◑Zugänge und Rollen

Vier, von oben nach unten:

• Inhaber — darf alles, auch das, was sonst niemand darf: die Rolle Inhaber vergeben und andere Inhaber ändern. Davon gibt es meist genau einen.
• Administrator — Verwaltung und Betrieb: Zugänge, Postfächer, Rechtliches, Zustellbarkeit, Betriebszustand, gesperrte Adressen.
• Mitarbeiter — die tägliche Arbeit: Kontakte, Firmen, Aufträge, Kampagnen, Aufgaben, Telefon.
• Nur lesen — sehen und suchen, aber nichts ändern und nichts versenden. Gedacht für Menschen, die mitlesen sollen, ohne einzugreifen — etwa in der Buchhaltung oder in der Geschäftsleitung.

Die Rolle entscheidet, welche Bereiche im Menü erscheinen und welche Handlungen erlaubt sind — nicht, welche Daten es gibt. Ein Mitarbeiter sieht dieselben Kontakte wie ein Administrator.

Bei „Nur lesen“ kann es vorkommen, dass ein Knopf sichtbar ist und der Versuch dann abgelehnt wird. Die Regel liegt auf dem Server, nicht in der Oberfläche — abgelehnt wird verlässlich, ausgeblendet nicht überall.

Unter Verwaltung → Zugänge. Zwei Wege stehen zur Wahl, und der erste ist der richtige:

1. Einladen. Sie tragen Mailadresse und Rolle ein; die Person bekommt einen Einrichtungslink und vergibt ihr Kennwort selbst. Niemand tippt ein Kennwort für jemand anderen.
2. Zugang mit Kennwort anlegen, wenn keine Mail hinausgehen kann. Das Kennwort gilt ab sofort; geben Sie es nicht per Mail weiter und bitten Sie darum, es sofort zu ändern.

In beiden Fällen gilt: mindestens 12 Zeichen. Kürzere werden mit der Meldung „Das Kennwort braucht mindestens 12 Zeichen.“ abgelehnt.

Die Rolle Inhaber kann nur ein Inhaber vergeben.

Ist die Zahl der Zugänge Ihres Pakets erreicht, lässt sich kein weiterer anlegen — die Meldung sagt das und nennt den Weg zum Dazubuchen. Offene Einladungen belegen dabei noch keinen Platz.

In der Zeile des Zugangs. Das neue Kennwort braucht mindestens 12 Zeichen; ist es kürzer, wird es abgelehnt.

Der bessere Weg, wo er offensteht: einen neuen Einrichtungslink schicken, statt ein Kennwort zu setzen. Dann kennt es wieder nur eine Person.

Zwei Einschränkungen:

• Das Kennwort eines Inhabers setzt nur ein Inhaber.
• Es gibt keine Erfolgsmeldung. Wenn sich das Feld schließt, hat es geklappt.

Was in keinem Fall geht: sich ein bestehendes Kennwort anzeigen zu lassen. Es ist nirgends im Klartext gespeichert.

In der Zeile des Zugangs. Die Änderung greift, sobald die Person die Seite neu lädt oder sich neu anmeldet.

Zwei Regeln schränken das ein:

• Die Rolle Inhaber vergibt nur ein Inhaber, und einen bestehenden Inhaber ändert auch nur ein Inhaber.
• Der letzte aktive Inhaber lässt sich nicht herabstufen, nicht sperren und nicht löschen. Der Versuch wird mit einer Meldung abgelehnt. Das ist die Sicherung dagegen, sich selbst aus dem eigenen System auszusperren.

Sparen Sie mit Verwaltungsrechten. Nicht aus Misstrauen, sondern weil dort die Knöpfe stehen, die etwas Unwiderrufliches tun: Postfächer trennen, Anhänge endgültig löschen, Sperren aufheben.

Löschen fragt doppelt nach. Danach gilt:

Aufgaben und Verläufe der Person bleiben erhalten, verlieren aber ihre Zuordnung. Es geht also nichts an Arbeit verloren — man sieht hinterher nur nicht mehr, wer es war.

