Benutzer bearbeiten

Benutzer bearbeiten

Die Maske Benutzer bearbeiten ist der zentrale Ort in DPMS, an dem Sie bestehende Benutzerkonten pflegen – Namen oder E-Mail-Adressen korrigieren, Rollen nach einer Beförderung anpassen, Zwei-Faktor-Authentifizierung für bestimmte Konten erzwingen oder Konten beim Ausscheiden eines Mitarbeiters deaktivieren. Jede Berechtigungsprüfung im gesamten System – von der Verzeichnistätigkeit über DPIAs bis hin zum Lieferantenmanagement – basiert auf den hier hinterlegten Einstellungen. Die Pflege der Benutzerdaten ist daher eine grundlegende Aufgabe im Compliance-Alltag.

So öffnen Sie die Maske

• Klicken Sie in der linken Seitennavigation auf IT-Einstellungen.
• Wählen Sie im Untermenü Benutzerverwaltung aus.
• Suchen Sie den gewünschten Benutzer in der Liste und klicken Sie auf seine Zeile oder das Bearbeiten-Symbol daneben.

Berechtigung erforderlich: Sie benötigen die Bearbeitungsberechtigung für die IT-Einstellungen – Benutzerverwaltung. Super-Administratoren haben standardmäßig Zugriff. Benutzern mit reiner Leseberechtigung wird die Bearbeitungsoption nicht angezeigt oder erscheint ausgegraut mit einem erläuternden Tooltip.

Überblick über die Maske

Die Maske ist in das standardmäßige IT-Einstellungen-Layout eingebettet. Auf der linken Seite befindet sich das vertikale Menü IT-EINSTELLUNGEN, wobei Benutzerverwaltung als aktiver Bereich hervorgehoben ist. Den Hauptteil der Seite nimmt rechts das Bearbeitungsformular ein.

Ganz oben sehen Sie eine Breadcrumb-Leiste – IT-Einstellungen › Benutzerverwaltung – damit Sie stets wissen, wo Sie sich befinden. Darunter enthält eine Inhaltskarte das Formular selbst: oben links ein Zurück-Pfeil-Button mit dem Titel Benutzerverwaltung, oben rechts der hervorgehobene Speichern-Button.

Die Formularfelder sind in einer einzelnen vertikalen Spalte angeordnet. Eine schmale blaue Linie verläuft am linken Rand jedes Eingabebereichs – ein visuelles Gestaltungsmerkmal, das Sie von allen anderen Bearbeitungsmasken in DPMS kennen. Die Felder umfassen die Identitätsdaten des Benutzers (Name, E-Mail), die Rollen- und Organisationseinheitszuordnung sowie drei Kippschalter für kontobezogene Einstellungen: Zwei-Faktor-Authentifizierung erzwingen, Konto als aktiv oder inaktiv markieren und lokale Anmeldung (Benutzername und Passwort) erlauben oder sperren.

Arbeiten mit dieser Maske

Namen oder E-Mail-Adresse aktualisieren

Ein häufiger Anlass für diese Maske ist eine einfache Datenpflege – etwa weil ein Kollege seinen Namen geändert hat oder das Unternehmen auf eine neue E-Mail-Domain umgestellt hat.

• Öffnen Sie das Bearbeitungsformular für den Benutzer wie oben beschrieben.
• Klicken Sie in das Feld Vorname oder Nachname und geben Sie den korrekten Wert ein. Beide Felder sind Pflichtfelder; DPMS zeigt eine Fehlermeldung, wenn Sie beim Speichern eines davon leer lassen.
• Um die Anmelde-E-Mail zu ändern, klicken Sie in das Feld E-Mail und geben Sie die neue Adresse ein. DPMS prüft das Format automatisch und stellt sicher, dass kein anderes Konto in Ihrer Organisation dieselbe Adresse verwendet.
• Klicken Sie auf Speichern. Eine Erfolgsmeldung bestätigt die Änderung, und Sie werden zur Benutzerliste zurückgeleitet.

