Benutzer verwalten

#Benutzer

Alle Konten als durchsuchbare Tabelle (auf dem Telefon als Karten untereinander) mit ihrem Zustand: Aktiv, Inaktiv (30 Tage oder länger ohne Anmeldung), Deaktiviert (gesperrt), dazu Admin (lokale Konten mit Admin-Recht und alle, die zuletzt mit der Admin-Gruppe angemeldet waren, auch per SSO oder LDAP) und E-Mail unbestätigt, in wie vielen Arbeitsbereichen die Person Mitglied ist (wie viele davon ihr gehören, zeigt der Tooltip), der belegte Speicher gegen ihre Grenze, wann sie zuletzt da war und wann das Konto erstellt wurde. Ein Klick auf eine Spaltenüberschrift – Person, Status, Arbeitsbereiche, Speicher, Zuletzt aktiv, Erstellt – sortiert danach, ein zweiter dreht die Reihenfolge um; anfangs stehen die zuletzt Aktiven oben. Auf dem Telefon wählst du die Reihenfolge unter Sortieren nach. Unten blättert die Tabelle in Seiten zu 25, 50 oder 100 Konten („1–25 von 112“). Die Filter-Knöpfe über der Tabelle (mit der Anzahl) zeigen nur Aktive, Inaktive, Deaktivierte, Admins oder wer gerade da ist. Mehrere Konten auf einmal: Häkchen setzen, dann Sitzungen beenden, Sperren oder Entsperren. Damit die Tabelle Platz hat, stehen auf dieser Seite Anmeldung & SSO und Arbeitsbereiche als Reiter über der Überschrift statt daneben.

Wer gerade da ist steht in der Spalte Zuletzt aktiv und aktualisiert sich alle 30 Sekunden: ein grüner Punkt für Jetzt aktiv (Flowplan ist offen und wurde in den letzten Minuten benutzt), ein gelber für Geöffnet · inaktiv seit … (offen, aber seit dieser Zeit nicht berührt – auch ein Tab im Hintergrund), ein grauer mit der Zeit des letzten Besuchs, wenn Flowplan geschlossen ist, und ein leerer Kreis für Konten, die noch nie da waren. Dafür meldet die geöffnete App einmal pro Minute nur, dass sie offen ist und wie lange die letzte Eingabe her ist (Tippen, Klicken, Scrollen, Tippen auf dem Bildschirm) – nicht, was jemand tut oder welche Seite offen ist.

Ein Klick auf die Zeile oder den Namen öffnet das Konto in einem Seitenfenster (auf dem Telefon von unten). Schneller geht es über ⋯ am Ende der Zeile: Details und Einstellungen, Überall abmelden und Sperren … bzw. Entsperren. Das Seitenfenster zeigt oben die Arbeitsbereiche der Person (mit Namen, davon eigene), wann sie zuletzt aktiv war, wann das Konto erstellt wurde und wie sie sich anmeldet (z. B. „E-Mail + Passwort · SSO · Passkey“), darunter den belegten Speicher mit Balken – alles, was sie hochlädt oder kopiert, über alle Arbeitsbereiche – und:

