Für KI kopieren

Team, Berechtigungen und Sicherheit

Trennen Sie die persönliche Sicherheit jedes Benutzers von den Regeln, die für die gesamte Organisation gelten.

Cord hat drei getrennte Zugriffsebenen:

1. Ihr Konto schützt die persönliche Identität: Passwort, 2FA, Passkeys, Sitzungen und das verbundene Google-Konto.
2. Team und Berechtigungen legt fest, was jedes Mitglied innerhalb einer Organisation tun darf.
3. Sicherheit der Organisation setzt Anforderungen wie 2FA, Abmeldung bei Inaktivität und erlaubte Domains für Einladungen durch.

Tarife und Plätze

Ein Team einzuladen und individuelle Rollen zu nutzen ist ab Professional möglich. Das derzeit enthaltene Kontingent:

Tarif	Enthaltene Benutzer	Zusätzliche Benutzer
Kostenlos	1	Nicht verfügbar
Starter	1	Nicht verfügbar
Professional	5	Mit monatlicher Gebühr pro Benutzer
Scale	15	Mit monatlicher Gebühr pro Benutzer
Developer	Unbegrenzt	Inklusive

Eine gültige Einladung belegt bereits einen Platz, auch wenn sie noch nicht angenommen wurde. Ist die Anzeige voll, widerrufen Sie eine Einladung, die Sie nicht mehr brauchen, oder prüfen Sie Ihren Tarif. Die Preise für zusätzliche Benutzer finden Sie unter Ihr Abonnement.

Eine Person einladen

Die Einladung läuft nach 7 Tagen ab. Cord versucht, sie per E-Mail zu senden, und gibt zusätzlich einen kopierbaren Link als Ausweichlösung zurück. Erneut senden ersetzt das bisherige Token durch ein neues mit sieben Tagen Gültigkeit; der alte Link funktioniert dann nicht mehr.

Beschränkt die Organisation Domains, muss die E-Mail-Adresse genau auf eine der Domains enden, die unter Einstellungen › Team und Berechtigungen › Sicherheit konfiguriert sind. Die Regel gilt auch für Einladungen nur per Link: Sie wird bei der Annahme geprüft, und zwar anhand der E-Mail-Adresse des Kontos, mit dem sich die Person anmeldet. Ein Konto einer anderen Domain kann also nicht beitreten, selbst wenn es den Link hat. Jeder Link funktioniert nur einmal.

Rollen und Berechtigungen

Rollen sind bearbeitbare Vorlagen, kein Ersatz für die effektiven Berechtigungen:

• Administrator: fast alles, einschließlich Team; Rückerstattungen sind nicht aktiviert.
• Verkäufer: Angebote, Kunden, Produkte und Berichte; keine Einstellungen und keine Freigaben.
• Nur Lesen: Zugriff auf die App ohne Änderungsrechte.
• Individuell: eine eigens für dieses Mitglied gespeicherte Kombination.
• Super-Admin: die Person, die das Konto erstellt hat (der Inhaber). Hat per Definition vollen Zugriff; kann über Team weder herabgestuft noch widerrufen werden.

Die einzelnen Berechtigungen sind Angebote, Freigaben, Forderungsmanagement, Kunden, Produkte, Berichte, Einstellungen, Zahlungseinstellungen, Rückerstattungen und Team.

Wer was vergeben darf:

• Der Inhaber kann jede Berechtigung vergeben.
• Jede andere Person mit der Berechtigung Team kann nur die Berechtigungen vergeben, die sie selbst hat – beim Einladen, beim Bearbeiten eines Mitglieds oder bei der Wahl einer Rolle. Was das Mitglied bereits hatte, bleibt erhalten, auch wenn die bearbeitende Person es nicht hat, und Berechtigungen entziehen ist immer möglich.
• Rückerstattungen vergibt nur der Inhaber.
• Niemand kann die eigenen Berechtigungen oder die eigene Rolle ändern: Bitten Sie eine andere Person, die das Team verwaltet.
• Eine Einladung nur per Link erneut zu senden, die Berechtigungen vergibt, die Sie nicht vergeben dürfen, ist Sache des Inhabers, denn der neue Link kommt bei Ihnen an.

Status der Mitgliedschaft

• Aktiv: hat die Einladung angenommen und behält den Zugriff.
• Eingeladen: Der Link ist noch offen; er kann gültig oder abgelaufen sein.
• Widerrufen: hat keinen Zugang mehr zur Organisation. Der Eintrag bleibt erhalten, um den Verlauf anzuzeigen, und die Person kann erneut eingeladen werden.

Der Bildschirm zeigt die letzte Sitzung, die jüngsten Angebote und die letzte Aktion, wenn Daten vorliegen. Ein Widerruf entzieht den Zugriff; Dokumente, die diese Person erstellt hat, werden nicht automatisch neu zugewiesen oder gelöscht.