Achtung: Wenn Ihre Organisation die Active-Directory-Synchronisation oder SCIM-Provisionierung nutzt (konfiguriert unter IT-Einstellungen › Active Directory oder IT-Einstellungen › IAM), können manuelle Änderungen an Namen und E-Mail-Adressen beim nächsten Synchronisierungslauf überschrieben werden. Nehmen Sie bei solchen Konten die Änderung zuerst im Identity-Provider vor und lassen Sie die Synchronisierung die Daten übertragen.

Achtung: Wenn der Benutzer sich per SAML oder OAuth (SSO) anmeldet, muss die E-Mail-Adresse in DPMS exakt mit dem übereinstimmen, was der Identity-Provider sendet. Eine Änderung hier ohne entsprechende Aktualisierung im Identity-Provider (z. B. Entra ID oder Okta) führt dazu, dass die SSO-Anmeldung des Benutzers fehlschlägt.

Rolle nach Beförderung oder Abteilungswechsel ändern

Rollenzuordnungen bestimmen, was ein Benutzer in DPMS sehen und tun darf – von der Bearbeitung von Verzeichnistätigkeiten bis zum Zugriff auf IT-Einstellungen. Wenn jemand neue Aufgaben übernimmt, müssen Sie seine Rolle hier anpassen.

• Öffnen Sie das Bearbeitungsformular für den Benutzer.
• Suchen Sie den Rollen-Selektor. Er zeigt die aktuell zugeordnete(n) Rolle(n). Klicken Sie darauf, um die verfügbaren Optionen zu sehen: vordefinierte Systemrollen wie Super-Administrator, Datenschutzbeauftragter, Datenschutzkoordinator, IT-Administrator, IT-Sicherheitsmanager, Workflow-Manager, Mitarbeiter und weitere, sowie ggf. benutzerdefinierte Rollen Ihrer Organisation.
• Wählen Sie die passende Rolle (oder mehrere Rollen, wenn der Benutzer mehrere benötigt). Falls eine bisherige Rolle nicht mehr zutrifft, entfernen Sie sie aus der Auswahl.
• Klicken Sie auf Speichern.

Die Rollenänderung wird sofort in der Datenbank gespeichert. Die aktive Browsersitzung des betroffenen Benutzers zeigt jedoch möglicherweise noch die alten Berechtigungen, bis er eine neue Seite aufruft oder sich ab- und wieder anmeldet. Falls jemand nach einer Rollenänderung meldet, dass er weiterhin keinen Zugriff hat, bitten Sie ihn, sich neu anzumelden.

Achtung: Nur ein Super-Administrator kann die Rolle „Super-Administrator" vergeben oder entziehen. Das System verhindert, dass die letzte aktive Super-Administrator-Rolle entfernt wird – dieser Schutz soll eine vollständige Sperrung des Systems verhindern.

Tipp: Wenn Ihre Organisation SCIM-Gruppen-zu-Rollen-Zuordnungen in IT-Einstellungen › IAM konfiguriert hat, können Rollenzuordnungen beim nächsten SCIM-Sync überschrieben werden. Prüfen Sie vor einer manuellen Änderung, ob die Rolle vom Identity-Provider verwaltet wird.

Benutzer einer Organisationseinheit zuordnen

Organisationseinheiten (Abteilungen, Teams oder Geschäftsbereiche) werden in den Compliance-Einstellungen definiert. Die Zuordnung eines Benutzers zu einer Einheit teilt DPMS mit, dass diese Person als Verantwortlicher für Compliance-Elemente vorgeschlagen werden soll, die dieser Einheit gehören – zum Beispiel Verzeichnistätigkeiten, DPIAs oder Lieferanteneinträge.

• Öffnen Sie das Bearbeitungsformular für den Benutzer.
• Suchen Sie den Selektor Organisationseinheit. Klicken Sie darauf, um die in Ihrer Organisation verfügbaren Einheiten zu sehen.
• Wählen Sie die zutreffende(n) Einheit(en). Wenn der Benutzer die Abteilung gewechselt hat, entfernen Sie die alte und fügen Sie die neue hinzu.
• Klicken Sie auf Speichern.

