Überblick
UDM bietet ein feingranulares Berechtigungssystem für Dokumente und Dateien. Sie können steuern, wer auf welche Dokumente mit welchen Rechten zugreifen darf — unabhängig von den allgemeinen Datensatz-Berechtigungen.
Die Dokument-Berechtigungen arbeiten als 3-Stufen-Kaskade:
- Datensatz-Berechtigung — Hat der Benutzer überhaupt Zugriff auf den Datensatz, an dem das Dokument hängt?
- Dokument-Regeln — Gibt es für die Dateiquelle oder Kategorie eine explizite Zugriffsregel?
- Vererbung — Wenn keine explizite Regel existiert, wird der Zugriff vom Datensatz geerbt (bei Vollzugriff).
Dieses System ermöglicht es, z. B. Personalakten nur für die HR-Abteilung sichtbar zu machen, während die allgemeinen Projektdokumente für alle Projektmitglieder zugänglich bleiben.
Sie möchten für Ihr Personalwesen drei Zugriffsebenen einrichten: „Gehaltsabrechnungen“ sollen nur für HR-Leiter sichtbar sein, „Verträge“ sollen von HR-Mitarbeitern gelesen und heruntergeladen werden können, und „Allgemeine Dokumente“ sollen für alle Mitarbeiter mit Datensatz-Zugriff verfügbar sein.
Berechtigungsebenen
Dokument-Berechtigungen greifen auf drei Ebenen. Jede Ebene verengt den Zugriff weiter — von der Dateiquelle über die Kategorie bis hin zum einzelnen Dokument.
Dateiquelle (FileSource)
Eine Dateiquelle ist der physische Speicherort Ihrer Dokumente — z. B. ein Netzlaufwerk, ein SharePoint-Verzeichnis oder ein lokaler Ordner. Jede Dateiquelle wird im Admin-Client konfiguriert und kann einem oder mehreren Datenobjekten zugeordnet werden.
Dokument-Berechtigungsregeln vom Typ „Dateiquelle“ steuern den Zugriff auf alle Dokumente, die aus dieser Quelle stammen. Damit können Sie z. B. ein vertrauliches Archivlaufwerk komplett für bestimmte Rollen sperren.
Kategorie
Dokumentkategorien sind fachliche Gruppierungen Ihrer Dokumente — z. B. „Verträge“, „Rechnungen“ oder „Gehaltsabrechnungen“. Kategorien werden unabhängig von der Dateiquelle vergeben und ermöglichen eine inhaltliche Steuerung des Zugriffs.
Dokument-Berechtigungsregeln vom Typ „Kategorie“ steuern den Zugriff auf alle Dokumente einer bestimmten Kategorie, unabhängig davon, in welcher Dateiquelle sie liegen.
Einzeldokument
Auf Einzeldokument-Ebene wirkt die Kombination aus Dateiquelle und Kategorie. Wenn ein Dokument sowohl einer berechtigten Dateiquelle als auch einer berechtigten Kategorie zugeordnet ist, gilt das höchste Zugriffsrecht aus den zutreffenden Regeln.
Dokumente, für die keine passende Regel existiert (weder Dateiquelle noch Kategorie), sind nicht sichtbar — sofern Dokument-Regeln für die Berechtigung konfiguriert sind.
Berechtigungstypen (Zugriffsebenen)
Jede Dokument-Berechtigungsregel legt fest, was der Benutzer mit den betroffenen Dokumenten tun darf. Es gibt vier Zugriffsebenen:
| Zugriffsebene | Beschreibung | Erlaubte Aktionen |
|---|---|---|
| Kein Zugriff | Das Dokument ist für den Benutzer nicht sichtbar. | — |
| Lesen | Das Dokument wird in der Liste angezeigt und eine Vorschau ist möglich. | Dokumentliste sehen, Vorschau anzeigen |
| Lesen + Download | Zusätzlich zum Lesen kann das Dokument heruntergeladen werden. | Dokumentliste sehen, Vorschau anzeigen, Download |
| Vollzugriff | Der Benutzer darf Dokumente lesen, herunterladen und neue Dokumente hochladen (sofern die Dateiquelle nicht schreibgeschützt ist). | Dokumentliste sehen, Vorschau, Download, Upload |
| Rolle / Kategorie | Gehaltsabrechnungen | Verträge | Allgemeine Dokumente |
|---|---|---|---|
| HR-Leiter | Vollzugriff | Vollzugriff | Vollzugriff |
| HR-Mitarbeiter | Kein Zugriff | Lesen + Download | Lesen + Download |
| Abteilungsleiter | Kein Zugriff | Lesen | Lesen + Download |
| Mitarbeiter | Kein Zugriff | Kein Zugriff | Lesen |
Schritt für Schritt: Dokument-Berechtigungen konfigurieren
-
Berechtigung öffnen
Navigieren Sie im Admin-Client zum gewünschten Datenobjekt und öffnen Sie dessen Berechtigungen. Wählen Sie die Berechtigung aus, der Sie Dokument-Regeln hinzufügen möchten — oder erstellen Sie eine neue Berechtigung für die gewünschte Rolle/Abteilung/Benutzer-Kombination.
