Eine häufig gestellte dreht sich um unsere Standardbenutzergruppen
"Verwaltung/Rechtemanager/Admin":
Wo genau liegen die Abgrenzungen
zwischen den dreien?
Sprich: was darf jemand in "Verwaltung" mehr als ein Lehreraccount
aber weniger als Rechtemanager usw.
Ich brauche mal eine detaillierte Aufschlüssung von "wer darf was
und was eben auch nicht".
Die Grundregel zuerst
Admin = Verwaltung + Rechtemanager + noch etwas
mehr.
Ein Admin-Konto hat automatisch alle Rechte von "Verwaltung" UND
alle Rechte von "Rechtemanager" obendrauf, plus ein paar Dinge,
die nur Admin darf.
Verwaltung und Rechtemanager sind aber KEINE Stufen übereinander, sondern zwei unterschiedliche Zuständigkeitsbereiche, die nebeneinander stehen:
- Verwaltung = das "operative Tagesgeschäft" der Schule
- Rechtemanager = die "heiklen", strukturellen Dinge rund um Nutzerkonten und Datenschutz
Ein Konto kann in beiden Gruppen gleichzeitig sein,
muss aber nicht.
Es gibt nichts, was Rechtemanager darf und Admin
nicht — Admin ist immer die höchste Stufe.
Was ein normaler Lehrer-Account darf
Nur seine eigenen Klassen/Kurse (Klassenbuch, Noten, Hausaufgaben, Unterrichtsdoku), seine eigenen Schüler, sein eigenes Profil. Keine schulweite Verwaltungsmacht.
Was "Verwaltung" zusätzlich zum Lehrer darf
Das operative Alltagsgeschäft der ganzen Schule:
- Zugriff auf alle Klassen/Schüler, nicht nur eigene
- Klassen, Kurse, Fächer, Schuljahre, Ferien, Stundenplan-Import einrichten
- Zeugnisse/Notenberechnungen, Zeugnisvorlagen
- Neue Benutzerkonten anlegen (Formular)
- Ressourcen, Briefkästen, Messenger-Verwaltung
- Schuljahreswechsel, Abschlussverfahren
Was "Rechtemanager" zusätzlich zum Lehrer darf (unabhängig von Verwaltung)
Die "scharfen" Dinge rund um Nutzerkonten und Datenschutz:
- Bestehende Benutzerkonten komplett bearbeiten, inkl. Gruppenzugehörigkeit/Rechte ändern
- "Als anderer Nutzer einloggen" (Support-Funktion)
- DSGVO-Datenauskunft für andere Nutzer anfordern/einsehen, 2FA für andere erzwingen
- Schülerstammdaten anlegen/ändern/löschen
- UNTIS-Datenimport durchführen
Was nur Admin zusätzlich darf (weder Verwaltung noch Rechtemanager)
Systemweite Einstellungen für die ganze Instanz:
- Globale Optionen / Systemeinstellungen
- Modulberechtigungen konfigurieren (wer darf was — das Feinsteuerungs-System selbst)
- System-Logs, komplette Liste aller Benutzernamen im System
- Statistiken, Übersetzungen, Hort-Einrichtung
Ehrlicher Hinweis: zwei kleine bekannte Lücken
Ich bin beim Nachschauen auf zwei Stellen gestoßen, wo Menü-Sichtbarkeit und tatsächliche Berechtigung nicht ganz zusammenpassen:
- Ein reines Verwaltungs-Konto (ohne Rechtemanager) sieht den Menüpunkt "Schüler verwalten", bekäme beim Anlegen eines neuen Schülerkontos aber vermutlich einen Fehler, weil das technisch Rechtemanager-Rechte braucht.
- Beim Benutzerimport prüft die Seite im Hintergrund auf doppelte Logins — dieser Check braucht Admin-Rechte; ein reines Verwaltungs-Konto sieht dabei ggf. keine Warnung bei Dubletten.
Falls der Kunde zufällig also in genau diese Situation laufen sollte: ist kein Zufall, sondern eine bekannte Ungenauigkeit — die wird noch angepasst.