Benutzer, Rollen und Rechte

In heinzelhaus bekommt jede Person ein eigenes Konto mit einer Rolle. Die Rolle bestimmt, welche Bereiche sie sieht und bearbeiten darf. Einzelne Rechte lassen sich zusätzlich erteilen oder entziehen. Konten werden gesperrt, nie gelöscht, damit jede Buchung nachvollziehbar einer Person zugeordnet bleibt.

Die Verwaltung der Benutzer liegt unter Seitenleiste → Verwaltung → „Einstellungen“ (oder Zahnrad oben rechts) → Reiter „Benutzer“. Dort stehen drei Karten:

Karte	Wofür
„Benutzer einladen“	Neue Mitarbeitende per E-Mail einladen. Sie vergeben ihr Passwort selbst.
„Rollen und Rechte“	Rolle und Einzelrechte ändern, Konten sperren und entsperren
„Benutzer“	Alle Konten auf einen Blick, dazu „Benutzer anlegen“ mit Passwort

Sie brauchen: die Rolle „Administrator“ und eine starke Anmeldung, also einen Passkey oder eine eingerichtete Authenticator-App. Ohne starke Anmeldung öffnet sich der Reiter nicht, siehe Anmeldesicherheit und Zwei-Faktor-Pflicht.

Benutzer einladen

Damit neue Mitarbeitende ihr Passwort selbst vergeben. Der Administrator kennt es nie, und jede Handlung in heinzelhaus lässt sich eindeutig einer Person zuordnen.

Sie brauchen: den eingerichteten Mailversand. Ohne ihn scheitert die Einladung.

1. Öffnen Sie die Karte „Benutzer einladen“.
2. Tragen Sie die „E-Mail-Adresse“ ein. Sie ist Pflicht. Der „Name (optional)“ erscheint in der Mail und wird später im Zugang vorgeschlagen.
3. Wählen Sie die „Rolle“: „Benutzer“ oder „Administrator“. Feinere Rollen vergeben Sie danach, siehe unten.
4. Klicken Sie auf „Einladung senden“. Es erscheint „Einladung an … versendet.“
5. Unter „Offene Einladungen“ steht die Adresse mit „gültig bis …“ und der gewählten Rolle.
6. Die eingeladene Person erhält die E-Mail „Ihr Zugang zu heinzelhaus“. Sie öffnet den Link, trägt „Ihr Name“, „Passwort“ und „Passwort wiederholen“ ein und klickt auf „Zugang einrichten“. Danach ist sie angemeldet.
7. Alle Benutzer erhalten eine Benachrichtigung: „Benutzer eingeladen“, später „Einladung angenommen“.

Eine Einladung zurückziehen Sie mit dem X am Ende der Zeile („Einladung widerrufen“). Es erscheint „Einladung widerrufen.“

Gut zu wissen

• Der Link gilt sieben Tage und lässt sich einmal verwenden. Danach zeigt heinzelhaus „Einladung nicht gültig“ und bittet, beim Administrator eine neue Einladung anzufordern.
• Die Einladung gilt nur für genau die Adresse, an die sie ging.
• Gibt es zur Adresse schon ein Konto, erscheint „Zu dieser Adresse gibt es bereits ein Konto.“
• Der Link in der E-Mail beginnt mit der Adresse Ihrer Installation, siehe Erste Einrichtung.
• Die Rolle „Benutzer“ in der Einladung ist in der Karte „Rollen und Rechte“ die Rolle „Nur Lesen“. Sie sehen dann Objekte, Kontakte, Abrechnungen und Aufträge, ändern aber nichts. Weisen Sie die passende Rolle nach der Annahme zu.

Achtung

Schlägt der Versand fehl, erscheint „Einladung angelegt, aber der Versand schlug fehl: …“. Die Einladung bleibt bestehen, der Link wird aber nirgends angezeigt, und es gibt keinen Knopf, um ihn erneut zu senden. Ziehen Sie die Einladung mit dem X zurück, richten Sie den Mailversand ein und laden Sie die Person erneut ein. Oder legen Sie das Konto direkt an.

Benutzer direkt anlegen

Damit ein Konto auch ohne E-Mail-Einladung entsteht, zum Beispiel wenn noch kein Mailversand eingerichtet ist.

