https://techcorner.max-it.de/index.php?action=history&feed=atom&title=Paperless-ngx%3A_Benutzer%2C_Berechtigungen_und_AbsicherungPaperless-ngx: Benutzer, Berechtigungen und Absicherung - Versionsgeschichte2026-10-19T03:42:13ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=Paperless-ngx:_Benutzer,_Berechtigungen_und_Absicherung&diff=5064&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Rechtemodell, Gruppen, Eigentümer per Workflow, 2FA, OpenID Connect, Linkfreigaben, Serverhärtung2026-10-17T00:00:00Z<p>Neuer Artikel: Rechtemodell, Gruppen, Eigentümer per Workflow, 2FA, OpenID Connect, Linkfreigaben, Serverhärtung</p>
<table style="background-color: #fff; color: #202122;" data-mw="interface">
<tr class="diff-title" lang="de">
<td colspan="1" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td>
<td colspan="1" style="background-color: #fff; color: #202122; text-align: center;">Version vom 17. Oktober 2026, 00:00 Uhr</td>
</tr><tr><td colspan="2" class="diff-notice" lang="de"><div class="mw-diff-empty">(kein Unterschied)</div>
</td></tr></table>imported>TechCorner-Redaktionhttps://techcorner.max-it.de/index.php?title=Paperless-ngx:_Benutzer,_Berechtigungen_und_Absicherung&diff=4894&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Rechtemodell, Gruppen, Eigentümer per Workflow, 2FA, OpenID Connect, Linkfreigaben, Serverhärtung2026-10-17T00:00:00Z<p>Neuer Artikel: Rechtemodell, Gruppen, Eigentümer per Workflow, 2FA, OpenID Connect, Linkfreigaben, Serverhärtung</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = Paperless-ngx 3.3.x; Benutzer und Gruppen, globale und Objektberechtigungen, Zwei-Faktor-Anmeldung, SSO per OpenID Connect (z. B. Microsoft Entra ID, Keycloak), Linkfreigaben, Reverse Proxy<br />
| bereich = Server-Software<br />
| dauer = Rechtekonzept ca. 2 Stunden; SSO-Anbindung ca. 1 Stunde<br />
| rechte = Superuser in Paperless-ngx; für SSO Administrator des Identitätsanbieters<br />
| stand = Oktober 2026<br />
}}<br />
'''Berechtigungen in Paperless-ngx''' entscheiden, wer welche Dokumente sieht – im Unternehmen der wichtigste Punkt vor dem Produktivbetrieb, denn im selben System liegen schnell Rechnungen, Verträge und Personalakten. Paperless-ngx unterscheidet '''globale Berechtigungen''' (welche Bereiche jemand nutzen darf) und '''Objektberechtigungen''' (welche einzelnen Dokumente, Tags oder Korrespondenten). Diese Anleitung zeigt ein Rechtekonzept mit Gruppen, typische Fallstricke, die Zwei-Faktor-Anmeldung, Single Sign-On und die Absicherung des Servers.<br />
<br />
[[Datei:Paperless-Berechtigungen.png|thumb|center|750px|Berechtigungen in Paperless-ngx: globale Berechtigungen je Bereich (Dokumente, Tags, Korrespondenten, E-Mail, Arbeitsabläufe, Anwendungskonfiguration) über Gruppen wie Buchhaltung, Personal, Sekretariat; Objektberechtigungen mit Eigentümer, Ansehen und Bearbeiten; Dokumente ohne Eigentümer sind für alle sichtbar – Eigentümer per Arbeitsablauf setzen; Superuser sieht alles; Zwei-Faktor-Anmeldung mit Wiederherstellungscodes, SSO per OpenID Connect, Linkfreigaben mit Ablaufdatum; Reverse Proxy mit HTTPS, /admin sperren, nur LAN und VPN.]]<br />
<br />
== Das Rechtemodell von Paperless-ngx ==<br />
{| class="wikitable"<br />
! Ebene !! Regelt !! Hinweis<br />
|-<br />
| '''Superuser''' || alles, alle Dokumente || nur für die Verwaltung, nicht für die tägliche Arbeit<br />
|-<br />
| '''Administrator-Status''' || Protokolle, Systemstatus, Django-Verwaltung || nur IT<br />
|-<br />
| '''Globale Berechtigungen''' || Anzeigen, Hinzufügen, Ändern, Löschen je Bereich: Dokumente, Tags, Korrespondenten, Dokumenttypen, Speicherpfade, Zusatzfelder, Notizen, Linkfreigaben, E-Mail-Konten und -Regeln, Arbeitsabläufe, Benutzer, Anwendungskonfiguration || Jeder Benutzer der Oberfläche braucht mindestens ''Anzeigen'' für die UI-Einstellungen.<br />
