Organisationsrollen und Zugriffsreviews verwalten

Zweck und Einsatzbereich

Unter Einstellungen → Eigene Rollen definieren Sie mandantenweite Aufgabenrollen aus einzelnen Modulaktionen und vier zusätzlichen Finanzschaltern. Aktive eigene Rollen lassen sich anschließend unter Einstellungen → Benutzer zuweisen. Verwenden Sie das Verfahren, wenn die Standardrollen mehr Rechte enthalten als eine konkrete Aufgabe benötigt.

Unter Einstellungen → Access Review (SOC2) erzeugt ein ADMIN eine aktuelle Übersicht der Benutzerkonten seiner Organisation. Die Ansicht zeigt Rolle, Aktivstatus, MFA-Status, letzte Anmeldung und einfache Auffälligkeitsmarkierungen; CSV exportieren lädt denselben Datentyp als Datei. Dies ist eine Momentaufnahme, keine Zertifizierung, keine automatische Rezertifizierung und kein gespeicherter Freigabeworkflow.

Eigene Rollen und Zugriffsreview ergänzen sich, bilden aber keinen vollständigen Soll-Ist-Abgleich: Der Review nennt bei eigenen Rollen nur den Rollenschlüssel. Die effektiven Einzelberechtigungen, Finanzschalter, Organisationseinheiten, Produktlizenzen und persönlichen Sonderrechte müssen Sie zusätzlich in den jeweiligen Administrationsbereichen prüfen.

Voraussetzungen und Berechtigungen

Sie sind mit einem aktiven Organisationskonto angemeldet. Plattformkonten sind kein betrieblicher Ersatz für ein Mandantenkonto.
ADMIN sieht im geprüften Stand Eigene Rollen, Benutzer und Access Review (SOC2) in den Einstellungen.
MANAGER ist serverseitig zur Verwaltung eigener Rollen und Benutzer berechtigt, erhält in der aktuellen Einstellungsnavigation aber keinen sichtbaren Zugang zu Eigene Rollen, Benutzer oder Access Review (SOC2). Lassen Sie deshalb einen ADMIN arbeiten, bis der Manager-Bedienweg korrigiert und abgenommen ist.
Für den Zugriffsreview benötigt die Organisationseinheit zusätzlich das Produktmodul Compliance. Der Review selbst ist nur für die Standardrolle ADMIN freigegeben; eine eigene Rolle mit weitreichenden Rechten oder ein MANAGER ersetzt diese Rollenprüfung nicht.
Eigene Rollen gehören immer genau zu einer Organisation. Sie besitzen keinen eigenen Organisationseinheiten-Filter. OE-Zuweisung, aktive OE, Modulfreischaltung und fachliche Datensicht des jeweiligen Benutzers gelten zusätzlich.
Legen Sie vor der Änderung einen freigegebenen Sollzustand fest: Aufgabe, benötigte Aktionen, benötigte Finanzsicht, betroffene Benutzer, erlaubte OEs und Prüftermin.

Die Rollentabelle wird nach dem Mandanten gefiltert und zusätzlich durch die Datenbank getrennt. Ein fremder Rollenschlüssel kann nicht zugewiesen werden. Eigene Rollen können weder Plattformadministratorrechte noch die besondere Standardrolle ADMIN oder MANAGER nachbilden. Weitere Grundlagen finden Sie unter Standardrollen und Berechtigungen prüfen und Zugriffsbereich und Datensicht verstehen.

