Berechtigungen & Teilen

Dieses Kapitel brauchen Sie, wenn mehrere Personen mit derselben Paperless-Instanz arbeiten: wenn jemand neu dazukommt und „nichts sieht", wenn ein Dokument nur für ein Team sichtbar sein soll oder wenn eine Datei an jemanden außerhalb gehen muss.

Zwei Ebenen von Rechten

Berechtigungen in Paperless-ngx bauen auf zwei Ebenen auf: globale Rechte und objektbezogene Rechte. Globale Rechte legen fest, welche Bereiche der Anwendung jemand nutzen darf (z. B. Dokumente, Tags, Einstellungen). Objektbezogene Rechte bestimmen, welche einzelnen Objekte sichtbar oder bearbeitbar sind. Jedes Objekt hat einen Eigentümer sowie Ansichts- und Bearbeitungsrechte, die an andere Nutzer oder Gruppen vergeben werden können.

Tipp: Objektbezogene Rechte gelten nur für das Objekt selbst. Rechte an einem Tag wirken sich also nicht auf die Rechte der Dokumente aus, die dieses Tag tragen.

Rechte setzen Sie beim Bearbeiten eines Dokuments über den Reiter Berechtigungen oder im Stapel, indem Sie mehrere Dokumente auswählen und den Button Berechtigungen verwenden.

Objektbezogene Rechte

Bei Tags, Korrespondenten, Dokumenttypen und Speicherpfaden sind Sichtbarkeit und Zuordnung bewusst getrennt: Ein Dokument behält eine bestehende Zuordnung auch dann, wenn Sie das zugeordnete Objekt selbst nur als „Privat" sehen.

Standard-Berechtigungen

Über die Weboberfläche angelegte Objekte (Tags, Dokumenttypen usw.) erhalten standardmäßig den aktuellen Nutzer als Eigentümer und keine weiteren Rechte; Sie können dies unter Einstellungen → Berechtigungen anpassen.

Über den Consume-Ordner aufgenommene Dokumente haben standardmäßig keinen Eigentümer und keine zusätzlichen Rechte – dies lässt sich mit Arbeitsabläufen (Workflows) steuern.

Nutzer und Gruppen

Nutzer und Gruppen verwalten Sie unter Administration → Benutzer & Gruppen (sofern Sie die Berechtigung dazu haben). Ist ein Nutzer Mitglied einer Gruppe, erbt er deren Rechte.

Hinweis: Neue Nutzer haben keine Rechte – außer denen, die sie über ihre Gruppen erben. Das ist die häufigste Ursache für „Ich habe mich angemeldet und sehe nichts": Das Konto existiert, gehört aber keiner Gruppe an und hat keine eigenen Rechte. Abhilfe: das Konto einer Gruppe mit den passenden Rechten zuordnen.

Zwei besondere Rollen:

• Superuser können auf alle Bereiche und sämtliche Objekte zugreifen. Superuser-Status kann nur ein anderer Superuser vergeben. Für den Alltag empfiehlt sich ein normales Konto.
• Admin-Status gewährt Einblick in die Protokolle sowie Zugriff auf das technische Backend. Der Systemstatus ist daran nicht mehr gebunden: Dafür gibt es ein eigenes globales Recht (siehe unten); Admins behalten den Zugriff zusätzlich.

Globale Rechte

Die globalen Rechte sind fein abgestuft und regeln pro Objektart (Dokumente, Tags, Korrespondenten, Workflows …), ob jemand anlegen, bearbeiten, löschen oder ansehen darf. Drei Rechte fallen aus diesem Schema und sind für die Praxis wichtig:

Zwei-Faktor-Authentifizierung (2FA)

Nutzer können 2FA für ihr Konto über den Dialog Mein Profil aktivieren. Dort erscheint ein QR-Code, den Sie mit einer 2FA-App (z. B. einem Authenticator) scannen. Nach Eingabe des generierten Codes ist 2FA aktiv, und Sie erhalten zehn Wiederherstellungscodes für den Fall, dass das 2FA-Gerät verloren geht. Bewahren Sie diese sicher auf – sie lassen sich nicht erneut abrufen. Danach ist bei jeder Anmeldung ein Code aus der 2FA-App erforderlich.

Verliert jemand Gerät und alle Wiederherstellungscodes, kann ein Superuser 2FA für diesen Nutzer über Benutzer & Gruppen deaktivieren.

Passwort zurücksetzen

Das Zurücksetzen des Passworts per E-Mail erfordert einen eingerichteten Mailversand. Die Einrichtung ist Sache der Administration bzw. Ihres Hosting-Partners.

Dokumente teilen

Dokumente teilen Sie mit anderen Nutzern, indem Sie ihnen die oben beschriebenen Rechte am Dokument geben. Dateien lassen sich zusätzlich extern teilen – über Freigabelinks oder über E-Mail- und Webhook-Aktionen in Workflows.