Wenn diese Zuordnung wichtig ist (etwa für Nachweise), ist es besser, den Zugang nur abzuschalten, statt ihn zu löschen.

Der Reihe nach:

1. Zugang abschalten — sofort, am letzten Arbeitstag. Das ist wichtiger als alles Weitere.
2. Postfach prüfen: Lief der Versand über ihre Adresse? Dann laufende Kampagnen auf ein anderes Absenderpostfach umstellen, sonst laufen Antworten ins Leere.
3. Wiedervorlagen und Aufgaben umverteilen — sonst werden sie nicht fällig, sondern fallen einfach niemandem mehr auf.
4. Telefonieprofil freigeben.

Erst danach, und nur wenn es einen Grund gibt, den Zugang löschen.

Im Zugriffsprotokoll. Es hält fest: wer, wann, wo, mit welchem Ergebnis — und lässt sich nach Bereich, Person und Zeitraum filtern. Die Bereichsliste wächst von selbst mit, neue Module tauchen automatisch auf.

Zwei bewusste Lücken sollten Sie kennen:

• Gelesen wird nicht protokolliert. Eine frische Instanz zeigt hier zu Recht wenig.
• Der Inhalt einer Änderung wird nicht gespeichert — er wäre eine zweite, ungeschützte Kopie aller Personendaten.

Technisch ja — ein Zugang ist ein Zugang. Praktisch sollten Sie sich vorher zwei Fragen stellen:

• Braucht die Person wirklich das ganze System? Ein externer Dienstleister, der eine Kampagne schreiben soll, braucht keine Kontaktdaten — die Vorlage lässt sich auch als Datei abstimmen.
• Ist die Verarbeitung gedeckt? Ein Externer mit Zugriff auf personenbezogene Daten ist ein Auftragsverarbeiter; dafür braucht es einen Vertrag.

Wenn beides geklärt ist: Zugang als Caller anlegen, Bereiche über die Navigation aufräumen, und nach Ende der Zusammenarbeit sofort abschalten.

Die Einladung. Der Grundsatz steht am Feld: Ein Kennwort tippt niemand für jemand anderen.

Der Unterschied ist nicht Bequemlichkeit, sondern Zurechenbarkeit: Ein Kennwort, das zwei Menschen kannten, macht jede Zuordnung im Zugriffsprotokoll angreifbar.

Wo Sie doch ein Kennwort setzen müssen — etwa weil noch kein Postausgang eingerichtet ist —, geben Sie es nicht per Mail weiter und bitten Sie darum, es sofort zu ändern.

Wenn keine Mail hinausgeht, sagt Aurora Hive Sales das ehrlich: „Nicht versendet“ — und gibt Ihnen den Einrichtungslink zurück, damit Sie ihn selbst weitergeben können. Er ist lang; verschicken Sie ihn als Link, nicht zum Abtippen.

Die Verwaltungsbereiche: Zugänge, Postfächer, Rechtliches, Zustellbarkeit, Betriebszustand, gesperrte Adressen — und, sofern vorhanden, die Kundenverwaltung.

Nicht eingeschränkt sind die Daten: Ein Mitarbeiter sieht dieselben Kontakte, Firmen, Aufträge und Kampagnen wie ein Administrator. Wer Datenzugriff einschränken will, kann das über Rollen nicht erreichen — dafür braucht es getrennte Installationen.

Nur lesen geht einen Schritt weiter: sehen und suchen ja, ändern und versenden nein. Auch dort gilt aber: dieselben Daten.

Abschalten in fast allen Fällen: Der Zugang kommt nicht mehr hinein, die Zuordnung von Aufgaben und Verläufen bleibt erhalten.

Löschen nur, wenn es einen Grund gibt — dann verlieren Aufgaben und Verläufe der Person ihre Zuordnung, und das lässt sich nicht rückgängig machen.

Für den Fall „Mitarbeiterin geht“ ist Abschalten am letzten Arbeitstag die richtige und ausreichende Handlung.

Mindestens zwei, höchstens wenige.

Mindestens zwei, weil ein einzelner Admin im Urlaub ein Problem ist — Postfach hängt, Zugang muss angelegt werden, und niemand kommt heran.

