Benutzer, Finanzrechte und Aktenanlage verwalten

Zweck und Einsatzbereich

Unter Einstellungen → Benutzer verwalten Organisationsadministratoren die internen Konten ihres Mandanten. Die sichtbare Benutzerverwaltung unterstützt:

Benutzer mit Name, E-Mail-Adresse und temporärem Passwort anlegen,
eine Standardrolle oder aktive eigene Rolle zuweisen,
Organisationseinheiten (OE) zuweisen und eine davon als Aktiv markieren,
die persönliche Anlage von Ocean-Export- und Ocean-Import-Akten freigeben,
Namen, Rolle, OE-Zuweisungen und Status ändern,
ein temporäres Passwort setzen sowie
Konten deaktivieren und wieder aktivieren.

Ein E-Mail-Einladungsworkflow für interne Benutzer ist im geprüften Stand nicht vorhanden. Die Anlage versendet weder automatisch eine Einladung noch das temporäre Passwort. Der Administrator muss die Zugangsinformation getrennt und sicher übergeben. Der öffentliche Ablauf Passwort vergessen ist davon unabhängig.

Die vier persönlichen Finanzflags sind technisch vorhanden, aber nicht in der sichtbaren Benutzerverwaltung bedienbar. Unter Eigene Rollen lassen sich Finanzrechte einer mandanteneigenen Rolle konfigurieren. Für einzelne Benutzer gibt es im geprüften Hauptfrontend dagegen weder Schalter noch eine Aktion zum Zurücksetzen auf Rollenstandards. Stellen Sie persönliche Finanzrechte deshalb nicht anhand dieser Seite in Aussicht.

Voraussetzungen und Berechtigungen

Der sichtbare Menüpunkt Benutzer ist ausschließlich für die Standardrolle Administrator eingebunden. Plattformoperatoren sehen diese Mandanten-Benutzerverwaltung nicht. Für eigene Rollen ist kein gleichwertiger sichtbarer Administrationszugang belegt.

Verwenden Sie die Benutzerverwaltung ausschließlich mit einer dafür freigegebenen Administrationsrolle und über den sichtbaren Menüweg. Vor einer Produktivfreigabe muss intern belegt sein, dass die serverseitige Rollenhierarchie jede Benutzer-, Rollen- und Passwortaktion unabhängig von der Oberfläche korrekt begrenzt. Stoppen Sie bei einer abweichenden Rollen- oder Aktionsmöglichkeit und lassen Sie den Zugriff administrativ prüfen.

Für eine belastbare Zuweisung müssen außerdem gelten:

Zielbenutzer und ausgewählte OEs gehören zum eigenen Mandanten.
Mindestens eine OE ist ausgewählt; die als Aktiv markierte OE gehört zu dieser Auswahl.
Die gewählte Standardrolle existiert oder die eigene Rolle ist aktiv und stammt aus demselben Mandanten.
Für einen neuen oder reaktivierten Benutzer ist das vertragliche Benutzerlimit noch nicht erreicht.
Ein temporäres Passwort erfüllt die serverseitigen Passwortregeln.

Die persönliche Freigabe Export-Akten anlegen oder Import-Akten anlegen reicht allein nicht aus. Zusätzlich benötigt der Benutzer das allgemeine Recht Akten anlegen, das passende Modul muss im Mandanten und in der aktuellen OE schreibbar sein, und die Kunden-/OE-Grenzen müssen passen. Die Importfreigabe gilt auch für die Anlage über den Datenimport. Duplizieren wird entsprechend der Richtung der Ausgangsakte geprüft.

Für Finanzfunktionen wirken ebenfalls mehrere Ebenen zusammen: Finanzflag, fachliches Finanzrecht, Finance-Modul und Datenscope. Globale Finanzdaten sehen ersetzt beispielsweise nicht das Recht Finanzen ansehen; Finanzdaten exportieren ersetzt nicht Finanzen exportieren.

