Feinteilige Rechte lassen das Team aufatmen

In Agenturen und Holdings beginnt die Leck-Geschichte so: am Setup-Tag heißt es „Admins sollen alles sehen, sonst stockt die Arbeit“. Drei Monate später öffnet ein Praktikum den Kundenordner, sieht das Briefing der Rivalenmarke, oder eine Finanzdatei landet in einem öffentlichen Slack. Niemand hat gestohlen. Die Rolle ist zu weit. „Admin“ ist keine Person mehr — es ist eine Gewohnheit: jeder klemmende Ablauf öffnet Rechte, und nichts wird je geschlossen.

Grobe Rechte wirken zuerst schnell. Ein Supportticket schließt mit „mach mich einfach zum Admin“. Dann hat niemand eine Karte: wer sieht diesen Ordner, wer darf diese Liste schieben, wer darf diesen Report exportieren. Am Audittag erscheint eine Excel-Matrix; sie trifft die Realität nicht, weil die Panel-Rechte seit sechs Monaten treiben. In Ontra steht die Antwort am Datensatz. „Wer sieht diesen Ordner?“ liest man aus Projekt- und Listenrechten. Der Quartals-Export druckt diese Live-Wahrheit.

Die erste Schicht ist die Rolle. Die Rolle sagt, was eine Person im System darf: Aufgaben schreiben, löschen, Docs anlegen, einladen, Reports lesen, API-Schlüssel, Tenant-Einstellungen. Ontras Rechtekatalog trennt das — Schlüssel wie `tasks.read`, `tasks.create`, `docs.update`, `roles.manage`. „Admin“ ist keine Magiekiste; es ist eine Rechtesliste. Geben Sie Löschen und Einladen nicht standardmäßig, wenn Sie sie nicht brauchen.

Die zweite Schicht ist die Ressource: welches Projekt, welcher Ordner. Dieselbe „Editor“-Rolle kann auf zwei Projekten mit unterschiedlichen Freigaben sitzen. Design sieht Marke A, nicht Marke B. Die dritte Schicht ist die Liste. Wer die Sprintliste sieht, muss nicht die Archiv-Warteschlange sehen. Mit `tasks.assigned_only` sieht ein Mitglied nur die ihm zugewiesenen Karten. Die Feldtechnikerin durchstreift nicht das ganze Projekt; der Büroplan zwingt dem Feld keinen Meilenstein auf.

Alle drei Schichten in einen „Admin“ zu kippen verkürzt das Setup und tötet das Audit. Das Gegenteil — eine Rolle je Karte — bläht auch. Fünf Rollen reichen: Owner/Admin, Projektleitung, Mitglied, Viewer, externer Gast. Feintuning sitzt an der Ressourcenfreigabe, nicht in Rolleninflation. Wechselt die Rolle, gilt sie im Panel ohne Session-Refresh. „Morgens Admin, mittags Viewer“ steht im Log.

Später korrigieren wird vergessen. Einladungslinks gelten sieben Tage; die Rolle sitzt dann. Das Ontra-Einladungsformular verlangt eine Rolle. „Erstmal Admin, später schauen wir“ erzeugt sechs Monate später immer noch einen Admin. Viewer ist trotzdem ein Sitz; kein geheimes Gratis-Konto. Endet das Praktikum, schließen Sie den Sitz und der Preis fällt in diesem Monat — schließen Sie nicht, bleibt auch das Recht.

Ein externer Gast braucht keine Workspace-Einladung. Einen Entwurf zeigen Sie per Passwort-Doc-Link; die Tür fällt, wenn er abläuft. Die Kundenleitung kann Viewer sein, lädt die Datei nicht, exportiert nicht. In vielen Tools kommentiert oder exportiert ein „Viewer“ trotzdem. In Ontra bleiben Erstellen, Löschen und externe Freigabe verborgen. Label und Recht sollen sich nicht widersprechen.

