Berechtigungen und Rollen

Das Berechtigungssystem in KlarKonform basiert auf Microsoft 365 Security Groups. Rollen werden in Entra ID (Azure AD) verwaltet und automatisch mit KlarKonform synchronisiert.

Rollenkonzept

Rollen-Hierarchie

┌─────────────────────────────────────────────────────────────────┐
│                    ROLLENUBERSICHT                              │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  Admin ──────────────────────────────────────────────────────▶  │
│    │     Volle Administratorrechte                              │
│    │                                                            │
│    ├── HR ──────────────────────────────────────────────────▶   │
│    │      Personalverwaltung, Mitarbeitervereinbarungen         │
│    │                                                            │
│    ├── Accounting ──────────────────────────────────────────▶   │
│    │      Buchhaltung, Finanzrelevante Module                   │
│    │                                                            │
│    └── User ────────────────────────────────────────────────▶   │
│           Basis-Zugriff, eigene Daten                           │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Verfugbare Rollen

Rolle	Beschreibung	Typische Verwendung
Admin	Vollzugriff auf alle Module	IT-Leitung, Geschaftsfuhrung
HR	Personalverwaltung	Personalabteilung
Accounting	Buchhaltung	Finanzen, Controlling
User	Standard-Benutzer	Alle Mitarbeiter

M365 Security Groups

Gruppenstruktur

Fur jeden Tenant werden Security Groups in folgendem Format erwartet:

KlarKonform-[TenantName]-[Role]

Beispiele:

KlarKonform-MeineFirma-Admin
KlarKonform-MeineFirma-HR
KlarKonform-MeineFirma-Accounting
KlarKonform-MeineFirma-User

Mapping

┌─────────────────────────────────────────────────────────────────┐
│              SECURITY GROUP → ROLLE MAPPING                     │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  M365 Security Group                  KlarKonform Rolle         │
│  ─────────────────────────────────────────────────────────────  │
│                                                                 │
│  KlarKonform-Acme-Admin         →     Admin                     │
│       │                                 │                       │
│       └── Mitglied: alice@acme.com      └── Admin-Rechte        │
│                                                                 │
│  KlarKonform-Acme-HR            →     HR                        │
│       │                                 │                       │
│       └── Mitglied: bob@acme.com        └── HR-Rechte           │
│                                                                 │
│  KlarKonform-Acme-User          →     User                      │
│       │                                 │                       │
│       └── Mitglieder: alle              └── Basis-Rechte        │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Rollenzuweisung

Uber Entra ID (empfohlen)

Offnen Sie Entra ID (Azure Portal)
Navigieren Sie zu "Gruppen"
Suchen Sie die entsprechende KlarKonform-Gruppe
Fugen Sie den Benutzer als Mitglied hinzu
Synchronisieren Sie KlarKonform

Uber KlarKonform UI

Mitarbeiter offnen > Bearbeiten
Im Abschnitt "Rollen" gewunschte Rollen anhaken
Speichern

Hintergrund-Ablauf:

┌─────────────────────────────────────────────────────────────────┐
│              ROLLENANDERUNG UBER UI                             │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  1. Benutzer andert Rollen-Checkboxen                           │
│       │                                                         │
│       ▼                                                         │
│  2. Aktuelle Rollen aus M365 abrufen                            │
│       │                                                         │
│       ▼                                                         │
│  3. Differenz berechnen                                         │
│       │                                                         │
│       ├── Neue Rollen → Benutzer zu Security Group hinzufugen   │
│       │                                                         │
│       └── Entfernte Rollen → Benutzer aus Group entfernen       │
│       │                                                         │
│       ▼                                                         │
│  4. Lokale Rollen aktualisieren                                 │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Berechtigungsprufung

Wie Berechtigungen geprueft werden

Bei jedem Zugriff auf geschuetzte Bereiche prueft das System:

Welche Rollen hat der Benutzer?
Gehoert der Benutzer zum richtigen Mandanten?
Ist die angeforderte Aktion fuer diese Rolle erlaubt?

