── Thomas Meier (Vertriebsleiter)
│   └── Anna Schneider (Vertrieb)
└── Objekte:
    ├── Kontakte: Schweizer Kunden
    └── Organisationen: Schweizer Unternehmen

Ergebnis:

• Hans Müller sieht nur deutsche Kontakte
• Thomas Meier sieht nur schweizer Kontakte
• Keine Überschneidungen

Spaces verwenden#

⚠️ Wichtig: Space-Verwaltung erfordert Administrator-Rechte.

Objekte einem Space zuordnen:

1. Öffne den Kontakt oder die Organisation
2. Scrolle zu Space-Zuordnung
3. Wähle den gewünschten Space
4. Speichere

Benutzer einem Space zuweisen:

1. Navigiere zu Core → Benutzerverwaltung
2. Wähle den Benutzer
3. Weise den Space zu
4. Speichere

Best Practices für Spaces#

✅ Empfehlungen:

1. Regionale Trennung: Nutze Spaces für geografische Bereiche (DE, CH, AT)
2. Abteilungs-Trennung: Separate Spaces für Marketing, Vertrieb, Support
3. Projekt-basiert: Eigene Spaces für große Projekte oder Kunden
4. Klare Benennung: Verwende eindeutige Space-Namen (Vertrieb_DE, Marketing_CH)

❌ Vermeide:

1. Zu viele Spaces: Nicht mehr als 5-10 Spaces pro Organisation
2. Überlappende Spaces: Klare Zuständigkeiten definieren
3. Inkonsistente Nutzung: Entweder konsequent nutzen oder gar nicht

Orgunits (Organisationseinheiten)#

Organisationseinheiten ermöglichen hierarchische Zugriffskontrolle basierend auf Abteilungsstrukturen.

Was sind Orgunits?#

Orgunits bilden die Organisationsstruktur ab:

Unternehmen
├── Geschäftsführung
├── Vertrieb
│   ├── Vertrieb Deutschland
│   └── Vertrieb Schweiz
├── Marketing
└── IT

Orgunit-basierte Berechtigungen im CRM#

Prinzip: Benutzer sehen nur Kontakte/Organisationen, die ihrer Orgunit oder untergeordneten Orgunits zugeordnet sind.

Beispiel:

Benutzer: Hans Müller (Orgunit: Vertrieb Deutschland)
↓
Sieht Kontakte von:
- Vertrieb Deutschland ✅
- Untergeordnete Orgunits von Vertrieb Deutschland ✅
- Andere Orgunits (z.B. Vertrieb Schweiz) ❌

Orgunits im CRM verwenden#

Kontakte/Organisationen einer Orgunit zuordnen:

1. Öffne den Kontakt oder die Organisation
2. Wähle das Feld Organisationseinheit
3. Wähle die passende Orgunit aus
4. Speichere

Best Practices:

• ✅ Ordne neue Kontakte sofort einer Orgunit zu
• ✅ Verwende die Orgunit-Hierarchie konsequent
• ✅ Prüfe regelmäßig die Zuordnung

Eigentümer-Rechte#

Im CRM gibt es kein explizites Eigentümer-Konzept wie im DMS. Alle berechtigten Benutzer können Kontakte und Organisationen sehen und bearbeiten.

Verantwortlichkeiten über Beteiligungen#

Statt Eigentümer-Rechten werden Beteiligungen mit Rollen verwendet:

Beispiel:

Kontakt: Max Mustermann
↓
Beteiligungen:
- Hans Müller, Rolle: "Verantwortlicher Vertrieb"
- Maria Schmidt, Rolle: "Account Manager"

Vorteile:

• Transparenz über Verantwortlichkeiten
• Mehrere Personen können verantwortlich sein
• Flexible Rollen-Definition

Berechtigungs-Kombinationen#

Häufige Szenarien#

Szenario 1: Vertriebsmitarbeiter mit regionalem Zugriff#

Anforderung: Vertriebsmitarbeiter soll nur deutsche Kunden sehen

Lösung:

1. Systemgruppe: crm_user
2. Space: Vertrieb_Deutschland
3. Orgunit: Vertrieb / Deutschland

Ergebnis:

• ✅ Kann deutsche Kontakte sehen und bearbeiten
• ❌ Sieht keine schweizer Kontakte
• ✅ Kann neue deutsche Kontakte erstellen

Szenario 2: Marketing-Manager mit Vollzugriff#

Anforderung: Marketing-Leiter soll alle Kontakte sehen und verwalten können

Lösung:

1. Systemgruppe: crm_admin
2. Space: Alle Spaces oder kein Space-Filter
3. Orgunit: Hauptorgunit (oberste Ebene)

Ergebnis:

• ✅ Sieht alle Kontakte und Organisationen
• ✅ Kann alles erstellen, bearbeiten, löschen
• ✅ Kann Labels und Rollen verwalten

Szenario 3: Controlling mit Lesezugriff#

Anforderung: Controlling soll alle Kontakte sehen, aber nichts ändern

Lösung:

1. Systemgruppe: crm_viewer
2. Space: Alle Spaces
3. Orgunit: Hauptorgunit

Ergebnis:

• ✅ Sieht alle Kontakte und Organisationen
• ✅ Kann Berichte erstellen
• ❌ Kann nichts bearbeiten oder löschen

Berechtigungen prüfen#

Als Benutzer#

Deine eigenen Berechtigungen prüfen:

1. Klicke auf Dein Profil (oben rechts)
2. Wähle Mein Profil
3. Scrolle zu Gruppen und Berechtigungen
4. Prüfe:
   • Welche Systemgruppen du hast
   • Welche Spaces du zugeordnet bist
   • Welche Orgunit du hast

Als Administrator#

Berechtigungen anderer Benutzer prüfen:

1. Navigiere zu Core → Benutzerverwaltung
2. Wähle den Benutzer
3. Prüfe:
   • Gruppen: Welche Systemgruppen hat der Benutzer?
   • Spaces: Welche Spaces sind zugeordnet?
   • Orgunit: Welcher Orgunit gehört der Benutzer an?

