# Benutzer, Rollen & Teams

Was ein Benutzer in Workist sieht und tun darf, hängt von zwei Dingen ab:

- Seine **Rollen** legen fest, was er tun darf, z. B. Dokumente bearbeiten, Kanäle konfigurieren oder SSO einrichten.
- Seine **Teams** legen fest, welche Kanäle und Dokumente er sieht.

## Rollen {#roles}

Workist hat fünf Rollen. Ein Benutzer kann mehrere Rollen haben; er erhält dann alle Berechtigungen jeder dieser Rollen.

| Rolle | Gedacht für |
| --- | --- |
| **Chat user** | Mitarbeitende, die nur mit [Worki](/docs/agents/worki.md) arbeiten. Sie sehen ausschließlich Worki und ihre eigenen Einstellungen. |
| **Member** | Sachbearbeitung: Dokumente prüfen, korrigieren und abschließen. |
| **Manager** | Fachliche Verantwortung: Kanäle, Mitarbeitende, Teams, Stammdaten, Smart Inbox und Statistiken. |
| **IT** | Technische Anbindung: Integrationen, API-Schlüssel, SFTP-Schlüssel, Webhooks und Stammdaten. |
| **Admin** | Alles, zusätzlich Unternehmenseinstellungen und Anmeldesicherheit. Sieht alle Kanäle des Unternehmens. |

### Berechtigungen je Rolle {#permissions}

Dieselbe Übersicht zeigt Workist beim Einladen und Bearbeiten von Mitarbeitenden.

| Berechtigung | Chat user | Member | Manager | IT | Admin |
| --- | :---: | :---: | :---: | :---: | :---: |
| **Nutzen** | | | | | |
| Mit Worki chatten | ✓ |  |  |  | ✓ |
| Dokumente bearbeiten |  | ✓ | ✓ | ✓ | ✓ |
| Persönliche Smart Inbox nutzen |  | ✓ | ✓ | ✓ | ✓ |
| Statistiken ansehen |  |  | ✓ |  | ✓ |
| **Verwalten** | | | | | |
| Kanäle konfigurieren |  |  | ✓ |  | ✓ |
| Mitarbeitende und Teams verwalten |  |  | ✓ |  | ✓ |
| Geteilte Smart Inbox konfigurieren |  |  | ✓ |  | ✓ |
| Agenten und Sprachagenten konfigurieren |  |  | ✓ |  | ✓ |
| Selbstbedienungsformulare einrichten |  |  | ✓ |  | ✓ |
| Stammdaten verwalten |  |  | ✓ | ✓ | ✓ |
| Integrationen konfigurieren |  |  |  | ✓ | ✓ |
| SSO und MFA konfigurieren |  |  |  |  | ✓ |
| Unternehmenseinstellungen verwalten |  |  |  |  | ✓ |

Was die Berechtigungen umfassen:

- **Mit Worki chatten:** Gespräche mit Worki führen, Dateien anhängen, Automationen planen. Worki muss in Ihrem Vertrag enthalten und für das Unternehmen eingeschaltet sein, siehe [Worki](/docs/agents/worki.md). **Member**, **Manager** und **IT** enthalten Worki nicht; vergeben Sie bei Bedarf zusätzlich **Chat user**.
- **Dokumente bearbeiten:** Dokumente in den Kanälen der eigenen [Teams](#teams) ansehen, hochladen, bearbeiten und abschließen.
- **Persönliche Smart Inbox nutzen:** das eigene Outlook-Postfach mit Workist verbinden, siehe [Smart Inbox](/docs/smart-inbox.md).
- **Statistiken ansehen:** die [Statistiken](/docs/administration/analytics.md) öffnen und als Excel-Datei herunterladen.
- **Kanäle konfigurieren:** Kanäle anlegen und über **Kanal verwalten** einrichten, siehe [Kanal-Konfiguration](/docs/channel-configuration.md).
- **Mitarbeitende und Teams verwalten:** Mitarbeitende einladen, bearbeiten und löschen, Passwörter zurücksetzen, Rollen vergeben und [Teams](#teams) pflegen.
- **Geteilte Smart Inbox konfigurieren:** Sammelpostfächer verbinden und E-Mail-Kategorien pflegen.
- **Agenten und Sprachagenten konfigurieren:** [Agenten](/docs/agents.md) anlegen und einrichten, sofern sie in Ihrem Vertrag enthalten sind.
- **Selbstbedienungsformulare einrichten:** Bestellformulare, die Ihre Kunden statt einer E-Mail ausfüllen.
- **Stammdaten verwalten:** Stammdaten hochladen und konfigurieren, Importprotokolle ansehen, siehe [Stammdaten-Hub](/docs/master-data/master-data-hub.md).
- **Integrationen konfigurieren:** ERP-Integrationen, API-Schlüssel, Webhooks, [Outlook-Add-Ins](/docs/data-exchange/outlook-add-in.md) und SFTP-Schlüssel.
- **SSO und MFA konfigurieren:** Single Sign-On, SAML und die MFA-Pflicht für das Unternehmen, siehe [Anmeldung & Sicherheit](/docs/administration/login-and-security.md).
- **Unternehmenseinstellungen verwalten:** Firmenprofil und Logo, [Firmenbenachrichtigungen](/docs/administration/notifications.md) und [Worki für das Unternehmen](#worki). Wer diese Berechtigung hat, sieht die Kanäle und Dokumente **aller** Teams.

