Rollen, Rechte & Freigaben
Rollen & Rechte: Was jemand darf und was jemand sieht, sind zwei Fragen.
Die PBM Kampagnenplattform trennt beide Fragen konsequent. Die Rolle bestimmt, welche Aktionen jemand ausführen darf. Drei Sichtschichten bestimmen, welche Kundendaten er dabei überhaupt sieht. Beides wird bei jedem Zugriff geprüft – und lässt sich auf Knopfdruck erklären.
- Admin
- Campaign Manager
- Berater
- Insights-Viewer
- Support
| Berater | |
|---|---|
| Insights sehen | erlaubt |
| Kunde aus Kampagne nehmen | erlaubt |
| Kampagne starten | nicht erlaubt |
- Listen-Zugang
- 2 Listen
- Marken
- 1 · Regionalbank Musterstadt eG
- Access-Tags
- Region Nord · Team Privatkunden
Das Problem
Warum scheitern Rechtekonzepte in Vertriebsorganisationen?
Weil sie Rechte und Sicht in dieselbe Rolle packen. Bei 40 Filialen entstehen dann 40 Varianten derselben Rolle – und niemand weiß mehr, warum jemand etwas sieht.
„Für jede Filiale eine eigene Admin-Rolle.“
Eine Rolle, viele Sichtbereiche.
Die Rolle gilt überall gleich, die Sicht grenzt ein.
„Der Berater sieht zu viel – oder gar nichts.“
Sicht als Schnittmenge.
Nur wer alle drei Schichten passiert, sieht einen Kunden.
„Warum hat sie Zugriff? Keine Ahnung.“
Zugriffs-Diagnose.
Jede Sichtentscheidung wird Schicht für Schicht erklärt.
Sicht ≠ Aktion
Was bedeutet „Sicht und Aktion sind getrennt“?
Definition
In der PBM Kampagnenplattform beantwortet die Rolle, was jemand tun darf – etwa eine Kampagne starten. Die Sicht beantwortet, welche Kontakte, Listen und Kampagnen er dabei sieht. Eine Aktion ist nur erlaubt, wenn beides zutrifft.
Beispiel
Ein Campaign Manager darf Kampagnen starten. Hat er keinen Zugang zur Kundenliste „Wiederanlage Leben 2026“, sieht er die Kampagne nicht – und kann sie deshalb auch nicht starten.
Darf: an · Sieht: an
Kundenliste · Wiederanlage Leben 2026
Wiederanlage Leben 2026
Erlaubt – Recht und Sicht vorhanden
Darf: aus · Sieht: an
Kundenliste · Wiederanlage Leben 2026
Wiederanlage Leben 2026
Darf: an · Sieht: aus
Nicht sichtbar – deshalb auch nicht startbar.
Darf: aus · Sieht: aus
Nicht sichtbar – deshalb auch nicht startbar.
| Darf Kampagne starten | Sieht Kundenliste | Ergebnis |
|---|---|---|
| ja | ja | Erlaubt – Recht und Sicht vorhanden |
| nein | ja | Kampagne sichtbar, der Button „Starten“ fehlt |
| ja oder nein | nein | Nicht sichtbar – deshalb auch nicht startbar. |
Rollen
Welche Rollen gibt es in der PBM Kampagnenplattform?
Die Plattform bringt Standardrollen als Vorlagen mit – die folgenden sind Beispiele. Eigene Rollen definieren Sie selbst. Rechte werden additiv vergeben: Eine Rolle hat nur, was ihr ausdrücklich zugewiesen ist. Rollen gelten installationsweit gleich – wofür sie wirken, entscheidet die Sicht.
| Rolle | Typische Aufgabe |
|---|---|
| Super-Admin | Einrichtung der Installation, alle Rechte |
| Admin | Nutzer, Zugänge, Inhalte und Kampagnen im eigenen Sichtbereich verwalten |
| Campaign Manager | Kampagnen, Journeys, Inhalte und Segmente bauen und steuern |
| Berater (Standard-User) | Eigene Kunden sehen, Kundenkarte nutzen, Kunden aus einer Kampagne nehmen |
| Insights-Viewer | Auswertungen lesen, sonst nichts |
| Support | Überwiegend lesend, mit Einsicht ins Audit-Log |
| Service Account | Systemzugang für Schnittstellen, zum Beispiel aus dem Kernbanksystem |
| KI-Agent | Berichtende Aufgaben; handelnde Agenten nur hinter menschlicher Freigabe |
Ausgeblendet statt ausgegraut
Was jemand nicht darf, erscheint in der Oberfläche gar nicht erst. Kein grauer Knopf, der neugierig macht, keine Menüpunkte ohne Funktion. Ein Berater sieht eine ruhige Oberfläche mit genau seinen Aufgaben.