Schritt-für-Schritt-Anleitung

Internen Benutzer anlegen

Öffnen Sie Einstellungen → Benutzer und wählen Sie + Neuer Benutzer.
Tragen Sie Vorname, Nachname und E-Mail ein. Die E-Mail-Adresse ist nach der Anlage in dieser Oberfläche nicht änderbar. Prüfen Sie Schreibweise und Zustellbarkeit deshalb vor dem Speichern.
Wählen Sie unter Rolle eine Standardrolle oder eine aktive eigene Rolle. Die Altrolle Luftfracht (Legacy – bitte ändern) kann nicht neu vergeben werden.
Aktivieren Sie unter Seefracht-Akten anlegen nur die fachlich erforderlichen Optionen Export-Akten anlegen und/oder Import-Akten anlegen. Beide sind bei einem neuen Benutzer zunächst aus.
Erfassen Sie ein Temporäres Passwort mit mindestens zwölf Zeichen, mindestens einem Großbuchstaben, einer Zahl und einem Sonderzeichen. Verwenden Sie im aktuellen Stand nicht ungeprüft Generieren: Die sichtbare Funktion erzeugt nur zehn Zeichen und ihr Zufallsverfahren ist für Zugangsdaten nicht ausreichend. Erzeugen Sie das Passwort mit einem freigegebenen Passwortmanager und ersetzen Sie den Formularwert vollständig.
Wählen Sie unter Mandanten / Standorte mindestens eine aktive OE. Obwohl die Oberfläche hier „Mandanten“ schreibt, weisen Sie Organisationseinheiten innerhalb desselben Mandanten zu.
Markieren Sie bei genau einer ausgewählten OE Aktiv. Sie wird zum anfänglichen Arbeitskontext des Benutzers.
Wählen Sie Benutzer erstellen. Erscheint Benutzer erstellt, kopieren Sie das temporäre Passwort nur in einen freigegebenen sicheren Übertragungsweg.
Schließen Sie den Hinweis nach der Übergabe und entfernen Sie das Passwort aus der Zwischenablage. Es wird von der Anwendung nicht als Einladung versendet und später nicht erneut angezeigt.
Lassen Sie den Benutzer die Erstanmeldung abschließen. Das sichtbare Formular setzt bei der Anlage einen erzwungenen Passwortwechsel.

Benutzer bearbeiten oder Passwort zurücksetzen

Suchen Sie den Benutzer nach Name, E-Mail, Organisation oder OE und wählen Sie Bearbeiten.
Prüfen Sie E-Mail (nicht änderbar), Name, Rolle, Status, Seefracht-Akten anlegen und Mandanten / Standorte.
Ändern Sie nur die benötigten Werte. Bei einem Rollenwechsel bleiben persönliche Ocean-Freigaben bewusst erhalten. Die persönlichen Finanzflags werden bei einem Wechsel zwischen Standardrollen ebenfalls nicht automatisch an die neue Rolle angepasst.
Für einen Passwortreset wählen Sie Neues temporäres Passwort generieren, ersetzen den erzeugten Wert aber durch ein mit einem freigegebenen Passwortmanager erstelltes, regelkonformes Passwort. Kontrollieren Sie den Wert vor Speichern.
Wählen Sie Speichern. Bei einem Passwortreset werden vorhandene Sitzungen und gemerkte MFA-Geräte des Zielbenutzers widerrufen; bei der nächsten Anmeldung ist ein Passwortwechsel vorgeschrieben.
Falls das Speichern wegen des Passworts fehlschlägt, laden Sie die Benutzerliste neu und prüfen Sie Rolle, Status, OE- und Ocean-Freigaben erneut. Das Profil wird technisch vor dem Passwortreset gespeichert und kann trotz der abschließenden Fehlermeldung bereits geändert sein.

Benutzer deaktivieren oder reaktivieren

Verwenden Sie in der Benutzerliste Deaktivieren und bestätigen Sie die Rückfrage. Der gesonderte Weg verhindert die Deaktivierung des eigenen Kontos.
Das Konto bleibt mit seinen Zuweisungen erhalten, kann sich im inaktiven Zustand aber nicht anmelden oder geschützte Funktionen nutzen.
Zur Reaktivierung öffnen Sie Bearbeiten, wählen unter Status Aktiv und speichern. Das vertragliche Benutzerlimit wird erneut geprüft.
Setzen Sie vor der Reaktivierung vorsorglich ein neues temporäres Passwort. Eine reine Deaktivierung widerruft gespeicherte Sitzungen derzeit nicht dauerhaft; eine noch nicht abgelaufene alte Sitzung könnte nach der Reaktivierung wieder gültig werden.