Die Änderung der Organisationseinheit hat keinen Einfluss auf die Rollen des Benutzers oder seine Anmeldeberechtigung. Sie wirkt sich hauptsächlich darauf aus, bei welchen Compliance-Elementen die Person vorgeschlagen wird und welche Dashboards und Berichte sie standardmäßig einschließen.

Zwei-Faktor-Authentifizierung für ein bestimmtes Konto erzwingen

Die unternehmensweite Richtlinie zur Zwei-Faktor-Authentifizierung (2FA) wird in IT-Einstellungen › Allgemein festgelegt. Manchmal ist es jedoch notwendig, 2FA für einzelne Konten mit erhöhten Rechten zu erzwingen – zum Beispiel für alle IT-Administratoren –, auch wenn die globale Richtlinie dies noch nicht für alle Benutzer vorschreibt.

• Öffnen Sie das Bearbeitungsformular für den Benutzer.
• Suchen Sie den Kippschalter Zwei-Faktor-Authentifizierung erzwingen. Im grauen Zustand folgt der Benutzer dem unternehmensweiten Standard. Klicken Sie darauf, um ihn auf blau (aktiv) zu schalten – damit wird dieser Person bei jeder Anmeldung 2FA vorgeschrieben, unabhängig von der globalen Einstellung.
• Klicken Sie auf Speichern.

Beim nächsten Login wird der Benutzer aufgefordert, seine 2FA-Methode einzurichten oder zu bestätigen. Benutzer, die 2FA bereits konfiguriert haben, sind nicht beeinträchtigt. Wer noch keine 2FA eingerichtet hat, wird beim nächsten Anmeldeversuch durch den Einrichtungsassistenten geführt.

Falls die unternehmensweite 2FA-Richtlinie bereits für alle Benutzer gilt, hat das Aktivieren dieses Schalters für eine einzelne Person keine zusätzliche Wirkung.

Konto beim Ausscheiden eines Mitarbeiters deaktivieren

Wenn ein Mitarbeiter die Organisation verlässt oder in längeren Urlaub geht, sollten Sie sein Konto deaktivieren, um den Zugang zu sperren – ohne dabei Daten oder Verlaufsinformationen zu löschen.

• Öffnen Sie das Bearbeitungsformular für den Benutzer.
• Suchen Sie den Kippschalter Aktiv. Im aktiven Zustand ist er blau. Klicken Sie darauf, um ihn auf grau (inaktiv) zu schalten.
• Klicken Sie auf Speichern.

Ab diesem Zeitpunkt wird jeder Anmeldeversuch des ausgeschiedenen Mitarbeiters blockiert. Alle Datensätze, mit denen er verknüpft war – Verzeichnistätigkeiten, Aufgaben, DPIA-Zuweisungen, Audit-Log-Einträge – bleiben vollständig erhalten, damit der Revisionspfad nachvollziehbar bleibt.

Um den Zugang wiederherzustellen (z. B. bei einer Rückkehr oder irrtümlichen Deaktivierung), öffnen Sie das Formular erneut, schalten Sie den Kippschalter Aktiv wieder auf blau und klicken Sie auf Speichern.

Achtung: Deaktivieren Sie nicht das letzte aktive Super-Administrator-Konto. Das System verhindert dies zwar, aber es empfiehlt sich grundsätzlich, vor der Bearbeitung eines Super-Administrator-Kontos sicherzustellen, dass mindestens ein weiteres aktives Super-Administrator-Konto existiert.

Anmeldemethode steuern (lokale Anmeldung vs. nur SSO)

Der Kippschalter Lokale Anmeldung legt fest, ob ein bestimmter Benutzer sich mit seinem DPMS-Benutzernamen und Passwort authentifizieren kann – unabhängig von einer eventuell konfigurierten SSO-Einstellung.

• Schalter aktiv (blau): Der Benutzer kann sich mit seinem DPMS-Passwort anmelden, auch wenn das Unternehmen SSO als primäre Methode nutzt. Dies ist nützlich für Notfall- oder Break-Glass-Administratorkonten, die auch dann zugänglich sein müssen, wenn der SSO-Provider nicht verfügbar ist.
• Schalter inaktiv (grau): Der Benutzer muss sich ausschließlich über den konfigurierten Identity-Provider authentifizieren (SAML, OAuth oder Entra ID). Eine direkte Anmeldung mit Benutzername und Passwort ist nicht möglich.

