Firmen, Personen und Rechte

Firmen
Personen
Rollen und Rechte
Gruppen und Zuweisungen
Typische Aufbauten

Firmen

Eine Firma ist die Einheit, der Webseiten und Personen gehören. Firmen bilden einen Baum: Der Betreiber (Wurzel) → Reseller → Agenturen → Kunden. Ein Kunde kann auch direkt unter dem Betreiber hängen.

📷 Screenshot: Menü Firmen — die Liste mit Typ, übergeordneter Firma und Zählern.

Was eine Firma hat


Typ	Betreiber, Reseller, Agentur oder Kunde — nur Anzeige. Was eine Firma darf, kommt aus Rollen; eine Firma kann Agentur und Reseller zugleich sein.
Übergeordnete Firma	Wer sie angelegt hat und betreut. Rechte fließen von oben nach unten.
Personen	Mitglieder mit Funktion (Inhaber, Mitarbeiter, Extern). Eine Person kann Mitglied vieler Firmen sein.
Webseiten	Die Webseiten, die ihr gehören.
Zwei Gruppen	„Firma · Personen" und „Firma · Webseiten" — entstehen mit der Firma und füllen sich selbst, auch mit Künftigem. Sie sind das Ziel von Zuweisungen: „Team B darf auf Kunde X · Webseiten alles".
Stammdaten	Anschrift, Ansprechpartner, Notizen.

Firma anlegen

Firmen → Firma anlegen. Name, Typ, übergeordnete Firma — zur Wahl stehen nur Firmen, an denen Sie „Kunden anlegen" (für Kunden) bzw. „Partner anlegen" (für Reseller und Agenturen) haben. Mit dem Anlegen entstehen die beiden Gruppen.

📷 Screenshot: Formular Neue Firma.

Die Firmenseite

📷 Screenshot: Firmenseite — Personen mit Funktion und Zustand, Webseiten, rechts „Deine Rechte hier" und Stammdaten.

Personen — wer dazugehört, mit Funktion, „Konto bei dieser Firma / anderer Firma" und Zustand (aktiv/ruht). Unten: Person aufnehmen per E-Mail-Adresse. Gibt es die Adresse schon, wird die Person nur Mitglied und ihr Konto bleibt bei seiner Firma. Sonst entsteht ein neuer Zugang, der dieser Firma gehört.
Webseiten — die Webseiten der Firma, mit „Webseite anlegen" direkt hier.
Deine Rechte hier — was Sie an dieser Firma dürfen, aufgelöst.
Untergeordnete Firmen, Stammdaten.

Ausschalten, löschen, umhängen

Eine Firma kann inaktiv gesetzt werden (Bearbeiten → Aktiv): Rechte über sie zählen nicht mehr, alles bleibt erhalten.

Löschen geht nur, wenn keine Webseiten, angelegten Personen, aktiven Mitglieder und untergeordneten Firmen mehr daran hängen. Erst umhängen oder entfernen.

Eine Firma lässt sich unter eine andere Firma verschieben (Bearbeiten → Übergeordnete Firma) — nie unter sich selbst oder eine ihrer eigenen Kundenfirmen.

Personen

Jede Person gibt es einmal: ein Zugang, eine E-Mail-Adresse, ein Konto bei Keyfront. Dazu beliebig viele Zugehörigkeiten zu Firmen.

📷 Screenshot: Menü Benutzer — Liste mit Zustand und Merkmalen.

Konto und Zugehörigkeit


Konto führt	Die Firma, die den Zugang angelegt hat. Nur sie — und ihre übergeordneten Firmen mit „Kunden-Personen verwalten" — ändern E-Mail, Name, Kennwort, zweiten Faktor, Sperre.
Zugehörigkeit	Person ist Mitglied einer Firma, mit Funktion. Mehrere möglich. Jede Zugehörigkeit hat einen Schalter: aktiv oder ruht.

Die Zugehörigkeit ist der Schalter für alle Rechte, die über eine Firma laufen: Gruppen der Firma, Rollen an ihr, Zuweisungen auf ihre Webseiten. Ruht sie, ruhen diese Rechte; wird sie eingeschaltet, sind sie wieder da. Nichts wird gelöscht oder neu vergeben.