Ändern Sie den eigenen Status nicht im Dialog auf Inaktiv. Die dortige allgemeine Speicherfunktion besitzt nicht denselben Selbstschutz wie die separate Aktion Deaktivieren und kann den Administrator aus seinem Konto aussperren.

Finanzrechte einordnen

Die technisch vorgesehenen persönlichen Finanzflags heißen Globale Finanzdaten sehen, Alle Akten-Kosten sehen, Finanzdaten exportieren und Mitarbeiter-Leistung sehen. Im sichtbaren Benutzerformular werden sie weder angezeigt noch geändert.

Bei eigenen Rollen pflegen Sie diese vier Werte unter Einstellungen → Eigene Rollen. Sie wirken für Benutzer dieser aktiven eigenen Rolle beim Laden des Kontos. Für Standardrollen existieren intern Rollenstandardwerte: Administrator, Geschäftsführung und Manager erhalten dort alle vier Werte; Buchhalter erhalten alle außer Mitarbeiter-Leistung; die übrigen Standardrollen erhalten keinen der vier Werte. Die sichtbare Benutzeranlage und ein sichtbarer Rollenwechsel wenden diese Standardwerte jedoch nicht automatisch an. Lassen Sie deshalb nach Anlage oder Rollenwechsel die effektive Finanzsicht technisch prüfen, bevor Sie Finanz- oder Personalleistungsdaten freigeben.

Feldreferenz

Feld	Pflicht	Bedeutung	Validierung
Vorname	Ja	Vorname des internen Benutzers	Oberfläche verlangt einen nicht leeren Wert; Leerzeichen und Länge werden serverseitig nicht ausreichend bereinigt.
Nachname	Ja	Nachname des internen Benutzers	Wie Vorname. Vor dem Speichern auf reine Leerzeichen und Schreibfehler prüfen.
E-Mail	Ja	Eindeutiger Anmeldename und Adresse für Kontowiederherstellung	Wird kleingeschrieben und muss systemweit eindeutig sein. Eine belastbare serverseitige Formatprüfung fehlt; die Adresse ist in der sichtbaren Bearbeitung unveränderlich.
Rolle	Ja	Standardrolle oder aktive eigene Rolle des Mandanten	Unbekannte, inaktive oder fremde eigene Rollen werden abgewiesen. AIR_FREIGHT ist nur für Altbestände lesbar und nicht neu zuweisbar.
Export-Akten anlegen	Ja, als Schalter	Persönliche Freigabe für neue Ocean-Export-Akten und Export-Duplikate	Standardmäßig aus; allgemeines Akten-Anlegerecht und schreibbare Ocean-Export-Lizenz gelten zusätzlich.
Import-Akten anlegen	Ja, als Schalter	Persönliche Freigabe für neue Ocean-Import-Akten, Import-Duplikate und entsprechende Datenimporte	Standardmäßig aus; allgemeines Akten-Anlegerecht und schreibbare Ocean-Import-Lizenz gelten zusätzlich.
Temporäres Passwort	Ja bei Anlage	Erstpasswort, das nach der ersten Anmeldung geändert werden muss	Mindestens 12 Zeichen und höchstens 72 UTF-8-Bytes, mindestens ein Großbuchstabe, eine Zahl und ein zugelassenes Sonderzeichen. Das Formular aktiviert die Schaltfläche schon ab acht Zeichen; maßgeblich ist die strengere Serverprüfung.
E-Mail (nicht änderbar)	Systemseitig	Gespeicherte E-Mail des bestehenden Kontos	In der sichtbaren Bearbeitung nur lesbar. Eine Korrektur erfordert einen kontrollierten Betriebsprozess.
Status	Ja bei Bearbeitung	Aktiv erlaubt Anmeldung, Inaktiv blockiert das Konto	Reaktivierung zählt wieder gegen das Benutzerlimit. Eigene Inaktivsetzung im allgemeinen Dialog wird derzeit nicht verhindert.
Mandanten / Standorte	Ja	Auswahl der erlaubten Organisationseinheiten innerhalb des Mandanten	Sichtbar muss mindestens eine OE gewählt sein. Der aktuelle Verwaltungsweg lässt technisch auch inaktive OEs zu; daher Aktivstatus vor Zuweisung separat prüfen.
Aktiv	Ja	Aktuelle OE des Zielbenutzers	Muss in der ausgewählten OE-Liste liegen. Nur eine OE kann aktiv markiert sein.
Globale Finanzdaten sehen	Technisch vorhanden	Öffnet organisationsweite Finanzansichten zusammen mit dem Finanz-Leserecht	Kein persönlicher Schalter in der sichtbaren Benutzerverwaltung. Finance-Modul und Scope bleiben erforderlich.
Alle Akten-Kosten sehen	Technisch vorhanden	Zeigt Kosten auch in sichtbaren Akten anderer Bearbeiter	Kein persönlicher Schalter in der sichtbaren Benutzerverwaltung. Ohne Flag können eigene Aktenkosten weiterhin sichtbar sein.
Finanzdaten exportieren	Technisch vorhanden	Erlaubt Finanzexporte zusammen mit dem Finanz-Exportrecht	Kein persönlicher Schalter in der sichtbaren Benutzerverwaltung.
Mitarbeiter-Leistung sehen	Technisch vorhanden	Erlaubt personenbezogene Leistungskennzahlen in Managementauswertungen	Kein persönlicher Schalter in der sichtbaren Benutzerverwaltung; besonders restriktiv vergeben.
Letzter Login	Systemseitig	Datum der letzten erfolgreichen Anmeldung	Leerer Wert bedeutet, dass kein erfolgreicher Login gespeichert ist; kein Einladungs- oder Aktivierungsstatus.