Sicht
Wer sieht welche Kunden?
Einen Kunden sieht nur, wer alle drei Schichten passiert. Die Sicht ist immer die Schnittmenge, nie die Summe.
-
Zugang zur Kundenliste – wird für jede Person ausdrücklich vergeben. Wer keinen Zugang hat, sieht die Liste nicht.
-
Markengrenze – jeder Kunde gehört genau einer Marke. Mitarbeitende einer Bank sehen nie die Kunden einer anderen. Diese Grenze ist hart; sie greift auch dann, wenn weiter unten ein Merkmal falsch gepflegt ist.
-
Zuständigkeit – über frei definierbare Zuständigkeitsmerkmale wie Region, Team oder Gebiet. Mindestens eines muss übereinstimmen.
Beispiel
Beraterin Christina Reuter hat Zugang zur Liste „Wiederanlage Leben 2026“, zur Marke „Regionalbank Musterstadt eG“ und die Zuständigkeit „Region Nord“. Sie sieht Marlene Hoffmann aus Region Nord – aber keinen Kunden aus Region Süd und niemals einen Kunden einer anderen Bank.
Freigaben
Wo greift das 4-Augen-Prinzip?
An zwei Stellen: beim Start einer Kampagne und bei Inhalten. Den Kampagnenstart können Sie installationsweit, pro Kundenliste oder pro Kampagne an eine zweite Person binden. Inhalte werden standardmäßig im 4-Augen-Prinzip freigegeben – für jede Sprachfassung einzeln. Vor der menschlichen Freigabe steht immer die automatische Compliance- und Tonalitätsprüfung.
- Jede Freigabe wird mit Person und Zeitpunkt protokolliert.
- Wer einen Inhalt erstellt hat, und wer ihn freigibt, ist im Protokoll getrennt sichtbar.
- Handelnde KI-Agenten arbeiten nur hinter einer menschlichen Freigabe.
- Entwurf
- Freigegeben
- Aktiv
- Pausiert
- Beendet
- Archiviert
Freigegeben · C. Reuter · 4-Augen
Anmeldung & Assistenz
Wie melden sich Mitarbeitende an – und wer darf für wen arbeiten?
-
Anmeldung
Über Ihren zentralen Identitätsanbieter per Single Sign-on (OIDC, zum Beispiel Microsoft) oder mit Passwort, optional mit Passkeys. Eine Selbstregistrierung gibt es nicht: Zugänge entstehen nur per Einladung oder Schnittstelle.
-
Assistenz
Assistentinnen und Assistenten können für einen Berater tätig sein – mit dessen Sicht und dessen Rechten, aber mit eigenem Login. Im Protokoll steht, wer im Auftrag von wem gehandelt hat.
Microsoft Entra ID (OIDC) Beispiel
Zugriffs-Diagnose
Warum sieht Jan Becker die Kundin Marlene Hoffmann nicht?
Die Zugriffs-Diagnose beantwortet genau solche Fragen. Die Plattform prüft Schicht für Schicht und zeigt, wo es scheitert – hier an der Markengrenze. Eine KI formuliert das Ergebnis in Klartext und schlägt den nächsten Schritt vor. Die Entscheidung selbst trifft das Regelwerk, nicht die KI.
- Support klärt Tickets ohne Rätselraten.
- Der Datenschutz belegt, wer einen Datensatz sehen darf und warum.
- Admins finden Konfigurationsfehler, bevor sie jemand bemerkt.
Frage: Warum sieht Jan Becker den Kontakt Marlene Hoffmann nicht?