Berechtigungen testen#

Test-Vorgehen:

1. Als Testbenutzer einloggen
2. CRM-Modul öffnen
3. Prüfen:
   • Welche Kontakte sind sichtbar?
   • Welche Buttons sind verfügbar? (Erstellen, Bearbeiten, Löschen)
   • Welche Menüpunkte sind sichtbar?

Häufige Probleme und Lösungen#

Problem: Benutzer sieht keine Kontakte#

Mögliche Ursachen:

1. Keine View-Permission

   • Lösung: Systemgruppe crm_user oder crm_viewer zuweisen

2. Falscher Space

   • Lösung: Benutzer dem richtigen Space zuweisen oder Kontakte dem Space des Benutzers zuordnen

3. Falsche Orgunit

   • Lösung: Benutzer oder Kontakte der passenden Orgunit zuordnen

Problem: Benutzer kann Kontakte nicht bearbeiten#

Mögliche Ursachen:

1. Nur View-Permission

   • Lösung: Systemgruppe auf crm_user upgraden

2. Viewer-Rolle

   • Lösung: Von crm_viewer auf crm_user wechseln

Problem: Benutzer sieht zu viele Kontakte#

Mögliche Ursachen:

1. Kein Space-Filter aktiv

   • Lösung: Benutzer einem Space zuweisen und sicherstellen, dass nur relevante Kontakte diesem Space zugeordnet sind

2. Zu hohe Orgunit

   • Lösung: Benutzer einer spezifischeren Orgunit zuweisen

Problem: Admin sieht nicht alle Kontakte#

Ursache: Auch Admins unterliegen Space- und Orgunit-Filtern

Lösung:

1. Admin allen relevanten Spaces zuweisen
2. Admin der obersten Orgunit zuweisen
3. Oder: Admin-Benutzer von Filtern ausnehmen (benötigt Superuser-Rechte)

Best Practices#

✅ Empfehlungen#

1. Minimale Berechtigungen: Gib nur die Berechtigungen, die wirklich benötigt werden
2. Systemgruppen nutzen: Verwende Systemgruppen statt individueller Permissions
3. Spaces konsistent verwenden: Entscheide dich für eine Space-Strategie und bleibe dabei
4. Regelmäßige Reviews: Prüfe vierteljährlich alle Berechtigungen
5. Dokumentation: Halte fest, welche Rolle welche Berechtigungen haben soll
6. Testen: Teste neue Berechtigungen mit Testbenutzern

❌ Häufige Fehler#

1. Zu viele Admins: Nicht jeden zum crm_admin machen
2. Keine Spaces verwenden: Spaces bieten wichtige Abgrenzungen
3. Inkonsistente Zuordnung: Kontakte ohne Space/Orgunit-Zuordnung
4. Vergessene Benutzer: Alte Mitarbeiter-Accounts nicht deaktiviert
5. Keine Dokumentation: Berechtigungskonzept nicht schriftlich festgehalten

Zusammenfassung#

Drei Berechtigungsebenen#

1. System-Berechtigungen: Basis-Rechte (View, Add, Change, Delete)
2. Systemgruppen: Vordefinierte Rollen (crm_admin, crm_user, crm_viewer)
3. Spaces & Orgunits: Fein-granulare Zugriffskontrolle

Wichtige Punkte#

• 🔐 Sicherheit: Verwende minimale Berechtigungen
• 👥 Systemgruppen: Nutze vordefinierte Gruppen statt einzelner Permissions
• 🏢 Spaces: Ermöglichen team-basierte Trennung
• 🌳 Orgunits: Ermöglichen hierarchische Berechtigungen
• 📋 Beteiligungen: Zeigen Verantwortlichkeiten (kein Eigentümer-Konzept)

Nächste Schritte#

• Lies Integration mit anderen Modulen für modul-übergreifende Berechtigungen
• Konsultiere deinen ELIZA-Administrator für spezifische Berechtigungsfragen
• Teste deine Berechtigungen regelmäßig

Häufige Fragen (FAQ)#

Wer kann CRM-Berechtigungen verwalten?#

Nur Benutzer mit Superuser-Rechten oder der Permission auth.change_user können Berechtigungen vergeben.

Kann ich eigene Systemgruppen erstellen?#

Ja, aber es wird empfohlen, die vordefinierten Systemgruppen zu verwenden. Eigene Gruppen sollten über die Admin-Oberfläche erstellt werden.

Was passiert wenn ein Benutzer mehrere Systemgruppen hat?#

Die Permissions werden kombiniert (additive Permissions). Ein Benutzer mit crm_viewer UND crm_user hat alle Rechte von crm_user.

Wie funktionieren Berechtigungen bei Beteiligungen?#

Beteiligungen haben keine eigenen Berechtigungen. Die Berechtigung zum Erstellen/Ändern von Beteiligungen wird über die Systemgruppe gesteuert.

Können Kontakte geschützt werden?#

Nein, im CRM gibt es keine geschützten Kontakte. Verwende Spaces oder Orgunits für Zugriffsbeschränkungen.

Wie erhalte ich mehr Rechte im CRM?#

Kontaktiere deinen ELIZA-Administrator und begründe, warum du erweiterte Rechte benötigst.

Bei Fragen zum Berechtigungskonzept wende dich an deinen ELIZA-Administrator!