|-<br />
| '''Objektberechtigungen''' || '''Eigentümer''', ''Ansehen'' und ''Bearbeiten'' für Benutzer und Gruppen je Dokument bzw. Objekt || Nur der Eigentümer kann Rechte vergeben, Linkfreigaben erstellen und Zusatzfelder ändern.<br />
|}<br />
'''Wichtige Fallstricke:'''<br />
* Objekte '''ohne Eigentümer''' sind für '''alle''' Benutzer sichtbar. Dokumente aus dem Eingangsordner haben standardmäßig keinen Eigentümer.<br />
* Rechte an einem Tag vererben sich '''nicht''' auf Dokumente mit diesem Tag.<br />
* Wer Arbeitsabläufe bearbeiten darf, kann darüber Rechte an jedem Dokument setzen. Wer die Anwendungskonfiguration ändern darf, kann Parameter an OCR-Werkzeuge übergeben – beides ist Administratorrecht.<br />
* Neue Benutzer haben zunächst '''keine''' Rechte außer denen ihrer Gruppen.<br />
<br />
== Schritt 1: Gruppen und Benutzer ==<br />
''Einstellungen › Benutzer & Gruppen'':<br />
{| class="wikitable"<br />
! Gruppe !! Globale Rechte !! Objektrechte<br />
|-<br />
| ''Alle Mitarbeiter'' || Dokumente anzeigen; Tags, Korrespondenten, Dokumenttypen anzeigen; UI-Einstellungen, gespeicherte Ansichten || je nach Dokument<br />
|-<br />
| ''Buchhaltung'' || zusätzlich Dokumente hinzufügen und ändern, Notizen, Zusatzfelder || Rechnungen, Kontoauszüge<br />
|-<br />
| ''Personal'' || wie Buchhaltung || Personalunterlagen – nur diese Gruppe<br />
|-<br />
| ''DMS-Pflege'' || Tags, Korrespondenten, Dokumenttypen, Speicherpfade verwalten || Strukturpflege<br />
|-<br />
| ''IT-Admin'' || E-Mail-Konten und -Regeln, Arbeitsabläufe, Benutzer, Anwendungskonfiguration || –<br />
|}<br />
* Benutzer den Gruppen zuordnen; persönliche Ausnahmen sparsam.<br />
* Unter ''Einstellungen › Berechtigungen'' legt jeder Benutzer Standardrechte für '''von ihm angelegte''' Objekte fest – z. B. „Gruppe Buchhaltung darf ansehen“.<br />
<br />
== Schritt 2: Eigentümer für neue Dokumente erzwingen ==<br />
Weil Dokumente aus Scanner und E-Mail sonst ohne Eigentümer ankommen, gehört zu jedem Erfassungsweg ein '''Arbeitsablauf''':<br />
* Auslöser ''Verarbeitung gestartet'', Filter auf Eingangsordner-Pfad bzw. E-Mail-Regel.<br />
* Aktion ''Zuordnung'': Eigentümer und Gruppenrechte setzen.<br />
* Ein letzter Arbeitsablauf ohne Filter fängt alles Übrige ab und weist es einer Sichtungsgruppe zu.<br />
Details: [[Paperless-ngx: Arbeitsabläufe automatisieren]]. Bestandsdokumente lassen sich in der Dokumentliste markieren und über ''Berechtigungen'' gesammelt anpassen.<br />
<br />
== Schritt 3: Anmeldung absichern ==<br />
* '''Zwei-Faktor-Anmeldung''': Jeder Benutzer richtet sie unter ''Mein Profil'' mit einer Authenticator-App ein und erhält zehn Wiederherstellungscodes. Geht alles verloren, kann ein Superuser 2FA unter ''Benutzer & Gruppen'' zurücksetzen. Siehe [[Zwei-Faktor-Authentifizierung]].<br />
* '''Selbstregistrierung''' ist standardmäßig aus (<code>PAPERLESS_ACCOUNT_ALLOW_SIGNUPS=false</code>) – so lassen.<br />
* '''Passwort zurücksetzen''' per E-Mail funktioniert nur mit konfiguriertem SMTP (<code>PAPERLESS_EMAIL_HOST</code> u. a.).<br />
* '''Ratenbegrenzung''' hinter einem Reverse Proxy nur mit richtig gesetztem <code>PAPERLESS_TRUSTED_PROXIES</code>, siehe [[Paperless-ngx: Installation mit Docker Compose]].<br />
<br />
== Schritt 4: Single Sign-On mit OpenID Connect ==<br />
Beispiel Microsoft Entra ID (App-Registrierung mit Umleitungs-URI <code><nowiki>https://dms.firma.de/accounts/oidc/entra/login/callback/</nowiki></code>):<br />
<syntaxhighlight lang="yaml"><br />
PAPERLESS_APPS: allauth.socialaccount.providers.openid_connect<br />