Zwei-Faktor-Authentifizierung verlangen

Aktivieren Sie unter Einstellungen › Team und Berechtigungen › Sicherheit die Option Zwei-Faktor-Authentifizierung (2FA) verlangen für die Organisation. Ein Mitglied, das TOTP noch nicht eingerichtet hat, wird zu Einstellungen › Ihr Konto geleitet, um die Aktivierung abzuschließen, bevor es die geschützten Bereiche weiter nutzen kann.

Die persönliche Aktivierung erfolgt unter Einstellungen › Ihr Konto: Scannen Sie den QR-Code mit Ihrer Authenticator-App, bestätigen Sie den Code und speichern Sie die zehn Einmal-Backup-Codes, die bei der Aktivierung angezeigt werden. Bewahren Sie diese Codes außerhalb von Cord auf. Wenn Sie sie neu erzeugen, wird der bisherige Satz ungültig. Zum Deaktivieren von 2FA ist je nach Kontotyp das aktuelle Passwort oder ein Code aus der Authenticator-App erforderlich.

Bei der Anmeldung funktioniert jeder Code der Authenticator-App nur einmal, und jeder Backup-Code ist nach der Verwendung verbraucht. Ab dem dritten fehlgeschlagenen Code an einem Tag sendet Cord Ihnen die E-Mail Anmeldeversuch mit Ihrem Passwort (höchstens eine pro Stunde): Wer es versucht hat, kannte Ihr korrektes Passwort; ändern Sie es also, wenn Sie es nicht waren. Nach zehn fehlgeschlagenen Codes in 24 Stunden wird der zweite Schritt pausiert, außer aus einem Netzwerk, in dem Sie bereits eine offene Sitzung haben; das Zurücksetzen Ihres Passworts hebt die Pause auf.

Verlangt die Organisation 2FA, gilt der Schutz auch für die Anfragen des Dashboards, nicht nur für den sichtbaren Bildschirm. Die Aktionen, die zum Einrichten von 2FA, zum Bestätigen Ihrer Identität oder zum Abmelden nötig sind, bleiben verfügbar.

Fordert eine sensible Aktion Sie auf, Ihre Identität erneut zu bestätigen, schließen Sie das ab, bevor Sie es erneut versuchen. Die Team-Berechtigungen bleiben erforderlich: 2FA zu haben berechtigt nicht dazu, Rückerstattungen auszuführen oder das Unternehmen zu verwalten.

Passkeys und Passwort

Unter Einstellungen › Ihr Konto kann jede Person:

• ihr Passwort erstellen oder ändern;
• mehrere Passkeys registrieren, die mit dem Gerät oder dem Schlüsselverwalter kompatibel sind;
• einen Passkey entfernen, den sie nicht mehr erkennt;
• Google verbinden oder trennen. Apple erscheint als Demnächst verfügbar: Diese Option gibt es noch nicht.

Ein mit OAuth erstelltes Konto kann später ein Passwort festlegen. Bevor Sie die letzte funktionierende Anmeldemethode trennen, stellen Sie sicher, dass Ihnen ein anderer Zugang bleibt.

Jedes neue Passwort – bei der Registrierung, bei der Wiederherstellung oder bei einer Änderung – muss mindestens 10 Zeichen haben, darf Ihre E-Mail-Adresse nicht enthalten und darf nicht in öffentlichen Datenlecks auftauchen. Stammt Ihr aktuelles Passwort aus der Zeit vor dieser Regel, funktioniert es weiterhin für die Anmeldung; die Regel gilt bei der nächsten Änderung.

Aktive Sitzungen

Die Sitzungsliste zeigt Gerät, bekannte IP, letzte Aktivität und welche Sitzung die aktuelle ist. Sie können eine einzelne Sitzung oder alle anderen beenden.

Die Organisation kann außerdem unter Einstellungen › Team und Berechtigungen › Sicherheit eine Abmeldung bei Inaktivität festlegen: Kein Limit, 1, 4, 8 oder 24 Stunden. Diese Regel ist etwas anderes als das manuelle Beenden persönlicher Sitzungen.

Die Frist wird beim Zugriff auf die App, auf die Abrechnung und auf geschützte interne APIs geprüft sowie beim Registrieren eines Passkeys. Ist sie abgelaufen, wird der Vorgang gestoppt, und Sie müssen sich erneut anmelden. Aktivität wird an authentifizierten Anfragen an diese Bereiche gemessen, nicht an Mausbewegungen; automatische Anfragen der App können ebenfalls zählen. Der Besuch einer öffentlichen Seite oder die Nutzung der Wiederherstellungswege für 2FA setzt die Frist nicht zurück. „Kein Limit“ deaktiviert die Abmeldung bei Inaktivität, behält aber die maximale Sitzungsdauer, Widerrufe und die Sperrung des Kontos bei.

SSO für Unternehmen

SAML-2.0-Verbindungen werden unter Einstellungen › Team und Berechtigungen › SSO verwaltet und erfordern den Scale- oder Developer-Tarif sowie die Berechtigung Team. Eine gespeicherte Konfiguration garantiert keinen Zugriff mehr, wenn dieser Tarif verloren geht. Die technische Einrichtung der Verbindung (Entity ID, Anmelde-URL, Zertifikat, Domains, Bereitstellung und Rollenzuordnung) finden Sie unter SSO und SAML.