• Rolle: bei Konten mit E-Mail und Passwort Mitglied oder Admin (eine Person verwaltet die Instanz immer); bei SSO-Konten kommt sie aus der Gruppe der Anmeldung.
• Speicherlimit für diese Person.
• Sitzungen: auf wie vielen Geräten die Person angemeldet ist; Abmelden beendet alle Sitzungen.
• Passwort (Konten mit E-Mail und Passwort): Link erstellen erzeugt einen zwei Stunden gültigen Link zum Zurücksetzen – zum Weitergeben, wenn die Instanz keine E-Mails verschickt.
• E-Mail-Adresse: Als bestätigt markieren für Konten, die den Link aus der Bestätigungs-E-Mail noch nicht geöffnet haben.
• Eingeklappt unter Weitere: … (die Zeile nennt, was darin steht):
  • Eigene Arbeitsbereiche und Größte Datei als weitere Grenzen. Leer = Standard der Instanz, 0 = unbegrenzt; für Admins gelten keine Grenzen. Sobald du eine dieser Grenzen oder das Speicherlimit änderst, erscheint unten die Leiste Grenzen speichern.
  • KI-Funktionen: Steht unter Administration → KI „Ausgewählte Personen“, schaltest du hier die KI pro Person frei oder ab.
  • Zwei-Faktor-Anmeldung (bei Konten mit Authenticator-App): Zurücksetzen (etwa bei verlorenem Telefon) schaltet die Authenticator-App des Kontos aus; das steht im Aktivitätsprotokoll, und die Person bekommt eine E-Mail, wenn die Instanz E-Mails versendet.
  • Anmeldemethoden: ob das Konto ein Passwort hat (oder es entfernt wurde), ob es sich über LDAP anmeldet und welche SSO-Konten verbunden sind – mit Issuer, Adresse, wann verbunden und wann zuletzt benutzt. Verbinden und trennen kann die Person selbst unter Einstellungen → Konto & Sicherheit.
  • Konten zusammenführen: Zusammenführen … legt das Konto mit einem zweiten derselben Person zusammen (siehe Konten zusammenführen).
• Am Ende: Sperren sperrt das Konto sofort und beendet alle Sitzungen; Entsperren gibt es wieder frei. Konto löschen (Löschen …) geht erst, sobald ein Konto gesperrt ist. Der Dialog nennt vorher, was passiert: Name, E-Mail, Passwort, Passkeys, Sitzungen und persönliche Einstellungen werden gelöscht, ebenso Arbeitsbereiche, in denen nur diese Person Mitglied war, und ihre privaten Bereiche. Gemeinsame Arbeitsbereiche bekommen bei Bedarf ein anderes Mitglied als Eigentümer; Beiträge darin bleiben und erscheinen als „Gelöschtes Konto“. Auch wenn das Konto dafür als leerer Platzhalter bleibt, verschwinden die persönlichen Daten: Kalender-Verbindungen und ihre Abgleiche, CalDAV- und CardDAV-Verknüpfungen, Gast-Zugänge, eigene Schlüssel für verschlüsselte Bereiche, Rechte an einzelnen Einträgen, Geräte, Entwürfe, Einstellungen von Widgets und Seitenleiste, der Besuchsverlauf der Schnellsuche, Sticker und Reaktionen. Es bleiben Inhalte, Versionsverlauf und Urheberschaft sowie erfasste Zeiten (ein laufender Timer stoppt); Freigabelinks, die die Person erstellt hat, funktionieren weiter. Das eigene Konto und das letzte Admin-Konto lassen sich nicht löschen.

Konten mit E-Mail und Passwort entstehen über Konto erstellen (siehe Anmeldung); SSO-Konten beim ersten Anmelden über OIDC, ihr Admin-Recht kommt aus der Gruppe beim Anbieter. Ob sich Personen selbst registrieren dürfen, stellst du unter Anmeldung & SSO ein.

#Konten zusammenführen

Hat eine Person zwei Konten – etwa ein lokales und eines, das bei der ersten SSO-Anmeldung entstanden ist –, führst du sie im Seitenfenster ihres Kontos unter Weitere mit Zusammenführen … zusammen. Du wählst das andere Konto (Konten mit derselben E-Mail-Adresse stehen oben) und mit dem Pfeil, welches bestehen bleibt. Die Vorschau nennt, was wechselt, bevor etwas passiert.

Alles des übernommenen Kontos geht auf das bleibende über: eigene Seiten und Bereiche, Mitgliedschaften in Arbeitsbereichen und Bereichen samt Freigaben (die höhere Rolle bleibt; Gast nur, wenn die Person überall Gast war), Gruppen, Kommentare und Reaktionen, Erwähnungen in Kommentaren und Dokumenten, Zuweisungen und Personen-Eigenschaften in Datenbanken, Favoriten, Sammlungen, Seitenleiste, Journal, Benachrichtigungen und ihre Einstellungen, Webhooks, Kalender- und Kontakt-Verbindungen, Zeiterfassung, Passkeys, SSO-Konten, das LDAP- und SCIM-Konto und der Verlauf im Aktivitäts- und Sicherheitsprotokoll. Wo beide Konten dasselbe haben (etwa einen Favoriten oder die Seitenleiste eines Arbeitsbereichs), gilt das des bleibenden Kontos.

• Sitzungen des übernommenen Kontos enden; API-Tokens werden widerrufen (Skripte brauchen ein neues Token des bleibenden Kontos – so liest kein Token plötzlich die Daten eines anderen Kontos).
• Passwort: Hat das bleibende Konto keins, übernimmt es das des anderen; sonst bleibt sein eigenes. Ein Admin-Recht eines lokalen Kontos geht mit.
• Authenticator-App: wird übernommen, wenn das bleibende Konto keine hat; Wiederherstellungscodes müssen dann neu erzeugt werden.
• Ende-zu-Ende-Verschlüsselung: Hat nur das übernommene Konto Schlüssel, gehen sie mit. Haben beide welche, bleiben die des bleibenden Kontos; verschlüsselte Bereiche, die nur das andere Konto hatte, müssen neu freigegeben werden.
• Ältere Versionen von Dokumenten behalten ihre Erwähnungen, wie sie waren.

