Docs › Team & Betrieb › Team & Rollen

Team & Rollen einrichten

In dieser Anleitung lädst du Kolleg:innen ein, vergibst Rollen und steuerst genau, wer was sehen und tun darf — inklusive Marken-Zuweisung und optional verpflichtender 2‑Faktor-Anmeldung.

⏱ ca. 5–10 Min · Recht: roles.manage (Admin) · Free (bis 3 Nutzer) & Paid (unbegrenzt)

Einstellungen → Team in The-Y CRM — Einstellungen → Team — einladen, Rollen und Rechte.

Mitarbeiter einladen

Team öffnen. Einstellungen → Team.
Einladen. „＋ Einladen": E-Mail, Name und Rolle wählen. Die Person erhält einen Einladungslink und setzt beim ersten Öffnen selbst ihr Passwort — du gibst also nie ein Passwort weiter.
Status verfolgen. Offene Einladungen siehst du in der Liste; du kannst sie erneut senden oder zurückziehen. Angenommene Mitglieder erscheinen als aktive Nutzer.

Free ist auf 3 Nutzer begrenzt; im Paid-Tarif ist die Teamgröße unbegrenzt.

Rollen & Sichtbarkeit (Scope)

Jede Person hat eine oder mehrere Rollen. Der Scope legt fest, auf wessen Daten (Kontakte/Deals/Tickets) sie zugreift.

Rolle	Darf typischerweise	Scope
Admin	alles — inkl. Einstellungen, Team, Abrechnung, Integrationen	alle
Supervisor	CRM + Auswertungen fürs ganze Team, Genehmigungen (z. B. Urlaub), keine Betreiber-Einstellungen	alle / Team
Agent	eigene Kontakte/Deals bearbeiten, Tickets beantworten	eigene (bzw. Team)

Scope: eigene (nur, was mir zugewiesen/gehört), Team (mein Team), alle (der ganze Mandant). „Gehört mir" heißt: Bearbeiter oder Ersteller.

Rechte pro Person feinjustieren (Overrides)

Zusätzlich zur Rolle stellst du je Person einzelne Rechte fein ein — im Mitglied-Editor je Recht auf Erben (aus der Rolle), Erlauben oder Verbieten.

Verbieten schlägt Erlauben. Beispiel: Ein Agent soll ausnahmsweise Firmen sehen dürfen → beim Recht company.view auf „Erlauben". Umgekehrt sperrst du gezielt einzelne Aktionen per „Verbieten".

Rechte wirken überall: Menüpunkte werden ausgeblendet, „Neu/Bearbeiten/Löschen"-Knöpfe verschwinden, und der Server prüft jede Aktion (kein Umgehen über die URL).

Marken/Workspaces zuweisen

Hast du mehrere Marken (Workspaces), ordnest du im Mitglied-Editor unter „Workspaces" zu, welche Marken eine Person sieht. Agenten sehen nur die Posteingänge ihrer Marken; Admin/Supervisor sehen alle. So trennst du z. B. mehrere Kundenmarken sauber — eine Rechnung, mehrere Marken.

Zwei-Faktor-Anmeldung (2FA) erzwingen

Selbst-Service: Jede Person aktiviert 2FA unter 🔒 Sicherheit (Authenticator-App/TOTP + 8 Wiederherstellungscodes). Details: Sicherheit & Konto.
Org-weit erzwingen: In den Team-Einstellungen aktivierst du „2FA für alle" — Nutzer ohne 2FA werden dann zur Einrichtung gezwungen.
Admin-Reset: Verliert jemand sein Gerät, setzt ein Admin dessen 2FA zurück (Rettungsweg). Am Mitglied zeigt ein 🔒-Badge, wer 2FA aktiv hat.

Fehlerbehebung

Der Einladungslink funktioniert nicht mehr

Einladungen laufen ab bzw. wurden evtl. zurückgezogen. Sende die Einladung in Einstellungen → Team einfach erneut. (Einladungs-Mails brauchen ein hinterlegtes System-Postfach; ist keines konfiguriert, gib der Person den Link direkt.)

Ich kann meine eigene Rolle nicht ändern

Das ist Absicht: Die Selbst-Änderung der eigenen Rolle/Rechte ist gesperrt, damit du dich nicht versehentlich aussperrst. Eine andere Admin-Person kann es ändern (mehrere Admins sind gleichrangig).

Ein Agent sieht zu wenig oder zu viel

Das steuert der Scope (eigene/Team/alle) plus die Overrides. Für „nur eigene Kunden" → Scope eigene. Für gezielte Ausnahmen die einzelnen Rechte auf Erlauben/Verbieten setzen.

Jemand ist wegen 2FA ausgesperrt

Zuerst mit einem Wiederherstellungscode anmelden. Geht das nicht, setzt ein Admin die 2FA der Person in Einstellungen → Team zurück; danach richtet sie 2FA neu ein.

Weiter geht's

← Team & Betrieb Sicherheit & 2FA Erste Schritte Kanäle verbinden