-
Dokument-Regel hinzufügen
Klicken Sie im Bereich „Dokument-Regeln“ auf „Neu“. Es wird eine neue Regel angelegt.
-
Geltungsbereich (Scope) wählen
Wählen Sie, ob die Regel für eine Dateiquelle oder eine Dokumentkategorie gelten soll:
- Dateiquelle: Wählen Sie anschließend die gewünschte Dateiquelle aus der Liste
- Kategorie: Wählen Sie die gewünschte Dokumentkategorie aus der Liste
-
Zugriffsebene festlegen
Wählen Sie die gewünschte Zugriffsebene: Kein Zugriff, Lesen, Lesen + Download oder Vollzugriff.
-
Weitere Regeln hinzufügen (optional)
Fügen Sie bei Bedarf weitere Regeln hinzu, um verschiedene Dateiquellen oder Kategorien mit unterschiedlichen Zugriffsebenen zu versehen.
-
Berechtigung speichern
Speichern Sie die Berechtigung. Die Dokument-Regeln werden sofort wirksam — beim nächsten Laden der Dokumentliste sehen Benutzer nur noch die freigegebenen Dokumente.
Vererbung und Prioritäten
Dokument-Berechtigungen basieren auf dem UDM-Berechtigungssystem mit seiner 7-Stufen-Hierarchie. Die Hierarchie bestimmt, welche Berechtigung im Konfliktfall gewinnt:
| Stufe | Berechtigung gilt für | Priorität |
|---|---|---|
| 1 | Nur Abteilung (Bereich) | Niedrigste |
| 2 | Nur Rolle | ↓ |
| 3 | Abteilung + Rolle | ↓ |
| 4 | Nur Benutzer | ↓ |
| 5 | Benutzer + Abteilung | ↓ |
| 6 | Benutzer + Rolle | ↓ |
| 7 | Benutzer + Rolle + Abteilung | Höchste |
Überschreiben statt Zusammenführen
Eine höherwertige Berechtigung ersetzt die niedrigere komplett — es findet kein Zusammenführen (Merge) der Dokument-Regeln statt. Wenn ein Benutzer eine Rolle mit Dokument-Regeln hat und zusätzlich eine benutzerspezifische Berechtigung (höhere Stufe) ohne Dokument-Regeln, gelten keine Dokument-Regeln — der Benutzer erbt dann den Zugriff vom Datensatz.
Abteilungsebene
Innerhalb einer Hierarchiestufe wird zusätzlich die Abteilungsebene berücksichtigt. Eine Berechtigung für eine speziellere (tiefere) Abteilung überschreibt eine Berechtigung für eine übergeordnete Abteilung.
Vererbung ohne Dokument-Regeln
Wenn die aufgelöste Berechtigung keine Dokument-Regeln enthält, gilt:
- Vollzugriff auf den Datensatz → Benutzer kann alle Dokumente lesen und herunterladen
- Kein Vollzugriff → Benutzer kann keine Dokumente sehen
- Prüfung, ob der Benutzer überhaupt auf den Datensatz zugreifen darf (Entity-Berechtigung + ggf. Datenfilter)
- Auflösung der 7-Stufen-Hierarchie zur effektiven Berechtigung
- Prüfung der Dokument-Regeln der aufgelösten Berechtigung (Dateiquelle/Kategorie-Match)
- Wenn keine Regeln vorhanden: Vererbung vom Datensatz-Vollzugriff
Praxisbeispiele
Beispiel 1: Vertrauliche Personalakten schützen
Alle Mitarbeiter dürfen die Stammdaten ihrer Kollegen sehen, aber Gehaltsabrechnungen sollen nur für die Rolle „HR-Leiter“ sichtbar sein.
