deskhub/DeskHub-Webseite/tools/manual/handbuch/ch12.html

<h1>Adminportal: Kunden, Mitarbeiter und Sicherheit</h1>

<h2>Kundenverzeichnis</h2>
<p>Alle Kunden-Konten im Überblick mit Name, E-Mail, Organisation und Anzahl Tickets. Von hier öffnet ihr das Kundenprofil, legt Konten an oder bearbeitet sie. Nur echte Administratoren haben Zugriff.</p>
<fig n="admin-kundenverzeichnis">Das Kundenverzeichnis.</fig>

<h2>Organisationen</h2>
<p>Mehrere Kunden werden zu einer Firma gebündelt. Tickets lassen sich so gemeinsam betrachten, und Kollegen eines Kunden sehen gegenseitig ihre Tickets, wenn die Organisation das erlaubt.</p>
<fig n="admin-organisationen">Organisationen.</fig>

<h2>Mitarbeiter</h2>
<p>Die Mitarbeiterverwaltung zeigt je Person Avatar oder Initialen, Name und E-Mail, die <b>Rolle</b> (Administrator, eigene Rolle oder Mitarbeiter, dazu „🔒 2FA an“), <b>Abteilung</b> samt weiteren Abteilungen und Teams, die Zahl der <b>offenen Tickets</b>, <b>zuletzt aktiv</b> (grüner Punkt bis 5 Minuten) und den <b>Status</b> (Aktiv, Deaktiviert, Im Urlaub, „Anmeldung zeitweise gesperrt“). Oben stehen Filter (Alle, Administratoren, Mitarbeiter, Deaktiviert, Gesperrt – jeweils mit Zahl) und ein Suchfeld nach Name, E-Mail, Abteilung und Rolle.</p>
<fig n="admin-mitarbeiter">Die Mitarbeiterübersicht.</fig>
<p>Rechts gibt es <b>Bearbeiten</b> und das Menü <b>⋯</b>:</p>
<ul>
  <li><b>Sperre aufheben</b> (nur bei gesperrter Anmeldung): löscht die Fehlversuch-Zähler für Web, App und 2FA dieses Kontos; die IP-Sperre bleibt.</li>
  <li><b>Passkeys entfernen (n):</b> Erscheint nur, wenn der Mitarbeiter Passkeys hat (in der Zeile steht „🔑 n Passkeys“). Löscht <b>alle</b> Passkeys dieses Mitarbeiters – etwa bei verlorenem Gerät oder Verdacht auf Missbrauch. Der Mitarbeiter bekommt eine Mail, der Vorgang steht im Anmelde-Wächter („Passkey entfernt“) und im Admin-Protokoll. Die Anmeldung mit Passwort (und 2FA) bleibt möglich; neue Passkeys richtet der Mitarbeiter selbst ein. Das Recht „Mitarbeiter verwalten“ genügt.</li>
  <li><b>Überall abmelden:</b> beendet alle Anmeldungen der Person (Browser, Android, Windows, Chrome-Erweiterung), löscht deren Push-Geräte, gibt Ticket-Sperren und laufende Zeiterfassung frei; das Passwort bleibt. Der Mitarbeiter bekommt eine Mail, der Vorgang steht im Anmelde-Wächter und im Admin-Protokoll.</li>
  <li><b>Löschen</b> (nicht beim eigenen Konto).</li>
</ul>
<fig n="admin-menue-aktionen">Das Menü ⋯ einer Zeile.</fig>
<p>Bei Mitarbeitern mit Passkeys zeigt die Liste „🔑 n Passkeys“, und das Menü enthält „Passkeys entfernen (n)“.</p>
<h3>Konto bearbeiten und Zugriff</h3>
<p>Im Bearbeiten-Formular stellt ihr Name, E-Mail, Passwort, Hauptabteilung, <b>weitere Abteilungen mit jeweils eigener Rolle</b>, Teams, Urlaubsstatus und Vertretung ein; ein Mitarbeiter kann so „Teamleitung“ in Technik und „Agent“ im Vertrieb sein. Im Reiter „Zugriff“ legt ihr fest, ob das Konto aktiv ist und welche Adminportal-Bereiche (als Co-Admin) freigeschaltet sind.</p>
<fig n="admin-mitarbeiter-bearbeiten">Mitarbeiter-Konto bearbeiten.</fig>
<fig n="admin-mitarbeiter-zugriff">Zugriff und Rollen je Abteilung.</fig>
<p>Unter dem Formular steht die Karte <b>„Passkeys von …“</b>: Alle Passkeys der Person mit Name, Datum und „zuletzt benutzt“. Mit <b>Entfernen</b> löscht ihr einen einzelnen Passkey, mit <b>„Alle Passkeys entfernen“</b> alle. Der Mitarbeiter bekommt eine Mail und kann sich weiter mit Passwort (und 2FA) anmelden.</p>
<fig n="admin-mitarbeiter-passkeys">Karte „Passkeys von …“ in der Bearbeiten-Ansicht (Beispieldaten).</fig>

