Mitgliederberechtigungen verwalten

Dieser Leitfaden führt Sie durch das Einladen von Personen in Ihre Organisation, das Zuweisen der richtigen Stellung an jede Person und das genaue Feinjustieren, welche Anlagen und Portfolios sie erreichen dürfen. Sie verwalten all das an einem Ort — dem Reiter Team — und müssen einzelne Rechte nie Stück für Stück anfassen.

Zwei Schichten bestimmen, was ein Mitglied tun darf. Seine Organisationsrolle legt eine Standardstellung über alles fest, was Ihre Organisation besitzt, und eine optionale Funktionsrolle auf einer einzelnen Anlage oder einem Portfolio hebt oder senkt diesen Standard für genau diese eine Ressource. Das vollständige Modell hinter diesen Schichten finden Sie im Berechtigungssystem. Dieser Leitfaden konzentriert sich auf die Aufgaben.

In Mirox öffnen

Verwalten Sie Ihr Team über Organisation ▸ Team — der Link öffnet Ihre Organisation direkt im Reiter Team. (Das Einladen und Ändern von Rollen steht Admins und Moderatoren offen — siehe die Regel weiter unten.)

Ein Mitglied einladen

Wenn Sie jemanden einladen, erhält die Person eine E-Mail, registriert ein Konto und tritt Ihrer Organisation mit der von Ihnen gewählten Rolle bei. Der gesamte Ablauf läuft für sie im Selfservice — siehe Onboarding für die Sicht des neuen Mitglieds und Einladungen für die drei Einladungsarten.

Wählen Sie im Reiter Team die Option Einladen.
Geben Sie die E-Mail-Adresse der Person ein.
Wählen Sie ihre Organisationsrolle (siehe Tabelle unten).
Wählen Sie die Sprache, in der die Einladungs-E-Mail versendet wird.
Wählen Sie Einladung senden.

Der neue Eintrag erscheint in der Teamliste als Eingeladen markiert, bis die Person annimmt. Über das Dropdown der Liste (Intern / Extern / Eingeladen / Alle) können Sie auf ausstehende Einladungen filtern, und über das Aktionsmenü eines Mitglieds eine Einladung erneut senden, falls sie abläuft.

Die Organisationsrolle wählen

Die gewählte Rolle ist die Standardstellung des Mitglieds in der gesamten Organisation. Jede Rolle bildet außerdem eine Standard-Funktionsrolle auf jeder Anlage ab, die Ihre Organisation besitzt.

Organisationsrolle	Was sie gewährt	Standard-Befugnis pro Anlage
Admin	Verwaltet alles — Mitglieder, Kooperationen, Abrechnung, sämtliche Ressourcen.	Betreiber (vollständige Verwaltung)
Moderator	Verwaltet Mitglieder, Kooperationen und Ressourcen gemeinsam mit dem Admin; nur das Löschen der Organisation bleibt dem Admin vorbehalten.	Betreiber (vollständige Verwaltung)
Asset Manager (Technisch)	Technischer Asset Manager: Anlagenkonfiguration, Komponenten, Ereignisse und Tickets, Fernzugriff auf die Anlagennetze; sieht das Team, verwaltet es aber nicht.	Technische Betriebsführung
Asset Manager (Kaufmännisch)	Kaufmännischer Asset Manager: dieselbe Anlagen-, Ereignis- und Ticketbearbeitung plus Verträge, Abrechnung, Erlöse und Tarife — jedoch kein Fernzugriff auf Netze und keine Teamverwaltung.	Asset Manager
Mitglied	Standard-Lesezugriff auf die Ressourcen der Organisation.	Betrachter (nur lesen)
Extern	Kein Standardzugriff; erreicht Ressourcen ausschließlich über ausdrückliche Freigaben.	Keine — pro Ressource zuweisen

Die Berichtsvorlagen, Kapitel und Metriken der Organisation, ihre Vorlagen im Datenexport sowie die Regeln, Empfänger und Vorlagen des Alarm Managers legen Admins, Moderatoren und beide Asset-Manager-Rollen an und ändern sie; Mitglieder nutzen sie. Siehe Berechtigungssystem.

