Paperless-ngx: Benutzer, Berechtigungen und Absicherung

Auf einen Blick

Gilt für	Paperless-ngx 3.3.x; Benutzer und Gruppen, globale und Objektberechtigungen, Zwei-Faktor-Anmeldung, SSO per OpenID Connect (z. B. Microsoft Entra ID, Keycloak), Linkfreigaben, Reverse Proxy
Bereich	Server-Software
Dauer	Rechtekonzept ca. 2 Stunden; SSO-Anbindung ca. 1 Stunde
Rechte	Superuser in Paperless-ngx; für SSO Administrator des Identitätsanbieters
Stand	Oktober 2026

Berechtigungen in Paperless-ngx entscheiden, wer welche Dokumente sieht – im Unternehmen der wichtigste Punkt vor dem Produktivbetrieb, denn im selben System liegen schnell Rechnungen, Verträge und Personalakten. Paperless-ngx unterscheidet globale Berechtigungen (welche Bereiche jemand nutzen darf) und Objektberechtigungen (welche einzelnen Dokumente, Tags oder Korrespondenten). Diese Anleitung zeigt ein Rechtekonzept mit Gruppen, typische Fallstricke, die Zwei-Faktor-Anmeldung, Single Sign-On und die Absicherung des Servers.

Berechtigungen in Paperless-ngx: globale Berechtigungen je Bereich (Dokumente, Tags, Korrespondenten, E-Mail, Arbeitsabläufe, Anwendungskonfiguration) über Gruppen wie Buchhaltung, Personal, Sekretariat; Objektberechtigungen mit Eigentümer, Ansehen und Bearbeiten; Dokumente ohne Eigentümer sind für alle sichtbar – Eigentümer per Arbeitsablauf setzen; Superuser sieht alles; Zwei-Faktor-Anmeldung mit Wiederherstellungscodes, SSO per OpenID Connect, Linkfreigaben mit Ablaufdatum; Reverse Proxy mit HTTPS, /admin sperren, nur LAN und VPN.

Das Rechtemodell von Paperless-ngx

Ebene	Regelt	Hinweis
Superuser	alles, alle Dokumente	nur für die Verwaltung, nicht für die tägliche Arbeit
Administrator-Status	Protokolle, Systemstatus, Django-Verwaltung	nur IT
Globale Berechtigungen	Anzeigen, Hinzufügen, Ändern, Löschen je Bereich: Dokumente, Tags, Korrespondenten, Dokumenttypen, Speicherpfade, Zusatzfelder, Notizen, Linkfreigaben, E-Mail-Konten und -Regeln, Arbeitsabläufe, Benutzer, Anwendungskonfiguration	Jeder Benutzer der Oberfläche braucht mindestens Anzeigen für die UI-Einstellungen.
Objektberechtigungen	Eigentümer, Ansehen und Bearbeiten für Benutzer und Gruppen je Dokument bzw. Objekt	Nur der Eigentümer kann Rechte vergeben, Linkfreigaben erstellen und Zusatzfelder ändern.

Wichtige Fallstricke:

• Objekte ohne Eigentümer sind für alle Benutzer sichtbar. Dokumente aus dem Eingangsordner haben standardmäßig keinen Eigentümer.
• Rechte an einem Tag vererben sich nicht auf Dokumente mit diesem Tag.
• Wer Arbeitsabläufe bearbeiten darf, kann darüber Rechte an jedem Dokument setzen. Wer die Anwendungskonfiguration ändern darf, kann Parameter an OCR-Werkzeuge übergeben – beides ist Administratorrecht.
• Neue Benutzer haben zunächst keine Rechte außer denen ihrer Gruppen.

Schritt 1: Gruppen und Benutzer

Einstellungen › Benutzer & Gruppen:

Gruppe	Globale Rechte	Objektrechte
Alle Mitarbeiter	Dokumente anzeigen; Tags, Korrespondenten, Dokumenttypen anzeigen; UI-Einstellungen, gespeicherte Ansichten	je nach Dokument
Buchhaltung	zusätzlich Dokumente hinzufügen und ändern, Notizen, Zusatzfelder	Rechnungen, Kontoauszüge
Personal	wie Buchhaltung	Personalunterlagen – nur diese Gruppe
DMS-Pflege	Tags, Korrespondenten, Dokumenttypen, Speicherpfade verwalten	Strukturpflege
IT-Admin	E-Mail-Konten und -Regeln, Arbeitsabläufe, Benutzer, Anwendungskonfiguration	–

• Benutzer den Gruppen zuordnen; persönliche Ausnahmen sparsam.
• Unter Einstellungen › Berechtigungen legt jeder Benutzer Standardrechte für von ihm angelegte Objekte fest – z. B. „Gruppe Buchhaltung darf ansehen“.

Schritt 2: Eigentümer für neue Dokumente erzwingen

Weil Dokumente aus Scanner und E-Mail sonst ohne Eigentümer ankommen, gehört zu jedem Erfassungsweg ein Arbeitsablauf:

• Auslöser Verarbeitung gestartet, Filter auf Eingangsordner-Pfad bzw. E-Mail-Regel.
• Aktion Zuordnung: Eigentümer und Gruppenrechte setzen.
• Ein letzter Arbeitsablauf ohne Filter fängt alles Übrige ab und weist es einer Sichtungsgruppe zu.

Details: Paperless-ngx: Arbeitsabläufe automatisieren. Bestandsdokumente lassen sich in der Dokumentliste markieren und über Berechtigungen gesammelt anpassen.

