Standardrollen und Berechtigungen prüfen

Zweck und Einsatzbereich

Unter Einstellungen → Rollen & Rechte vergleichen Sie die vorgesehenen Einzelrechte der NeuraPort-Standardrollen. Die Ansicht ist eine Lesehilfe. Sie ändert keine Rolle und vergibt keine Rechte.

Ein Rollenname allein entscheidet nicht über den tatsächlichen Zugriff. Wirksam ist immer die Schnittmenge aus:

Standard- oder eigener Organisationsrolle,
gebuchtem und in der aktuellen Organisationseinheit aktiviertem Produktmodul,
Zuordnung des Benutzers zu dieser Organisationseinheit,
Objekt- und Datenscope des jeweiligen Fachbereichs,
zusätzlichen persönlichen Freigaben, etwa Finanzsicht oder Anlage von Export- und Importakten.

Eine sichtbare Schaltfläche ist deshalb keine Berechtigungszusage. Umgekehrt kann eine Aktion serverseitig erlaubt sein, obwohl die aktuelle Oberfläche sie wegen einer abweichenden lokalen Rollenmatrix nicht anbietet.

Voraussetzungen und Berechtigungen

Im regulären Hauptfrontend ist der Bedienweg nur für die Standardrolle ADMIN verlässlich nutzbar. Die tatsächliche Sichtbarkeit weicht von der serverseitigen Freigabe ab:

Konto	Eintrag Rollen & Rechte	Serverseitige Lesefreigabe	Aktuelles Ergebnis
ADMIN im Mandanten	Ja	Ja	Ansicht lädt; die eigene Admin-Karte kann trotzdem leer erscheinen.
MANAGER im Mandanten	Nein	Ja	Kein regulärer Navigationseinstieg, obwohl die Rollenliste serverseitig gelesen werden darf.
EXECUTIVE	Ja	Nein	Die Ansicht wird geöffnet, der Datenabruf wird aber abgewiesen; die Oberfläche zeigt keine klare Fehlermeldung und kann leere Rollenkarten darstellen.
Plattformadministrator	Nein	Ja	Kein regulärer Navigationseinstieg in der Plattformansicht.
Andere Standardrollen	Nein	Nein	Keine Rollenübersicht.

Standardrollen sind fest definiert und in dieser Ansicht nicht bearbeitbar. Eigene Rollen sind getrennte, mandantengebundene Rollen. Im aktuellen Frontend kann nur ADMIN deren Bedienoberfläche öffnen, obwohl die serverseitige Verwaltung auch MANAGER zulässt. Eigene Rollen können Einzelrechte und vier Finanzfreigaben enthalten, verleihen aber weder Plattformadministrator- noch Organisationsadministratorstatus.

Die Plattformadministration ist keine zusätzliche Standardrolle, sondern ein separates Plattformmerkmal. Sie berechtigt zu Plattformaufgaben, gewährt aber nicht automatisch Zugriff auf operative Mandantendaten. Verwenden Sie für fachliche Prüfungen ein ausdrücklich freigegebenes Mandantenkonto.

Schritt-für-Schritt-Anleitung

Standardrechte vergleichen

Melden Sie sich mit einem ADMIN-Konto des zu prüfenden Mandanten an.
Wählen Sie die Organisationseinheit, in der der spätere Benutzer arbeiten soll.
Öffnen Sie Einstellungen → Rollen & Rechte.
Lesen Sie je Rollenkarte die Fachbereiche und die darunter stehenden Aktionen. Die Fachbereiche werden technisch benannt, zum Beispiel shipments, finance, customs oder documents; die Aktionen erscheinen als VIEW, CREATE, EDIT, DELETE, EXPORT und ADMIN.
Behandeln Sie eine leere Admin-Karte nicht als fehlende Adminrechte. ADMIN besitzt serverseitig den Vollzugriff als Sonderfall; die aktuelle Rollenansicht liefert diesen Vollkatalog nicht mit.
Beachten Sie, dass AIR_FREIGHT in der Rollenansicht fehlt. Die Rolle besteht nur noch für migrierte Konten und kann nicht neu zugewiesen werden.
Prüfen Sie anschließend unter Einstellungen → Benutzer, welche Rolle, Organisationseinheiten und persönlichen Aktenanlagefreigaben dem konkreten Benutzer zugewiesen sind.
Prüfen Sie unter Produkte & Lizenzen, ob das benötigte Modul für Mandant und aktuelle Organisationseinheit aktiv oder als Nur lesen gekennzeichnet ist.
Testen Sie eine kritische Kombination mit einem eigenen Testbenutzer in einer isolierten Testorganisation. Verlassen Sie sich bei den unten dokumentierten Anzeigeabweichungen nicht allein auf die Rollenkarte.