Um diese Einstellung zu ändern, öffnen Sie das Bearbeitungsformular, suchen Sie den Kippschalter Lokale Anmeldung, schalten Sie ihn in den gewünschten Zustand und klicken Sie auf Speichern.

Achtung: Wenn Sie die lokale Anmeldung für einen Benutzer deaktivieren und die SSO-Konfiguration des Unternehmens defekt oder das SSO-Konto des Benutzers nicht vorhanden ist, hat dieser keine Möglichkeit mehr, sich anzumelden. Testen Sie den SSO-Anmeldeprozess, bevor Sie die lokale Anmeldung deaktivieren, und halten Sie stets mindestens ein Super-Administrator-Konto mit aktivierter lokaler Anmeldung als Notfalloption vor.

Feldreferenz

• Vorname — Der Vorname des Benutzers, wie er in DPMS angezeigt wird (in Aufgabenzuweisungen, Audit-Logs, E-Mail-Benachrichtigungen und Compliance-Datensätzen). Pflichtfeld. Darf nicht leer sein.
• Nachname — Der Familienname des Benutzers. Pflichtfeld. Darf nicht leer sein.
• E-Mail — Die Anmelde-E-Mail-Adresse des Benutzers. Muss ein gültiges E-Mail-Format haben und darf innerhalb Ihrer DPMS-Organisation nicht doppelt vergeben sein. Eine Änderung wirkt sich auf den Anmeldevorgang aus (bei lokaler Anmeldung) und muss bei SSO-Nutzung mit dem Identity-Provider übereinstimmen.
• Rolle — Eine oder mehrere DPMS-Systemrollen. Bestimmt alles, was der Benutzer im System sehen und tun kann. Verfügbare Rollen umfassen unter anderem: Super-Administrator, Datenschutzbeauftragter, Datenschutzkoordinator, IT-Administrator, IT-Sicherheitsmanager, IT-Sicherheitskoordinator, Workflow-Manager, IGDTA-Administrator, IGDTA-Gruppenvertreter, Mitarbeiter, Fallbearbeiter, Zugewiesener Benutzer sowie ggf. benutzerdefinierte Rollen Ihrer Organisation.
• Organisationseinheit — Die Abteilung(en) oder das/die Team(s), dem/denen der Benutzer angehört, aus den in den Compliance-Einstellungen definierten Organisationseinheiten. Beeinflusst, bei welchen Compliance-Elementen die Person vorgeschlagen wird, und grenzt bestimmte Berichte ein.
• Zwei-Faktor-Authentifizierung erzwingen — Benutzerspezifische Einstellung, die diese Person bei jeder Anmeldung zur Nutzung von 2FA verpflichtet, unabhängig von der unternehmensweiten Richtlinie. Einschalten zum Erzwingen, ausschalten zum Folgen der globalen Standardeinstellung.
• Aktiv — Ob das Konto aktiviert ist. Ausschalten sperrt die Anmeldung, ohne Daten zu löschen.
• Lokale Anmeldung — Ob der Benutzer sich mit einem DPMS-Benutzernamen und Passwort authentifizieren kann. Ausschalten erzwingt ausschließlich SSO-Anmeldung für diesen Benutzer.

Verbindung mit dem Rest von DPMS

Der hier bearbeitete Benutzerdatensatz wird in nahezu allen Bereichen von DPMS referenziert. Rollenzuordnungen steuern jede Zugriffsprüfung auf jeder Maske – ist eine Rolle falsch gesetzt, sieht der Benutzer entweder Dinge, die er nicht sehen sollte, oder er wird bei berechtigter Arbeit blockiert. Name, E-Mail und Organisationseinheit erscheinen in Aufgabenzuweisungen, in durch Workflows versendeten E-Mail-Benachrichtigungen, in RASCI-Matrizen auf Compliance-Elementen und in jedem Audit-Log-Eintrag.

