Benutzer, Gruppen und Rechte

Verwaltet Teammitglieder, Gruppen, Rollenprofile und fein abgestufte Berechtigungen. Gedacht für kleine Unternehmen und Gründerinnen und Gründer.

Wo das hingehört

Diese Funktion gehört zum Bereich Firmen & Schnittstellen — Fin3000. Dort steht, wie sie mit den übrigen Funktionen zusammenspielt.

Sobald mehr als eine Person mit den Firmendaten arbeitet, stellt sich die Frage, wer was sehen darf: Die Aushilfe soll Zeiten erfassen, aber keine Umsätze sehen, das Büro Rechnungen schreiben, aber keine Bankverbindung anlegen. Zugriffsrechte zu vergeben ist die Antwort darauf — und der Punkt, an dem Fin3000 eine Voreinstellung hat, die man kennen sollte.

Schritt für Schritt

1. Mitglied anlegen: E-Mail genügt. Die Person bestätigt ihre Adresse über eine Mail, bevor sie sich anmelden kann.
2. Gruppe zuweisen oder eine der drei mitgelieferten Vorlagen nehmen: Zeiterfassung, Faktura oder Buchhaltung.
3. Rechte feinjustieren — je Datentyp getrennt nach Ansehen, Anlegen, Ändern und Löschen, dazu Sonderrechte wie Festschreiben oder DATEV-Export.
4. Optional eine Business Unit zuweisen; Produkte, Verkaufsbelege und API-Token lassen sich darüber trennen.
5. Wirkung prüfen: Ohne passendes Recht endet der Aufruf einer Seite sichtbar auf der 403-Seite, statt still eine leere Liste zu zeigen.

Rechte hängen an Kennungen der Form app_label.codename, etwa client.view_client oder sales.finalize_salesdocument. Eine Gruppe ist eine Sammlung solcher Rechte; ein Mitglied kann in mehreren Gruppen stehen und zusätzlich einzelne Rechte direkt tragen. Die drei Vorlagen sind versioniert: Wird eine Vorlage im Produkt erweitert, ändert das bestehende Gruppen nicht automatisch, sondern erst nach einem ausdrücklichen Abgleich.

Zwei Regeln überraschen regelmäßig. Erstens hat ein Mitglied ohne jede Gruppe und ohne Einzelrecht vollen Zugriff, nicht keinen: Die leere Rechteliste bedeutet nicht eingeschränkt. Wer einschränken will, muss also etwas vergeben, nicht etwas wegnehmen. Zweitens umgeht der Admin — im Datenmodell der Inhaber des Accounts — jede Prüfung; seine Rechte lassen sich nicht beschneiden. Geprüft wird an zwei Stellen: im Browser, damit gesperrte Seiten gar nicht laden, und bei jedem Serveraufruf, wo die HTTP-Methode auf das Recht abgebildet wird. Die Mandantentrennung liegt darunter und ist davon unabhängig.

Was die Funktion nicht tut

Rechte greifen auf Ebene des Datentyps, nicht des einzelnen Datensatzes oder Feldes. Regeln wie „nur die eigenen Kunden sehen“ oder „Einkaufspreise ausblenden“ lassen sich damit nicht abbilden. Die drei Vorlagen stehen im Code und sind nicht selbst erweiterbar; eigene Rollen entstehen als Gruppe mit handverlesenen Rechten. API-Token folgen einer eigenen Logik: Sie tragen eine Stufe von Lesen bis Löschen und unterliegen den Gruppenrechten nicht. Zwei-Faktor-Anmeldung steht jeder Person offen — per Passkey oder Authenticator-App — und der Kontoinhaber kann sie für die ganze Firma verpflichtend machen; die Richtlinie kennt dafür eine Karenzfrist.