Das Zusammenführen läuft in einem Schritt – ganz oder gar nicht –, steht im Aktivitätsprotokoll und als „Konten zusammengeführt“ im Sicherheitsprotokoll. Das übernommene Konto wird danach gelöscht. Das eigene Konto kann nur das bleibende sein.

#Anmeldung & SSO

• Registrierung & Zugang: Registrierung mit E-Mail und Passwort (jede Person darf ein Konto anlegen; ohne diese Einstellung nur eingeladene Adressen und das erste Konto der Instanz), Alle dürfen Arbeitsbereiche anlegen und Inaktive Konten sperren nach einer Zahl von Tagen ohne Anmeldung. Gesperrte Konten verlieren ihre Sitzungen, ihre API-Tokens funktionieren nicht mehr; die Sperre steht im Aktivitätsprotokoll und lässt sich unter Benutzer aufheben. Inaktive Konten löschen geht einen Schritt weiter: Nach einer Zahl von Tagen ohne jede Nutzung (mindestens 60 und mehr als beim Sperren) wird ein Konto gelöscht – wie beim Löschen durch einen Admin: persönliche Daten, Arbeitsbereiche und private Bereiche, die nur dieser Person gehören, verschwinden, Beiträge in gemeinsamen Arbeitsbereichen bleiben unter „Gelöschtes Konto“. 14 und 3 Tage vorher bekommt die Person eine E-Mail mit dem Datum; meldet sie sich vorher an, bleibt das Konto. Ist es schon gesperrt, bittet die E-Mail, sich an die Administration zu wenden – schaltest du es unter Benutzer wieder frei, ist die Löschung abgesagt. Ohne eingerichteten E-Mail-Versand, für Admin-Konten und für Konten ohne E-Mail-Adresse wird nie gelöscht. Unter Benutzer zeigt „Wird am … gelöscht“, wo eine Löschung ansteht; jede Löschung steht im Aktivitätsprotokoll.
• Zwei-Faktor-Anmeldung: Zwei-Faktor-Anmeldung verlangen – nicht verlangen, nur für Admins oder für alle lokalen Konten –, dazu wie viele lokale Konten schon einen zweiten Faktor haben. Konten ohne Authenticator-App und ohne Passkey richten direkt nach der Anmeldung einen zweiten Faktor ein (Zwei-Faktor-Anmeldung). SSO-Konten sind nicht betroffen.
• Sitzungen: wie lange man angemeldet bleibt – Browser ohne „Angemeldet bleiben“ (Stunden nach der Anmeldung, Standard 8), „Angemeldet bleiben“ im Browser anbieten (Standard aus), Browser mit „Angemeldet bleiben“ (7, 30, 90 oder 365 Tage ohne Nutzung, Standard 7), Desktop- und Mobil-Apps (Standard: angemeldet bleiben; oder wie im Browser ohne „Angemeldet bleiben“) und Apps: Ende ohne Nutzung (30, 90 oder 365 Tage, Standard 90). Standard folgt den Umgebungsvariablen SESSION_* (Konfiguration); ein hier gewählter Wert hat Vorrang. Die Laufzeit der Apps gilt nur für Anmeldungen, die die App belegt – die Übergabe über den Browser oder das Passwort mit dem Geräteschlüssel der App; der User-Agent allein zählt nicht, und ältere App-Versionen melden sich mit Passwort wie ein Browser an. Siehe Angemeldet bleiben.
• Single Sign-on (OIDC): ob ein Anbieter eingerichtet ist, die Admin-Gruppe und SSO-Gruppen zentral zuordnen – Gruppen des Anbieters bekommen Rollen und Gruppen in jedem Arbeitsbereich (SSO-Gruppen).
• SCIM-Token und LDAP-Verzeichnis mit ihrem Zustand (Benutzer bereitstellen mit SCIM, Anmeldung mit LDAP).
• Kontakte aus LDAP: Basis-DN, Personenfilter, Abgleich und Weitere Attribute (welche LDAP-Attribute über die Standardzuordnung hinaus zugeordnet werden dürfen, zusätzlich zu LDAP_CONTACTS_ATTRIBUTES) für Kontakte-Datenbanken; Änderungen werden als Sicherheitsereignis protokolliert. Siehe Kontakte aus LDAP.