Rollen und Rechte in kleinen Teams: Wer darf was sehen?

„Wir sind fünf Leute, bei uns sieht jeder alles." Der Satz fällt in fast jedem Erstgespräch mit einem kleinen Dienstleister, und er ist meistens ehrlich gemeint. Warum sollte man Kollegen, die sich täglich sehen, Daten vorenthalten?

Die Antwort kommt selten aus dem Team selbst. Sie kommt von außen: Der erste Werkstudent, der Stunden erfassen soll, aber keine Kundenkonditionen sehen muss. Der externe Buchhalter, der Rechnungen braucht, aber keine Vertragsverhandlungen. Der Partner, der an einem gemeinsamen Projekt arbeitet und nur dieses eine Projekt sehen darf. Der Mandant, der wissen will, wer in der Kanzlei Zugriff auf seine Unterlagen hat.

An diesem Punkt stellt sich heraus, dass „jeder sieht alles" keine Entscheidung war, sondern ein Versäumnis – und dass es nachträglich schwer zu korrigieren ist, weil niemand mehr weiß, wer was tatsächlich braucht.

Warum Rechte in kleinen Teams schwerer sind als in großen

Große Unternehmen haben Abteilungen, und Abteilungen sind natürliche Grenzen: Vertrieb sieht Vertrieb, Buchhaltung sieht Buchhaltung. In einem Team von acht Personen macht die Geschäftsführerin morgens Vertrieb, mittags Projektleitung und abends Rechnungen. Rollen nach Abteilung funktionieren nicht.

Was funktioniert, sind Rollen nach Aufgabe – und die Erkenntnis, dass eine Person mehrere Rollen haben darf. Die Geschäftsführerin hat alle. Der Projektleiter hat Projekte, Zeiten und Aufgaben, aber keine Finanzen. Die Werkstudentin hat Zeiterfassung und die Aufgaben, die ihr zugewiesen sind. Der Steuerberater hat Lesezugriff auf Ausgangs- und Eingangsrechnungen und sonst nichts.

Die vier Fragen, die eine Rolle beantworten muss

Bevor man im System klickt, lohnt es sich, für jede Rolle vier Dinge festzulegen:

1. Welche Bereiche sieht die Rolle? CRM, Verträge, Fristen, Rechnungen, Eingangsrechnungen, Projekte, Personal, Dokumente – jeweils ja oder nein.
2. Was darf sie dort? Nur lesen, bearbeiten, anlegen, löschen. Löschen ist die Berechtigung, die am seltensten gebraucht und am häufigsten versehentlich vergeben wird.
3. Welche Vorgänge innerhalb eines Bereichs? Alle Projekte oder nur die, an denen die Person beteiligt ist? Alle Kunden oder nur die eigenen?
4. Welche Daten innerhalb eines Vorgangs? Sieht die Rolle Stundensätze und Margen, oder nur Aufgaben und Termine?

Die dritte und vierte Frage unterscheiden ein brauchbares Rechtesystem von einem groben. „Projekte: ja" reicht nicht, wenn der Partner nur ein Projekt sehen soll.

Wie es in DeskGenie aufgebaut ist

DeskGenie trennt zwischen Rollen und Vorgangsrechten. Eine Rolle legt fest, welche Bereiche eine Person sieht und was sie dort grundsätzlich darf. Vorgangsrechte legen zusätzlich fest, an welchen konkreten Projekten, Verträgen oder Kunden sie beteiligt ist – als Eigentümer, mit Vollzugriff oder nur lesend.

Damit lassen sich die typischen Fälle abbilden:

• Werkstudent: Rolle „Zeiterfassung und Aufgaben", beteiligt an den Projekten, in denen er arbeitet. Er sieht seine Aufgaben und bucht Stunden, aber keine Preise.
• Externer Partner: Rolle „Projektbeteiligter", beteiligt an genau einem Projekt. Er sieht Aufgaben, Dokumente und Termine dieses Projekts über das Kundenportal, sonst nichts.
• Buchhaltung extern: Rolle „Finanzen lesen". Sie sieht Ausgangs- und Eingangsrechnungen sowie den Bankabgleich, kann aber weder Verträge noch Projekte öffnen.
• Kanzleipartner: Rolle „Vollzugriff", Eigentümer seiner Mandate. Andere Partner sehen seine Mandate nur, wenn er sie beteiligt.

Jede Änderung an einer Rolle wirkt sofort für alle Personen mit dieser Rolle. Wer eine Rolle bearbeitet, sieht in der Vorschau, welche Bereiche danach sichtbar sind.

Rechte und Anmeldung gehören zusammen

Ein Rechtesystem ist nur so gut wie die Anmeldung davor. Wer sich mit einem geteilten Passwort anmeldet, hat keine Rolle, sondern die Rolle des Passworts. Zwei Dinge helfen:

Erstens die Zwei-Faktor-Anmeldung für jede Person – so ist ein weitergegebenes Passwort allein nutzlos. Zweitens die Anmeldung über das Microsoft-365-Konto, wenn die Kanzlei oder der Dienstleister ohnehin Microsoft 365 nutzt: Dann läuft die Benutzerverwaltung an einer Stelle, und ein Mitarbeiter, der im Verzeichnis deaktiviert wird, verliert automatisch den Zugang – ohne dass jemand daran denken muss, ihn im ERP zu löschen.

Beides beschreibt die Seite Datensouveränität und Sicherheit. Wie Mandantentrennung und Backups dazu passen, erklärt der Beitrag Wo liegen Ihre Daten? Mandantentrennung, Backups und Zugriffe.

Ein Vorgehen für den Start

Wer heute mit „jeder sieht alles" arbeitet, muss nicht an einem Tag alles umstellen. Ein Vorgehen, das sich bewährt hat:

1. Vollzugriff bleibt vorerst für alle Festangestellten. Nichts ändert sich im Tagesgeschäft.
2. Die erste Rolle ist die für Externe – Werkstudenten, Partner, Buchhaltung. Sie sind die Fälle, bei denen der Bedarf offensichtlich ist.
3. Die zweite Rolle ist „Finanzen". Wer Rechnungen und Bankabgleich sieht, ist eine bewusste Entscheidung, keine Nebenwirkung.
4. Löschen wird entzogen, außer für die Geschäftsführung. Der Papierkorb fängt Fehler ab, aber ein Vertrag, den niemand versehentlich löschen kann, ist besser als einer, den man wiederherstellen muss.
5. Einmal im Quartal prüfen, wer welche Rolle hat. Ausgeschiedene Personen deaktivieren, Vertretungen aktualisieren.

Wer das durchgeht, hat in einem Nachmittag ein Rechtesystem, das den Mandanten und dem Datenschutzbeauftragten standhält – und das mitwächst, wenn aus fünf Leuten fünfzehn werden.

Häufige Fragen

Sieht die Geschäftsführung, wer was geändert hat?

Ja. Änderungen an Vorgängen werden mit Zeitpunkt und Person protokolliert, Statuswechsel mit dem Weg von einem Status zum nächsten. Das ersetzt die Rückfrage im Team.

Kann eine Person mehrere Rollen haben?

Ja. Rollen addieren sich: Wer „Projekte" und „Finanzen" hat, sieht beides. Die restriktivste Einstellung gilt nur dort, wo Vorgangsrechte enger sind als die Rolle.

Was passiert mit den Vorgängen einer ausgeschiedenen Person?

Sie bleiben erhalten. Die Person wird deaktiviert, ihre Vorgänge, Dokumente und Verläufe lassen sich einer anderen Person zuordnen.