PAPERLESS_SOCIALACCOUNT_PROVIDERS: ><br />
{"openid_connect": {"APPS": [{"provider_id": "entra", "name": "Microsoft",<br />
"client_id": "<Anwendungs-ID>", "secret": "<Geheimer Clientschlüssel>",<br />
"settings": {"server_url": "https://login.microsoftonline.com/<Verzeichnis-ID>/v2.0"}}]}}<br />
PAPERLESS_SOCIALACCOUNT_ALLOW_SIGNUPS: "true"<br />
PAPERLESS_SOCIAL_AUTO_SIGNUP: "true"<br />
PAPERLESS_ACCOUNT_DEFAULT_GROUPS: Alle Mitarbeiter<br />
PAPERLESS_DISABLE_REGULAR_LOGIN: "false"<br />
</syntaxhighlight><br />
* Der Rückrufpfad enthält die <code>provider_id</code>; Groß- und Kleinschreibung beachten.<br />
* Meldet der Rückruf seit Version 3 <code>invalid_client</code>, in <code>settings</code> zusätzlich <code>"token_auth_method": "client_secret_basic"</code> (bzw. was der Anbieter verlangt) eintragen.<br />
* '''Neue Konten''' über SSO sind standardmäßig erlaubt (<code>PAPERLESS_SOCIALACCOUNT_ALLOW_SIGNUPS</code>). In Entra ID deshalb ''Zuweisung erforderlich'' aktivieren und nur berechtigte Gruppen zuweisen.<br />
* Gruppen aus dem Identitätsanbieter lassen sich mit <code>PAPERLESS_SOCIAL_ACCOUNT_SYNC_GROUPS</code> übernehmen.<br />
* Erst nach erfolgreichem Test <code>PAPERLESS_DISABLE_REGULAR_LOGIN=true</code> setzen. Das sperrt nur die normale Anmeldemaske, nicht die Django-Verwaltung unter <code>/admin/</code> und nicht die API – diese deshalb zusätzlich absichern. Einen lokalen Notfall-Superuser behalten.<br />
* Grundlagen: [[OpenID Connect]], [[Entra ID]].<br />
<br />
== Schritt 5: Linkfreigaben und E-Mail-Versand ==<br />
* '''Linkfreigaben''' (''Senden › Linkfreigabe'') sind öffentliche Links ohne Anmeldung, optional mit Ablaufdatum; aus der Mehrfachauswahl entsteht ein ZIP-Bündel.<br />
* Nur mit '''Ablaufdatum''' verwenden und das Recht ''Linkfreigabe'' auf wenige Gruppen beschränken.<br />
* Ist Paperless nur intern erreichbar, funktionieren Linkfreigaben extern nicht – gewollt. Wer sie nach außen braucht, veröffentlicht am Proxy gezielt nur den Pfad <code>/share/</code>.<br />
* Versand per E-Mail aus Paperless (''Senden › E-Mail'') geht über den konfigurierten SMTP-Server.<br />
<br />
== Schritt 6: Server absichern ==<br />
* Paperless-ngx '''nicht direkt ins Internet''' stellen; Zugriff aus dem LAN und per VPN (z. B. [[WireGuard]]).<br />
* Reverse Proxy mit HTTPS; <code>/admin/</code> am Proxy für alle außer dem IT-Netz sperren.<br />
* <code>PAPERLESS_URL</code> setzen, damit nur der richtige Hostname akzeptiert wird.<br />
* Container, Host und Proxy aktuell halten; Versionen enthalten regelmäßig Sicherheitskorrekturen.<br />
* '''Prüfprotokoll''' (standardmäßig an) zeigt Änderungen an Dokumenten und Metadaten im ''Verlauf'' des Dokuments.<br />
* '''API-Token''' (unter ''Mein Profil'') haben die Rechte des Benutzers – nur für technische Benutzer mit minimalen Rechten erzeugen.<br />
<br />
== Hinweise ==<br />
* '''Rechtekonzept dokumentieren''': Welche Gruppe sieht welche Dokumentarten? Das ist zugleich Teil der technischen und organisatorischen Maßnahmen nach DSGVO.<br />
* '''Regelmäßig prüfen''': Austritte, Rollenwechsel, verwaiste Linkfreigaben.<br />
* Bei Berechtigungskonzepten, SSO-Anbindung und Absicherung von Serveranwendungen unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[Paperless-ngx]] – Überblick und alle Artikel der Reihe<br />
* [[Paperless-ngx: Backup, Updates und GoBD im Unternehmen]]<br />
* [[Single Sign-On]]<br />
* [[Technische und organisatorische Maßnahmen]]<br />
<br />
== Links und Quellen ==<br />
* [https://docs.paperless-ngx.com/usage/#permissions Paperless-ngx Dokumentation: Permissions]<br />
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:Server-Software]]<br />
</div>imported>TechCorner-Redaktion