Autoritative Standardmatrix lesen

Die folgende Zusammenfassung bildet die serverseitig definierten Standardrechte ab. Abkürzungen: A = Anzeigen, N = Anlegen, B = Bearbeiten, L = Löschen, X = Exportieren, Adm = Fachbereich administrieren.

Rolle	Standardrechte nach Fachbereich
ADMIN	Alle sechs Aktionen in allen Fachbereichen. Das ist ein serverseitiger Sonderfall, auch wenn die sichtbare Karte leer bleibt.
MANAGER	CRM A/N/B/X; Akten A/N/B/L/X; Kunden A/N/B/L/X; Adressen A/N/B/L; Finanzen A/N/B/L/X; Zoll A/N/B; Dokumente A/N/B/L; Aufgaben A/N/B/L; E-Mail A/N/B; Tracking A; Vorlagen A/N/B/L; Importe A/N/B/Adm; Schnittstellen A; Emissionen A/N; Berichte A/X; Benutzer A.
DISPATCHER	Akten A/N/B; Kunden A; Adressen A/N; Finanzen A; Zoll A/N/B; Dokumente A/N/B; Aufgaben A/N/B; E-Mail A/N; Tracking A; Vorlagen A/N; Importe A/N; Schnittstellen A; Emissionen A/N; Benutzer A.
ACCOUNTANT	Akten A; Kunden A/N/B/L; Adressen A/N/B/L; Finanzen A/N/B/L/X; Zoll A; Dokumente A; Aufgaben A/N/B; E-Mail A; Berichte A/X; Benutzer A.
CRM	CRM A/N/B/X; Kunden A; Adressen A/N; Benutzer A.
EXECUTIVE	CRM A; Akten A; Kunden A; Adressen A; Finanzen A/X; Dokumente A; E-Mail A; Tracking A; Berichte A/X; Benutzer A.
READONLY	Akten A; Kunden A; Adressen A; Finanzen A; Dokumente A; Tracking A; Emissionen A; Importe A; Benutzer A.
AIR_FREIGHT	Bestehende Altrolle: Akten A/N/B; Kunden A; Adressen A/N; Finanzen A; Zoll A/N/B; Dokumente A/N/B; Aufgaben A/N/B; E-Mail A/N; Tracking A; Vorlagen A/N; Schnittstellen A; Emissionen A/N; Benutzer A. Nicht neu zuweisbar.

Nicht genannte Fachbereich-Aktions-Paare sind im Standard verweigert. Zusätzliche fachliche Prüfungen können eine in dieser Matrix enthaltene Aktion weiter einschränken. Beispiel: Das allgemeine Recht Akten anlegen genügt für Seefracht nicht allein; die persönliche Freigabe für Export beziehungsweise Import und die passende Produktlizenz müssen ebenfalls vorliegen.

