Benutzerdefinierte Rolle erstellen

Benutzerdefinierte Rolle erstellen

Die Zugriffskontrolle in DPMS basiert auf Rollen. Jedem Benutzerkonto wird mindestens eine Rolle zugewiesen, und diese Rolle legt genau fest, was der Benutzer in allen Modulen einsehen, erstellen, bearbeiten, exportieren und löschen darf. Auf dem Bildschirm Benutzerdefinierte Rolle erstellen entwerfen IT-Administratoren und Datenschutzbeauftragte (DSBs) eine neue Rolle von Grund auf — sie vergeben einen Namen und wählen anschließend die genaue Kombination der erforderlichen Berechtigungen aus. Ohne sorgfältig konfigurierte Rollen haben Benutzer entweder keinen Zugriff auf die für ihre Arbeit benötigten Module oder zu weitreichende Berechtigungen, die dem Prinzip der minimalen Rechtevergabe widersprechen.

Wo finden Sie diesen Bildschirm?

Navigieren Sie in der Hauptnavigation zu IT-Einstellungen und wählen Sie dort Rollen aus. Klicken Sie oben in der Rollenliste auf die Schaltfläche Erstellen und wählen Sie aus dem Dropdown-Menü Rollen erstellen aus.

Vollständiger Pfad: IT-Einstellungen → Rollen → Erstellen → Rollen erstellen

Dieser Bildschirm steht Benutzern zur Verfügung, die die Berechtigung IT-Einstellungen Rollen erstellen oder IT-Einstellungen Rollen bearbeiten besitzen. Fehlen beide Berechtigungen, wird der Menüpunkt ausgeblendet und anstelle des Formulars eine Seite mit dem Hinweis „Zugriff verweigert" angezeigt.

Aufbau des Bildschirms

Die Seite ist übersichtlich und einspaltigt aufgebaut – ohne seitliche Tabs. Oben links befindet sich ein Zurück-Pfeil, mit dem Sie jederzeit zur Rollenliste zurückkehren. Oben rechts wartet die Schaltfläche Speichern, die Ihre Eingaben sichert – sie bleibt solange inaktiv, bis mindestens eine Berechtigung aktiviert wurde.

Darunter sind zwei Abschnitte untereinander angeordnet. Zuerst folgt das Feld „Rollenname", ein kurzes Texteingabefeld, in das Sie den Namen der Rolle eingeben, der in der gesamten DPMS-Plattform erscheint – in der Rollenliste, in den Auswahlmenüs bei der Benutzerzuweisung und überall dort, wo eine Rolle referenziert wird. Der zweite und größere Abschnitt ist das Berechtigungszuweisungs-Panel: eine weiße Karte mit einer Suchleiste und einer langen, scrollbaren Liste von aufklappbaren Einträgen (Accordion-Panels), je einem für jede Entität oder jedes Modul im System (insgesamt ca. 50). Jeder Eintrag zeigt den Namen der Entität, ein farbiges Abzeichen mit der Anzahl der ausgewählten Berechtigungen und Schnellaktionsschaltflächen. Das Abzeichen ist rot, wenn für eine Entität keine Berechtigung ausgewählt wurde, und wechselt zu Blau, sobald mindestens eine Berechtigung aktiviert wird – so behalten Sie beim Scrollen jederzeit den Überblick.

Arbeiten mit diesem Bildschirm

Eine neue Rolle einrichten

Klicken Sie zunächst auf das Feld Rollenname und geben Sie einen aussagekräftigen Namen ein – zum Beispiel „Nur-Lese-Prüfer" oder „ROPA-Bearbeiter". Dieser Name wird Ihren Kolleginnen und Kollegen angezeigt, wenn Benutzerkonten Rollen zugewiesen werden – wählen Sie daher etwas Selbsterklärendes.

Wenn Ihre Organisation DPMS in mehreren Sprachen verwendet, klicken Sie auf den kleinen Übersetzungsauslöser neben dem Namensfeld. Es öffnet sich ein Popover, in dem Sie den Rollennamen für jede in Ihrer Instanz konfigurierte Sprache eingeben oder automatisch übersetzen lassen können. DPMS speichert alle Sprachvarianten und zeigt jedem Benutzer die passende Variante entsprechend seiner Oberflächensprache an. Wenn Sie nur eine Sprache verwenden, können Sie diesen Schritt überspringen.

