# Rechte je Rolle und je Bereich

Die vollständige Übersicht, was **Inhaber**, **Manager** und **Mitglied** in jedem Bereich des Portals dürfen — dazu je Bereich die Tabelle, welche Aufgabe an welchem Recht hängt.

> **Typ:** nachschlagen
> **Für wen:** alle, die eine Rolle vergeben oder nachsehen wollen, warum eine Schaltfläche gesperrt ist
> **Voraussetzung:** keine — die Übersicht gilt für jede Organisation
> **Ort im Portal:** **Team › Rollen**, die Rechte selbst stehen im Rechte-Auswähler des Rollen-Editors

So lesen Sie die Tabellen: Ein Haken (✓) heißt „darf diese Aufgabe ausführen“, „lesend“ heißt „ansehen ja, ändern nein“, ein Strich (–) heißt „nicht über diese Rolle“. Ein Strich ist kein endgültiges Nein: Dieselbe Aufgabe lässt sich über ein Direktrecht oder eine eigene Rolle öffnen. Die Bezeichnungen in der Spalte **Recht** sind die Klartext-Namen, unter denen der Rechte-Auswähler das Recht führt.

## Was die drei Rollen dürfen

| Bereich | Inhaber | Manager | Mitglied |
|---|:---:|:---:|:---:|
| Dashboard öffnen | ✓ | ✓ | ✓ |
| Medien hochladen und pflegen | ✓ | ✓ | – |
| Szenen, Playlisten und Programme ansehen | ✓ | ✓ | – |
| Szenen bearbeiten und veröffentlichen | ✓ | ✓ | – |
| Playlisten und Programme anlegen oder ändern | ✓ | ✓ | – |
| Szenen, Medien, Playlisten, Programme löschen | ✓ | ✓ | – |
| Layout-Vorlagen pflegen | ✓ | ✓ | – |
| Displays ansehen (Liste und Detailseite) | ✓ | ✓ | ✓ |
| Displays koppeln, benennen, taggen | ✓ | ✓ | – |
| Display-Befehle senden (Inhalt aktualisieren, Bildschirmfoto …) | ✓ | ✓ | – |
| Displays entfernen | ✓ | – | – |
| Leinwände anlegen, umbauen, auflösen | ✓ | ✓ | – |
| Geräte ansehen und fernsteuern | ✓ | ✓ | – |
| Geräte neu koppeln, entfernen oder als verloren melden | ✓ | – | – |
| Apps sehen | ✓ | ✓ | ✓ |
| Apps installieren, aktualisieren, deinstallieren | ✓ | – | – |
| Inhaber um eine App oder eine Entscheidung über ein Update bitten | ✓ | ✓ | – |
| Auswertung ansehen, Berichte anlegen und ausführen | ✓ | ✓ | – |
| Team sehen | ✓ | ✓ | – |
| Mitglieder einladen, Rollen vergeben, Konten sperren oder löschen | ✓ | – | – |
| Rollen und Direktrechte | ✓ | lesend | – |
| Paket und gebuchte Plätze sehen | ✓ | ✓ | – |
| Paket wechseln, Rechnungen, Zahlungsmittel | ✓ | – | – |
| Stammdaten und Marke der Organisation | ✓ | lesend | lesend |
| Eigene Adresse, Unternehmens-Anmeldung, Gefahrenzone | ✓ | – | – |
| API-Schlüssel ausstellen und widerrufen | ✓ | – | – |
| Webhooks | ✓ | lesend | – |
| Änderungsprotokoll lesen | ✓ | ✓ | – |
| Geänderte Werte eines Eintrags, Export anfordern und herunterladen | ✓ | – | – |
| Exporte auflisten und einsehen | ✓ | ✓ | – |

Zwei Dinge, die aus dieser Tabelle folgen und im Portal sofort sichtbar sind: Die Seitenleiste zeigt nur die Bereiche, für die Ihr Konto ein Recht trägt — ein Mitglied sieht in der Grundeinstellung fünf Einträge. Und einen Bereich, den Sie nur ansehen dürfen, kennzeichnet der Vermerk **Nur lesend.**, oft mit dem Zusatz „Sie können diese Angaben einsehen. Ändern dürfen sie Konten mit der Rolle Inhaberin oder Verwaltung.“