Rechte-Debatten gehen oft an den Buttons verloren. Steht „neue Aufgabe“ auf dem Schirm, drückt jemand. Ontra blendet für Viewer Erstellen und Löschen aus; externe Freigabe bleibt zu. Der Kunde sieht den Entwurf und lädt das Briefing nicht in ein anderes Studio. Das ist kein Misstrauen — es ist eine Vertragsgrenze. Rivalisierende Marken können im selben Agentur-Workspace sitzen; Design sieht nur die zugewiesene Marke.

Der Managementreport sieht Summen, nicht den Dateibaum. Eine Holding fragt „Aufwand dieses Kunden“ ohne Kontowechsel; ein Mitglied fällt nicht in den falschen Kundenordner. Der Firmendatensatz teilt Projekte, der Login bleibt einer. Einen zweiten Workspace zu öffnen ist Einladungs-Chaos: drei Passwörter, Reports die nie aufrollen, Admins die nie schließen.

Jedes Quartal drei Fragen: wer sieht diesen Ordner, braucht es diese Rolle noch, gehört dieser Sitz noch einer Person? Die Antwort kommt aus Ontra-Freigaben. Keine Excel-Matrix pflegen; der Datensatz ist die Freigabe. Ungenutzte Einladungen, offene Praktikums-Sitze und „Test-Admin“-Konten fallen in dieser Runde. Sicherheit ist kein zweites Produkt — es ist Pflege des Rechtesatzes.

API-Schlüssel sind die Verlängerung derselben Disziplin. Ein Vollzugriffs-Geheimnis kippt den Workspace. Scope eng halten, Wert einmal kopieren, Ungenutztes widerrufen. Schreibt ein Fremd-Scheduler nur Aufgaben, geben Sie weder Löschen noch Einladen. CI braucht einen eigenen, benannten Schlüssel. Ein Schlüssel namens „test“ läuft sechs Monate später in Production.

Ontra-Rechte sind gruppiert: Aufgaben, Projekte, Docs, Ziele, Formulare, Reports, Team, Verwaltung. `tasks.read` ist sehen, `tasks.create` schreiben, `tasks.status` schieben, `tasks.delete` löschen, `tasks.assigned_only` nur eigene Karten. Geben Sie einer Feldtechnikerin kein Löschen und nicht jedes Projekt. Eine Kundenleitung braucht `docs.read`, nicht `docs.delete`. Ein Praktikum bekommt nie `users.write`.

Es gibt Schreib-Shortcuts: `tasks.write` öffnet create+update+status. Halten Sie das nicht für „alles geben“. Löschen ist getrennt. `scope.all` hebt die Zuweisungsgrenze; gedacht für Holding-Admin, nicht für Mitglieder. `reports.read` öffnet den Report, nicht den Spez-Baum. Management-Summen vom Inhaltsbaum trennen. Diese Trennung ist die Basis der Agenturgeheimnisse.

Wechselt die Rolle, gilt sie im Panel sofort. „Sah das Projekt morgens, mittags nicht“ steht im Log. Nicht auf Session-Refresh warten. In der Quartalsrunde jede Rolle mit diesem Satz prüfen: ist dieses Recht für diesen Job nötig? Wenn nicht, streichen. Angesammelte Rechte sind angesammelte Leckfläche. Fünf Rollen reichen: Owner, Projektleitung, Mitglied, Viewer, externer Gast.

Marke A und Marke B sitzen im selben Studio. Design ist nur A zugewiesen. Die Freigabe ist Projekt A + Ordner A. Das Briefing von B erscheint nicht in Liste, Suche oder als Karten-Pin. Die Leitung sieht Aufwandsummen und nicht den Spez-Titel von B. Das Praktikum ist Viewer; kein Erstellen-Button, externe Freigabe zu. Admin zu öffnen „nur zum Schauen“ zerstört dieses Modell über Nacht.

In der Pitch-Phase keine Workspace-Einladung. Passwort-Link, Timer, Widerruf. Beim Gewinn öffnet das Projekt, die Freigabe wird geschrieben. Beim Verlust fällt der Link; das Archiv leckt nicht zur anderen Marke. Diese Tür ist das Gegenteil der Drive-Gewohnheit „jeder mit dem Link“ und das technische Gegenstück zum Agenturvertrag.

Keine Excel-Matrix — die Live-Freigabeliste. Ordner, Rolle, Sitz, externer Link, API-Schlüssel. Vier Fragen: wer sieht, noch nötig, gehört der Sitz einer Person, ist der Link noch offen? Die Antwort steht am Datensatz. „Test-Admin“ und offene Praktikumssitze fallen in dieser Runde. Sicherheit ist kein zweites Produkt; es ist Pflege des Rechtesatzes. Eine ungeprüfte Freigabe ist eine offene Tür.

Morgens wird ein Praktikum eingeladen. Das Formular verlangt eine Rolle: Viewer. Keine Admin-Abkürzung. Eine Freigabe wird für Ordner Marke A geschrieben, nicht Marke B. Nachmittags findet das Praktikum das Briefing von B nicht in der Suche, sieht keinen Pin, keinen Erstellen-Button. Admin zu öffnen „nur zum Schauen“ zerstört diesen Tag mit einem Zug. Abends stehen Einladung, Rolle und Freigabe im Log. Der Audittag braucht kein Excel.

Mittag: Kunde A will einen Entwurf. Keine Workspace-Einladung. Ein Passwort-Link für zwei Tage; die Tür fällt wenn die Zeit um ist. Der Kunde ist Viewer und lädt das Briefing nicht ins Studio C. Design sieht nur A. Die Leitung öffnet Aufwandsummen und sieht nicht den Spez-Titel von B. Diese drei Blicke sind ein Panel, keine drei Workspaces. Sitze gehören zum Workspace; Sie kaufen keinen eigenen Sitz für A.

Nachmittag: jemand sagt „ich sehe das Projekt nicht“. Die Lösung ist nicht Admin zu öffnen. Die Freigabe fehlt oder `tasks.assigned_only` ist enger als erwartet. Wechselt die Rolle, gilt sie sofort. „Sah es morgens, mittags nicht“ steht im Log. Abendnotiz für die Quartalsrunde: wer sieht diesen Ordner, gehört dieser Sitz einer Person, ist dieser externe Link offen, ist dieser Test-Admin noch da? Vier Fragen ersetzen ein Sicherheitsprodukt. Eine ungeprüfte Freigabe ist eine offene Tür.

Den Katalog nicht auswendig lernen; nach Job wählen. Feld: read + status + assigned_only. Editor: create/update, kein Löschen. Kunde: docs.read, Freigabe zu. Projektleitung: Projekt schreiben, einladen, Reports. Owner: Rollen und API. `scope.all` ist für Holding-Admin, nicht für Mitglieder. `reports.read` öffnet nicht den Spez-Baum. Ein Schreib-Shortcut öffnet nicht Löschen. Diese Sätze verlangsamen das Setup und schneiden das Leck. Schnell ist „Admin für alle“; teuer ist derselbe Satz.

In vielen Tools kommentiert oder exportiert ein „Viewer“ trotzdem. In Ontra bleiben Erstellen und Löschen verborgen; externe Freigabe bleibt zu. Die Kundenleitung sieht den Entwurf und lädt die Datei nicht.

Wechselt die Rolle, gilt sie im Panel ohne Session-Refresh. „Morgens Admin, mittags Viewer“ steht im Log; für ein Mitternachtsleck brauchen Sie kein zweites Tool.

„Wer sieht diesen Ordner?“ beantworten Projekt- und Listenrechte in Ontra. Pflegen Sie keine Excel-Matrix; der Datensatz ist die Freigabe. Der Quartals-Export druckt diese Live-Wahrheit.