Rollen & Rechte

Rollen und Rechte in Kibi Connect#

Was jemand in Kibi Connect sehen und tun darf, ergibt sich aus drei Dingen: aus den Rollen, die die Person plattformweit trägt, aus ihrer Rolle in den einzelnen Gruppen und — bei externen Personen — aus dem Benutzertyp „Gast“. Diese Seite erklärt alle drei.

Die Rollen sind dabei keine feste Vorgabe: du kannst bestehende Rollen an deine Organisation anpassen und eigene anlegen.

Rollen und Rechte selbst konfigurieren#

Du findest die Verwaltung in der Administration unter „Rollen & Berechtigungen“. Der Bereich ist System-Admins vorbehalten — kein anderes Recht schaltet ihn frei, auch nicht das Verwalten von Benutzerkonten.

Er besteht aus drei Registern:

• Rollen: Übersicht aller Rollen, hier legst du neue an und bearbeitest bestehende.

• Berechtigungsprüfung: Zeigt für eine ausgewählte Person, welches Recht sie tatsächlich hält und woher es stammt. Der schnellste Weg zur Antwort auf „Warum sieht diese Person das nicht?“.

• Berechtigungskatalog: Alle Rechte der Plattform, nach Modulen geordnet — als Nachschlagewerk.

Rechte werden je Modul in Stufen vergeben#

Du stellst nicht 123 einzelne Rechte ein, sondern pro Modul eine Stufe. Die Register „Module“ und „System“ trennen dabei die fachlichen Bereiche von der Systemverwaltung.

Beispiel Dateien: „Sehen“ erlaubt nur das Ansehen, „Anlegen“ zusätzlich Hochladen, Bearbeiten eigener Dateien und Freigeben, „Administrieren“ darüber hinaus das Bearbeiten und Löschen fremder Dateien.

Eigene Rollen anlegen#

• Lege beliebig viele eigene Rollen an, etwa „Projektleitung“ oder „Qualitätssicherung“, und vergib die Stufen passend zu dieser Aufgabe.

• Die mitgelieferten Rollen kannst du ebenfalls anpassen — und jederzeit auf den Auslieferungszustand zurücksetzen.

• Mitgelieferte Rollen lassen sich nicht löschen, eigene schon.

• Die Rolle „System Admin“ bleibt unveränderlich. Sie ist der Bezugspunkt, mit dem sich ein Mandant selbst wieder öffnen kann, falls er sich mit einer fehlerhaften Rolle ausgesperrt hat. Einzige Ausnahme: Das Recht „KI-Assistenten über MCP verbinden“ lässt sich ihr entziehen, damit du MCP ganz abschalten kannst. Mehr dazu unter MCP-Schnittstelle: KI-Assistenten verbinden.

Die mitgelieferten Rollen#

Diese Rollen bringt Kibi Connect mit. Sie sind als Ausgangspunkt gedacht und anpassbar — die folgenden Beschreibungen gelten für den Auslieferungszustand.

• Kollege: Die Basisrolle für alle Mitarbeitenden. Globale Inhalte (News, Wiki, Kalender) sehen, kommentieren und liken; chatten; Kollegenprofile ansehen; Gruppen anlegen und in den eigenen Gruppen gemäß der dortigen Gruppenrolle mitarbeiten.

• HR Manager: Benutzerkonten anlegen, bearbeiten und verwalten; Personen Rollen ohne Administratorrechte zuweisen; Personalakten führen; geschlossene Gruppen wie Abteilungen anlegen und deren Mitglieder verwalten, ohne deren Inhalte zu sehen. Die Rollen selbst — also welche Rechte in einer Rolle stecken — bearbeitet nur der System Admin. Admin-Konten bearbeiten und Admin-Rollen vergeben kann nur der System Admin.

• Wiki Creator: Globale Wiki-Einträge anlegen sowie die eigenen bearbeiten und löschen.

• News Creator: Globale News- und Kalendereinträge anlegen sowie die eigenen bearbeiten und löschen.

• Content Manager: Alle Inhalte verwalten — News, Umfragen, Wiki, Kalender und Dateien — und die erweiterten Sichtbarkeiten dafür einstellen.

• Fuhrparkleiter: Verwaltet den Fuhrpark: Fahrzeuge, Fahrtenbuch, Schadensmeldungen und die Führerscheinkontrolle.

• System Admin: Vollzugriff auf Systemkonfiguration und Benutzerverwaltung, einschließlich der Vergabe von Administrationsrechten und der Rollenverwaltung selbst.

Admin-Rollen vergeben#

Admin-Rollen sind die Rolle „System Admin“ und jede Rolle, die Administratorrechte enthält – etwa für Integrationen, Webhooks, Mail-Verwaltung oder Einstellungen. Für sie gelten seit Version 6.32 zwei zusätzliche Regeln:

• Nur der System Admin vergibt sie

  Nur System Admins vergeben oder entziehen Admin-Rollen und bearbeiten Admin-Konten. HR Manager und andere Rollen mit dem Recht, Benutzerkonten zu verwalten, können das nicht mehr; sie verwalten weiterhin alle übrigen Konten.