Feldreferenz

Feld	Pflicht	Bedeutung	Validierung
Rolle	Ja	Standardrolle oder aktive eigene Organisationsrolle eines Benutzers.	Standardrollen sind fest; eigene Rollen müssen im selben Mandanten aktiv sein.
Fachbereich / Modul	Ja	Berechtigungsressource wie Akten, Kunden, Finanzen, Zoll oder Dokumente.	Nicht mit dem gebuchten Produktmodul verwechseln; Recht und Lizenz müssen gemeinsam passen.
VIEW / Anzeigen	Nein	Daten des Fachbereichs lesen.	Datenscope, OE-Zuordnung und Objektzugriff gelten zusätzlich.
CREATE / Anlegen	Nein	Neuen Datensatz oder eine anlegende Aktion ausführen.	Kann durch persönliche Freigaben und Nur lesen weiter eingeschränkt sein.
EDIT / Bearbeiten	Nein	Vorhandenen Datensatz ändern oder eine schreibende Fachaktion ausführen.	Ein nur lesbares Produktmodul blockiert die Aktion unabhängig von der Rolle.
DELETE / Löschen	Nein	Lösch- oder Archivierungsaktion ausführen.	Die konkrete Fachfunktion kann statt physischem Löschen archivieren oder deaktivieren.
EXPORT / Exportieren	Nein	Daten oder Dateien exportieren beziehungsweise herunterladen.	Export kann zusätzliche Sonderrechte verlangen; ein Nur lesen-Modul erlaubt serverseitig grundsätzlich Lesen und Export, sofern das Exportrecht vorhanden ist.
ADMIN	Nein	Erweiterte Verwaltung innerhalb eines Fachbereichs.	Verleiht weder die Standardrolle ADMIN noch Plattform- oder Organisationsadministratorstatus.
Aktive Organisationseinheit	Ja	Einheit, in deren Kontext Modul- und Datenscope bewertet werden.	Benutzer muss der aktiven Einheit zugeordnet und das Produktmodul dort aktiviert sein.
Nur lesen	Nein	Effektiver Modulstatus ohne Schreibaktionen.	Entsteht auch bei bestimmten Vertragszuständen; Schreiben wird trotz Rollenrecht abgewiesen.
Export-Akten anlegen / Import-Akten anlegen	Nein	Persönliche Zusatzfreigabe für neue Seefrachtakten und Duplikate.	Gilt zusätzlich zu Akten-Anlegerecht, OE-Zuordnung und passender Ocean-Lizenz.
Finanzfreigaben	Nein	Zusätzliche Rechte für globale Finanzsicht, alle Aktenkosten, Finanzexport und Mitarbeiterleistung.	Fachliches Finanzrecht und Finance-Lizenz gelten weiterhin; nur ADMIN verwaltet persönliche Finanzfreigaben.

Status und mögliche Übergänge

Ausgangszustand	Änderung	Wirksames Ergebnis
Standardrolle zugewiesen	Rolle in der Benutzerverwaltung wechseln und speichern	Die neue Standardmatrix gilt; Produkt-, OE- und Sonderfreigaben werden nicht dadurch ersetzt.
Eigene Rolle aktiv	Eigene Rolle einem Benutzer zuweisen	Nur die hinterlegten Einzelrechte und Finanzfreigaben dieser Mandantenrolle werden aufgelöst.
Eigene Rolle aktiv und zugewiesen	Rolle deaktivieren	Zugewiesene Benutzer verlieren die aus dieser Rolle abgeleiteten Einzelrechte; vor Deaktivierung Benutzer umstellen.
Modul aktiv	Status Nur lesen oder wirksamer Nur-Lesen-Vertragszustand	Lesen und vorhandenes Exportrecht bleiben grundsätzlich möglich; Anlegen, Bearbeiten, Löschen und Automationen werden blockiert.
Modul in OE aktiv	Benutzer aus der OE entfernen oder Modul dort deaktivieren	Zugriff über diese Einheit wird abgewiesen, auch wenn die Rolle das Fachrecht enthält.
Aktive OE A	Zu zugewiesener OE B wechseln	Lizenz-, Navigations- und Datenscope werden für B neu bewertet.
AIR_FREIGHT-Bestandskonto	Andere Rolle speichern	Konto verwendet die neue Rolle; AIR_FREIGHT kann danach nicht erneut zugewiesen werden.

Die Seite Rollen & Rechte selbst bietet keine Statusänderung. Rollenwechsel erfolgen in der Benutzerverwaltung, eigene Rollen unter Eigene Rollen und Modulstatus unter Produkte & Lizenzen.

Was im Hintergrund passiert

Die serverseitige Standardmatrix ist die maßgebliche Rechtequelle. ADMIN wird dort als Vollzugriff behandelt; alle anderen Standardrollen erhalten nur ausdrücklich aufgeführte Fachbereich-Aktions-Paare. Eine eigene Rolle wird ausschließlich im Mandanten des Benutzers gesucht und kann nur Rechte aus dem bekannten Katalog enthalten.

Danach prüft der Produktzugriff Mandantenvertrag, gebuchtes Modul, Status, Aktivierung in der aktuellen Organisationseinheit, Benutzerzuordnung zur Einheit und das benötigte Einzelrecht. Nur lesen blockiert Schreib- und Automationsaktionen bereits auf dieser Ebene. Zusätzliche Objektprüfungen grenzen beispielsweise Akten, Kunden und Dokumente weiter ein.

