Rollen und Rechte in kleinen Teams: Wer darf was sehen?

„Wir sind fünf Leute, bei uns sieht jeder alles." Der Satz fällt in fast jedem Erstgespräch mit einem kleinen Dienstleister, und er ist meistens ehrlich gemeint. Warum sollte man Kollegen, die sich täglich sehen, Daten vorenthalten?

Die Antwort kommt selten aus dem Team selbst. Sie kommt von außen: Der erste Werkstudent, der Stunden erfassen soll, aber keine Kundenkonditionen sehen muss. Der externe Buchhalter, der Rechnungen braucht, aber keine Vertragsverhandlungen. Der Partner, der an einem gemeinsamen Projekt arbeitet und nur dieses eine Projekt sehen darf. Der Mandant, der wissen will, wer in der Kanzlei Zugriff auf seine Unterlagen hat.

An diesem Punkt stellt sich heraus, dass „jeder sieht alles" keine Entscheidung war, sondern ein Versäumnis – und dass es nachträglich schwer zu korrigieren ist, weil niemand mehr weiß, wer was tatsächlich braucht.

Warum Rechte in kleinen Teams schwerer sind als in großen

Große Unternehmen haben Abteilungen, und Abteilungen sind natürliche Grenzen: Vertrieb sieht Vertrieb, Buchhaltung sieht Buchhaltung. In einem Team von acht Personen macht die Geschäftsführerin morgens Vertrieb, mittags Projektleitung und abends Rechnungen. Rollen nach Abteilung funktionieren nicht.

Was funktioniert, sind Rollen nach Aufgabe, und für Personen mit mehreren Aufgaben eine Rolle, die sie zusammenfasst. Die Geschäftsführerin hat alle. Der Projektleiter hat Projekte, Zeiten und Aufgaben, aber keine Finanzen. Die Werkstudentin hat Zeiterfassung und die Aufgaben, die ihr zugewiesen sind. Der Steuerberater hat Lesezugriff auf Ausgangs- und Eingangsrechnungen und sonst nichts.

Die vier Fragen, die eine Rolle beantworten muss

Bevor man im System klickt, lohnt es sich, für jede Rolle vier Dinge festzulegen:

1. Welche Bereiche sieht die Rolle? CRM, Verträge, Fristen, Rechnungen, Eingangsrechnungen, Projekte, Personal, Dokumente – jeweils ja oder nein.
2. Was darf sie dort? Nur lesen, bearbeiten, anlegen, löschen. Löschen ist die Berechtigung, die am seltensten gebraucht und am häufigsten versehentlich vergeben wird.
3. Welche Vorgänge innerhalb eines Bereichs? Alle Projekte oder nur die, an denen die Person beteiligt ist? Alle Kunden oder nur die eigenen?
4. Welche Daten innerhalb eines Vorgangs? Sieht die Rolle Stundensätze und Margen, oder nur Aufgaben und Termine?

Die dritte und vierte Frage entscheiden, wie fein ein Rechtesystem sein muss. „Projekte: ja“ reicht nicht, wenn der Partner nur ein Projekt sehen soll.

Wie es in DeskGenie aufgebaut ist

DeskGenie arbeitet mit Rollen je Modul. Eine Rolle legt fest, welche Bereiche eine Person sieht und ob sie dort ansehen, bearbeiten, anlegen oder löschen darf; neben den Systemrollen legen Sie eigene Rollen an, und jede Person hat genau eine Rolle. Feiner geht es an zwei Stellen: Ordner im Dateimanager beschränken Sie auf genannte Rollen und Personen, und externe Personen laden Sie als Mitglieder ein, die nur ihre eigenen Verträge, Rechnungen und Fristen und die für sie freigegebenen Projekte sehen. Rechte für einzelne Kunden oder Verträge gibt es nicht.