### Wer Rollen vergeben darf {#grant-roles}

| Rolle | Darf diese Rollen vergeben |
| --- | --- |
| Chat user | keine |
| Member | keine |
| Manager | Member, Manager |
| IT | keine |
| Admin | Chat user, Member, Manager, IT, Admin |

Dazu gilt:

- Ein **Manager** kann nur Mitarbeitende bearbeiten oder löschen, deren Rollen er selbst vergeben darf. Bei allen anderen ist das Menü ⋮ ausgegraut.
- Ihr eigenes Konto können Sie immer bearbeiten, aber nicht löschen.
- Ein **Admin** kann sich die Rolle **Admin** nicht selbst entziehen.
- Der letzte **Admin** des Unternehmens kann weder die Rolle verlieren noch gelöscht werden.

## Mitarbeitende verwalten {#employees}

Mitarbeitende verwalten Benutzer mit den Rollen **Manager** und **Admin** unter **Einstellungen** → **Mitarbeiter\*innen**. Die Liste zeigt Name, Rollen, Teams und den Status der Persönlichen Smart Inbox. Sie können suchen und nach Rolle oder Team filtern. Über **Kopiere … E-Mail-Adressen** kopieren Sie die Adressen aller Mitarbeitenden, die zum Rollen- und Teamfilter passen.

### Mitarbeitende einladen {#invite}

1. Klicken Sie auf **Mitarbeiter einladen**.
2. Füllen Sie das Formular aus:

   | Feld | Bedeutung |
   | --- | --- |
   | **Vorname** | Pflichtfeld. |
   | **Nachname** | Pflichtfeld. |
   | **Email** | Pflichtfeld. Die Adresse, mit der sich die Person anmeldet. Bei SSO muss sie genau der Adresse beim Identitätsanbieter entsprechen. |
   | **E-Mail-Aliase** (in der Oberfläche: *Email aliases*) | Weitere Adressen, von denen die Person Dokumente schickt. Workist ordnet Dokumente von diesen Adressen der Person zu. |
   | **Sprache** | Pflichtfeld. Sprache der Oberfläche und der E-Mails von Workist an diese Person. |
   | **Rollen** | Eine oder mehrere [Rollen](#roles); ohne Rolle hat die Person keine Berechtigungen. Rollen, die Sie nicht vergeben dürfen, sind ausgegraut. |
   | **Teams** | Teams, deren Kanäle die Person sieht. Das Standardteam ist immer ausgewählt. |

3. Klicken Sie auf **Erstellen**.

Workist schickt der Person eine Einladung per E-Mail:

- **Ohne SSO** enthält die E-Mail einen Link, mit dem die Person ihr Passwort setzt. Der Link ist 7 Tage gültig. Ist er abgelaufen, wählen Sie bei der Person ⋮ → **Passwort zurücksetzen**.
- **Mit SSO** (Microsoft Entra ID oder SAML ist eingerichtet) meldet sich die Person über SSO an und erhält kein Workist-Passwort, siehe [Single Sign-On](/docs/administration/login-and-security.md#sso).