Schritt-für-Schritt-Anleitung

Eigene Rolle anlegen und zuweisen

Öffnen Sie Einstellungen → Eigene Rollen und wählen Sie + Neue Rolle.
Erfassen Sie einen stabilen Schlüssel, einen verständlichen Anzeigenamen und optional eine sachliche Beschreibung. Verwenden Sie keine personenbezogenen Angaben im Rollennamen.
Wählen Sie bei Bedarf Basiert auf, um die momentane Auswahl einer Standardrolle in den Entwurf zu kopieren. Dies ist nur eine Vorbelegung, keine dauerhafte Vererbung.
Markieren Sie in der Berechtigungsmatrix je Modul nur die benötigten Aktionen. VIEW, CREATE, EDIT, DELETE, EXPORT und ADMIN werden einzeln gespeichert; eine stärkere Aktion schließt die Leseberechtigung nicht automatisch ein.
Aktivieren Sie die vier Finanzschalter nur nach gesonderter Prüfung. Für Finanzfunktionen müssen der passende Schalter, die zugehörige Modulaktion, die Lizenz und der zulässige Datenbereich gemeinsam erfüllt sein.
Wählen Sie Rolle erstellen. Prüfen Sie in der Tabelle Anzeigename, Schlüssel, Anzahl der Rechte, Zahl der Finanzfreigaben und den Status ● Aktiv.
Öffnen Sie Einstellungen → Benutzer, erstellen oder bearbeiten Sie zunächst ein Prüfkonto, wählen Sie die aktive Rolle mit dem Zusatz (eigene Rolle) und weisen Sie nur die benötigten Organisationseinheiten zu.
Melden Sie sich mit dem Prüfkonto an und testen Sie erlaubte sowie ausdrücklich nicht erlaubte Lese-, Änderungs-, Lösch- und Exportwege. Beachten Sie, dass die Oberfläche eigene Rollen noch nicht an allen Stellen zur lokalen Navigation und Schaltflächensichtbarkeit auswertet.

Rolle ändern, deaktivieren oder reaktivieren

Wählen Sie Bearbeiten. Der Schlüssel bleibt unveränderlich; Anzeigename, Beschreibung, Rechte und Finanzschalter lassen sich ändern.
Dokumentieren Sie Anlass und Sollzustand außerhalb der Rollenmaske. Es gibt dort keine sichtbare Versionierung oder Freigabestufe.
Ermitteln Sie vor Deaktivieren unter Benutzer alle Konten mit diesem Rollenschlüssel und weisen Sie ihnen zuerst eine geeignete aktive Rolle zu. Die Rollenliste zeigt weder Zuweisungszahl noch betroffene Konten.
Bestätigen Sie die Deaktivierung. Die Rolle bleibt als ○ Inaktiv gespeichert; zugewiesene Benutzerkonten und Sitzungen werden dadurch nicht automatisch beendet oder umgestellt. Die inaktive Rolle erteilt bei nachfolgenden Prüfungen keine Modul- oder Finanzrechte.
Reaktivieren Sie eine Rolle nur nach erneuter Kontrolle. Noch vorhandene Zuweisungen erhalten ihre hinterlegten Rechte bei folgenden Anfragen wieder.

Zugriffsreview prüfen und exportieren

Wechseln Sie in die richtige Organisationseinheit und öffnen Sie als ADMIN Einstellungen → Access Review (SOC2).
Notieren Sie den Prüfzeitpunkt und vergleichen Sie Nutzer, Aktiv, Privilegiert, Ruhend >90T und MFA-Lücken mit Ihrem freigegebenen Sollbestand.
Prüfen Sie jede Zeile. Ein aktives Konto ohne Anmeldung oder mit mehr als 90 Tagen seit der letzten Anmeldung wird als ruhend markiert. Ein aktiver ADMIN oder MANAGER ohne MFA wird als MFA fehlt markiert.
Kontrollieren Sie eigene Rollen separat in Eigene Rollen und Benutzer. Der Review stuft nur ADMIN und MANAGER als privilegierte Rollen ein und löst eigene Rollen nicht in Einzelrechte oder Finanzfreigaben auf.
Prüfen Sie außerdem OE-Zuweisungen, Produktlizenzen, persönliche Sonderrechte und offene Sitzungen in den zugehörigen Bereichen. Sie sind nicht Teil der Review-Tabelle.
Wählen Sie CSV exportieren und legen Sie die Datei in einer zugriffsgeschützten Ablage ab. Öffnen Sie sie zunächst geschützt; Namen, E-Mail-Adressen und Rollenwerte werden nicht gegen Tabellenformeln neutralisiert.
Dokumentieren Sie Prüfer, Prüfzeitpunkt, Abweichungen, Entscheidung, Maßnahmen und Folgetermin außerhalb von NeuraPort. Ansicht und Export sind jeweils neu erzeugte Momentaufnahmen und können bei zwischenzeitlichen Änderungen voneinander abweichen.

Feldreferenz

Feld	Pflicht	Bedeutung	Validierung
Schlüssel (Großbuchstaben)	Ja bei Anlage	Mandantenweiter Rollenwert am Benutzerkonto	2 bis 30 Zeichen vor Normalisierung; gespeichert werden Großbuchstaben, Ziffern und Unterstriche. Im Mandanten eindeutig, keine Standardrolle. Nach Anlage nicht änderbar.
Anzeigename	Ja	Lesbare Aufgabenbezeichnung	1 bis 120 Zeichen; fachlich eindeutig und ohne personenbezogene Daten wählen.
Beschreibung	Nein	Zweck und Einsatzgrenze der Rolle	Kein Ersatz für Freigabe, Versionshistorie oder Rezertifizierungsnachweis.
Basiert auf	Nein	Kopiert Rechte und Finanzschalter einer Standardrolle in den neuen Entwurf	Nur Vorbelegung bei Anlage; spätere Änderungen der Standardrolle werden nicht übernommen.
Berechtigungen	Nein	Ausgewählte Kombinationen aus Modul und Aktion	Nur Katalogwerte sind zulässig; Duplikate werden entfernt. Logische Abhängigkeiten und Lizenzen werden nicht automatisch ergänzt.
Globale Finanzdaten sehen	Nein	Erlaubt organisationsweite Finanzsicht als zusätzliche Bedingung	Benötigt außerdem Finanz-Leserecht, Lizenz und zulässigen Datenbereich.
Alle Akten-Kosten sehen	Nein	Erweitert die Kostensicht über eigene Akten hinaus	Akten-, Finanz-, Mandanten- und OE-Regeln gelten zusätzlich.
Finanzdaten exportieren	Nein	Zusätzlicher Freigabeschalter für Finanzexporte	Benötigt außerdem das fachliche Exportrecht und ein freigeschaltetes Modul.
Mitarbeiter-Leistung sehen	Nein	Erlaubt unterstützte personenbezogene Leistungsansichten	Nur bei erforderlichem Führungszweck aktivieren; Datenschutz und OE-Scope prüfen.
Status der eigenen Rolle	Systemseitig / Aktion	● Aktiv oder ○ Inaktiv	Nur aktive Rollen sind neu zuweisbar und werden für Rechte und Finanzschalter aufgelöst.
Rolle im Benutzerkonto	Ja	Genau eine Standard- oder eigene Aufgabenrolle	Eigene Rolle muss aktiv sein und zum selben Mandanten gehören.
Generiert am	Systemseitig	Zeitpunkt der Review-Erzeugung	In der aktuellen Oberfläche nicht sichtbar; für den Nachweis Prüfzeitpunkt separat festhalten.
Nutzer / Aktiv	Systemseitig	Anzahl aller beziehungsweise aktiven Konten der Organisation	Review ist mandantenweit und nicht auf die aktive OE begrenzt.
Privilegiert	Systemseitig	Anzahl der Konten mit Standardrolle ADMIN oder MANAGER	Eigene Rollen mit weitreichenden Einzelrechten werden nicht als privilegiert erkannt.
Ruhend >90T	Systemseitig	Aktives Konto ohne Anmeldung oder mit letzter Anmeldung vor mehr als 90 Tagen	Keine automatische Deaktivierung; jeder Treffer muss fachlich geprüft werden.
MFA-Lücken	Systemseitig	Aktive ADMIN- oder MANAGER-Konten ohne aktivierte MFA	Eigene Rollen und andere besonders berechtigte Konten werden nicht berücksichtigt.
CSV exportieren	Aktion	Lädt eine aktuelle semikolongetrennte Benutzerübersicht	Enthält personenbezogene Daten; keine automatische Ablage, Freigabe, Signatur oder Formelneutralisierung.

Status und mögliche Übergänge

Ausgang	Aktion	Ergebnis
Keine eigene Rolle	Rolle erstellen	Rolle wird normalisiert, validiert und als ● Aktiv gespeichert.
Eigene Rolle ● Aktiv	Bearbeiten → Speichern	Rechte, Finanzschalter und sichtbare Texte werden für folgende Prüfungen aktualisiert; Schlüssel bleibt gleich.
Eigene Rolle ● Aktiv	Deaktivieren	Rolle wird ○ Inaktiv; Definition und Benutzerzuweisungen bleiben erhalten, wirksame Rollenrechte entfallen.
Eigene Rolle ○ Inaktiv	Aktivieren	Gespeicherte Rechte werden für weiterhin zugewiesene Konten wieder wirksam.
Benutzer ohne eigene Rolle	Aktive eigene Rolle speichern	Rollenschlüssel wird zugewiesen; OE, Lizenz und Sonderrechte bleiben getrennte Bedingungen.
Benutzer mit inaktiver eigener Rolle	Andere aktive Rolle speichern	Konto erhält die neu gewählte Rolle; die alte Rollendefinition bleibt bestehen.
Access Review geöffnet	Seite neu laden	Aktueller Snapshot wird neu berechnet; vorheriger Stand wird nicht als Review gespeichert.
Review sichtbar	CSV exportieren	Ein weiterer aktueller Snapshot wird als Datei geladen; kein Status wie geprüft oder freigegeben entsteht.
Auffälligkeit ruhend oder MFA fehlt	Konto beziehungsweise MFA administrativ korrigieren und Review neu laden	Kennzahl und Markierung ändern sich entsprechend dem neuen Kontostand.

Deaktivieren ist ein reversibler Soft-Delete. Ein Zugriffsreview kennt dagegen keine Zustände wie Entwurf, in Prüfung, freigegeben oder abgeschlossen. Bewahren Sie Nachweis und Maßnahmenliste deshalb in einem kontrollierten externen Verfahren auf.

Was im Hintergrund passiert

Der Berechtigungskatalog wird aus den bekannten Standardrollen gebildet. Beim Speichern akzeptiert der Server nur Katalogkombinationen. Eigene Rollen werden nach Organisation gefiltert; nur eine aktive Rolle mit passendem Mandanten und Schlüssel kann für einen Benutzer aufgelöst werden. Explizite Standardrollenprüfungen, Lizenzen, OE-Grenzen und persönliche Freigaben bleiben davon unabhängig.

Die vier Finanzwerte einer aktiven eigenen Rolle überschreiben bei authentifizierten Anfragen die entsprechenden wirksamen Benutzerwerte. Bei einer inaktiven oder nicht auffindbaren eigenen Rolle werden diese wirksamen Werte auf false gesetzt. Finanzlesen, -schreiben und -export verlangen an gehärteten Stellen zusätzlich das jeweilige Modulrecht.

Beim Deaktivieren wird lediglich is_active geändert. Eine Zuweisungsprüfung, Benutzerumstellung, Sitzungsbeendigung oder sichtbare Auswirkungsanalyse findet nicht statt. Das Reaktivieren stellt deshalb die zuvor gespeicherten Rechte für verbliebene Zuweisungen wieder her.

Der Zugriffsreview liest alle Benutzer der Organisation und berechnet seine Kennzahlen bei jedem Aufruf neu. Er markiert die fest eingebauten Rollen ADMIN und MANAGER als privilegiert. Ruhend bedeutet: Konto aktiv und letzte Anmeldung fehlt oder liegt mehr als 90 Tage zurück. Eine MFA-Lücke wird nur für aktive ADMIN- und MANAGER-Konten berechnet.

Der CSV-Download erzeugt einen eigenen neuen Snapshot mit Benutzerkennung, E-Mail-Adresse, Name, Rolle, Aktiv- und MFA-Status, Markierungen sowie Anmelde- und Erstellungszeit. Er ist semikolongetrennt und enthält keine gespeicherte Prüferentscheidung. Schützen Sie die Datei als personenbezogenen Berechtigungsnachweis.

Automatisierte Prüfungen belegen Grundausgabe, CSV-Antwort und einfache Mandantentrennung des Reviews sowie eine elementare Auflösung eigener Modulrechte. Nicht ausreichend geprüft sind vollständiges Rollen-CRUD, Manager-UI, Zuweisung und Deaktivierung, Finanzschalter, Datenbankrichtlinien, eigene privilegierte Rollen, Plattformkonten, CSV-Formeln, Fehlerzustände und ein vollständiger Review-Prozess.