Damit lassen sich die typischen Fälle abbilden:

• Werkstudent: eine Rolle mit Projekten, Aufgaben und Zeiterfassung, ohne Verträge und Finanzen. Er sieht Aufgaben und bucht Stunden, aber keine Preise.
• Externer Partner: eingeladen als Mitglied, freigegeben für genau ein Projekt. Er arbeitet dort an Aufgaben mit über den Mitglieder-Zugang; andere Projekte sieht er nicht.
• Buchhaltung extern: Rolle „Finanzen lesen". Sie sieht Ausgangs- und Eingangsrechnungen sowie den Bankabgleich, kann aber weder Verträge noch Projekte öffnen.
• Kanzleipartner: eine Rolle mit Vollzugriff, Eigentümer seiner Mandate. Andere Partner mit dem Recht für Verträge sehen seine Mandate ebenfalls, denn Rechte je Vertrag gibt es nicht. Vertrauliche Unterlagen legen Sie in einen Ordner, den Sie auf genannte Personen beschränken.

Jede Änderung an einer Rolle gilt für alle Personen mit dieser Rolle.

Rechte und Anmeldung gehören zusammen

Ein Rechtesystem ist nur so gut wie die Anmeldung davor. Wer sich mit einem geteilten Passwort anmeldet, hat keine Rolle, sondern die Rolle des Passworts. Zwei Dinge helfen:

Erstens ein zweiter Faktor für jede Person, damit ein weitergegebenes Passwort allein nutzlos ist. In DeskGenie ist er für jedes Konto einrichtbar, aber nicht vorgeschrieben; die Benutzerverwaltung zeigt, wer ihn nutzt. Zweitens die Anmeldung über das Microsoft-Konto, wenn die Kanzlei oder der Dienstleister ohnehin Microsoft 365 nutzt: Dann meldet sich das Team mit dem Konto an, das die IT ohnehin pflegt. Wer das Unternehmen verlässt, deaktivieren Sie zusätzlich in DeskGenie.

Beides beschreibt die Seite Datensouveränität und Sicherheit. Wo die Daten liegen und wie sie getrennt gespeichert sind, erklärt der Beitrag Wo liegen Ihre Daten? Mandantentrennung, Backups und Zugriffe.

Ein Vorgehen für den Start

Wer heute mit „jeder sieht alles" arbeitet, muss nicht an einem Tag alles umstellen. Ein Vorgehen, das sich bewährt hat:

1. Vollzugriff bleibt vorerst für alle Festangestellten. Nichts ändert sich im Tagesgeschäft.
2. Die erste Rolle ist die für Externe – Werkstudenten, Partner, Buchhaltung. Sie sind die Fälle, bei denen der Bedarf offensichtlich ist.
3. Die zweite Rolle ist „Finanzen". Wer Rechnungen und Bankabgleich sieht, ist eine bewusste Entscheidung, keine Nebenwirkung.
4. Löschen wird entzogen, außer für die Geschäftsführung. Der Papierkorb fängt Fehler ab, aber ein Vertrag, den niemand versehentlich löschen kann, ist besser als einer, den man wiederherstellen muss.
5. Einmal im Quartal prüfen, wer welche Rolle hat. Ausgeschiedene Personen deaktivieren, Vertretungen aktualisieren.

Wer das durchgeht, hat in einem Nachmittag ein Rechtesystem, das den Mandanten und dem Datenschutzbeauftragten standhält – und das mitwächst, wenn aus fünf Leuten fünfzehn werden.

Häufige Fragen

Sieht die Geschäftsführung, wer was geändert hat?

Zum großen Teil. Verträge und Aufgaben protokollieren Änderungen mit Person und Zeitpunkt, Angebote und Aufträge jeden Statuswechsel, Dateien zeigen, wer sie geändert, verschoben oder geteilt hat, und Finanzdaten haben einen versiegelten Prüfpfad. An Kontakten und Organisationen gibt es kein Änderungsprotokoll.

Kann eine Person mehrere Rollen haben?

Nein. In DeskGenie hat jede Person genau eine Rolle. Braucht jemand Projekte und Finanzen, legen Sie eine Rolle an, die beide Bereiche enthält.

Was passiert mit den Vorgängen einer ausgeschiedenen Person?

Sie bleiben erhalten. Die Person wird deaktiviert; Verträge, Aufgaben und Fristen tragen Sie einzeln auf eine andere Person um. Eine Sammel-Umzuordnung gibt es nicht.