<h2>Teams</h2>
<p>Teams sind Gruppen von Mitarbeitern, an die Tickets zugewiesen oder Benachrichtigungen gerichtet werden können (z. B. „Nachtschicht“).</p>
<fig n="admin-teams">Teams.</fig>

<h2>Rollen und Rechte</h2>
<p>Rollen sind Sammlungen von Rechten. Jeder Mitarbeiter hat entweder keine Rolle (dann gelten die <b>Standardrechte</b>) oder eine eigene Rolle; je Abteilung kann er eine andere haben. <b>Administratoren</b> dürfen immer alles. Ein Recht für einen Adminportal-Bereich macht eine Person zum <b>Co-Admin</b> genau für diesen Bereich: Sie sieht das Adminportal im Menü, aber nur die Punkte, für die sie ein Recht hat.</p>
<fig n="admin-rollen">Rollen mit der Rechte-Übersicht „Wer darf was?“ (Beispieldaten).</fig>
<h3>Vordefinierte Rollen</h3>
<p>Mit dem Update legt DeskHub elf fertige Rollen an. Sie sind ganz normale Rollen: Ihr könnt Rechte ändern, die Rolle umbenennen oder löschen. Vorhandene Rollen werden nie überschrieben. Eine gelöschte Rolle legt der Knopf <b>„Fehlende Rollen anlegen“</b> auf der Rollen-Seite wieder an (nur Administratoren). Auf der Rollen-Seite tragen sie das Kennzeichen „vordefiniert“.</p>
<table>
  <tr><th>Rolle</th><th>Für wen / was sie darf</th></tr>
  <tr><td><b>Co-Administrator</b></td><td>Alle Rechte, die sich vergeben lassen. Kein echter Administrator: Einstellungen, Backup, System-Update, Plugins, API-Schlüssel, Webhooks, Import und Sicherheitsprüfung bleiben gesperrt.</td></tr>
  <tr><td><b>Support-Manager</b></td><td>Leitet den Support: Tickets inklusive Löschen und Export, Einrichtung (Abteilungen, Prioritäten, Themen, Regeln, Felder), Mitarbeiter, Teams, Protokolle, Mail-Warteschlange. Keine Rollenverwaltung.</td></tr>
  <tr><td><b>IT / Technik</b></td><td>Betrieb: Tickets bearbeiten, dazu Postfächer und E-Mail-Adressen, Mail-Warteschlange, Anmelde-Wächter, Statusseite, Regeln, Eskalationen, Protokoll, Probleme, Ticket-Felder, Hilfe.</td></tr>
  <tr><td><b>Teamleitung</b></td><td>Wie Mitarbeiter, dazu Löschen, Export, Zeiterfassung, Textbausteine, Wissensdatenbank, Teams und Schichten.</td></tr>
  <tr><td><b>Support 2nd Level</b></td><td>Erfahrene Mitarbeiter: Tickets bearbeiten, Probleme verwalten, Export und Zeiterfassung.</td></tr>
  <tr><td><b>Support 1st Level</b></td><td>Einstieg: antworten, Notizen, zuweisen, Tickets anlegen und verknüpfen, E-Mails abrufen. Kein Schließen, Verschieben, Zusammenführen oder Sperren.</td></tr>
  <tr><td><b>Redaktion (Wissen und Inhalte)</b></td><td>Pflegt Wissensdatenbank, digitalen Assistenten, Textbausteine, Ticket- und E-Mail-Vorlagen, Seiten und Sprachen.</td></tr>
  <tr><td><b>Auswertung / Controlling</b></td><td>Berichte (auch per E-Mail), Export, Zeiterfassung, Protokoll. Bearbeitet keine Tickets.</td></tr>
  <tr><td><b>Teamverwaltung / Schichtplanung</b></td><td>Mitarbeiter, Teams, Status und Schichten, Geschäftszeiten, Anmelde-Wächter ansehen.</td></tr>
  <tr><td><b>Aushilfe / Praktikant</b></td><td>Nur antworten, Notizen schreiben und Kundenprofile ansehen.</td></tr>
  <tr><td><b>Nur lesen</b></td><td>Tickets, Kundenprofile und Berichte ansehen, nichts ändern.</td></tr>
</table>
<p class="small">Ohne Rolle gelten die Standardrechte eines Mitarbeiters. Im Formular steht „Mitarbeiter“ zusätzlich als Vorlage zum Laden bereit.</p>