Status und mögliche Übergänge

Ausgangszustand	Aktion	Ergebnis
Noch kein Konto	Benutzer erstellen	Aktives Konto im eigenen Mandanten; temporäres Passwort und erzwungener Passwortwechsel.
Benutzerlimit erreicht	Benutzer erstellen	Anlage wird abgewiesen; kein zusätzliches aktives Konto.
Konto erstellt	Hinweis schließen	Temporäres Passwort verschwindet aus der Oberfläche; keine automatische Einladung wird versendet.
Temporäres Passwort	Erste erfolgreiche Änderung durch Benutzer	Erzwungener Passwortwechsel endet; die bisherige Sitzung wird beendet.
Aktiv	Deaktivieren bestätigen	Konto wird inaktiv und geschützte Zugriffe werden blockiert; Stammdaten und Zuweisungen bleiben erhalten.
Inaktiv	In Bearbeiten auf Aktiv setzen	Konto wird reaktiviert, sofern das Benutzerlimit reicht.
Bestehendes Konto	Neues temporäres Passwort speichern	Passwort ersetzt, Passwortwechsel vorgeschrieben, Sitzungen und gemerkte MFA-Geräte widerrufen.
Standardrolle geändert	Speichern	Fachliche Rolle ändert sich; persönliche Ocean-Freigaben und gespeicherte Finanzflags bleiben unverändert.
Eigene Rolle zugewiesen	Benutzer lädt sein Konto	Rechte und vier Finanzflags werden aus der aktiven eigenen Rolle angewendet.
Eigene Rolle später deaktiviert	Benutzer lädt sein Konto	Die Rolle liefert keine aktiven eigenen Rechte; Finanzflags werden für diesen Lauf auf aus gesetzt. Die Benutzerzuweisung bleibt dennoch gespeichert.
OE-Zuweisung geändert	Speichern	Mitgliedschaften werden ersetzt; ist die bisher aktuelle OE nicht mehr enthalten, wird eine verbleibende OE als aktuell gesetzt.
Ocean-Freigabe aus	Anlage oder richtungsgleiche Duplizierung versuchen	Funktion wird verborgen oder mit fehlender persönlicher Freigabe abgewiesen.

Ein eigener Status Eingeladen, Einladung angenommen oder Einladung abgelaufen existiert für interne Benutzer nicht.

Was im Hintergrund passiert

Bei der Anlage wird die E-Mail kleingeschrieben, das Passwort gehasht und das Konto dem Mandanten des Administrators zugeordnet. Eine übermittelte Plattformadministrator-Kennzeichnung wird für diesen Weg entfernt. Standardmäßig ist das Konto aktiv; das sichtbare Formular erzwingt den Passwortwechsel. Das Klartextpasswort stammt aus dem Browserformular und wird nur im unmittelbaren Erfolgshinweis erneut dargestellt, nicht aus dem gespeicherten Konto zurückgelesen.