Person anlegen oder aufnehmen

Neu: Benutzer → „Benutzer anlegen": E-Mail, Name, Firma (die das Konto führt). Die Person wird dort Mitarbeiter. Beim ersten Anmelden richtet Keyfront das Konto ein.
Aufnehmen: Auf der Firmenseite die E-Mail-Adresse eingeben. Gibt es die Person, wird sie Mitglied; ihr Konto bleibt, wo es ist. So kommen externe Entwickler zu mehreren Agenturen.

Die Benutzerseite

📷 Screenshot: Benutzerseite — links Person und Anmeldung, rechts Zustand, Firmen, Rechte, Browser-Erweiterung.

Links das Konto (E-Mail, Name, Anmeldung mit Kennwort setzen, Kennwortwechsel erzwingen, zweiten Faktor zurücksetzen, Sperre). Rechts:

Firmen — die Zugehörigkeiten mit Funktion und Zustand, je eine Schaltfläche Aktivieren / Ausschalten für Firmen, an denen Sie Personen verwalten.
Rechte — was die Person an der Instanz darf, ihre Gruppen und alle Zuweisungen (direkt oder über welche Gruppe).
Browser-Erweiterung — gekoppelte Browser, mit Widerrufen.

Führt eine andere Firma das Konto, sehen Sie die Seite nur lesend und können lediglich die Zugehörigkeit zu Ihren Firmen schalten.

Kennwort und zweiter Faktor neu setzen — die Übernahme-Regel

Drei Wege, drei Folgen:

Wer	Was	Folge
Die Person selbst (Profil)	Kennwort ändern, zweiten Faktor mit dem anderen Faktor neu einrichten	keine
Der Systemverwalter	neues Kennwort, TOTP löschen	keine
Ein Personenverwalter einer Firma	neues Kennwort, TOTP löschen	Gehört die Person nur zu dieser Firma: keine. Gehört sie auch zu anderen Firmen: siehe unten.

Wer Kennwort und zweiten Faktor neu setzt, übernimmt das Konto. Damit eine Firma nicht über diesen Weg in andere Firmen kommt, in denen dieselbe Person arbeitet, gilt:

Vor dem Speichern erscheint eine zweite Warnung: „Dieser Zugang ist auch bei anderen Firmen eingebunden — 2 Verbindungen werden deaktiviert." Ohne Namen; was die Person anderswo tut, geht diese Firma nichts an.
Nach der Bestätigung ruhen die Zugehörigkeiten zu allen Firmen außerhalb des Wirkungskreises dieser Firma. Alles andere bleibt.
Die Person bekommt eine E-Mail: welche Firma was getan hat und dass Verbindungen zu anderen Firmen getrennt wurden — ohne Namen, denn wer das Konto übernimmt, liest womöglich auch dieses Postfach.
Jede betroffene Firma bekommt an ihre Personenverwalter eine E-Mail: Die Verbindung zu dieser Person wurde aus Sicherheitsgründen getrennt; bitte Kontakt aufnehmen; und so schalten Sie sie wieder ein: Benutzer öffnen, bei Ihrer Firma Aktivieren.

📷 Screenshot: Die gelbe Übernahme-Warnung auf der Benutzerseite.

Sperren und löschen

Sperren (Zugang freigeschaltet aus) beendet alle Sitzungen sofort. Löschen entfernt den Zugang aus dem Admin; bei Keyfront bleibt das Konto bestehen. Beides nur, wer das Konto führt. Der letzte Systemverwalter lässt sich weder sperren noch löschen — auch nicht selbst.

Rollen und Rechte

Rechte sind fest im System hinterlegt. Rollen bündeln Rechte. Eine Zuweisung gibt einer Person oder Gruppe eine Rolle an einem Objekt: einer Webseite, einer Webseitengruppe, einer Firma oder der ganzen Instanz. Es gibt nur Zugänge, keine Verbote — wer weniger dürfen soll, ist nicht in der Gruppe. Hat jemand mehrere Wege, gilt die Summe.

📷 Screenshot: Rechte › Rollen — die Liste mit Rechten je Rolle.

Rollen an Webseiten

Rolle	Darf
Webseite sehen	Übersicht, Kopien, Screenshots, Protokoll — nichts ändern
Webseite bearbeiten	sehen + Einstellungen ändern
Kopie erstellen	sehen + Grabber starten, ohne online zu stellen
Online stellen	sehen + Version online stellen; Hostnamen, Wartung, Demo schalten
Webseite löschen	sehen + löschen
Backend-Zugriff	die Webseite über die Chrome-Erweiterung erreichen

Ziel: eine Webseite oder eine Webseitengruppe (auch „Alle Webseiten").

Rollen an Firmen

Rolle	Enthält	Typisch für
Firmenverwalter	Firma sehen; eigene Personen verwalten; eigene Webseiten verwalten (anlegen, bearbeiten, Kopie, online, Backend); eigene Webseiten löschen	Inhaber oder Admin eines Kunden
Agentur	Firmenverwalter + Kunden anlegen + Kunden-Personen verwalten + Kunden-Webseiten verwalten	die Agentur
Reseller	Firmenverwalter + Kunden anlegen + Partner anlegen — ohne Kunden-Personen	der Reseller
Externer Bearbeiter	Firma sehen + Kunden-Webseiten verwalten (ohne Löschen)	Entwickler, die für alle Kunden einer Agentur arbeiten

„Eigene" wirkt an der Firma selbst; „Kunden-" wirkt an allen Firmen darunter. Eine Firma, die Agentur und Reseller ist, bekommt beide Rollen.

Ziel: eine Firma. Meist zugewiesen an die Gruppe „Firma · Personen" — dann gilt es für alle Mitglieder.

Rollen an der Instanz

Rolle	Darf
System verwalten	Server, Überwachung, Protokoll, Gruppen, Rollen, Zuweisungen — alles, was weder an Personen noch an Webseiten hängt
Benutzer verwalten	alle Zugänge
Webseiten anlegen	in jeder Firma

Das ist der Betreiber. Für alle anderen laufen Anlegen und Verwalten über die Firmenrollen.

Drei Regeln

Nur vergeben, was man selbst hat. Wer eine Rolle zuweist, muss deren Rechte am Ziel selbst haben — an Firmen mit Übersetzung: Wer „Kunden-Webseiten" an der Agentur hat, kann „eigene Webseiten" an deren Kunden vergeben.
Die Zugehörigkeit ist der Schalter. Rechte über eine Firma zählen nur bei aktiver Zugehörigkeit zu ihr oder einer übergeordneten.
Der letzte Systemverwalter bleibt. Er lässt sich nicht entziehen, ausschalten, sperren oder löschen — auch nicht selbst.

Gruppen und Zuweisungen

Menü Rechte — für Systemverwalter. Drei Reiter: Zuweisungen, Gruppen, Rollen.

Gruppen

Eine Gruppe enthält Personen oder Webseiten. Sie ist nur ein Behälter; was ihre Mitglieder dürfen, steht in Zuweisungen.

📷 Screenshot: Rechte › Gruppen — Liste mit Typ, Anzahl und Mitgliedern als Text.

Drei Arten:

Eigene Gruppen — angelegt und befüllt von Hand: „Team Süd", „Kunden der Agentur X". Mitglieder ankreuzen, fertig.
Firmengruppen — „Firma · Personen", „Firma · Webseiten": entstehen mit der Firma, füllen sich selbst, lassen sich nicht ändern oder löschen.
Regelgruppen — „Alle Benutzer", „Alle Webseiten": jedes Objekt, auch künftige.

Zuweisungen

📷 Screenshot: Rechte › Zuweisungen — Liste mit Filter Wer/Worauf, gebündelt je Zeile mit Rollen als Marken.

Eine Zuweisung: Wer (Person oder Benutzergruppe) hat worauf (Webseite, Webseitengruppe, Firma, Instanz) welche Rollen, optional gültig bis, ein- oder ausgeschaltet.

Anlegen — „Zuweisung anlegen": Wer, Worauf, Rollen (passend zum Ziel), Frist. Rollen, die man selbst nicht hat, lehnt das System ab.
Bearbeiten — Rollen, Frist und Zustand ändern; Wer und Worauf sind fest. Dafür eine neue Zuweisung.
Ein-/Ausschalten — für Vertretungen oder ruhende Zugänge; nichts geht verloren.
Entziehen — mit Rückfrage.
Filter — „Wer" zeigt bei einer Person alles, was für sie gilt, auch über Gruppen (Spalte „Über"); „Worauf" zeigt bei einer Webseite alles, was auf sie wirkt, auch über Gruppen und „Alle Webseiten".

Dieselbe Tabelle steht an der Gruppe („was hängt an ihr") und am Benutzer („was gilt für ihn, direkt oder über welche Gruppe").

Struktur

Menü Struktur: der Baum aus Firmen, Personen und Webseiten, nur lesend, alles verlinkt. Das Info-Symbol an jedem Knoten zeigt die aufgelösten Rechte — an einer Webseite, wer was darf; an einer Person, was sie an der Firma und am System darf.

📷 Screenshot: Struktur mit geöffnetem Info-Fenster an einer Webseite.

Typische Aufbauten

Vier Aufbauten, die fast alles abdecken. Jeder ist mit den Mitteln aus Firmen, Personen und Gruppen und Zuweisungen gebaut — nichts Besonderes nötig.

1. Kunde ohne Agentur

Firma Müller GmbH (Kunde) direkt unter dem Betreiber. Rolle Firmenverwalter an „Müller GmbH · Personen". Frau Müller ist Inhaberin, ihr Mitarbeiter Dirk Mitarbeiter — beide dürfen die Webseiten der Firma verwalten. Ein Praktikant soll nur zuschauen: Person aufnehmen, dazu eine Zuweisung Webseite sehen auf „Müller GmbH · Webseiten" — und die Firmenverwalter-Rolle nicht an die Gruppe, sondern an Frau Müller und Dirk einzeln.

2. Agentur mit Kunden

Firma Agentur A (Agentur), Rolle Agentur an „Agentur A · Personen". Darunter Kunden B, C, D. Jeder Mitarbeiter von A darf damit an allen Kundenwebseiten alles außer löschen; neue Kunden und neue Webseiten sind sofort dabei. Die Kunden selbst bekommen Firmenverwalter oder nur Webseite sehen + Backend-Zugriff — je nachdem, ob sie Kopien erstellen sollen.

📷 Screenshot: Struktur mit Agentur A und drei Kunden.

3. Teams innerhalb der Agentur

Nicht jeder Mitarbeiter soll jeden Kunden bearbeiten. Dann bekommt „Agentur A · Personen" nicht die Agentur-Rolle, sondern nur Firma sehen. Stattdessen: Gruppen Team Nord und Team Süd (eigene Benutzergruppen der Agentur), und Zuweisungen Team Nord → „Kunde B · Webseiten" mit Bearbeiten, Kopie, Online, Backend; Team Süd → „Kunde C · Webseiten" und „Kunde D · Webseiten". Wechselt ein Kunde das Team, ändert sich eine Zuweisung. Legt ein Teammitglied eine neue Webseite für Kunde B an, hat das ganze Team sie.

4. Externe Entwickler

Entwicklerin J arbeitet für Agentur A und Agentur X. Ihr Konto führt A (dort angelegt). X nimmt sie per E-Mail-Adresse auf — sie wird Mitglied von X, ihr Konto bleibt bei A. Bei X ist sie in „Team Web"; damit gilt für sie, was Team Web darf. Verlässt sie X, schaltet X die Zugehörigkeit aus: alles bei X ruht, bei A ändert sich nichts. Setzt A ihr Kennwort neu, ruht die Zugehörigkeit zu X automatisch, X wird verständigt und schaltet nach Rücksprache wieder ein.

5. Reseller

Firma Reseller R, Rolle Reseller an „R · Personen". R legt Agenturen und Kunden an und gibt den Agenturen die Agentur-Rolle an ihrer jeweiligen Firma. R sieht alle Firmen und Webseiten darunter, aber keine Personen der Agenturen und Kunden. Ist R zugleich selbst Agentur für eigene Kunden: zusätzlich die Rolle Agentur an „R · Personen".