Team & Rollen

Alles auf dieser Seite finden Sie unter Einstellungen → Team.

Rollen

Eine Organisation hat genau einen Owner — das Konto, das sie angelegt hat. Alle anderen tragen eine von drei Rollen:

Rolle	Darf lesen	Darf ändern	Darf das Team verwalten	Hinweise
Owner	Ja	Ja	Ja, auch Owner	Einer je Organisation. Nicht entfernbar.
Admin	Ja	Ja	Ja, außer Owner
Mitglied	Ja	Ja	Nein	Standard für eine neue Einladung.
Viewer (nur Lesen)	Ja	Nein	Nein	Jeder Schreibvorgang wird serverseitig abgelehnt.

Einige Regeln werden auf dem Server durchgesetzt, nicht nur in der Oberfläche versteckt:

Nur der Owner kann die Owner-Rolle vergeben oder entziehen bzw. die Rolle des Owners ändern. Ein Admin kann sich niemals selbst befördern.
Der Owner kann auf der Teamseite nicht entfernt werden. Die Organisation zu löschen ist die eigene Handlung des Owners, unter Einstellungen → Konto.
Schreibvorgänge eines Viewers werden mit 403 ROLE_READ_ONLY abgelehnt — im Dashboard und in allem anderen, was mit seiner Sitzung zur API spricht. Ausgenommen sind das eigene Profil, die eigene E-Mail-Bestätigung und der eigene DSGVO-Datenexport.

Wie viele Personen Sie einladen können

Tarif	Mitglieder (Owner eingeschlossen)
Free	1
Pro	3
Max	10
Enterprise	Unbegrenzt

Ausstehende Einladungen zählen gegen das Limit, ein Schwall Einladungen kann Sie also nicht darüber hinausschieben. Die Grenzen greifen beim Hinzufügen: Eine Organisation, die bereits über einer gesenkten Grenze liegt, behält ihre Mitglieder.

Jemanden einladen

Gehen Sie zu Einstellungen → Team.
Geben Sie die E-Mail-Adresse ein, wählen Sie eine Rolle und klicken Sie auf Einladung senden.
Die Person erhält eine E-Mail mit einem Link. Die Einladung verfällt nach 48 Stunden.

Eine Adresse erneut einzuladen, die bereits eine ausstehende, nicht verfallene Einladung hat, frischt diese auf, statt eine zweite anzulegen. Eine Adresse, die schon Mitglied ist, wird mit einer klaren Meldung abgelehnt.

Ausstehende Einladungen stehen mit ihrem Verfallsdatum auf derselben Seite.

Single Sign-on (Enterprise)

Im Tarif Enterprise lässt sich Ihre Organisation an Ihren eigenen Identity Provider (SAML oder OIDC) anbinden, vermittelt über das Keycloak von OKStatus. Nach der Einrichtung:

Nutzer klicken auf der Anmeldeseite Mit SSO anmelden und geben Ihren Organisations-Slug ein — sie werden direkt zu Ihrem IdP umgeleitet.
Mit aktivem SSO erzwingen werden Passwort- und Social-Anmeldung für Mitglieder dieser Organisation abgelehnt; der IdP ist der einzige Weg hinein.
Mit gesetzter Auto-Join-Domain (z. B. acme.com) tritt jede Person, die sich mit einer bestätigten E-Mail dieser Domain anmeldet, beim ersten Login als Mitglied der Organisation bei, ganz ohne Einladung.

Die Einrichtung der IdP-Verbindung, von „SSO erzwingen” und Auto-Join übernimmt OKStatus im Rahmen Ihres Enterprise-Onboardings — schreiben Sie an contact@okstatus.eu mit den Metadaten Ihres IdP.

Zwei-Faktor-Authentifizierung

Jedes Konto kann unter Einstellungen → Sicherheit einen TOTP-Authenticator registrieren, in jedem Tarif. In Enterprise kann ein Owner oder Admin ihn zusätzlich für die ganze Organisation verpflichtend machen: Mitglieder ohne Authenticator werden bei ihrer nächsten Anfrage zum Registrierungsbildschirm geschickt. Organisationen, die SSO verlangen, sind ausgenommen — dort erzwingt der Identity Provider die MFA.

Einzelheiten unter Kontosicherheit.

Wer was geändert hat

Jedes Anlegen, Ändern und Löschen — auch Einladungen, Rollenänderungen und Entfernungen — wird mit handelnder Person, Ressource und Quell-IP ins Audit-Log geschrieben.