1. Klicken Sie in der Karte „Benutzer“ auf „Benutzer anlegen“. Es öffnet sich der Dialog „Neuen Benutzer anlegen“.
2. Tragen Sie „Name“, „E-Mail-Adresse“ und „Passwort“ ein. Das Passwort braucht mindestens 12 Zeichen. Wählen Sie die „Rolle“ („Benutzer“ oder „Administrator“).
3. Klicken Sie auf „Anlegen“. Es erscheint „Benutzer angelegt.“
4. Geben Sie das Passwort auf einem sicheren Weg weiter. Die Person ändert es danach selbst unter „Sicherheit“ → „Kennwort ändern“.

Die Karte „Benutzer“ zeigt „Name“, „E-Mail“, „Rolle“ und „Angelegt“. Als Rolle steht dort nur „Administrator“ oder „Benutzer“. Auch Konten mit der Rolle Buchhaltung, Sachbearbeitung oder Handwerker erscheinen als „Benutzer“. Die genaue Rolle zeigt die Karte „Rollen und Rechte“.

Achtung

Ein Administrator, der das Passwort für eine andere Person setzt, kennt es. Dann lässt sich keine Handlung im Protokoll mehr eindeutig dieser Person zuordnen. Bevorzugen Sie deshalb die Einladung.

Rolle und Rechte ändern

Damit jede Person genau das sieht und tut, was zu ihrer Arbeit gehört.

1. Öffnen Sie die Karte „Rollen und Rechte“. Jede Person steht mit ihrer Rolle in einer Zeile. Ein Hinweis „angepasst“ zeigt Einzelrechte, die von der Rolle abweichen.
2. Klicken Sie bei der Person auf „Bearbeiten“. Es öffnet sich ein Dialog mit dem Titel „Berechtigungen —“ und dem Namen der Person.
3. Wählen Sie die „Rolle“. Ein Rollenwechsel setzt Abweichungen zurück, denn sie bezogen sich auf die alte Rolle.
4. Wollen Sie davon abweichen, setzen oder entfernen Sie unter „Einzelne Rechte“ ein Häkchen. Abweichungen sind markiert: „zusätzlich“ für ein erteiltes, „entzogen“ für ein genommenes Recht.
5. Klicken Sie auf „Speichern“. Es erscheint „Berechtigungen gespeichert.“ Die Person erhält die Benachrichtigung „Ihre Berechtigungen wurden geändert“ mit der neuen Rolle.

Die fünf Rollen

Die Rolle ist der Normalfall, ein Einzelrecht die Ausnahme. Wer für jeden Kollegen eigene Häkchen setzt, baut sich über Monate ein Rechtegeflecht, das niemand mehr überblickt.

Rolle	Gedacht für
Administrator	Leitung und Betreuung der Installation. Alle Rechte außer „Personenbezogene Nutzungsstatistiken einsehen“.
Buchhaltung	Buchen, Abrechnen und den Rechnungseingang pflegen. Die Rechnungsfreigabe fehlt bewusst: Wer eine Rechnung erfasst und bucht, soll sie nicht auch selbst freigeben.
Sachbearbeitung	Objekte und Kontakte pflegen, Briefe schreiben, Fristen führen und Handwerker beauftragen
Nur Lesen	Objekte, Kontakte, Abrechnungen und Aufträge ansehen
Handwerker / Hausmeister	Nur Fristen und Aufträge. Externe sehen weder Buchhaltung noch Kontaktdaten der Eigentümer.

Alle Rechte im Überblick

Die Rechte heißen in der Oberfläche so, wie in der ersten Spalte. „ja“ heißt: Die Rolle enthält das Recht.