Nach dem Speichern werden Sie zurück zur Benutzerverwaltungsliste unter IT-Einstellungen › Benutzerverwaltung geleitet, von wo aus Sie weitere Konten bearbeiten oder die Gesamtliste einsehen können.

Weitere Bereiche und Funktionen, die von den hier vorgenommenen Einstellungen abhängen:

• Rollenbasierte Zugriffskontrolle überall: Jedes Modul – Verzeichnistätigkeit, DPIA, Risikobeurteilung, Lieferantenmanagement, Dokumente und Richtlinien, Assessments, Vorfälle – prüft die hier gesetzten Rollen, bevor Funktionen angezeigt oder ausgeblendet werden.
• KI-Assistenzfunktionen: Der KI-Helfer, der auf Formularen in DPMS verfügbar ist, schreibt Interaktionen dem authentifizierten Benutzer zu. Eine korrekte Identifikation des Benutzers hier stellt sicher, dass KI-gestützte Arbeit dem richtigen Konto zugeordnet wird.
• Workflow-Zuweisungen: Workflows verwenden Verantwortliche, Genehmiger und Prüfer aus den Benutzerdatensätzen. Sind Name oder E-Mail falsch, erhalten Personen möglicherweise falsch adressierte Benachrichtigungen oder gar keine.
• Active Directory / SCIM-Synchronisation: Falls IT-Einstellungen › Active Directory oder IT-Einstellungen › IAM › SCIM konfiguriert ist, sind diese Integrationen für bestimmte Felder die maßgebliche Quelle. Manuelle Änderungen hier können überschrieben werden.
• Passwort-Richtlinie: Die in IT-Einstellungen › Allgemein definierten Passwortanforderungen gelten für diesen Benutzer, wenn er sein Passwort das nächste Mal setzt oder zurücksetzt.

Tipps und häufige Fehlerquellen

Achtung: Wenn Ihre Organisation Active Directory-Synchronisation oder SCIM nutzt, können hier vorgenommene Änderungen an Name, E-Mail und ggf. Rollenzuordnungen beim nächsten Synchronisierungslauf still überschrieben werden. Nehmen Sie Änderungen bei solchen Konten im Identity-Provider (Entra ID, Okta usw.) vor.

Achtung: Das Deaktivieren oder Entfernen der Super-Administrator-Rolle vom einzigen aktiven Super-Administrator-Konto lässt die Organisation ohne Zugriff auf IT-Einstellungen oder die Benutzerverwaltung zurück. Stellen Sie stets sicher, dass mindestens ein weiteres aktives Super-Administrator-Konto existiert, bevor Sie solche Änderungen vornehmen.

• Rollenänderungen werden sofort gespeichert, aber sitzungsweise zwischengespeichert. Die Änderung ist unmittelbar in der Datenbank wirksam. Die aktive Browsersitzung des betroffenen Benutzers kann jedoch noch alte Berechtigungen anzeigen, bis er die Seite neu lädt oder sich neu anmeldet. Wenn jemand meldet, eine Rollenänderung habe „nicht gewirkt", bitten Sie ihn, sich ab- und wieder anzumelden.
• E-Mail-Änderungen und SSO müssen synchron gehalten werden. Bei SAML oder OAuth muss die E-Mail in DPMS exakt mit dem übereinstimmen, was der Identity-Provider im Login-Assertion sendet. Eine einseitige Änderung bricht die SSO-Anmeldung des Benutzers.
• Lokale Anmeldung ohne funktionierendes SSO zu deaktivieren führt zur Sperrung. Testen Sie den SSO-Anmeldeprozess, bevor Sie die lokale Anmeldung für einen Benutzer deaktivieren. Halten Sie jederzeit mindestens ein Super-Administrator-Konto mit aktivierter lokaler Anmeldung als Notfalloption vor.
• Das Formular zeigt den Stand beim Öffnen. Wenn ein anderer Administrator dasselbe Konto zeitgleich in einem anderen Browser-Tab bearbeitet und speichert, zeigt Ihr Tab noch die alten Werte. Laden Sie die Seite neu, wenn Sie unsicher sind, ob Sie die aktuellsten Daten sehen, bevor Sie Änderungen vornehmen.