Verwenden Sie für OE-Zuweisungen ausschließlich die sichtbare Auswahl, wählen Sie nur aktive Einheiten des eigenen Mandanten und kontrollieren Sie das Ergebnis anschließend in der Benutzerliste. Vor dem Produktivbetrieb muss die serverseitige Mandanten-, OE- und Aktivstatusprüfung für Anlage und Änderung intern abgenommen sein. Bei einer unerwarteten Zuweisung stoppen Sie die Bearbeitung und lassen das Konto administrativ prüfen.

Rollen- und Benutzeränderungen sind besonders sensible Administrationsvorgänge. Nutzen Sie nur freigegebene Rollen, Organisationseinheiten, Lizenzen und UI-Wege. Die serverseitige Trennung von Rollenstufen und einzelnen Administrationsaktionen muss vor der Produktivfreigabe intern getestet und dokumentiert sein; eine unerwartete Freigabe ist ein Sicherheitsbefund und muss bis zur administrativen Klärung gestoppt werden.

Persönliche Ocean-Freigaben werden direkt am Benutzer gespeichert. Beim Anlegen und Duplizieren prüft das Backend die Richtung nochmals, unabhängig davon, ob die Oberfläche eine Schaltfläche ausblendet. Für Ocean-Import-Datenimporte wird die Importfreigabe beim Hochladen beziehungsweise Übernehmen ebenfalls geprüft.

Persönliche Finanzflags werden ebenfalls am Benutzer gespeichert. Bei aktiven eigenen Rollen überschreibt die Rolle diese vier Werte beim Laden des Kontos. Standardrollen verwenden dagegen die gespeicherten Benutzerwerte. Die vorgesehenen Standardprofile werden weder bei sichtbarer Anlage noch bei sichtbarem Rollenwechsel automatisch angewendet. Dadurch kann ein neu angelegter Buchhalter zunächst ohne erwartete Finanzsicht bleiben; umgekehrt können bei der Herabstufung einer Standardrolle alte Finanzflags erhalten bleiben. Die sichtbare Benutzerverwaltung kann diese Werte weder anzeigen noch korrigieren.

Ein administrativer Passwortreset ersetzt das Passwort, entfernt offene Resetdaten, widerruft gemerkte MFA-Geräte und beendet alle gespeicherten Sitzungen des Zielbenutzers. Eine reine Deaktivierung setzt dagegen nur den Kontostatus. Die Anmeldung und jeder erneute geschützte Zugriff prüfen den Aktivstatus, doch die Sitzungsdatensätze werden nicht widerrufen. Deshalb ist vor einer späteren Reaktivierung ein Passwortreset erforderlich, solange dieser Fehler nicht korrigiert ist.

Automatisierte Tests belegen, dass nicht freigegebene Standardrollen die Benutzerliste nicht öffnen, Mandantentrennung bei Rollenstandardaktionen greift, das Benutzerlimit eine Neuanlage blockiert, Ocean-Export- und -Import-Anlagefreigaben serverseitig richtungsbezogen wirken und ein Passwortreset bestehende Sitzungen beendet. Nicht vollständig belegt sind die sichtbare Benutzerverwaltung, das zehnstellige Passwort aus Generieren, interne Einladungsabwesenheit, Benutzeranlage und -änderung über alle Felder, die vollständige serverseitige Rollenhierarchie, Selbstdeaktivierung im Bearbeitungsdialog, sämtliche OE-Zuweisungsvarianten, automatische Finanzstandardwerte oder der Reaktivierungsfall mit alter Sitzung.

Typische Fehler und Lösungen

Meldung oder Beobachtung	Ursache	Lösung
Fehler beim Erstellen nach Generieren	Das erzeugte Passwort hat nur zehn Zeichen, der Server verlangt mindestens zwölf.	Passwort vollständig durch einen regelkonformen Wert aus einem freigegebenen Passwortmanager ersetzen.
„Passwort muss mindestens 12 Zeichen lang sein“	Temporäres Passwort ist zu kurz.	Mindestens zwölf Zeichen verwenden; nicht nur die sichtbare Acht-Zeichen-Aktivierung der Schaltfläche beachten.
„Passwort muss mindestens einen Großbuchstaben enthalten“	Großbuchstabe fehlt.	Mindestens einen Großbuchstaben ergänzen.
„Passwort muss mindestens eine Zahl enthalten“	Zahl fehlt.	Mindestens eine Zahl ergänzen.
„Passwort muss mindestens ein Sonderzeichen enthalten“	Zugelassenes Sonderzeichen fehlt.	Ein zugelassenes Sonderzeichen ergänzen.
„Passwort darf UTF-8-kodiert höchstens 72 Bytes lang sein“	Passwort überschreitet die sichere Hash-Grenze.	Kürzeres starkes Passwort beziehungsweise eine passende Passphrase verwenden.
„E-Mail-Adresse bereits vergeben“	Die Adresse existiert bereits systemweit.	Vorhandenes Konto suchen; kein zweites Konto mit Varianten anlegen.
Benutzer kann Passwort vergessen nicht nutzen	Gespeicherte E-Mail ist falsch oder nicht zustellbar; die Anlage prüfte das Format nicht zuverlässig.	Adresse vor der Anlage kontrollieren. Bei Fehlern kontrollierten Betriebsprozess zur Korrektur verwenden.
„Unbekannte oder inaktive Rolle“	Eigene Rolle fehlt, ist deaktiviert oder gehört nicht zum Mandanten.	Aktive mandanteneigene Rolle oder passende Standardrolle auswählen.
Legacy-Hinweis zu AIR_FREIGHT	Altrolle darf nicht neu vergeben werden.	Disponent, Manager oder eine fachlich geprüfte eigene Rolle verwenden.
„Das vertragliche Benutzerlimit ist erreicht“	Anzahl aktiver Benutzer entspricht dem Vertragslimit.	Nicht mehr benötigte Konten deaktivieren oder Vertrag anpassen; keine Konten gemeinsam nutzen.
„Aktiver Mandant muss in den zugewiesenen Mandanten enthalten sein“	Als aktiv markierte OE ist nicht ausgewählt.	OE auswählen und anschließend Aktiv markieren.
Benutzer landet in einer inaktiven OE oder kann kein Modul öffnen	Verwaltungsdialog und Backend ließen eine inaktive OE-Zuweisung zu.	Benutzer einer aktiven OE zuweisen, diese aktiv markieren und Modulstatus prüfen.
Speichern meldet Passwortfehler, aber Rolle oder Status ist verändert	Profiländerung wurde vor dem Passwortreset gespeichert.	Liste neu laden, sämtliche Felder prüfen und danach nur den Passwortreset mit gültigem Wert wiederholen.
Finanzmenü fehlt beim neuen Buchhalter oder Manager	Rollenstandardwerte wurden bei sichtbarer Anlage nicht automatisch auf die persönlichen Finanzflags übertragen.	Effektive Rolle, Finanzflags, fachliche Finanzrechte und Finance-Modul technisch prüfen lassen.
Finanzsicht bleibt nach Herabstufung erhalten	Gespeicherte persönliche Finanzflags wurden beim Wechsel der Standardrolle nicht zurückgesetzt.	Zugriff sofort sperren beziehungsweise Konto deaktivieren und Finanzflags kontrolliert zurücksetzen lassen; erst danach reaktivieren.
Benutzer kann keine Export- oder Importakte anlegen	Persönliche Richtungsfreigabe, Akten-Anlegerecht oder schreibbare Modullizenz fehlt.	Alle drei Ebenen in der richtigen OE prüfen; keine stärkere Rolle als Ersatz vergeben.
„Du kannst deinen eigenen Account nicht deaktivieren“	Separate Deaktivierungsaktion schützt das eigene Konto.	Einen zweiten Administrator die Änderung über den vorgesehenen Bedienweg durchführen lassen.
Alter Zugriff funktioniert nach Reaktivierung wieder	Deaktivierung widerrief eine noch gültige Sitzung nicht dauerhaft.	Konto erneut deaktivieren, administrativen Passwortreset durchführen und erst danach reaktivieren.
Benutzer erhält keine Einladungs-E-Mail	Interne Anlage besitzt keinen Einladungsversand.	Temporäres Passwort über freigegebenen getrennten Kanal übergeben; keine normale unverschlüsselte E-Mail verwenden.