Die Hauptoberfläche verwendet für manche Schaltflächen eine eigene lokale Kopie der Standardmatrix. Diese Kopie ist nicht vollständig: Beim MANAGER fehlen dort Kundenexport, E-Mail-Bearbeitung und die Importrechte; beim DISPATCHER fehlen Import-Anzeige und -Anlage; bei READONLY fehlt Import-Anzeige. Dadurch kann die Oberfläche erlaubte Funktionen ausblenden. Ein technischer Direktaufruf ist keine geeignete Umgehung; die Abweichung muss in der Rollen- oder Oberflächenkonfiguration korrigiert werden.

Auch die sichtbare Rollenübersicht besitzt einen eigenen, unvollständigen Rollenvertrag: EXECUTIVE sieht den Menüpunkt, darf die Daten aber nicht laden; MANAGER und Plattformadministratoren dürfen die Daten laden, sehen den Menüpunkt aber nicht; AIR_FREIGHT fehlt; und ADMIN wird wegen seines serverseitigen Sonderfalls als leere Karte geliefert. Diese Anzeigeabweichungen ändern die tatsächlichen Serverrechte nicht.

Typische Fehler und Lösungen

Meldung oder Beobachtung	Ursache	Lösung
Die Karte Admin enthält keine Rechte.	Die Rollenübersicht liefert die leere Sonderfallliste statt des berechneten Vollkatalogs.	Nicht als Rechteentzug interpretieren. ADMIN besitzt serverseitig weiterhin Vollzugriff; kritische Aktion mit Testkonto prüfen.
EXECUTIVE sieht Rollen & Rechte, aber nur leere Karten.	Frontend zeigt den Bereich, der Datenabruf ist für diese Rolle jedoch nicht freigegeben; die Ansicht zeigt den Fehler nicht sichtbar an.	Keine Rechte aus den leeren Karten ableiten. Prüfung durch ADMIN vornehmen lassen.
MANAGER oder Plattformadministrator findet Rollen & Rechte nicht.	Die Navigation blendet den Bereich aus, obwohl die serverseitige Lesefreigabe besteht.	Nicht über eine versteckte Adresse umgehen. Bis zur Korrektur mit einem freigegebenen ADMIN-Mandantenkonto prüfen.
AIR_FREIGHT fehlt in der Rollenübersicht.	Die feste sichtbare Rollenreihenfolge lässt die Altrolle aus.	Bestehendes Konto in der Benutzerverwaltung erkennen und geplant auf DISPATCHER, MANAGER oder eine eigene Rolle umstellen.
Erlaubte Import-, E-Mail- oder Exportaktion fehlt.	Lokale Frontendmatrix weicht für MANAGER, DISPATCHER oder READONLY von der Servermatrix ab.	Rolle und Serverrecht dokumentieren, keine Direktumgehung verwenden und die UI-Abweichung korrigieren lassen.
Keine Berechtigung	Rolle darf die Rollenübersicht oder die konkrete Fachaktion nicht ausführen.	Mit ADMIN prüfen; danach Einzelrecht, Lizenz, aktive OE und persönliche Zusatzfreigabe getrennt kontrollieren.
Keine Berechtigung: … in …	Das ausdrücklich erforderliche Fachbereichsrecht fehlt.	Passende Standard- oder eigene Rolle zuweisen; keine weitergehende Rolle nur wegen einer einzelnen Aktion vergeben.
Das Modul ist nur lesbar	Modul- oder Vertragsstatus blockiert Schreibaktionen.	Im Lesemodus bleiben oder Modulstatus administrativ klären; Rollenwechsel allein behebt den Lizenzstatus nicht.
Das Modul ist für diese Organisationseinheit nicht aktiviert	Produkt ist im Mandanten vorhanden, aber nicht in der aktiven OE freigeschaltet.	Richtige OE wählen oder Modulzuordnung durch Administration prüfen lassen.
Der Benutzer ist dieser Organisationseinheit nicht zugeordnet	Aktive OE und Benutzerzuordnung passen nicht zusammen.	Benutzer einer zulässigen Einheit zuordnen und diese als aktiv setzen.
Rolle enthält Akten anlegen, Anlage wird dennoch abgewiesen.	Persönliche Export-/Importfreigabe, Ocean-Lizenz oder OE-Zuordnung fehlt.	Alle vier Ebenen gemeinsam prüfen; Rollenrecht nicht isoliert betrachten.
Eigene Rolle wirkt plötzlich ohne Rechte.	Rolle ist inaktiv oder gehört nicht zum Mandanten des Benutzers.	Aktive eigene Rolle desselben Mandanten zuweisen; betroffene Benutzer vor einer Deaktivierung migrieren.