Eine externe Person einladen

Externe Mitglieder erhalten keinen Zugriff, bis Sie ihn gewähren. Nachdem Sie eine externe Einladung gesendet haben, öffnet Mirox sofort den Berechtigungsdialog, damit Sie der Person eine Funktionsrolle auf den konkret benötigten Anlagen oder Portfolios gewähren können. Sie geben einer externen Person außerdem eine kurze Bezeichnung (zum Beispiel „Wartungsdienstleister"), um sie in der Teamliste zu identifizieren.

Wer das Team verwaltet

Die Mitgliedschaft verwalten ausschließlich Admins und Moderatoren.

Admins und Moderatoren laden Mitglieder ein und vergeben jede Rolle — ein Moderator darf auch einen neuen Admin einladen oder befördern.
Die beiden Asset-Manager-Rollen, Mitglieder und Externe sehen das Team, können aber niemanden einladen, keine Rolle ändern, keine Mitgliedschaft pausieren und keine Anlagenberechtigungen vergeben. Die Manager führen die Anlagen; das Team selbst führen die Stufen über ihnen.

Admins und Moderatoren sind auch die einzigen, die eine Kooperation anlegen, annehmen, pausieren oder beenden. Nur sie legen die Sicherheitsrichtlinie der Organisation fest.

Eine Funktionsrolle auf einer bestimmten Anlage oder einem Portfolio gewähren

Die Organisationsrolle eines Mitglieds gibt ihm bereits überall einen sinnvollen Standard. Vergeben Sie eine Funktionsrolle pro Ressource nur dann, wenn Sie diesen Standard für eine Anlage oder ein Portfolio anheben oder absenken möchten — zum Beispiel, um einer externen Person Lesezugriff auf einen einzelnen Park zu geben oder um ein Mitglied auf einer Anlage als Technische Betriebsführung agieren zu lassen. Eine direkte Vergabe überschreibt stets den geerbten Standard.

Öffnen Sie im Reiter Team das Aktionsmenü des Mitglieds (die Schaltfläche ⋮ in seiner Zeile) und wählen Sie Berechtigungen bearbeiten.
Wählen Sie den Ressourcentyp — Portfolio oder Park.
Wählen Sie das konkrete Portfolio oder den konkreten Park aus der Liste.
Wählen Sie die zu vergebende Funktionsrolle:
- Betrachter — Nur-Lese-Zugriff auf die Daten und Metriken der Ressource.
- Technische Betriebsführung — technische Befugnis: Konfiguration, Komponenten, Ereignisse und Tickets, plus Fernzugriff auf die Netze der Anlage.
- Kaufmännische Betriebsführung — kaufmännische Befugnis: dieselbe Konfigurations-, Ereignis- und Ticketbearbeitung, plus Erlöse und Tarife — kein Fernzugriff auf Netze.
- Sicherheitsbeauftragter — nur die Netzsegmente der Anlage (Netzwerk-Infrastruktur, Kameras, Sicherheitstechnik) und ihr Zugriffsprotokoll; keine Produktions- oder kaufmännischen Daten. Siehe Netzsegmentierung.
- Auftraggeber — die Betriebsdaten der Anlage, aktuell und historisch: Produktion, Batterie, Turbinen, Analyse, das Dashboard, die Prognose und die Marktpreise. Keine Ereignisse, Tickets, Berichte, Exporte, Kontakte oder Finanzdaten und keine Push-Benachrichtigungen zur Anlage. Gedacht für den Kunden oder Auftraggeber einer Anlage: laden Sie die Person als Extern ein und vergeben Sie Auftraggeber auf ihrer Anlage — ein Mitglied mit einer Auftraggeber-Vergabe behält den Betrachter-Zugriff des Mitglieds.
Legen Sie optional ein Ablaufdatum für die Vergabe fest (standardmäßig läuft sie nie ab).
Wählen Sie Berechtigung hinzufügen.

Die Vergabe wird sofort wirksam und unter Aktuelle Berechtigungen aufgeführt, wo Sie ihr Ablaufdatum später verlängern oder die Berechtigung entfernen können.

Vergabe auf einem Portfolio vs. einem Park

Eine Vergabe auf einem Portfolio gilt für jeden darin enthaltenen Park; eine Vergabe auf einem einzelnen Park verfeinert den Zugriff nur für diesen Park. Weisen Sie auf der höchsten passenden Ebene zu und verfeinern Sie auf Park-Ebene nur bei echten Ausnahmen. Wie die Hierarchie fließt, zeigt Ressourcen & Hierarchie.