## Medien

| Aufgabe | Recht |
|---|---|
| Bibliothek und Ordner ansehen | **Medien auflisten**, **Medien einsehen**, **Ordner auflisten** |
| Medien hochladen | **Medien hochladen** |
| Name und Tags bearbeiten, Medien verschieben, wiederherstellen | **Medien bearbeiten** |
| Medium in den Papierkorb legen und endgültig löschen | **Medien löschen** |
| Ordner anlegen, umbenennen, verschieben, löschen | **Ordner anlegen**, **Ordner bearbeiten**, **Ordner löschen** |
| Gespeicherte Filter anlegen, bearbeiten, löschen | **Smart-Buckets anlegen**, **Smart-Buckets bearbeiten**, **Smart-Buckets löschen** |

## Szenen, Playlisten und Programme

| Aufgabe | Recht |
|---|---|
| Szenen-Liste öffnen, eine Szene ansehen | **Szenen auflisten**, **Szenen einsehen** |
| Szene anlegen | **Szenen anlegen** |
| Am Entwurf arbeiten | **Szenen bearbeiten** |
| Entwurf veröffentlichen, auf eine frühere Version zurücksetzen | **Szenen veröffentlichen** |
| Szene archivieren oder löschen | **Szenen archivieren**, **Szenen löschen** |
| Playlisten anlegen, ändern, löschen | **Playlisten anlegen**, **Playlisten bearbeiten**, **Playlisten löschen** |
| Programme anlegen, ändern, löschen | **Zeitpläne anlegen**, **Zeitpläne bearbeiten**, **Zeitpläne löschen** |

Eine veröffentlichte Szenen-Version ist unveränderlich. Das Zurücksetzen ersetzt nur den Entwurf durch einen früheren Stand, und auf die Bildschirme kommt dieser Stand erst mit dem nächsten Veröffentlichen. Ein eigenes Recht hat es nicht: Es verlangt **Szenen veröffentlichen** — **Szenen bearbeiten** genügt dafür nicht.

Die beiden Lese-Rechte stehen bewusst oben in der Tabelle: Ohne sie erscheint **Szenen** gar nicht erst in der Seitenleiste. Ein **Mitglied** trägt sie in der Grundeinstellung nicht. Soll jemand Inhalte nur lesen dürfen, legen Sie im Reiter **Rollen** die **Vorlage „Inhalte-Leser“** an. Dieselbe Überlegung gilt für Playlisten und Programme, deren Lese-Rechte am selben Punkt hängen.

## Displays, Geräte und Leinwände

| Aufgabe | Recht |
|---|---|
| Flotte ansehen, Detailseite öffnen | **Player auflisten**, **Player einsehen** |
| Display koppeln | **Player koppeln** |
| Befehle senden | **Fernbefehle senden** |
| Name und Beschreibung bearbeiten | **Player bearbeiten** |
| Lage korrigieren oder wieder automatisch bestimmen lassen | **Player bearbeiten** |
| Tags verwalten | **Tags verwalten** |
| Programm zuweisen, Zuweisung entfernen, Übersteuerung setzen und beenden | **Zeitpläne bearbeiten** |
| Wiedergabe-Verlauf lesen | **Wiedergabe-Historie einsehen** |
| Leinwände anlegen, umbauen, auflösen | **Leinwände verwalten** |
| Geräte ansehen und fernsteuern | **Geräte auflisten**, **Geräte fernsteuern** |
| Display entfernen | **Displays entfernen** |
| Gerät neu koppeln, in den Werkszustand versetzen, aus der Organisation entfernen oder als verloren melden | **Geräte neu koppeln, entfernen oder sperren** |

Für die Lage eines Displays gibt es kein eigenes Recht. Sie gehört zu dessen Stammdaten und hängt deshalb an **Player bearbeiten**. Wer den Namen ändern darf, darf auch die Anschrift richtigstellen. **Tags verwalten** ist davon getrennt — es gilt für alle Displays zugleich.

## Apps

| Aufgabe | Recht | Standardmäßig bei |
|---|---|---|
| Apps-Bereich und Katalog ansehen | **Apps ansehen** | Inhaber, Manager, Mitglied |
| App installieren | **Apps installieren** | nur Inhaber |
| App aktualisieren | **Apps aktualisieren** | nur Inhaber |
| App deinstallieren und die Daten einer deinstallierten App löschen lassen | **Apps deinstallieren** | nur Inhaber |
| Neue Rechte einer App annehmen oder ablehnen | **Nutzungsbedingungen zustimmen** | nur Inhaber |
| Die Inhaber bitten, eine App zu installieren oder über ein Update zu entscheiden | **Inhaber um Apps bitten** | Inhaber, Manager |
| Notdienst-Standorte pflegen | kommt mit der App **Notdienst** | Inhaber, Manager |
| Notdienst-Einträge korrigieren oder importieren | kommt mit der App **Notdienst** | Inhaber, Manager, der Import nur Inhaber |

Mit der Installation einer App kommen deren Rechte in den Rechte-Katalog Ihrer Organisation und stehen danach im Rechte-Auswähler zur Auswahl.

## Auswertung und Änderungsprotokoll

| Aufgabe | Recht |
|---|---|
| Kennzahlen des Dashboards sehen | **Dashboard einsehen** |
| Auswertung öffnen, Berichte ansehen und ausführen | **Berichte auflisten**, **Berichte einsehen**, **Berichte ausführen** |
| Bericht anlegen, ändern, löschen | **Berichte anlegen**, **Berichte bearbeiten**, **Berichte löschen** |
| Alle Vorgänge im Protokoll lesen | **Protokoll einsehen** |
| Nur die eigenen Vorgänge lesen | **Eigene Vorgänge einsehen** |
| Die geänderten Werte eines Eintrags aufklappen | **Geänderte Werte einsehen** |
| Einen Export anfordern, fremde Exporte holen, Exporte vorzeitig löschen | **Protokoll-Export anstoßen**, **Fremde Exporte herunterladen**, **Exporte löschen** (nur Inhaber) |
| Die Exporte auflisten und einen Auftrag öffnen | **Exporte auflisten**, **Export einsehen** (Inhaber, Manager) |

## Abrechnung

| Aufgabe | Recht |
|---|---|
| Abrechnung öffnen, Vertrag sehen | **Vertrag einsehen** (Inhaber, Manager) |
| Bestellen: Paket, Displays, Leinwände, Zahlungszeitraum, Player | **Vertrag wechseln** (nur Inhaber) |
| Rechnungen sehen, Beleg und E-Rechnung abrufen | **Rechnungen einsehen**, **Rechnungen herunterladen** (nur Inhaber) |
| Zahlungsmittel sehen und verwalten | **Zahlungsmittel einsehen**, **Zahlungsmittel verwalten** (nur Inhaber) |

## Organisation und Einstellungen

| Aufgabe | Recht |
|---|---|
| Stammdaten der Organisation einsehen | **Organisationsprofil einsehen** (alle drei Rollen) |
| Stammdaten ändern | **Organisationsprofil bearbeiten** (nur Inhaber) |
| Logo, Favicon und Farben ändern | **Erscheinungsbild pflegen** (nur Inhaber) |
| Eigene Adresse anfordern oder entfernen | **Eigene Domain verwalten** (nur Inhaber) |
| Anbieter, Domänen und Erzwingung der Unternehmens-Anmeldung verwalten | **Unternehmens-Anmeldung einrichten** (nur Inhaber) |
| Organisation endgültig löschen | **Organisation löschen** (nur Inhaber) |

## API-Schlüssel und Webhooks

| Aufgabe | Recht |
|---|---|
| Schlüssel ansehen, ausstellen, widerrufen | **API-Schlüssel auflisten**, **API-Schlüssel ausstellen**, **API-Schlüssel widerrufen** (nur Inhaber) |
| Eingerichtete Adressen mit ihren Ereignissen ansehen | **Webhooks auflisten** (Inhaber, Manager) |
| Zustellungen mit Zeitpunkt, Antwort und Fehlergrund lesen | **Zustellungen auflisten** (Inhaber, Manager) |
| Adresse anlegen, ändern, löschen | **Webhooks anlegen**, **Webhooks bearbeiten**, **Webhooks löschen** (nur Inhaber) |
| Eine fehlgeschlagene Zustellung erneut schicken | **Zustellung wiederholen** (nur Inhaber) |

Daher steht in der Rollen-Tabelle bei **Webhooks** für den Manager „lesend“: Er sieht die eingerichteten Adressen und ihre Zustellungen, das Anlegen, Ändern und Löschen bleibt beim Inhaber. Ein Manager, der beides braucht, bekommt die drei Rechte über eine eigene Rolle.

## Team

| Aufgabe | Recht |
|---|---|
| Mitgliederliste und Detailseite ansehen | **Mitglieder auflisten**, **Mitglieder einsehen** |
| Anzeigename eines Mitglieds ändern | **Mitglieder bearbeiten** |
| Mitglied einladen | **Mitglieder einladen** |
| Einladungen ansehen und zurückziehen | **Einladungen auflisten**, **Einladungen zurückziehen** |
| Beitrittsanfragen ansehen und entscheiden | **Beitrittsanfragen einsehen**, **Beitrittsanfragen entscheiden** |
| Rolle zuweisen oder wechseln | **Rollen zuweisen** |
| Konto sperren, entsperren, löschen | **Konten sperren**, **Konten entsperren**, **Konten löschen** |
| Rollen ansehen, anlegen, ändern, löschen | **Rollen auflisten**, **Rollen einsehen**, **Rollen anlegen**, **Rollen bearbeiten**, **Rollen löschen** |
| Direktrechte ansehen, vergeben, widerrufen | **Direktrechte auflisten**, **Direktrechte vergeben**, **Direktrechte widerrufen** |

## Wie die Rechte außerhalb des Portals heißen

Jedes Recht trägt neben seinem Klartext-Namen einen festen Schlüssel aus Bereich, Gegenstand und Vorgang, etwa `identity.user.invite`. Im Portal begegnet er Ihnen nicht — dort steht überall der Klartext-Name. Sichtbar wird er, sobald Sie über die API oder die Kommandozeile arbeiten: Eine abgewiesene Anfrage nennt das fehlende Recht in ihren Fehlerdaten im Feld `missing`, und wer eine Rolle darüber anlegt oder ändert, gibt ihren Umfang als Liste dieser Schlüssel an. Für die Aufgaben rund um Team, Rollen und Direktrechte:

| Recht | Schlüssel |
|---|---|
| **Mitglieder auflisten** | `identity.user.list` |
| **Mitglieder einsehen** | `identity.user.read` |
| **Mitglieder bearbeiten** | `identity.user.update` |
| **Mitglieder einladen** | `identity.user.invite` |
| **Einladungen auflisten** | `identity.invitation.list` |
| **Einladungen zurückziehen** | `identity.invitation.revoke` |
| **Beitrittsanfragen einsehen** | `identity.join-request.list` |
| **Beitrittsanfragen entscheiden** | `identity.join-request.decide` |
| **Rollen zuweisen** | `identity.user.assign-roles` |
| **Konten sperren** | `identity.user.suspend` |
| **Konten entsperren** | `identity.user.reactivate` |
| **Konten löschen** | `identity.user.delete` |
| **Rollen auflisten** | `access.role.list` |
| **Rollen einsehen** | `access.role.read` |
| **Rollen anlegen** | `access.role.create` |
| **Rollen bearbeiten** | `access.role.update` |
| **Rollen löschen** | `access.role.delete` |
| **Direktrechte auflisten** | `access.grant.list` |
| **Direktrechte vergeben** | `access.grant.create` |
| **Direktrechte widerrufen** | `access.grant.revoke` |

Dasselbe Muster tragen alle übrigen Rechte: `scene.publish` für **Szenen veröffentlichen**, `fleet.player.update` für **Player bearbeiten**, `webhook.create` für **Webhooks anlegen**. Rechte, die mit einer App in Ihren Katalog kommen, tragen deren eigenen Bereich im Schlüssel.

## Weiterführendes

- [Wer darf im Portal was?](/docs/organisation/rollen-und-rechte)
- [Mitglieder verwalten: Rolle ändern, sperren, entfernen](/docs/organisation/mitglieder-verwalten)
- [Kein Zugriff, ausgegraute Schaltfläche, gesperrter Bereich](/docs/hilfe/kein-zugriff-und-berechtigungen)