• „Adresse geprüft“ bei Konten aus einem Identitätsmanagement

  Hat ein Identitätsmanagement (SCIM, Microsoft Entra ID oder RO.CAS) die E-Mail-Adresse eines Kontos gesetzt oder geändert, verlangt die Plattform vor der Vergabe einer Admin-Rolle eine sichtbare Prüfung. Du siehst die Adresse, wann und von welcher Quelle sie gesetzt wurde, und bestätigst mit dem Haken „Adresse geprüft“.

Der Grund: Wer die Adresse eines Admin-Kontos kontrolliert, kann über „Passwort vergessen?“ die ganze Organisation übernehmen. Prüfe deshalb, ob die Adresse wirklich zu dieser Person gehört. Die Prüfung gilt überall, wo ein Konto Administratorrechte erhält: im Benutzerkonto, in der Mitgliederliste einer Rolle und wenn eine bestehende Rolle ein Administratorrecht dazubekommt. Sie wird protokolliert.

Rolle mit dem Recht „Integrationen“: Sie sieht die Integrationsübersicht und „SSO & Verzeichnis“ schreibgeschützt. Integrationen ein- und ausschalten und Identitätsquellen ändern darf nur der System Admin.

Gast-Zugänge für externe Personen#

Für Lieferanten, Kundinnen, Planungsbüros oder andere externe Beteiligte gibt es Gast-Zugänge. Ein Gast ist keine Rolle, sondern ein Benutzertyp — das ist der entscheidende Unterschied.

• Gästen können keine Rollen zugewiesen werden. Was ein Gast darf, ergibt sich aus seinen Gruppen, nicht aus einer Rolle.

• Ein Gast hat eine feste Grundausstattung: Er kann chatten sowie Feed, Wiki, Kalender, Veranstaltungen und seine Gruppen aufrufen — jeweils nur mit den Inhalten, die ihm über seine Gruppen zustehen.

• Der allgemeine Dateibereich bleibt für ihn geschlossen. Die Dateien der Gruppen, in denen er Mitglied ist, sieht und bearbeitet er dagegen wie jedes andere Mitglied — nach der dortigen Gruppenrolle.

• In Gruppen erreicht ein Gast höchstens die Rolle „Mitarbeiten“. Zum Gruppen-Admin kann er nicht werden, denn damit könnte er selbst weitere Personen aufnehmen.

• Gäste und Mitarbeitende sehen einander nur, wenn sie mindestens eine Gruppe teilen. Ein Gast steht also nicht im Mitarbeiterverzeichnis, und er durchsucht es auch nicht.

Gruppen und Rechte#

Gruppen anlegen#

• Jede und jeder kann eine Gruppe anlegen; wer sie anlegt, wird automatisch Gruppen-Admin.

• Versteckte Gruppen und Abteilungen legen nur System-Admins und HR Manager an.

Rollen innerhalb einer Gruppe#

Jedes Mitglied einer Gruppe trägt dort eine von drei Rollen:

• Lesen (früher „Mitglied“): Kann alle Inhalte der Gruppe lesen, liken und kommentieren, aber nichts bearbeiten. Standardrolle für neue Mitglieder; die Voreinstellung lässt sich ändern.

• Mitarbeiten (früher „Creator“): Kann Inhalte anlegen und jede Datei der Gruppe bearbeiten — auch die, die andere hochgeladen haben. Dazu gehört das Ausfüllen und Speichern von PDF-Dateien mit dem Kibi PDF-Tool. Gelöscht werden dürfen nur die eigenen Inhalte.

• Admin: Kann alles in der Gruppe anlegen, bearbeiten und löschen — auch fremde Dateien — und verwaltet die Mitglieder.

Übersicht#

Praxisbeispiele#

• Personalgruppe: Ein HR Manager legt eine geschlossene Gruppe für Personalthemen an. Nur ihre Mitglieder sehen die Inhalte — auch ein System Admin nicht, solange er nicht Mitglied ist.

• Projektgruppe: Eine Kollegin legt eine öffentliche Projektgruppe an. Alle Kolleginnen und Kollegen können die Inhalte sehen und kommentieren, während Mitglieder mit der Rolle „Mitarbeiten“ Beiträge einstellen und die Dokumente der Gruppe gemeinsam bearbeiten.

• Externe Zusammenarbeit: Ein Planungsbüro erhält Gast-Zugänge und wird in die Projektgruppe aufgenommen. Dort arbeitet es an denselben Dokumenten mit wie das interne Team; alles außerhalb dieser Gruppe bleibt ihm verborgen.

• Eigene Rolle: Eine Organisation braucht eine Rolle „Projektleitung“, die Aufgaben und Dateien administriert, aber keine Benutzerkonten anfasst. Ein System Admin legt sie unter „Rollen & Berechtigungen“ an und setzt die beiden Module auf „Administrieren“, alles Weitere bleibt unberührt.