Team, Rollen & Vier-Augen-Prinzip

Zugriff in Resilic ist berechtigungsbasiert: Rollen sind Bündel von Berechtigungen, und jede Aktion prüft eine Berechtigung — nie einen Rollennamen. Teammitglieder laden Sie unter Mitglieder ein, Rollen verwalten Sie unter Rollen.

Eingebaute Rollen

• Owner — alles, einschließlich Abrechnung und Löschen der Organisation.
• Admin — das Tagesgeschäft: Mitglieder, Rollen, Einstellungen, alle Inhalte und Freigaben.
• Member — die Arbeitsrolle: erstellt und bearbeitet Produkte, SBOMs, Berichte, Richtlinien — und darf auch freigeben. Richtig für kleine Teams, in denen dieselben Personen erstellen und unterschreiben.
• Approver — prüft und gibt frei, erstellt nie: hält jede Freigabe-Berechtigung (Berichte, Richtlinien, technische Dokumentation, Sicherheitshinweise, Risikobeurteilungen, Anhang I) und keine Schreibberechtigung. Für die Personen, die Compliance-Artefakte unterzeichnen.
• Viewer — nur lesen, einschließlich Audit-Protokoll.

Die E-Mail-Adresse in der Mitgliederliste

Die Liste unter Mitglieder zeigt zu jedem Mitglied die Adresse, mit der es sich derzeit anmeldet. Ändert jemand seine Adresse bei seinem Identitätsanbieter, übernimmt Resilic sie bei der nächsten Anmeldung — die Liste veraltet also nicht.

Zwei Punkte dazu:

• Die Adresse ist eine Beschriftung, keine Kennung. Ein Zugang hängt am Konto beim Identitätsanbieter, nicht an der Adresse; eine geänderte Adresse ändert weder Rolle noch Rechte noch Verlauf.
• Übernommen wird nur eine vom Anbieter bestätigte Adresse, und nur, wenn sie in Ihrer Organisation nicht bereits einem anderen Mitglied gehört. Andernfalls bleibt der bisherige Eintrag stehen.

Vier-Augen-Prinzip (Trennung von Erstellen und Freigeben)

Jedes von Menschen zu unterzeichnende Artefakt hat eine eigene Freigabe-Berechtigung, getrennt von der Schreibberechtigung, die es erstellt und bearbeitet. Ab Werk hält Member beides — bewusst, damit kleine Teams nicht blockiert sind. Für echte Trennung: Erstellende erhalten eine eigene Rolle nur mit Schreibberechtigungen, Unterzeichnende die Rolle Approver. Das Audit-Protokoll hält in beiden Fällen fest, wer erstellt und wer freigegeben hat.

Striktes Vier-Augen-Prinzip (Freigebender ≠ Verfasser)

Standardmäßig darf eine Person mit Freigaberecht ein Artefakt sowohl entwerfen als auch unterzeichnen — richtig für kleine Teams. Unternehmen können echte Trennung erzwingen: Schalten Sie das strikte Vier-Augen-Prinzip ein (Rollen-Seite), und wer eine Technische Dokumentation, einen Sicherheitshinweis, eine Risikobeurteilung oder eine Anhang-I-Konformität freigibt, muss jemand anderes als deren letzter Bearbeiter sein. Der Server weist eine Selbstfreigabe mit klarer Meldung ab; ein Kollege mit Freigaberecht unterzeichnet stattdessen. Entwürfe aus der Zeit vor der Einstellung erfassen ihren Verfasser einfach bei der nächsten Bearbeitung.

Produktgruppen — Mitglieder auf Fertigungslinien beschränken

Rollen sagen, was ein Mitglied tun kann; Produktgruppen sagen, an welchen Produkten. Legen Sie auf der Rollen-Seite benannte Gruppen an („Fertigungslinie X“) und beschränken Sie ein Mitglied auf eine oder mehrere davon: Produktregister, Flottenansichten, Schwachstellen und alles Abgeleitete verengen sich auf diese Gruppen — überall, ohne weiteres Zutun. Ein Produkt außerhalb des Zuschnitts antwortet exakt wie eines, das nicht existiert.

Drei Regeln halten das vorhersehbar:

• Leerer Zuschnitt = alle Produkte — jedes Mitglied startet unbeschränkt; nichts ändert sich, bis Sie es einschränken.
• Owner und Admins sehen immer alles — ihnen lässt sich kein Zuschnitt zuweisen.
• Die Gruppe ist die Einheit, nicht das Produkt: Eine neue Maschine einmal zur „Fertigungslinie X“ hinzufügen, und jedes auf die Linie beschränkte Mitglied folgt automatisch. Das Löschen einer Gruppe hebt die Beschränkung ihrer Mitglieder auf; die Produkte bleiben unberührt.

Der Zuschnitt ist firmeninternes Need-to-know, keine Sicherheitsgrenze zwischen Unternehmen — die bleibt die darunterliegende Mandantentrennung.

Single Sign-on: Bereitstellung aus Ihrem Identitätsanbieter

Unternehmen können die Mitgliedschaft ihrem Identitätsanbieter folgen lassen, statt Personen von Hand hinzuzufügen. Ihr IdP (Entra ID, Okta, …) wird über unser SSO angebunden; auf der Rollen-Seite ordnen Sie jeden IdP-Gruppennamen einer Resilic-Rolle und einem optionalen Produktzuschnitt zu. Meldet sich jemand per SSO mit einer zugeordneten Gruppe an, stellt Resilic ihn automatisch mit dieser Rolle und diesem Zuschnitt bereit — und hält das bei jeder Anmeldung synchron:

• Neue erhalten Zugang bei der ersten Anmeldung mit einer zugeordneten Gruppe.
• Rollen- oder Zuschnittänderungen in Ihrem Verzeichnis wirken ab der nächsten Anmeldung.
• Ausscheidende — aus allen zugeordneten Gruppen entfernt — werden automatisch gesperrt (Zugang entzogen, Historie erhalten).

Für IdP-bereitgestellte Mitglieder ist das Verzeichnis maßgeblich: Rolle und Zuschnitt sind in Resilic schreibgeschützt (Änderung über die Gruppenzuordnung). Von Hand hinzugefügte Mitglieder bleiben davon unberührt. Der Bootstrap-Owner des Herstellers bleibt stets manuell, damit ein Zuordnungsfehler Sie nicht aussperren kann.

Eigene Rollen

Unter Rollen definieren Sie eigene Berechtigungsbündel. Zwei Leitplanken gelten immer: Niemand kann eine Rolle vergeben, deren Berechtigungen er selbst nicht hält, und finanzielle Aktionen (Kauf, Abrechnungsportal) erfordern stets die Einstellungs-Berechtigung.