Verfuegbare Aktionen

Aktion	Beschreibung	Erforderliche Rolle
`viewAny`	Mitarbeiterliste anzeigen	Admin, HR
`view`	Einzelnen Mitarbeiter anzeigen	Admin, HR, eigener Datensatz
`create`	Neuen Mitarbeiter anlegen	Admin
`update`	Mitarbeiter bearbeiten	Admin, HR (eingeschrankt)
`delete`	Mitarbeiter loschen	Admin

Mandanten-Isolation

Jeder Benutzer kann nur Daten seines eigenen Mandanten sehen. Diese Einschraenkung wird automatisch bei allen Zugriffen angewendet.

Berechtigungsmatrix

Mitarbeiter-Modul

Aktion	Admin	HR	Accounting	User
Mitarbeiterliste anzeigen	X	X	-	-
Mitarbeiter-Details anzeigen	X	X	-	Eigene
Mitarbeiter anlegen	X	-	-	-
Mitarbeiter bearbeiten	X	X*	-	-
Mitarbeiter loschen	X	-	-	-
Von M365 synchronisieren	X	-	-	-
M365-Benutzer importieren	X	-	-	-

*HR kann eingeschrankte Felder bearbeiten

DSGVO-Module

Aktion	Admin	HR	Accounting	User
Verarbeitungstatigkeiten	X	-	-	-
Anwendungen/AVV	X	-	-	-
TOMs	X	-	-	-
Loschkonzept	X	-	-	-
Mitarbeitervereinbarungen	X	X	-	Eigene
Websites	X	-	-	-

Aktualisierung von Berechtigungen

Automatische Aktualisierung

Benutzerrollen werden zwischengespeichert fuer schnellere Zugriffe. Bei Profilaenderungen werden die gespeicherten Berechtigungen automatisch aktualisiert.

Hinweis: Nach Rollenaenderungen kann es einen Moment dauern, bis die neuen Berechtigungen wirksam sind. Bei Problemen hilft eine erneute Anmeldung.

Fehlerbehandlung

Fehlende Security Groups

Wenn eine Security Group nicht existiert:

Situation	Verhalten
Rolle zuweisen	Fehler bei Speichern
Rolle entfernen	Ignoriert (keine Aktion)
Sync	Benutzer erhalt Rolle "User"

M365-Berechtigungsfehler

Fehler	Ursache	Losung
"Access denied"	Fehlender Admin-Consent	Graph-Berechtigungen prufen
"Group not found"	Gruppe existiert nicht	Gruppe in Entra ID erstellen
"Insufficient privileges"	Token hat keine Rechte	Admin-Token erneuern

Setup-Anleitung

1. Security Groups erstellen

In Entra ID folgende Gruppen erstellen:

KlarKonform-`[IhrTenantName]`-Admin
KlarKonform-`[IhrTenantName]`-User
KlarKonform-`[IhrTenantName]`-HR        (optional)
KlarKonform-`[IhrTenantName]`-Accounting (optional)

2. Initiale Mitglieder zuweisen

Mindestens einen Admin-Benutzer zur Admin-Gruppe hinzufugen
Alle Benutzer zur User-Gruppe hinzufugen

3. KlarKonform synchronisieren

Als Admin anmelden
Mitarbeiter > "Von M365 synchronisieren"
Rollen werden automatisch aus Gruppenmitgliedschaft abgeleitet

4. Berechtigungen testen

Als verschiedene Benutzer anmelden
Zugriff auf Module prufen
Bei Problemen Rollen in Entra ID prufen

Best Practices

Rollenvergabe

Empfehlung	Begrundung
Minimal-Prinzip	Nur erforderliche Rechte vergeben
Admin sparsam	Wenige Admin-Benutzer
User als Standard	Alle Mitarbeiter in User-Gruppe
Dokumentieren	Rollenzuweisungen nachvollziehbar machen

Regelmassige Prufung

Intervall	Aktion
Wochentlich	Admin-Rollenzuweisungen prufen
Monatlich	Inaktive Benutzer mit Rollen prufen
Quartalsweise	Vollstandige Rollen-Revision

Audit-Trail

Alle Rollenanderungen werden protokolliert:

Wer hat die Anderung vorgenommen?
Welche Rollen wurden geandert?
Wann wurde die Anderung vorgenommen?

Berechtigungen und Rollen

On this page