Sobald der Name eingetragen ist, scrollen Sie nach unten zum Berechtigungszuweisungs-Panel und beginnen mit der Konfiguration. Öffnen Sie die Accordion-Einträge für die relevanten Module. Wenn Sie fertig sind, klicken Sie oben rechts auf Speichern. DPMS prüft, ob mindestens eine Berechtigung aktiviert wurde – fehlt diese, erscheint eine Toast-Benachrichtigung mit einem entsprechenden Hinweis. Nach dem Speichern ist die Rolle sofort in der Rollenliste sichtbar und kann in der Benutzerverwaltung zugewiesen werden.

Berechtigungen effizient konfigurieren

Das Berechtigungszuweisungs-Panel kann mit rund 50 Entitäten auf den ersten Blick umfangreich wirken. Zwei Methoden helfen dabei, die Übersicht zu behalten.

Suchen: Geben Sie einen Begriff in die Suchleiste oben im Panel ein. Die Liste wird sofort auf die Entitäten eingeschränkt, bei denen dieser Begriff im Entitätsnamen, in Gruppenüberschriften oder in einzelnen Berechtigungsbezeichnungen vorkommt. Wenn Sie beispielsweise lieferant eingeben, wird nur der Lieferanten-Eintrag angezeigt. Das Suchen blendet nicht passende Einträge aus, klappt sie aber nicht automatisch auf – Sie müssen den Eintrag noch anklicken, um ihn zu öffnen.

Sammelauswahl: Jeder Accordion-Eintrag enthält in der Kopfzeile zwei Schaltflächen: Alle auswählen und Alle abwählen. Ein Klick auf Alle auswählen aktiviert alle verfügbaren Berechtigungen für diese Entität in einem Schritt – praktisch, wenn Sie einer Rolle vollen Zugriff auf ein bestimmtes Modul geben möchten. Innerhalb eines geöffneten Eintrags erscheinen dieselben Schaltflächen auch unter jeder Berechtigungsgruppe (Hauptaktionen, Freigabe, Import/Export, Elementeinstellungen, Automatisierungen, Risikomanagement), sodass Sie beispielsweise alle Freigabe-Berechtigungen auf einmal aktivieren und die Hauptaktionen einzeln konfigurieren können.

Wenn Sie einen Eintrag aufklappen, sehen Sie ein Raster mit Kontrollkästchen, das in bis zu sechs Gruppen gegliedert ist. Welche Gruppen erscheinen, hängt von der jeweiligen Entität ab – nicht jede Entität unterstützt jede Gruppe. Aktivieren oder deaktivieren Sie einzelne Berechtigungen, indem Sie das Kontrollkästchen oder die zugehörige Bezeichnung anklicken.

Vollen Zugriff auf ein bestimmtes Modul erteilen

Angenommen, Sie benötigen eine Rolle „ROPA-Hauptbenutzer", die alles mit ROPA-Datensätzen tun kann, aber keinen Zugriff auf andere Module hat. Öffnen Sie das Berechtigungszuweisungs-Panel, geben Sie ropa in die Suchleiste ein und klicken Sie auf Alle auswählen in der Kopfzeile des ROPA-Eintrags. Alle verfügbaren ROPA-Berechtigungen – Erstellen, Lesen, Bearbeiten, Löschen, Duplizieren, Exportieren, Veröffentlichen, Änderungen übertragen, KI-Funktionalität und weitere – werden in einem Schritt aktiviert. Das Abzeichen des ROPA-Eintrags wechselt zu Blau und zeigt die Gesamtanzahl. Alle anderen Einträge bleiben bei null (rote Abzeichen). Klicken Sie auf Speichern – die Rolle ist fertig.

Berechtigungsabhängigkeiten verstehen

DPMS erzwingt Regeln dazu, welche Berechtigungen andere als Voraussetzung benötigen. Diese Regeln wirken in beide Richtungen, ohne explizite Rückmeldung.

Wenn Sie eine Berechtigung aktivieren, die eine Voraussetzung hat, aktiviert DPMS diese Voraussetzung automatisch für Sie. Wenn Sie beispielsweise „Exportieren" anklicken, wird „Lesen" automatisch ebenfalls aktiviert – Sie müssen das nicht manuell erledigen.

Wenn Sie eine grundlegende Berechtigung deaktivieren, deaktiviert DPMS automatisch alle davon abhängigen Berechtigungen. Wenn Sie „Lesen" bei einer Entität deaktivieren, für die Sie bereits „Erstellen", „Bearbeiten" und „Exportieren" aktiviert hatten, werden alle drei gleichzeitig entfernt. Das kann überraschend sein – überprüfen Sie daher nach jedem Umschalten von „Lesen" oder „Bearbeiten" immer den vollständigen Status einer Entität.