<h3>Eine Rolle anlegen</h3>
<ol class="steps">
  <li>Adminportal → <b>Rollen</b> → „Neue Rolle hinzufügen“, Namen vergeben (z. B. „Teamleitung Technik“).</li>
  <li>Im Reiter <b>Berechtigungen</b> eine <b>Vorlage laden</b> (alle vordefinierten Rollen und „Mitarbeiter“) und danach einzelne Rechte anpassen. Je Gruppe gibt es „Alle“ und „Keine“; oben zählt „n von 44 Rechten“ mit.</li>
  <li>Speichern und unter Mitarbeiter die Rolle zuweisen.</li>
</ol>
<fig n="admin-rollen-rechte">Berechtigungen einer Rolle, gruppiert, mit Erklärung und Vorlagen.</fig>
<p>Die <b>Rechte-Übersicht</b> auf der Rollen-Seite zeigt in einer Tabelle, welche Rolle welches Recht hat. Wer kein Administrator ist, kann in einer Rolle <b>keine Rechte vergeben, die er selbst nicht hat</b>; so lässt sich niemand zum Administrator hochstufen.</p>

<h3>Alle Rechte im Überblick</h3>
<table>
  <tr><th>Gruppe</th><th>Rechte (Standard für Mitarbeiter ohne Rolle in Klammern: ✓ an, – aus)</th></tr>
  <tr><td><b>Tickets bearbeiten</b></td><td>Tickets beantworten ✓ · Interne Notizen ✓ · Schließen/lösen ✓ · Zuweisen ✓ · Übertragen (Abteilung ändern) ✓ · Tickets erstellen ✓ · <b>Zusammenführen und teilen</b> ✓ · <b>Verknüpfen</b> ✓ · Löschen – (gilt auch für die Sammelaktion)</td></tr>
  <tr><td><b>Kunden und Sperren</b></td><td>Kundenprofile ansehen ✓ · <b>Kundenverzeichnis verwalten</b> – · Organisationen verwalten – · <b>Sperrliste und Absender sperren</b> ✓</td></tr>
  <tr><td><b>Auswertung und Export</b></td><td>Berichte einsehen ✓ · <b>Berichte per E-Mail versenden</b> ✓ (externe Empfänger nur Administratoren) · <b>Tickets als CSV exportieren</b> – · Zeiterfassung einsehen – · Admin-Protokoll einsehen –</td></tr>
  <tr><td><b>E-Mail</b></td><td><b>E-Mails jetzt abrufen</b> ✓ · E-Mail-Adressen und Postfächer – · E-Mail-Vorlagen – · <b>Mail-Warteschlange</b> –</td></tr>