Schritt 3: Anmeldung absichern

• Zwei-Faktor-Anmeldung: Jeder Benutzer richtet sie unter Mein Profil mit einer Authenticator-App ein und erhält zehn Wiederherstellungscodes. Geht alles verloren, kann ein Superuser 2FA unter Benutzer & Gruppen zurücksetzen. Siehe Zwei-Faktor-Authentifizierung.
• Selbstregistrierung ist standardmäßig aus (PAPERLESS_ACCOUNT_ALLOW_SIGNUPS=false) – so lassen.
• Passwort zurücksetzen per E-Mail funktioniert nur mit konfiguriertem SMTP (PAPERLESS_EMAIL_HOST u. a.).
• Ratenbegrenzung hinter einem Reverse Proxy nur mit richtig gesetztem PAPERLESS_TRUSTED_PROXIES, siehe Paperless-ngx: Installation mit Docker Compose.

Schritt 4: Single Sign-On mit OpenID Connect

Beispiel Microsoft Entra ID (App-Registrierung mit Umleitungs-URI https://dms.firma.de/accounts/oidc/entra/login/callback/):

      PAPERLESS_APPS: allauth.socialaccount.providers.openid_connect
      PAPERLESS_SOCIALACCOUNT_PROVIDERS: >
        {"openid_connect": {"APPS": [{"provider_id": "entra", "name": "Microsoft",
          "client_id": "<Anwendungs-ID>", "secret": "<Geheimer Clientschlüssel>",
          "settings": {"server_url": "https://login.microsoftonline.com/<Verzeichnis-ID>/v2.0"}}]}}
      PAPERLESS_SOCIALACCOUNT_ALLOW_SIGNUPS: "true"
      PAPERLESS_SOCIAL_AUTO_SIGNUP: "true"
      PAPERLESS_ACCOUNT_DEFAULT_GROUPS: Alle Mitarbeiter
      PAPERLESS_DISABLE_REGULAR_LOGIN: "false"

• Der Rückrufpfad enthält die provider_id; Groß- und Kleinschreibung beachten.
• Meldet der Rückruf seit Version 3 invalid_client, in settings zusätzlich "token_auth_method": "client_secret_basic" (bzw. was der Anbieter verlangt) eintragen.
• Neue Konten über SSO sind standardmäßig erlaubt (PAPERLESS_SOCIALACCOUNT_ALLOW_SIGNUPS). In Entra ID deshalb Zuweisung erforderlich aktivieren und nur berechtigte Gruppen zuweisen.
• Gruppen aus dem Identitätsanbieter lassen sich mit PAPERLESS_SOCIAL_ACCOUNT_SYNC_GROUPS übernehmen.
• Erst nach erfolgreichem Test PAPERLESS_DISABLE_REGULAR_LOGIN=true setzen. Das sperrt nur die normale Anmeldemaske, nicht die Django-Verwaltung unter /admin/ und nicht die API – diese deshalb zusätzlich absichern. Einen lokalen Notfall-Superuser behalten.
• Grundlagen: OpenID Connect, Entra ID.

Schritt 5: Linkfreigaben und E-Mail-Versand

• Linkfreigaben (Senden › Linkfreigabe) sind öffentliche Links ohne Anmeldung, optional mit Ablaufdatum; aus der Mehrfachauswahl entsteht ein ZIP-Bündel.
• Nur mit Ablaufdatum verwenden und das Recht Linkfreigabe auf wenige Gruppen beschränken.
• Ist Paperless nur intern erreichbar, funktionieren Linkfreigaben extern nicht – gewollt. Wer sie nach außen braucht, veröffentlicht am Proxy gezielt nur den Pfad /share/.
• Versand per E-Mail aus Paperless (Senden › E-Mail) geht über den konfigurierten SMTP-Server.

Schritt 6: Server absichern

• Paperless-ngx nicht direkt ins Internet stellen; Zugriff aus dem LAN und per VPN (z. B. WireGuard).
• Reverse Proxy mit HTTPS; /admin/ am Proxy für alle außer dem IT-Netz sperren.
• PAPERLESS_URL setzen, damit nur der richtige Hostname akzeptiert wird.
• Container, Host und Proxy aktuell halten; Versionen enthalten regelmäßig Sicherheitskorrekturen.
• Prüfprotokoll (standardmäßig an) zeigt Änderungen an Dokumenten und Metadaten im Verlauf des Dokuments.
• API-Token (unter Mein Profil) haben die Rechte des Benutzers – nur für technische Benutzer mit minimalen Rechten erzeugen.

Hinweise

• Rechtekonzept dokumentieren: Welche Gruppe sieht welche Dokumentarten? Das ist zugleich Teil der technischen und organisatorischen Maßnahmen nach DSGVO.
• Regelmäßig prüfen: Austritte, Rollenwechsel, verwaiste Linkfreigaben.
• Bei Berechtigungskonzepten, SSO-Anbindung und Absicherung von Serveranwendungen unterstützt Sie das Team Cybersecurity von m.a.x. it.

Siehe auch

• Paperless-ngx – Überblick und alle Artikel der Reihe
• Paperless-ngx: Backup, Updates und GoBD im Unternehmen
• Single Sign-On
• Technische und organisatorische Maßnahmen

Links und Quellen

• Paperless-ngx Dokumentation: Permissions
• Cybersecurity von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen