Benutzer und Rechte in bexio verwalten

In bexio legen Sie pro Benutzer fest, welche Module sichtbar sind und ob Einträge nur angezeigt oder auch geändert werden dürfen. Das Prinzip der geringsten Rechte lautet: Jede Person erhält genau die Rechte, die ihre Aufgabe verlangt, und nicht mehr. Das KMU-Portal des Bundes rät dazu, die Zugangsrechte aufzulisten und in Stufen zu vergeben, weil der Schaden eines Angriffs mit der Stufe des betroffenen Zugangs wächst.

Das Prinzip der geringsten Rechte

Das KMU-Portal rät, die Zugangsrechte aufzulisten, damit klar ist, wer auf welchen Bereich zugreifen kann. Dazu empfiehlt es Zugangsstufen wie Gast, Nutzer und Administrator mit zunehmend strengen Genehmigungen. Je höher die Stufe eines betroffenen Zugangs, desto grösser der Schaden. Für bexio heisst das:

1. Aufgaben statt Personen: Rechte folgen der Funktion, nicht dem Rang. Auch die Chefin braucht nicht jedes Recht für den Alltag.
2. Von unten nach oben: Beginnen Sie ohne Zugriff und schalten Sie nur frei, was nötig ist.
3. Befristet denken: Rechte für eine Vertretung oder ein Projekt bauen Sie nach dem Ende wieder zurück.

Die Bausteine in bexio

Die bexio-Hilfe unterscheidet diese Stufen:

• Modul: Ist es aktiviert, sieht der Benutzer das Modul in der Navigation. Ist es deaktiviert, hat er keinen Zugriff.
• Editieren: «Alle» heisst erstellen, bearbeiten und löschen unabhängig vom Ersteller. «Nur eigene» gilt für selbst erstellte Einträge. «Keine» sperrt das Ändern.
• Ansicht: «Alle» zeigt alle Einträge, «Nur eigene» nur die selbst erstellten.
• Admin: Zugriff auf alle Einstellungen.
• Superadmin: Zugriff auf «Alle Einstellungen» und auf die Benutzerrechte, aber nicht automatisch auf alle Funktionen. Er kann seine Rechte jederzeit selbst erhöhen.

Dazu kommen Einzelrechte, die man leicht übersieht:

Rollenmuster für einen Technikbetrieb

Das folgende Muster ist ein Vorschlag, keine Vorgabe von bexio. Passen Sie es an Ihren Betrieb an.

So vergeben Sie Rechte

1. Notieren Sie pro Person die Aufgaben und die Daten, die sie dafür braucht.
2. Ordnen Sie jede Person einer von drei bis fünf Rollen zu.
3. Öffnen Sie «Einstellungen» → «Benutzer» → «Benutzer verwalten» und bearbeiten Sie die Benutzerrechte. Aktivieren Sie nur die nötigen Module.
4. Prüfen Sie das Ergebnis. Die bexio-Hilfe empfiehlt ausdrücklich, Rechte nach der Vergabe zu kontrollieren. Praktisch heisst das: Die Person meldet sich an und zeigt Ihnen ihr Menü.
5. Halten Sie Rollen und Zuordnung schriftlich fest.
6. Wiederholen Sie die Kontrolle halbjährlich und bei jedem Eintritt, Wechsel und Austritt.

Wie Sie neue Benutzer einladen und Zugänge beim Austritt entfernen, steht im Beitrag Benutzer einladen und Zugänge organisieren.

Stolpersteine

• Admin und Superadmin verwechselt: Beide Rollen sind mächtig, aber verschieden. Ein Superadmin kann Rechte vergeben, auch sich selbst.
• «Nur eigene» und die Vertretung: Wer nur eigene Einträge sieht, kann niemanden vertreten. Bei Kontakten hängt das am Feld «Besitzer». Wer Dokumente übernehmen soll, braucht laut Hilfe «Anzeigen: alle» und «Bearbeiten: alle» in den betroffenen Modulen. Rechte werden beim Löschen eines Benutzers nicht automatisch übertragen.
• Analyse-Export: Wer herunterladen darf, exportiert laut Hilfe alle Daten, auch wenn seine Ansicht auf «Nur eigene» steht. Vergeben Sie dieses Recht deshalb eng.
• Dateien bei Kontakten: Standardmässig haben alle Benutzer die Funktion und können Dateien löschen oder umbenennen. Prüfen Sie das Recht.
• Kontoauszüge: Der Reiter «Finanzen» beim Kontakt braucht mehrere Rechte gleichzeitig: Kontoauszüge, Rechnungen, Angebote und Kontakte.
• Alles oder nichts bei den Löhnen: Feinere Stufen gibt es nicht.

Zugänge absichern

• Zweiter Faktor: Nach E-Mail und Passwort sendet bexio einen sechsstelligen Code an die hinterlegte E-Mail-Adresse. Das Postfach ist damit Teil der Absicherung. Die Hilfe rät zu einem starken, separaten Passwort und möglichst ebenfalls zu einem zweiten Faktor für dieses Postfach. Zusätzlich lässt sich der Google Authenticator unter «Profil bearbeiten» → «Sicherheit» aktivieren.
• Ein Login pro Person: Geteilte Zugänge verwischen, wer was getan hat, und lassen sich beim Austritt nicht gezielt sperren.
• Kein Login, wo keiner nötig ist: Personen, die nur auf Dokumenten erscheinen, erfassen Sie als Ansprechpartner ohne Login. Sie brauchen keine Lizenz.
• Treuhänder: Sie laden ihn separat ein und bestimmen die Rechte pro Bereich. Sie können die Rechte jederzeit anpassen oder die Verbindung entfernen. Mehr im Beitrag Zusammenarbeit mit dem Treuhänder in bexio.
• Schnittstellen: API-Schlüssel verwaltet laut Hilfe nur der Superadmin. Worauf Sie bei externen Zugängen achten, zeigt Schnittstellen sicher betreiben.
• Smartphone: Die App bexio Go lässt sich mit Gesichtserkennung oder einer ähnlichen Funktion schützen.

Häufige Fragen

Wer darf Benutzerrechte ändern?

Zugriff auf die Benutzerrechte gibt die Rolle Superadmin. Zusätzlich gibt es das Recht «Benutzeradministration». Ist es deaktiviert, kann der Benutzer die Benutzerrechte nicht mehr verwalten.

Wie viele Superadmins sind sinnvoll?

So wenige wie möglich. Üblich sind die Inhaberin oder der Inhaber und eine Stellvertretung. Alle anderen Mitarbeitenden arbeiten mit einem normalen Benutzerkonto.

Kann ich einem Monteur nur die Zeiterfassung freigeben?

Ja, im Kern. Das Recht «Zeit-/Leistungserfassung» ist die Voraussetzung für die Zeiterfassung in der App. Deaktivierte Module erscheinen laut Hilfe nicht in der Navigation. Testen Sie mit dem Benutzer, welche weiteren Module für die Auswahl von Kontakt und Projekt nötig sind. Mehr zur Nutzung unterwegs im Beitrag bexio unterwegs nutzen: die mobile App.

Fazit

Rechte nach dem Prinzip der geringsten Rechte vergeben Sie in drei Schritten: Aufgaben klären, Rollen bilden, nur das Nötige freischalten. Halten Sie das Rollenmuster schriftlich fest und prüfen Sie es regelmässig, besonders bei Wechsel und Austritt. Setzen Sie die Superadmin-Rolle sparsam ein und sichern Sie das E-Mail-Postfach, das die Anmeldecodes empfängt.