Visuell erscheint ein Kontrollkästchen, das noch nicht aktiviert werden kann, ausgegraut und ist nicht anklickbar. Sobald seine Voraussetzungen erfüllt sind, wird es anklickbar. Beispiele:

• Das Kontrollkästchen Exportieren ist ausgegraut, bis „Lesen" aktiviert ist.
• Das Kontrollkästchen Änderungen übertragen ist ausgegraut, bis sowohl „Lesen" als auch „Bearbeiten" aktiviert sind.
• Die Lesen-Berechtigung für den ROC (Compliance-Nachweis) ist ausgegraut, bis „Lesen" auch für TOMs, Assets und Risikoszenarien aktiviert ist – die einzige entitätsübergreifende Abhängigkeit im System.

Wenn ein bestimmtes Kontrollkästchen unabhängig davon, was Sie tun, immer ausgegraut bleibt, überprüfen Sie zuerst diese verwandten Entitäten.

Einen serverseitigen Validierungsfehler korrigieren

Gelegentlich lehnt der Server nach dem Klick auf Speichern eine bestimmte Berechtigungskombination ab. In diesem Fall erscheint eine Toast-Benachrichtigung mit einer Fehlerbeschreibung, und die betroffenen Kontrollkästchen werden mit rotem Hintergrund und rotem Rahmen hervorgehoben. Öffnen Sie den entsprechenden Entitätseintrag, um das markierte Kontrollkästchen zu finden. Klicken Sie einmal darauf, um die konflikthafte Berechtigung zu deaktivieren – dieser Klick entfernt gleichzeitig die rote Hervorhebung. Beheben Sie alle markierten Konflikte und klicken Sie erneut auf Speichern.

Feldreferenz

• Rollenname — Der für Menschen lesbare Name der Rolle. Pflichtfeld. Dieser Name erscheint in der Rollenliste und in allen Benutzerzuweisungs-Dropdowns in DPMS. Es gibt kein sichtbares Zeichenlimit im Formular, aber ein leeres Feld oder ein bereits vorhandener Name führt zu einem serverseitigen Validierungsfehler, der als Toast-Benachrichtigung angezeigt wird.
• Übersetzungsauslöser (neben dem Rollennamen) — Optional. Öffnet ein Popover, um den Rollennamen in weiteren, für Ihre DPMS-Instanz konfigurierten Sprachen einzugeben oder automatisch zu generieren. Nützlich, wenn Kollegen unterschiedliche Oberflächensprachen verwenden. Bei einer einsprachigen DPMS-Instanz ist dieses Steuerelement zwar vorhanden, hat aber keinen praktischen Mehrwert.
• Suchleiste (im Berechtigungszuweisungs-Panel) — Optional. Groß-/Kleinschreibung wird nicht unterschieden. Filtert die Accordion-Liste in Echtzeit. Wenn Sie die Suche löschen, wird die vollständige Liste wiederhergestellt. Wenn keine Entität zur Suchanfrage passt, erscheint die Meldung „Keine Ergebnisse gefunden".
• Berechtigungskontrollkästchen — Eines pro Berechtigung pro Entität. Standardmäßig deaktiviert. Ausgegraut, wenn Voraussetzungen nicht erfüllt sind. Vor dem Speichern muss mindestens ein Kontrollkästchen aktiviert sein.

Wie dieser Bildschirm mit dem Rest von DPMS verbunden ist

Sobald Sie eine benutzerdefinierte Rolle gespeichert haben, ist sie ohne weitere Schritte sofort in der gesamten Plattform verfügbar.

Benutzerverwaltung (IT-Einstellungen → Benutzer) ist der direkteste nachgelagerte Bildschirm. Wenn ein Administrator das Profil eines Benutzers öffnet und eine Rolle zuweist, erscheinen alle hier erstellten benutzerdefinierten Rollen im Auswahlmenü. Die von Ihnen konfigurierten Berechtigungen bestimmen ab dem Moment der Rollenzuweisung genau, was dieser Benutzer tun kann.

KI-Assistenten-Schaltflächen in einzelnen Datensätzen (z. B. die KI-Ausfüllhilfe in einem ROPA-Formular) sind für einen Benutzer nur dann aktiv, wenn seine zugewiesene Rolle die Berechtigung KI-Funktionalität für die jeweilige Entität enthält. Falls Benutzer fehlende KI-Schaltflächen melden, prüfen Sie, ob diese Berechtigung in ihrer Rolle aktiviert ist.