Konfiguration:
- Erstellen Sie eine Dokumentkategorie „Gehaltsabrechnungen“
- Legen Sie eine Berechtigung für die Rolle „Mitarbeiter“ an:
- Datensatz-Rechte: Lesen
- Dokument-Regel: Kategorie „Allgemeine Dokumente“ → Lesen + Download
- Legen Sie eine Berechtigung für die Rolle „HR-Leiter“ an:
- Datensatz-Rechte: Vollzugriff
- Dokument-Regel: Kategorie „Allgemeine Dokumente“ → Lesen + Download
- Dokument-Regel: Kategorie „Gehaltsabrechnungen“ → Vollzugriff
Ergebnis: Mitarbeiter sehen nur allgemeine Dokumente. HR-Leiter sehen zusätzlich die Gehaltsabrechnungen und können neue hochladen.
Beispiel 2: Archivlaufwerk absichern
Ein Archivlaufwerk enthält ältere Dokumente, die nur von Administratoren eingesehen werden sollen. Das aktive Projektlaufwerk bleibt für alle zugänglich.
Konfiguration:
- Sie haben zwei Dateiquellen: „Projektlaufwerk“ und „Archiv“
- Berechtigung für die Rolle „Projektmitarbeiter“:
- Dokument-Regel: Dateiquelle „Projektlaufwerk“ → Lesen + Download
- Berechtigung für die Rolle „Admin“:
- Dokument-Regel: Dateiquelle „Projektlaufwerk“ → Vollzugriff
- Dokument-Regel: Dateiquelle „Archiv“ → Lesen + Download
Ergebnis: Projektmitarbeiter sehen nur Dokumente vom Projektlaufwerk. Administratoren sehen zusätzlich das Archiv.
Beispiel 3: Einzelnen Benutzer übersteuern
Ein externer Berater soll nur Lesezugriff auf Projektdokumente haben, obwohl seine Rolle normalerweise Vollzugriff gewährt.
Konfiguration:
- Erstellen Sie eine benutzerspezifische Berechtigung (Stufe 4 oder höher) für den externen Berater
- Dokument-Regel: Dateiquelle „Projektlaufwerk“ → Lesen (ohne Download)
Ergebnis: Der Berater kann Projektdokumente in der Vorschau ansehen, aber nicht herunterladen. Die rollenbasierte Berechtigung wird durch die höherwertige benutzerspezifische Berechtigung komplett überschrieben.
Tipps für die Praxis
Häufige Fragen (FAQ)
| Frage | Antwort |
|---|---|
| Was passiert, wenn keine Dokument-Regeln konfiguriert sind? | Bei Vollzugriff auf den Datensatz kann der Benutzer alle Dokumente lesen und herunterladen. Ohne Vollzugriff sind keine Dokumente sichtbar. |
| Können Dateiquelle- und Kategorie-Regeln kombiniert werden? | Ja. Sie können innerhalb einer Berechtigung sowohl Dateiquelle- als auch Kategorie-Regeln anlegen. Wenn ein Dokument beiden entspricht, gilt das höchste Zugriffsrecht. |
| Kann ich den Upload verhindern, aber Download erlauben? | Ja. Setzen Sie die Zugriffsebene auf „Lesen + Download“. Der Upload ist nur bei „Vollzugriff“ möglich. |
| Was passiert, wenn die Dateiquelle schreibgeschützt ist? | Auch bei Vollzugriff kann kein Upload stattfinden. Die ReadOnly-Einstellung der Dateiquelle hat Vorrang. |
| Kann ich Dokumente für einen einzelnen Benutzer freigeben? | Ja. Erstellen Sie eine benutzerspezifische Berechtigung (Stufe 4–7) mit den gewünschten Dokument-Regeln. Diese hat Vorrang vor rollen- und abteilungsbasierten Berechtigungen. |
| Werden geänderte Berechtigungen sofort wirksam? | Ja. Die Berechtigungsprüfung erfolgt bei jedem Laden der Dokumentliste. Änderungen greifen beim nächsten Zugriff des Benutzers. |
| Was ist der Unterschied zu den allgemeinen Berechtigungen? | Die allgemeinen Berechtigungen steuern den Zugriff auf Datensätze (Anwendungen, Datenobjekte, Dialoge). Dokument-Berechtigungen steuern den Zugriff auf Dateien, die an diesen Datensätzen hängen — als zusätzliche Schicht. |
| Kann ich eine Vorschau erlauben, aber den Download verbieten? | Ja. Die Zugriffsebene „Lesen“ erlaubt genau das: Der Benutzer sieht das Dokument in der Vorschau, kann es aber nicht herunterladen. |