Erklärung erzeugt- 1 · Listenzugang Liste „Wiederanlage Leben 2026“ – Zugang (erfüllt)
- 2 · Markengrenze Marke „Regionalbank Musterstadt“ – nicht freigeschaltet ← hier scheitert es (nicht erfüllt)
- 3 · Zuständigkeit Region Nord (erfüllt)
Für Beraterinnen und Berater
Was haben Berater von diesem Modell?
Einen klaren Blick auf die eigenen Kunden – und die Hand am Steuer. Die Kundenkarte zeigt, an welcher Kampagne ein Kunde teilnimmt, was er zuletzt erlebt hat und wie warm er ist. Passt eine Kampagne gerade nicht, nimmt der Berater den Kunden mit einem Klick heraus – dauerhaft für diese Kampagne.
Cross- & Upselling mit Beraterübergabe Vertragsverlängerung & Wiederanlage
Dass eine Beraterin als Absenderin im Brief steht, gibt ihr noch keinen Zugriff auf Daten. Absender ist Personalisierung, Sicht kommt allein aus ihrem Benutzerkonto.
Marlene Hoffmann
Kampagnen-Teilnahmen
Wiederanlage Leben 2026Schritt: Landingpage besucht
AktivAktivitäten
- 03.02. 06:00Brief zugestellt (zeitbasiert)
- 05.02. 18:12LP-Login · 2 Faktoren ✓
- 05.02. 18:15Argument „Steuervorteil“ gelesen (2:40 min)
- 05.02. 18:16Lead Score 72 ↑ Beispieldaten
Aktionen
Wo das Rollenmodell den Unterschied macht
-
Banken & Verbundgruppen
Partnerbanken sauber getrennt
-
Filial-, Händler- & Franchise-Netze
jeder Standort sieht nur seine Kunden
-
Cross- & Upselling
-
Vertragsverlängerung & Wiederanlage
Häufige Fragen zu Rollen, Rechten & Freigaben
Was ist der Unterschied zwischen Rolle und Sicht?
Die Rolle legt fest, was jemand in der PBM Kampagnenplattform tun darf, etwa Kampagnen starten oder Inhalte freigeben. Die Sicht legt fest, welche Kunden, Listen und Kampagnen er dabei sieht. Eine Aktion ist nur möglich, wenn beides zutrifft. Beide Prüfungen laufen bei jedem Zugriff.
Kann ein Berater nur seine eigenen Kunden sehen?
Ja. Ein Berater sieht in der PBM Kampagnenplattform nur Kunden, für deren Liste er Zugang hat, die zu seiner Marke gehören und bei denen mindestens ein Zuständigkeitsmerkmal wie Region oder Team übereinstimmt. Kunden anderer Marken sieht er nie.
Wo gilt das 4-Augen-Prinzip?
Beim Start von Kampagnen und bei der Freigabe von Inhalten. Für den Kampagnenstart lässt es sich installationsweit, pro Kundenliste oder pro Kampagne einstellen. Inhalte werden standardmäßig im 4-Augen-Prinzip freigegeben, und zwar für jede Sprachfassung einzeln. Jede Freigabe wird protokolliert.
Unterstützt die PBM Kampagnenplattform Single Sign-on?
Ja. Die Anmeldung per Single Sign-on läuft über OIDC, zum Beispiel mit Microsoft. Alternativ melden sich Nutzer mit Passwort an, optional mit Passkeys. Eine Selbstregistrierung gibt es nicht; Zugänge entstehen per Einladung oder Schnittstelle.
Können Assistenten für Berater arbeiten?
Ja. Assistentinnen und Assistenten arbeiten mit eigenem Login im Auftrag eines Beraters und übernehmen dabei dessen Sicht und Rechte. Im Protokoll steht, wer im Auftrag von wem gehandelt hat.
Wie lässt sich nachvollziehen, warum jemand einen Kunden sieht oder nicht sieht?
Mit der Zugriffs-Diagnose. Sie prüft Kundenliste, Marke und Zuständigkeit einzeln und zeigt, an welcher Schicht der Zugriff scheitert oder warum er besteht. Eine KI formuliert das Ergebnis in Klartext; entschieden wird es vom Regelwerk.