# Wer darf im Portal was?

Rollen und Rechte entscheiden, welche Bereiche ein Konto sieht und welche Schaltflächen es benutzen darf. Woraus ein Recht entsteht, rechnet die Plattform bei jeder einzelnen Aktion neu aus.

> **Typ:** konzept
> **Für wen:** alle, die Zugänge vergeben oder wissen wollen, warum etwas gesperrt ist
> **Voraussetzung:** ein Konto im Portal. Zum Vergeben von Rollen brauchen Sie in der Regel die Rolle **Inhaber**.
> **Ort im Portal:** **Team › Rollen**

## Drei eingebaute Rollen

Ein Konto trägt genau **eine** Rolle. Drei sind ausgeliefert. Das Portal beschreibt sie im Reiter **Rollen** selbst:

| Rolle | Beschreibung im Portal |
|---|---|
| **Inhaber** | „Trägt die Organisation: Vertrag und Rechnungen, Zugänge und Rollen, Inhalte und Geräte. Die einzige Rolle ohne Grenze.“ |
| **Manager** | „Führt den Tagesbetrieb vollständig — Inhalte anlegen, ändern und löschen, Displays betreiben, Team und Vertrag einsehen. Nichts, was Personen, Geld oder Gerätebestand dauerhaft verändert.“ |
| **Mitglied** | „Lesekonto für den Betrieb: Startseite, Displays und Apps, dazu das eigene Konto. Keine Verwaltung, keine Inhalte-Bearbeitung.“ |

Die Linie zwischen den ersten beiden: Der Manager löst den Tagesbetrieb vollständig, der Inhaber verantwortet Personen, Geld und Gerätebestand. Abrechnung ändern, Team verwalten, Apps installieren und das Zurücksetzen eines Displays bleiben deshalb beim Inhaber. Ansehen dürfen Manager Team und Vertrag. Gespeichert sind die drei als `OWNER`, `MANAGER` und `MEMBER`. So begegnen sie Ihnen im **Änderungsprotokoll** und in Fehlermeldungen.

**Mitglied** ist mit Absicht knapp: In der Seitenleiste stehen dann fünf Einträge — **Dashboard**, **Displays**, **Apps**, **Benachrichtigungen** und **Einstellungen**. Soll jemand zusätzlich Inhalte lesen dürfen, legen Sie mit einem Klick die **Vorlage „Inhalte-Leser“** an: „Mitglied plus lesender Zugriff auf Medien, Szenen, Playlisten und Zeitpläne“. Eingebaute Rollen sind schreibgeschützt. Den Regelfall passen Sie über eine eigene Rolle an.

## Wie ein Recht zustande kommt

Die Rechte stecken nicht fest in der Rolle. Die Plattform rechnet sie bei **jeder** Aktion neu aus — aus der Rolle und den Direktrechten des Kontos. Das Portal blendet Schaltflächen nur voraussichtlich passend ein und aus. Fehlt ein Recht, bleibt die Schaltfläche sichtbar, aber ausgegraut, und ein Tooltip nennt den Grund. Ein Bereich, für den das Leserecht fehlt, steht gar nicht erst in der Navigation.

![Ablauf einer Rechteprüfung: Erst prüft die Plattform, ob ein Verweigern vorliegt, dann, ob Rolle oder Erlauben die Aktion abdecken.](/de/docs/organization/bilder/89a5cf40-how-a-permission-arises.svg)

## Eigene Rollen und Direktrechte

Reichen die drei nicht, legen Sie eigene Rollen an. Deren Rechte wählen Sie im Rechte-Auswähler: Er zeigt den Katalog Ihrer Organisation, jedes Recht mit Klartext-Beschreibung. Der Katalog wächst mit — installiert Ihre Organisation eine App, kommen deren Rechte hinzu.

Daneben stehen **Direktrechte (Grants)**: „Hier vergeben Sie fein abgestufte Rechte auf einzelne Ressourcen. Ein Verweigern gewinnt immer.“ Sie treffen ein einzelnes Objekt, also eine **Szene**, eine **Playlist**, einen **Zeitplan**, ein **Display** oder ein **Medium**, als **Erlauben** oder **Verweigern**. Ein Erlauben wirkt zusätzlich zur Rolle, ein Verweigern schlägt beides.

## Was daraus folgt

- **Vergeben können Sie nur, was Sie selbst haben.** Zu große Rollen sperrt das Portal mit Grund: „Sie können nur Rollen vergeben, deren Rechte Sie selbst besitzen.“ **Inhaber** vergibt nur ein Inhaber. Der letzte Inhaber behält die Rolle.
- **Weniger Rechte heißt Rückstufung.** „Es gibt immer genau eine Rolle. Wer weniger können soll, wird auf Mitglied zurückgestuft.“ Trägt ein Konto keine Rolle, bleibt der Zugang bestehen, und es gelten nur seine Direktrechte.
- **Passt die Wirkung nicht zur Rolle, prüfen Sie die Direktrechte.** Ein Recht trotz gewechselter Rolle kommt von einem Erlauben, eine Sperre trotz passender Rolle von einem Verweigern.
- **Die Abstufung gehört zum Paket.** Im Paket Starter hat jedes Mitglied Vollzugriff. Der Reiter **Rollen** trägt dort **Nur lesend.** und den Hinweis „Rollen verwalten gibt es ab Pro.“

## Weiterführendes

- [Rechte je Rolle und je Bereich](/de/docs/organization/permissions-by-role)
- [Eigene Rollen anlegen und Direktrechte vergeben](/de/docs/organization/custom-roles)
- [Kein Zugriff, ausgegraute Schaltfläche, gesperrter Bereich](/de/docs/help/access-troubleshooting)