Recht	Administrator	Buchhaltung	Sachbearbeitung	Nur Lesen	Handwerker / Hausmeister
Objekte, Gebäude und Einheiten einsehen	ja	ja	ja	ja	–
Objekte, Gebäude und Einheiten ändern	ja	–	ja	–	–
Kontakte und Bankverbindungen einsehen	ja	ja	ja	ja	–
Kontakte und Bankverbindungen ändern	ja	–	ja	–	–
Buchungen, Konten und offene Posten einsehen	ja	ja	–	–	–
Buchungen erfassen und stornieren	ja	ja	–	–	–
Sachkonten anlegen, ändern und deaktivieren	ja	ja	–	–	–
Abrechnungen einsehen	ja	ja	ja	ja	–
Abrechnungen berechnen und versenden	ja	ja	–	–	–
Briefe und Serienbriefe erstellen	ja	–	ja	–	–
Fristen anlegen und abhaken	ja	–	ja	–	ja
Handwerkeraufträge und ihr Protokoll einsehen	ja	ja	ja	ja	ja
Aufträge anlegen, Status ändern, archivieren und löschen	ja	–	ja	–	ja
Portalzugänge für Handwerker erteilen, per E-Mail versenden und widerrufen	ja	–	ja	–	–
Eingangsrechnungen hochladen und Angaben ergänzen	ja	ja	–	–	–
Eingangsrechnungen freigeben, ablehnen und als bezahlt kennzeichnen	ja	–	–	–	–
Firmenkennzahlen einsehen	ja	ja	–	–	–
Personenbezogene Nutzungsstatistiken einsehen	–	–	–	–	–
Einstellungen der Installation ändern	ja	–	–	–	–
Benutzer einladen, Rollen vergeben, Konten sperren	ja	–	–	–	–

Welcher Menüpunkt braucht welches Recht

Ein Menüpunkt erscheint nur, wenn die Person das Recht hat. Dashboard und Chat sehen alle, die angemeldet sind.

Menüpunkt in der Seitenleiste	Benötigtes Recht
Objekte, Beschlüsse	Objekte, Gebäude und Einheiten einsehen
Kontakte, Mietverträge	Kontakte und Bankverbindungen einsehen
Buchhaltung, Rechnungseingang	Buchungen, Konten und offene Posten einsehen
Sollstellung, Zahlungseingang, Mahnwesen	Buchungen erfassen und stornieren
Abrechnungen, Wirtschaftspläne, Jahresabrechnungen, Dokumente	Abrechnungen einsehen
Aufträge	Handwerkeraufträge und ihr Protokoll einsehen
Fristen	Fristen anlegen und abhaken
Briefe	Briefe und Serienbriefe erstellen
Statistiken	Firmenkennzahlen einsehen
Datenübernahme, Einstellungen	Einstellungen der Installation ändern

Gut zu wissen

• Ein entzogenes Recht gewinnt immer gegen die Rolle und gegen zusätzlich erteilte Rechte.
• Ein ausgeblendeter Menüpunkt ist keine Absicherung. Jede Seite und jede Aktion prüft dasselbe Recht noch einmal auf dem Server. Wer die Adresse einer Seite kennt, kommt ohne Recht trotzdem nicht hinein.
• Manche Rechte wirken erst zusammen mit einem anderen. Das Häkchen zeigt dann den Hinweis „Wirkt erst zusammen mit …“. Zum Beispiel braucht das Erteilen von Portalzugängen auch das Recht, Aufträge einzusehen, und die Rechnungsfreigabe auch das Recht, Buchungen einzusehen.
• „Personenbezogene Nutzungsstatistiken einsehen“ hängt bewusst an keiner Rolle. Wer sehen kann, wann welcher Mitarbeiter angemeldet war, betreibt Verhaltenskontrolle. Sie ist mitbestimmungspflichtig und muss ausdrücklich vergeben werden.
• Rechte gelten je Bereich, nicht je Objekt. Eine Person, die Objekte ändern darf, darf es für alle Objekte.

Einstellungen und Benutzerverwaltung bleiben Administratoren vorbehalten

Die Einstellungen, die Datenübernahme und die Benutzerverwaltung öffnen sich nur für Konten mit der Rolle „Administrator“. Das Einzelrecht „Einstellungen der Installation ändern“ blendet bei anderen Rollen zwar den Menüpunkt ein, das Öffnen leitet sie aber zum Dashboard um. Vergeben Sie diese Rechte deshalb nicht einzeln an andere Rollen.

Konto sperren und entsperren

Damit ausgeschiedene oder verdächtige Konten sofort stillgelegt sind, ohne dass Spuren verloren gehen.