Freigabelinks

Freigabelinks sind öffentliche Links auf eine einzelne Datei oder ein Archiv mehrerer Dateien. Sie erstellen und verwalten sie über Senden → Linkfreigabe auf der Detailseite oder über das Menü Senden der Stapelbearbeitung.

• Freigabelinks erfordern keine Anmeldung und verweisen direkt auf die Datei bzw. das gebündelte Archiv.
• Links sind eindeutig und haben die Form {paperless-url}/share/{zufälliger-slug}.
• Optional lässt sich eine Ablaufzeit festlegen.
• Nach Ablauf oder Löschung landen Nutzer auf der normalen Anmeldeseite.
• Aus der Detailansicht erstellen Sie einen Link auf dieses eine Dokument. Hat das Dokument mehrere Versionen, gilt der Link für die gerade ausgewählte Version (siehe Dokumentversionen).
• Aus der Stapelbearbeitung erstellen Sie über Senden → Freigabelink-Paket erstellen ein Paket für die gesamte Auswahl: Paperless packt die Dateien im Hintergrund in ein ZIP-Archiv und stellt dafür einen einzigen Link bereit.

Die zentrale Verwaltung liegt unter Verwaltung → Share links. Im Reiter Document links finden Sie einzelne Dokumentfreigaben, unter Bundles die Pakete samt Fortschritt. Dort lassen sich Links löschen und fehlgeschlagene Pakete erneut anstoßen. Diese drei Beschriftungen sind in dieser Version auch bei deutscher Spracheinstellung noch englisch. Welche Reiter und Einträge sichtbar sind, hängt von Ihren Berechtigungen ab.

Achtung: Wer den Link kennt, kann die Datei ohne Paperless-Anmeldung abrufen. Prüfen Sie vor dem Erstellen Empfänger, Dokumentauswahl und Schutzbedarf. Verwenden Sie für sensible Unterlagen eine kurze Ablaufzeit, übertragen Sie den Link nur über einen geeigneten Kanal und löschen Sie ihn, sobald er nicht mehr benötigt wird.

Hinweis für die Administration: Steht die Instanz hinter einem Reverse-Proxy mit eigener Authentifizierung, ist ggf. eine Ausnahme nötig, damit Freigabelinks wirklich öffentlich erreichbar sind – mit Bedacht. Anwender können das nicht selbst einrichten.

Per E-Mail teilen

Ist ein Mailserver eingerichtet, enthält das Menü Senden auf der Detailseite eine Option E-Mail, um ein Dokument direkt zu versenden; ohne Mailserver fehlt die Option. Bei mehreren Versionen geht die ausgewählte Version. Diese Option ist in der Oberfläche als veraltet gekennzeichnet und damit nicht mehr der vorgesehene Standardweg. Für den wiederkehrenden Versand ist die E-Mail-Aktion in einem Workflow gedacht; für den Einzelfall bietet sich ein Freigabelink mit Ablaufzeit an.

Gespeicherte Ansichten teilen

Gespeicherte Ansichten sind Objekte wie Dokumente oder Tags: Sie haben einen Eigentümer und lassen sich über Ansichts- und Bearbeitungsrechte mit anderen Nutzern oder Gruppen teilen. So bekommt ein Team dieselbe Arbeitsliste, ohne dass jede Person den Filter selbst nachbaut. Wie Sie Ansichten anlegen, steht im Kapitel Ansichten, Filter & Stapelbearbeitung.

Typische Fehler

• Neuer Nutzer ohne Gruppe. Das Konto ist angelegt, sieht aber nichts – weil es weder eigene Rechte noch eine Gruppe hat. Gruppe zuordnen, nicht das Konto neu anlegen.
• Rechte am Tag mit Rechten am Dokument verwechselt. Wer ein Tag sehen darf, sieht deshalb noch nicht die Dokumente, die es tragen – und umgekehrt.
• Freigabelink ohne Ablaufzeit. Der Link bleibt gültig, bis jemand ihn löscht. Für einmalige Weitergaben eine Ablaufzeit setzen.
• „Ich kann keinen Freigabelink erstellen." Freigabelinks kann nur der Eigentümer des Dokuments anlegen. Bei Dokumenten aus dem Consume-Ordner gibt es standardmäßig keinen Eigentümer – dann hilft ein Workflow, der ihn setzt.

Weiter mit

• Workflows – Eigentümer und Rechte automatisch setzen, Dokumente per E-Mail-Aktion versenden.
• Ansichten, Filter & Stapelbearbeitung – Stapelauswahl für Berechtigungen und Freigabelink-Pakete.
• Dokumentversionen – welche Version ein Freigabelink liefert.