Berechtigungen

FHZuletzt geändert 30. August 2026 · Franzi Halbhuber 3 min

Berechtigungen steuern, was ein Benutzer in den Anwendungen sehen und tun darf. Vergeben werden sie ausschließlich über Gruppen — das Benutzer-Formular bietet keine Einzelrechte an. Ein Benutzer erhält alle Berechtigungen der Gruppen, denen er angehört.

Diese Seite verwaltet den Katalog der verfügbaren Berechtigungen. Die Zuweisung selbst geschieht bei den Gruppen.

Der Name einer Berechtigung ist fest in den Anwendungen implementiert. Eine hier neu angelegte Berechtigung bewirkt von sich aus nichts — es sei denn, App oder Backend fragen genau diesen Namen ab. Umgekehrt kann das Löschen einer Berechtigung eine Funktion unerreichbar machen. Beides sollte nur in Abstimmung mit der Entwicklung geschehen.

Abbildung 1: Übersichtsseite der Berechtigungen

Spalten der Übersicht

Spalte	Bedeutung
Name	Der interne Name der Berechtigung, wie ihn die Anwendungen abfragen.
Beschreibung	Erläuterung, wofür die Berechtigung steht.
Angelegt	Zeitstempel der Anlage.
Aktualisiert	Zeitstempel der letzten Änderung.
Aktionen	Bearbeiten und Löschen.

Filterung und Suche

Über Filter lässt sich die Auflistung eingrenzen; Zurücksetzen leert die Eingaben wieder. Die Checkbox ist leer findet jeweils Einträge, bei denen das Feld nicht gefüllt ist.

Feld	Bedeutung
Name	Suche nach dem internen Namen.
Beschreibung	Suche in der Beschreibung.

Anlegen, bearbeiten und löschen

+ Neu legt eine Berechtigung an, Löschen entfernt sie nach Bestätigung der Sicherheitsabfrage. Zum Bearbeiten siehe Berechtigungen bearbeiten.

Löschen wirkt weiter, als die Sicherheitsabfrage vermuten lässt. Mit der Berechtigung verschwinden alle ihre Gruppen-Zuordnungen — ohne Hinweis und ohne zweite Warnung. Verwaiste Einträge bleiben keine zurück, ein Zurück gibt es aber auch nicht: Eine gleichnamig neu angelegte Berechtigung ist eine neue Berechtigung und in keiner Gruppe mehr enthalten. Sämtliche Zuweisungen müssten von Hand wiederhergestellt werden.

Welche Berechtigungen es gibt

Der Katalog ist nach dem Ort ihrer Wirkung geteilt:

App-Berechtigungen — was in SalesApp und WebApp möglich ist.

Backend-Berechtigungen — was im Backend (PIA) möglich ist.

Am Namen lässt sich ablesen, wohin eine Berechtigung gehört:

Präfix	Wirkung
`backend_…`	Sichtbarkeit einzelner Backend-Module, etwa `backend_product_show` oder `backend_media_show`.
`app_…`	Wird von SalesApp und WebApp ausgewertet, etwa `app_enable_products` oder `app_calculate_products`.
`backend`	Zugang zum Backend überhaupt.

Daneben gibt es einige ältere Namen ohne Präfix (mobile, frontend, edit_data, edit_news).

Das ist eine Konvention, keine Regel der Anwendung: Maßgeblich bleibt, welchen Namen App oder Backend tatsächlich abfragen. Praktisch bedeutet sie vor allem eines — wer eine Gruppe von einer Backend- auf eine App-Rolle umstellt, tauscht deren backend_-Berechtigungen gegen app_-Berechtigungen aus. Bekommt die WebApp scheinbar gar keine Berechtigungen, lohnt zuerst der Blick darauf, ob die Gruppe nur backend_-Rechte trägt.

Gut zu wissen

Nicht jede Zeichenkette, die wie eine Berechtigung aussieht, ist eine. Die Beschränkungen am Projekt Status — etwa app_prohibit_edit_offer — stehen nicht in diesem Katalog. Sie sind Sperren, die die Anwendungen auswerten, und lassen sich hier weder anlegen noch zuweisen.

Gehört ein Benutzer mehreren Gruppen an, sammeln sich die Berechtigungen aller seiner Gruppen. Wer jemandem etwas entziehen will, muss ihn also aus der Gruppe nehmen, die es gewährt — eine zweite Gruppe kann es nicht zurücknehmen.

Ein Benutzer ohne Gruppe steht nicht zwangsläufig ohne Rechte da. Die Anwendung kann einen Standardsatz vorsehen, der genau dann greift — üblicherweise das Nötigste, um die App überhaupt zu öffnen. Wer sich wundert, warum ein scheinbar rechteloser Benutzer trotzdem Produkte sieht, findet hier die Erklärung. Ob und in welchem Umfang das eingerichtet ist, hängt an der Instanz.

Ein Superadmin umgeht diesen Katalog vollständig. Für einen Benutzer mit Superadmin-Status gelten sämtliche Berechtigungen als erteilt, unabhängig davon, in welchen Gruppen er ist. Bei der Frage „warum sieht dieser Benutzer alles?" lohnt deshalb der Blick auf Berechtigungen und Gruppen des Benutzers, bevor man die Gruppen durchgeht.