Mit aktivierter Selbstregistrierung für Microsoft Entra ID legt Workist Konten auch selbst an, wenn sich jemand das erste Mal per SSO anmeldet. Diese Konten erhalten die Rolle **Member** und das Standardteam; weitere Rollen und Teams vergeben Sie hier.

### Bearbeiten, Passwort zurücksetzen, löschen

Über das Menü ⋮ in der Zeile einer Person:

- **Bearbeiten:** Name, E-Mail-Adresse, E-Mail-Aliase, Sprache, Rollen und Teams ändern, dann **Speichern**.
- **Passwort zurücksetzen:** Workist schickt der Person eine E-Mail mit einem Link, um ein neues Passwort zu setzen. Personen ohne Workist-Passwort, weil sie sich per SSO anmelden, erhalten keine E-Mail.
- **Smart Inbox verwalten:** erscheint, wenn die Person eine Persönliche Smart Inbox verbunden hat.
- **Löschen:** Die Person kann sich nicht mehr anmelden. Ihre E-Mail-Adresse ist danach wieder frei; Sie können sie später erneut einladen.

Die Zwei-Faktor-Authentifizierung einer Person können Sie nicht selbst zurücksetzen, siehe [Zugang verloren](/docs/administration/login-and-security.md#2fa-lost).

## Teams und Sichtbarkeit {#teams}

Jeder Kanal gehört zu genau einem Team. Ein Benutzer sieht die Kanäle seiner Teams und deren Dokumente, in der Dokumentenübersicht ebenso wie in den [Statistiken](/docs/administration/analytics.md) und im [Outlook-Add-In](/docs/data-exchange/outlook-add-in.md). Benutzer mit der Rolle **Admin** sehen alle Kanäle aller Teams.

:::tip Manager ohne Zugriff auf einen Kanal
Auch ein **Manager** sieht nur die Kanäle seiner Teams. Soll er alle Kanäle sehen, nehmen Sie ihn in alle Teams auf oder vergeben Sie die Rolle **Admin**.
:::

Das Team eines Kanals legen Sie in der Kanal-Konfiguration fest, siehe [Kanal-Konfiguration — Allgemein](/docs/channel-configuration/general.md). Ein Teamwechsel wirkt sofort für alle Dokumente des Kanals.

### Das Standardteam

Jedes Unternehmen hat ein Standardteam mit dem Namen des Unternehmens. Alle Mitarbeitenden sind immer Mitglied; neue Mitarbeitende kommen automatisch hinzu. Das Standardteam lässt sich weder bearbeiten noch löschen. Kanäle, die alle sehen sollen, ordnen Sie dem Standardteam zu.

### Teams anlegen und pflegen

Teams verwalten Benutzer mit den Rollen **Manager** und **Admin** unter **Einstellungen** → **Teams**.

1. Klicken Sie auf **Team erstellen**.
2. Geben Sie **Name** und optional eine **Beschreibung** ein und wählen Sie die **Mitarbeiter\*innen** aus.
3. Klicken Sie auf **Erstellen**.

Über ⋮ → **Verwalten** ändern Sie ein Team, über **Löschen** entfernen Sie es. Ein Team, dem noch Kanäle zugeordnet sind, lässt sich nicht löschen; ordnen Sie die Kanäle vorher einem anderen Team zu. Die Teams einer einzelnen Person ändern Sie auch beim [Bearbeiten der Person](#employees).

## Worki für das Unternehmen ein- und ausschalten {#worki}

Ein **Admin** kann Worki für alle Benutzer des Unternehmens ausschalten:

1. Öffnen Sie **Einstellungen** → **Organisation**.
2. Wählen Sie links den Eintrag für Agenten (in der Oberfläche: *Agents*).
3. Schalten Sie die Option für Worki aus (in der Oberfläche: *Worki is enabled for your organization*) und speichern Sie.

Danach kann niemand im Unternehmen Worki nutzen. Mehr dazu unter [Worki](/docs/agents/worki.md).