Begrenzt bei geteilten Ressourcen

Bei einer Anlage, die über eine Kooperation mit Ihnen geteilt wurde, können Sie höchstens bis zu der Rolle delegieren, die die besitzende Organisation geteilt hat — typischerweise Betrachter plus die eine geteilte Rolle. Sie können einem Mitglied auf einer geteilten Anlage nicht mehr Befugnis gewähren, als Ihre Organisation erhalten hat.

Ein Mitglied pausieren oder ein Ablaufdatum setzen

Sie können ein Mitglied vorübergehend aussetzen, ohne es zu entfernen, seine gesamte Mitgliedschaft zu einem Datum ablaufen lassen oder seine Organisationsrolle ändern — alles aus einem einzigen Dialog.

Öffnen Sie im Reiter Team das Aktionsmenü des Mitglieds und wählen Sie Rolle bearbeiten.
Passen Sie eines der folgenden Elemente an und wählen Sie dann Aktualisieren:
- Rolle — ändern Sie die Organisationsrolle (nur Admins und Moderatoren — siehe oben).
- Mitgliedschaft aktiv — schalten Sie dies aus, um das Mitglied zu pausieren. Ein pausiertes Mitglied behält seinen Platz und seine Vergaben, ist aber von jeglichem Zugriff ausgeschlossen, bis Sie es wieder einschalten. Pausierte Mitglieder zeigen in der Liste ein Pausiert-Abzeichen.
- Ablauf der Mitgliedschaft — legen Sie ein Datum fest, an dem ihr Zugriff automatisch endet. Nützlich für befristete Dienstleister und externe Personen.
- Vertragsadministrator — nur für Admins: erlaubt diesem Mitglied, auf der Seite Abonnement den Rahmenvertrag und Beitritte von Projektgesellschaften zu unterzeichnen und Anlagen zuzuordnen. Nicht verfügbar für Mitglieder mit der Rolle Extern. Siehe Verträge.

Ablauf auf zwei Ebenen

Der Ablauf der Mitgliedschaft (in Rolle bearbeiten) beendet die gesamte Organisationsstellung des Mitglieds. Eine Vergabe pro Ressource kann ihr eigenes Ablaufdatum tragen (in Berechtigungen bearbeiten), das nur den Zugriff auf diese eine Anlage oder dieses eine Portfolio beendet. Nutzen Sie die Ebene, die zum Engagement passt.

Zugriff entfernen

Öffnen Sie im Reiter Team das Aktionsmenü des Mitglieds und wählen Sie Mitglied entfernen.
Bestätigen Sie im Dialog.

Beim Entfernen wird das Mitglied aus der Organisation genommen und sein Zugriff widerrufen. Dies kann nicht rückgängig gemacht werden — wenn Sie jemanden nur vorübergehend aussetzen möchten, nutzen Sie stattdessen Mitgliedschaft aktiv. Jede Zuweisung und Entfernung bleibt nachvollziehbar; siehe das Audit-Log.

Prüfen, was ein Mitglied erreichen kann

Bevor Sie sich auf eine Konfiguration verlassen, bestätigen Sie sie. Öffnen Sie die Zeile eines Mitglieds, um seine aktuelle Organisationsrolle, alle Vergaben pro Ressource und alle Ablaufdaten an einem Ort zu prüfen. Im Zweifel gewähren Sie die engste Rolle, die die Aufgabe erfüllt, und erweitern Sie später — Least Privilege hält den Zugriff leicht nachvollziehbar.

Zwei-Faktor-Authentifizierung und Zugriff auf Anlagen

Eine Rolle reicht nicht immer aus. Wenn eine Organisation für den Zugriff auf Anlagen die Zwei-Faktor-Authentifizierung (2FA) verlangt, sieht ein Mitglied ohne zweiten Faktor (Authenticator-App oder Passkey) die Anlagen dieser Organisation nicht, egal welche Rolle Sie vergeben haben. Wenn ein Mitglied fehlende Anlagen meldet, fragen Sie also zuerst, ob 2FA auf seinem Konto aktiviert ist. Jedes Mitglied aktiviert 2FA im eigenen Profil — siehe Zwei-Faktor-Authentifizierung einrichten.

Die Pflicht legen Sie im Reiter Sicherheit fest. Sobald die Regel angekündigt ist, zeigt der Reiter, wie viele Ihrer Mitglieder noch keinen zweiten Faktor haben — siehe Sicherheitsrichtlinie Ihrer Organisation festlegen.