Freigabe-Workflows – die Funktionen Änderungen übertragen und Änderungen abrufen für die Freigabe von Datensätzen zwischen Organisationseinheiten – funktionieren nur für Benutzer, deren Rolle diese Berechtigungen für die jeweilige Entität enthält.

Workflow-Zuweisungsfunktionen (Workflow zuweisen, In Schritt neu zuweisen) in allen Modulen setzen voraus, dass diese Berechtigungen in der Benutzerrolle vorhanden sind.

Zielgruppen-Management und Einschränkungen auf Organisationseinheiten verwenden die Rolle als Obergrenze: Auch wenn eine Zielgruppenregel den Zugriff auf einen bestimmten Datensatz erlaubt, bestimmt die Rolle des Benutzers das maximal mögliche Zugriffsniveau.

Nach der Erstellung einer Rolle hier ist Ihr nächster Schritt in der Regel, zu IT-Einstellungen → Benutzerverwaltung zu navigieren und die Rolle den entsprechenden Benutzerkonten zuzuweisen.

Tipps und häufige Fehlerquellen

Wichtig: Sie müssen mindestens eine Berechtigung aktivieren, bevor Sie speichern. Ein Klick auf Speichern ohne jegliche aktivierte Berechtigung wird sofort mit einer Toast-Benachrichtigung abgelehnt – es werden keine Daten an den Server gesendet. Das Aktivieren eines einzigen „Lesen"-Kontrollkästchens irgendwo im Panel reicht aus.

Achtung: Das Deaktivieren von „Lesen" bei einer Entität entfernt gleichzeitig alle davon abhängigen Berechtigungen. Wenn Sie für eine Entität sorgfältig „Erstellen", „Bearbeiten", „Exportieren" und „Duplizieren" konfiguriert hatten und dann „Lesen" deaktivieren, werden alle diese Berechtigungen ohne Nachfrage entfernt. Überprüfen Sie nach dem Umschalten einer grundlegenden Berechtigung immer den vollständigen Status der Entität.

• Der ROC hat eine dreifache entitätsübergreifende Abhängigkeit. Die Leseberechtigung für ROC (Compliance-Nachweis) ist ausgegraut, solange die Rolle nicht auch die Leseberechtigung für TOMs, Assets und Risikoszenarien enthält. Dies ist die einzige Berechtigung im System mit einer entitätsübergreifenden Abhängigkeit, und es gibt keinen visuellen Hinweis darauf in der Benutzeroberfläche. Wenn ROC immer ausgegraut erscheint, prüfen Sie zuerst diese drei Panels.
• Nicht jede Berechtigung ist für jede Entität verfügbar. Die Berechtigung „KI-Funktionalität" erscheint beispielsweise nicht bei TOMs, Assets, DPIA oder Einstellungsebenen-Entitäten. Die Berechtigung „Duplizieren" ist nur bei ROPA verfügbar. Wenn eine Berechtigung für eine bestimmte Entität zu fehlen scheint, wurde sie absichtlich ausgeblendet, weil sie auf dieses Modul nicht zutrifft.
• Die Suche schränkt die Liste ein, öffnet die Einträge aber nicht. Nach der Eingabe in die Suchleiste bleiben die passenden Einträge zugeklappt. Sie müssen jeden Eintrag noch anklicken, um ihn zu öffnen und die Kontrollkästchen zu bearbeiten. Nutzen Sie die Suche, um herauszufinden, welche Entitäten eine bestimmte Berechtigung unterstützen, und öffnen Sie dann die jeweiligen Einträge zur Konfiguration.
• Systemrollen sehen auf diesem Formular genauso aus wie benutzerdefinierte Rollen, sind aber vollständig gesperrt. Wenn Sie eine integrierte Systemrolle (z. B. „Mitarbeiter") über den Bearbeitungspfad aufrufen, erscheint dieselbe Oberfläche, aber alle Kontrollkästchen sind deaktiviert und die Schaltfläche Speichern wird ausgeblendet. Es gibt keinen visuellen Banner, der Sie darauf hinweist, dass die Rolle schreibgeschützt ist – das einzige Anzeichen ist, dass nichts anklickbar ist. Wenn Sie eine Rolle ähnlich wie eine Systemrolle erstellen möchten, erstellen Sie hier eine neue benutzerdefinierte Rolle und replizieren Sie die gewünschten Berechtigungen manuell.
• Doppelt vergebene Rollennamen werden vom Server abgelehnt. Wenn Sie einen Namen verwenden, der bereits einer anderen Rolle zugewiesen ist, erscheint nach dem Klick auf Speichern eine Toast-Benachrichtigung. Wählen Sie einen eindeutigen Namen und versuchen Sie es erneut.