Höchstens wenige, weil in diesen Bereichen die Knöpfe stehen, die Unwiderrufliches tun: Anhänge endgültig löschen, Instanzen anfassen, Daten überschreiben.

Mit einer konkreten Frage im Kopf — sonst ist es nur eine lange Liste.

Filtern Sie nach Bereich, Person und Zeitraum. Die typischen Fragen, die es beantwortet: Wer hat diesen Datensatz zuletzt angefasst? Wer hat den teuren Lauf gestartet? Wann wurde exportiert?

Und die Grenzen kennen: Gelesen wird nicht protokolliert, und der Inhalt einer Änderung wird nicht gespeichert — Sie sehen, dass und wer, nicht was vorher dort stand.

Vergrößern

So lange, wie es einen Zweck erfüllt, und nicht länger. Ein Protokoll ohne Ende ist selbst ein Datenschutzproblem: Es sagt über Jahre hinweg, wer wann gearbeitet hat, und taugt damit zur Leistungskontrolle, für die es nie gedacht war.

Zwei Regeln reichen im Alltag:

• Nach hinten begrenzen. Sechs Monate decken den Regelfall ab. Was länger nachwirkt — ein Vorfall, eine Auskunftsanfrage, ein Rechtsstreit —, sichert man einzeln und begründet.
• Nicht zur Personalbeurteilung verwenden. Sobald es einen Betriebsrat gibt, ist eine Auswertung nach Personen mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG) und ohne dessen Zustimmung unzulässig.

Steht ein Betriebsrat im Haus, gehört die Frage, wer das Protokoll wann auswerten darf, in eine Betriebsvereinbarung — vor der ersten Auswertung, nicht nach der ersten Beschwerde.

Vier Dinge, und alle vier haben denselben Grund: Sie betreffen die Frage, wer künftig die Kontrolle über das System hat.

• Die Rolle Inhaber vergeben.
• Einen anderen Inhaber ändern, sperren oder löschen.
• Das Kennwort eines Inhabers setzen.
• Die Herstellerbereiche sehen, sofern Ihre Installation welche hat. Sie bleiben auch dann verborgen, wenn jemand sein Menü selbst zusammengestellt hat.

Dazu kommt die Sicherung in die andere Richtung: Der letzte aktive Inhaber lässt sich nicht herabstufen, nicht sperren und nicht löschen. Ein System ohne Inhaber wäre ein System, in das niemand mehr jemanden hereinlassen kann.

Wie viele Inhaber sinnvoll sind: einer, höchstens zwei. Alles andere gehört auf die Rolle Administrator. Wenn die einzige Person mit Inhaberrechten im Urlaub ist und niemand einen Zugang anlegen kann, ist das ein guter Anlass für den zweiten.

Er ist die Einladung: ein Link, über den eine Person ihren Zugang selbst fertig einrichtet und dabei ihr Kennwort vergibt — mindestens 12 Zeichen.

Was Sie darüber wissen sollten:

• Er gilt 14 Tage. Danach führt er nicht mehr zum Ziel.
• Er gilt für genau diese Installation. Ein Link aus einer anderen Installation wird abgewiesen.
• Ein neuer Link lässt sich jederzeit erzeugen — ohne dass der alte vorher abgelaufen sein muss. Beide gelten dann, bis die Frist abläuft oder der Zugang eingerichtet ist.
• Ein zu kurzes Kennwort verbraucht den Link nicht. Sie können es sofort noch einmal versuchen.

Ist der Link abgelaufen oder gehört er nicht hierher, steht das ausdrücklich da: „Dieser Einrichtungslink gilt nicht mehr … Bitte fordern Sie bei Ihrem Ansprechpartner einen neuen Link an.“

Beim allerersten Zugang einer neuen Installation ist der Einrichtungslink der einzige Weg hinein, und der erste Zugang ist immer ein Inhaber. Ohne Link zeigt die Einrichtungsseite nur den Hinweis, dass es eine Einladung braucht — so kann niemand, der die Adresse errät, sich als Erster eintragen.