  <tr><td><b>Inhalte und Vorlagen</b></td><td>Textbausteine – · <b>Ticket-Vorlagen</b> – · Wissensdatenbank – · Digitaler Assistent – · <b>Seiten im Portal</b> – · <b>Sprachen</b> – · <b>Statusseite</b> – · <b>Ansichten mit dem Team teilen</b> ✓</td></tr>
  <tr><td><b>Einrichtung</b></td><td>Abteilungen – · Prioritäten/SLA – · Hilfethemen – · <b>Ticket-Felder und Listen</b> – · <b>Ticket-Regeln und wiederkehrende Tickets</b> – · Eskalationsregeln – · Geschäftszeiten – · <b>Problemmanagement</b> –</td></tr>
  <tr><td><b>Team und Sicherheit</b></td><td>Mitarbeiter verwalten (auch Sperre aufheben, Überall abmelden, Passkeys entfernen) – · Teams – · Rollen – · <b>Status und Schichten der Kollegen ändern</b> – · <b>Anmelde-Wächter ansehen</b> – · <b>Hilfe und Handbuch</b> –</td></tr>
</table>
<p class="small">Fett gesetzte Rechte sind neu ab Server 1.0.85.</p>
<div class="note"><b>Weiterhin nur für echte Administratoren</b> (nicht delegierbar): Einstellungen, Backup, System-Update, Plugins, API-Schlüssel, Webhooks, osTicket-Import, Sicherheitsprüfung, die Einstellungen des Anmelde-Wächters (inklusive „Passkeys erlauben“) und die Datenschutz-Löschfunktionen. Die Sammelaktionen in der Ticketliste prüfen die Rechte je Ticket und Abteilung.</div>
<div class="tip"><b>Nichts geht verloren:</b> Bestehende Rollen behalten ihre Rechte. Für neue Rechte gilt der Standardwert: Was bisher jeder Mitarbeiter durfte (zum Beispiel zusammenführen, Sperrliste, E-Mails abrufen), bleibt erlaubt, neue Adminportal-Bereiche sind aus, bis ihr sie vergebt. Die Rechte gelten überall gleich (Web, Windows-Programm ab 2.12.3, Android-App ab 3.5.3, Chrome-Erweiterung). Die Rollen-Editoren der beiden Apps zeigen alle Rechte gruppiert mit den Beschriftungen vom Server; „E-Mails abrufen“, das Teilen von Ansichten, Sperrliste, Automatisierung und der Status der Kollegen erscheinen nur mit dem passenden Recht. Beim Speichern einer Rolle in einer älteren App bleiben die neuen Rechte unverändert.</div>