1. Klicken Sie in der Karte „Rollen und Rechte“ bei der Person auf das Schloss-Symbol („Sperren“).
2. Es erscheint „Konto gesperrt.“ Die Zeile zeigt „gesperrt“.
3. Zum Entsperren klicken Sie auf das offene Schloss („Entsperren“). Es erscheint „Konto entsperrt.“

Beim Sperren beendet heinzelhaus alle laufenden Sitzungen der Person. Gesperrte Konten erhalten auch keine E-Mails zu Fristen. Auf dem Dashboard zeigt die Kachel „Systemstatus“ (nur für Administratoren) die Zahl der Benutzer und der gesperrten Konten, zum Beispiel „5 Benutzer · 1 gesperrt“.

Gut zu wissen

Ein Konto wird gesperrt und nicht gelöscht. Ein gelöschter Benutzer nähme die Zuordnung seiner Buchungen mit. Die Nachvollziehbarkeit ist nach den Grundsätzen ordnungsmäßiger Buchführung (GoBD) aber ein Muss.

Schutz vor dem Aussperren

• Sie können sich nicht selbst sperren: „Sie können sich nicht selbst sperren.“
• Sie können sich die Benutzerverwaltung nicht selbst entziehen: „Sie können sich die Benutzerverwaltung nicht selbst entziehen. Bitten Sie eine andere Person mit Administratorrechten darum.“
• Der letzte Administrator bleibt Administrator: „Das ist der letzte Administrator. Bitte zuerst jemand anderen mit Administratorrechten ausstatten.“

Häufige Fehler

Meldung oder Situation	Ursache	Lösung
„Einladung angelegt, aber der Versand schlug fehl: …“	Der Mailversand ist nicht eingerichtet oder fehlerhaft.	Siehe Mailversand. Ziehen Sie die Einladung zurück und laden Sie erneut ein, oder legen Sie das Konto direkt an.
„Zu dieser Adresse gibt es bereits ein Konto.“	Die Adresse hat schon ein Konto.	Weisen Sie dem bestehenden Konto die Rolle zu.
„Einladung nicht gültig“	Der Link ist abgelaufen oder wurde schon benutzt.	Laden Sie die Person erneut ein.
„Benutzer konnte nicht angelegt werden“	Die Angaben stimmen nicht, zum Beispiel ist das Passwort kürzer als 12 Zeichen.	Prüfen Sie die Angaben.
Der Reiter „Benutzer“ öffnet sich nicht, stattdessen erscheint „Sicherheit“	Dem Administrator fehlt die starke Anmeldung.	Richten Sie einen Passkey oder die Authenticator-App ein, siehe Anmeldesicherheit und Zwei-Faktor-Pflicht.
Ein Mitarbeiter sieht einen Menüpunkt nicht	Ihm fehlt das Recht.	Prüfen Sie die Tabelle „Welcher Menüpunkt braucht welches Recht“ und ändern Sie Rolle oder Einzelrecht.
Ein Mitarbeiter kann sich nicht anmelden	Das Konto ist gesperrt, oder die Passwort-Anmeldung ist wegen zu vieler Fehlversuche 15 Minuten gesperrt.	Prüfen Sie in der Karte „Rollen und Rechte“, ob „gesperrt“ dasteht. Zur Passwort-Sperre siehe Anmeldesicherheit und Zwei-Faktor-Pflicht.

Noch nicht möglich

• Passwort zurücksetzen. Es gibt keine Funktion „Passwort vergessen“, und kein Administrator kann das Passwort einer anderen Person neu setzen. Wer einen Passkey hat, meldet sich damit an. Sonst wenden Sie sich an Ihre IT. Raten Sie Ihrem Team deshalb, vorsorglich einen Passkey einzurichten.
• Benutzer löschen. Konten lassen sich nur sperren.
• Rechte je Objekt. Rechte gelten je Bereich für alle Objekte.
• Einladung erneut senden oder den Link anzeigen. Das geht erst, wenn die Einladung neu angelegt wird.
• Mehr als zwei Rollen beim Einladen. Eingeladen oder direkt angelegt werden Personen als „Benutzer“ oder „Administrator“. Buchhaltung, Sachbearbeitung und Handwerker weisen Sie danach in der Karte „Rollen und Rechte“ zu.

Weiter geht es hier

• Anmeldesicherheit und Zwei-Faktor-Pflicht: Was für Administratoren gilt.
• Mailversand: Ohne ihn keine Einladungen.
• Anmelden: Was die eingeladene Person sieht.