Typische Fehler und Lösungen

Meldung oder Beobachtung	Ursache	Lösung
Eigene Rollen oder Benutzer fehlt bei MANAGER	Serverberechtigung und aktuelle Einstellungsnavigation stimmen nicht überein	Änderung durch einen ADMIN durchführen und den fehlenden Manager-Bedienweg als Produktabweichung behandeln.
Access Review (SOC2) fehlt	Konto ist kein ADMIN oder Compliance ist in der aktuellen OE nicht freigeschaltet	Standardrolle, aktive OE und Compliance-Lizenz prüfen. Eine eigene Rolle oder ein Direktaufruf ist kein Ersatz.
Rollenliste zeigt Noch keine eigenen Rollen angelegt.	Im Mandanten besteht keine eigene Rolle oder das Laden ist fehlgeschlagen	Bedarf prüfen und neu laden. Da ein Ladefehler derzeit nicht immer deutlich dargestellt wird, nicht vorschnell eine Doppelrolle anlegen.
Fehler beim Speichern	Eingabe, Sitzung oder Anfrage wurde abgelehnt	Detailmeldung auswerten; Schlüssel, Anzeigename, Katalogwerte und Mandantenkontext prüfen. Nicht parallel erneut speichern.
Rollen-Schlüssel muss mind. 2 gültige Zeichen … enthalten	Nach der Normalisierung bleiben zu wenige gültige Zeichen	Eindeutige Buchstaben, Ziffern oder Unterstriche verwenden.
… ist eine Standardrolle und kann nicht überschrieben werden	Schlüssel kollidiert mit einer festen Rolle	Einen eigenen fachlichen Schlüssel wählen.
Rolle … existiert bereits	Normalisierter Schlüssel ist bereits vorhanden, möglicherweise inaktiv	Bestehende Rolle prüfen und gegebenenfalls kontrolliert reaktivieren.
Unbekannte Berechtigung	Nicht unterstützte Modul-Aktions-Kombination wurde übergeben	Nur Einträge aus der angezeigten Matrix verwenden.
Rolle nicht gefunden	Rolle existiert nicht oder gehört zu einem anderen Mandanten	Mandantenkontext und Tabellenzeile prüfen; keine fremden Kennungen übernehmen.
Unbekannte oder inaktive Rolle beim Benutzer	Rolle ist deaktiviert, fremd oder nicht vorhanden	Eine aktive Rolle desselben Mandanten wählen.
Benutzer bleibt nach Rollendeaktivierung aktiv	Deaktivierung betrifft nur die Rollendefinition	Benutzer vorab auf andere Rollen umstellen oder Konto separat deaktivieren; aktive Sitzungen kontrollieren.
Rechte kehren nach Reaktivierung unerwartet zurück	Alte Benutzerzuweisungen wurden beim Deaktivieren behalten	Vor Reaktivierung Zuweisungen und Sollrechte vollständig prüfen.
Navigation fehlt trotz ausgewähltem Recht	Nicht alle Oberflächen werten eigene Rollen für lokale Sichtbarkeit aus	Nicht durch überbreite Standardrechte umgehen; betroffenen Weg dokumentieren und Produktkorrektur abwarten.
Review zeigt leere Tabelle ohne verständlichen Fehler	Ladefehler und echter Leerbestand werden in der Ansicht nicht klar getrennt	Sitzung, Lizenz und Verbindung prüfen; Review nicht als „keine Benutzer“ ablegen.
Eigene weitreichende Rolle erscheint nicht als Privilegiert	Review erkennt nur ADMIN und MANAGER	Eigene Rollen und Finanzschalter separat prüfen und im externen Review-Nachweis ergänzen.
Ansicht und CSV unterscheiden sich	Export erzeugt einen neuen Snapshot nach der Ansicht	Änderungen während der Prüfung vermeiden und Erzeugungszeit beider Stände festhalten.
Tabellenprogramm interpretiert Werte als Formel	Export neutralisiert führende Formelzeichen nicht	Datei nicht weitergeben oder bearbeiten; zunächst in sicherer Textansicht prüfen und Export technisch härten lassen.