<h2>Anmelde-Wächter</h2>
<p>Der Wächter schützt die Anmeldung der Mitarbeiter (Web <b>und</b> Apps) und ist fest eingebaut.</p>
<fig n="admin-anmelde-waechter">Anmelde-Wächter mit Einstellungen und Protokoll.</fig>
<ul>
  <li><b>Passkeys erlauben:</b> Der Schalter schaltet die Anmeldung mit Passkey für alle ein oder aus (Standard: an). Ausgeschaltet verschwindet „Mit Passkey anmelden“ und Anmeldungen mit Passkey werden abgelehnt; vorhandene Passkeys bleiben gespeichert und gelten wieder, sobald ihr einschaltet.</li>
  <li><b>Geräte und Orte merken:</b> Ein Gerät ist ein Browser (Cookie <code>dh_device</code>) oder eine App. Ein Ort ist das Land (wenn Cloudflare es mitschickt) oder das Netz der IP-Adresse. Die erste Anmeldung eines Kontos wird still gemerkt.</li>
  <li><b>Warnung per Mail</b> bei neuem Gerät (und abschaltbar bei neuem Ort) mit Zeit, Gerät, Ort, IP und dem Link <b>„Das war ich nicht“</b> (7 Tage, einmalig): Er macht das Passwort ungültig, beendet alle App- und Browser-Sitzungen, vergisst die gemerkten Geräte und informiert die Administratoren.</li>
  <li><b>Sperre nach Fehlversuchen:</b> Standard 5 Fehlversuche, dann 15 Minuten (einstellbar: 3 bis 20 Versuche, 5 bis 240 Minuten); gilt auch für falsche 2FA-Codes. Zusätzlich ein Limit je IP-Adresse. Bekannte Geräte bleiben mit richtigem Passwort anmeldbar. Die Sperre wird protokolliert und per Mail an Kontoinhaber und Administratoren gemeldet; Administratoren heben sie mit „Sperre aufheben“ auf.</li>
  <li><b>Protokoll:</b> jede Anmeldung (auch per Passkey), jeder Fehlversuch, jede Sperre, „Konto gesichert“ (löscht auch die Passkeys), „Überall abgemeldet“, „Passkey hinzugefügt/entfernt“ und „Sperre aufgehoben“ mit Zeit, Konto, Gerät, Ort, IP und Kanal; Zähler der letzten 24 Stunden, Filter und Suche; Einträge werden nach 180 Tagen gelöscht (einstellbar).</li>
  <li><b>Grenzen:</b> Ohne Fremddienst gibt es keinen genauen Standort. Wer Cookies löscht, gilt als neues Gerät.</li>
</ul>

<h2>Admin-Protokoll</h2>
<p>Alle wichtigen Änderungen und Ereignisse: wer was wann geändert hat (Einstellungen, Rollen, Mitarbeiter, Backups, Plugin-Aktivierungen, Anmeldungen über Plugins, Übergaben an die Weboberfläche) sowie fehlgeschlagene automatische E-Mails mit der Fehlermeldung des Anbieters.</p>
<fig n="admin-protokoll">Das Admin-Protokoll.</fig>

<h2>Sicherheitsprüfung</h2>
<p>Prüft die Einrichtung der Installation und ruft interne Adressen selbst von außen ab, um zu sehen, ob Konfiguration, Datenbank, Backups oder Programmcode erreichbar wären. Nach der Installation und nach jeder Änderung am Webserver einmal ausführen; jeder Punkt zeigt „in Ordnung“ oder was zu tun ist.</p>
<fig n="admin-sicherheitspruefung">Ergebnis der Sicherheitsprüfung.</fig>

<h2>Hilfe und Handbuch</h2>
<p>Adminportal → <b>Hilfe</b> (Recht „Hilfe und Handbuch“; standardmäßig nur Administratoren) enthält das <b>Handbuch als PDF</b> zum Herunterladen mit Größe, Stand, Version und Prüfsumme, eine Kurzhilfe („Erste Schritte“ und „Wenn etwas nicht funktioniert“, jeweils mit Sprungmarken) und die Daten dieser Installation. Das Handbuch kommt mit jedem Update im Programmpaket mit (<code>docs/DeskHub-Handbuch.pdf</code>); einen Upload gibt es nicht.</p>

<h2>Problemmanagement</h2>
<p>Ein <b>Problem</b> bündelt mehrere Tickets mit derselben Ursache (z. B. „Mailserver-Ausfall“). Ihr erfasst das Problem mit Titel und Beschreibung, verknüpft Tickets und seht im Ticket die zugehörigen Probleme (Reiter „Organisation“). So lässt sich die Ursache einmal beheben und alle betroffenen Tickets gemeinsam abschließen.</p>
<fig n="admin-probleme">Problemmanagement.</fig>