Über SSO verwaltete Mitglieder sind unter Team gekennzeichnet, und ihre Berechtigungen verwaltet Ihr Identitätsanbieter.

SSO erzwingen

Sobald eine Verbindung funktioniert, können Sie Ihr Team verpflichten, sich nur noch per SSO anzumelden.

Ist die Option aktiv, sperrt Cord Passwort, Google, Apple und Passkeys für alle Mitglieder außer dem Inhaber des Kontos, der sein Passwort immer als Ausweichlösung behält.

Notfallzugriff

Ist Ihr Identitätsanbieter ausgefallen und kann sich Ihr Team nicht anmelden, kann der Inhaber die Anforderung vorübergehend deaktivieren:

Während dieser Stunde kann das Team wieder seine anderen Anmeldemethoden verwenden, und der Bildschirm zeigt SSO vorübergehend deaktiviert bis mit Datum und Uhrzeit des Ablaufs. Danach gilt die Anforderung automatisch wieder. Nur der Inhaber kann diese Option nutzen, und die Aktion wird im Audit-Log der Organisation protokolliert.

Ein persönliches Konto löschen

Die Gefahrenzone unter Ihr Konto löscht dauerhaft die persönliche Identität, Sitzungen, Passkeys und verbundene Konten. Dafür sind eine Anmeldeinformation und die Eingabe der E-Mail-Adresse zur Bestätigung erforderlich. Ohne eigene Organisationen wird das Konto sofort gelöscht. Ist diese Person die einzige Inhaberin einer Organisation mit weiteren Mitgliedern, muss sie zuerst die Inhaberschaft übertragen; gibt es sonst niemanden, wird die Löschung dieser Organisation für 30 Tage später geplant und das Konto mit ihr gelöscht, mit Zeit zum Herunterladen der Steuerbelege und zum Abbrechen. Details unter Daten und Löschung.

Häufige Probleme

Ich kann niemanden einladen. Prüfen Sie die Berechtigung Team, den Professional-Tarif oder höher, einen freien Platz und eine erlaubte Domain.

Der Link ist abgelaufen. Verwenden Sie Erneut senden; versuchen Sie nicht, das alte Token wiederherzustellen.

Ich kann eine Berechtigung nicht vergeben. Sie vergeben nur die Berechtigungen, die Sie selbst haben, und Rückerstattungen vergibt nur der Inhaber.

Die Person kann den Link nicht annehmen. Beschränkt die Organisation Domains, muss sie sich mit einem Konto aus einer dieser Domains anmelden.

Die Person kann sich anmelden, aber nichts ändern. Prüfen Sie die effektiven Berechtigungen, nicht nur den Namen der Rolle.

Die Organisation verlangt 2FA. Die Person muss TOTP in ihrem eigenen Konto einrichten; ein Administrator kann die Codes nicht für sie erzeugen.

„Zu viele Versuche“ bei der Anmeldung. Zehn fehlgeschlagene Passwörter vom selben Gerät innerhalb von 15 Minuten pausieren dieses Gerät für diese Zeit. Kommen die Versuche von vielen Stellen (30 in einer Stunde), lässt das Konto die Anmeldung nur noch aus einem Netzwerk zu, in dem Sie bereits eine offene Sitzung haben. In beiden Fällen hebt das Zurücksetzen des Passworts über Passwort vergessen? die Pause auf. Cord zeigt auf dem Bildschirm nie an, ob zu einer E-Mail-Adresse ein Konto existiert.

Ich habe „Anmeldeversuch mit Ihrem Passwort“ erhalten. Jemand hat Ihr Passwort eingegeben und ist am Bestätigungscode gescheitert. Wenn Sie das nicht waren, ändern Sie es unter Einstellungen › Ihr Konto und beenden Sie die Sitzungen, die Sie nicht erkennen.

Beim Öffnen meiner Organisation werde ich erneut zur SSO-Anmeldung aufgefordert. Ihre Organisation erzwingt SSO, und die Sitzung wurde nicht über ihren Identitätsanbieter geöffnet (zum Beispiel haben Sie sich über das SSO einer anderen Organisation angemeldet, der Sie ebenfalls angehören). Melden Sie sich über das SSO dieser Organisation an.

Ich kann SSO erzwingen nicht aktivieren. Sie brauchen eine aktive Verbindung mit mindestens einer verifizierten Domain.

Der Identitätsanbieter ist ausgefallen. Der Inhaber kann sich mit seinem Passwort anmelden und Für 1 Stunde deaktivieren verwenden.

Verwandte Seiten

• SSO und SAML
• Ihr Cord-Abonnement: enthaltene Plätze und zusätzliche Benutzer.
• Übersicht der Einstellungen
• Ihr Konto erstellen