Rollenbasierte Berechtigungen in Enterprise-Plänen einrichten

Diese Anleitung führt Sie durch die Einrichtung rollenbasierter Berechtigungen für Ihre Enterprise-Organisation. Dies ermöglicht es Ihnen, zu kontrollieren, auf welche Funktionen und Konnektoren bestimmte Teams oder Gruppen von Mitgliedern zugreifen können, und spezifische Admin-Zugriffe wie Abrechnung oder Benutzerverwaltung zu delegieren, anstatt allen die gleichen Berechtigungen zu geben.

Bevor Sie beginnen, stellen Sie sicher, dass Sie mit Folgendem vertraut sind:

Sie benötigen Owner- oder Primary Owner-Zugriff auf Ihre Enterprise-Organisation oder eine benutzerdefinierte Rolle mit Identität & Zugriff auf Verwalten.

Überprüfen Sie, welche Funktionen auf Organisationsebene aktiviert sind. Gehen Sie zu Organisationseinstellungen und stellen Sie sicher, dass Sie wissen, auf welche Funktionen Mitglieder derzeit zugreifen können. Für Einstellungen, die von RBAC verwaltet werden, müssen sowohl die Organisationseinstellung als auch die Rolleneinstellung aktiviert sein, damit Benutzer Zugriff erhalten.

Sichern Sie Ihre Mitgliederliste. Exportieren Sie eine CSV-Datei Ihrer aktuellen Mitglieder aus Organisationseinstellungen > Mitglieder, bevor Sie Änderungen vornehmen. Falls während der Migration etwas schiefgeht, können Sie anhand dieser Liste den Zugriff wiederherstellen. Siehe Mitglieder in Team- und Enterprise-Plänen verwalten.

Bestimmen Sie, welche Teams oder Funktionen jede Funktion benötigen. Beispielsweise erhält Engineering Claude Code + Fast Mode und Marketing erhält Cowork + Web Search. Definieren Sie von hier aus Ihre benutzerdefinierten Rollen.

Dual-Seat-Pläne. Wenn Ihre Organisation einen Dual-Seat-Enterprise-Plan hat (mit Chat- und Chat + Claude Code-Sitzen), überschreiben benutzerdefinierte Rollen nicht die Einschränkungen auf Sitzebene. Ein Mitglied, das einem Chat-only-Sitz zugewiesen ist, kann nicht auf Claude Code zugreifen, auch wenn seine benutzerdefinierte Rolle dies gewährt. Das Gleiche gilt umgekehrt: Wenn die benutzerdefinierte Rolle eines Mitglieds die Chat-Funktion nicht gewährt, hat es keinen Chat-Zugriff, unabhängig von seinem Sitztyp. Planen Sie Ihre Rollenstruktur unter Berücksichtigung von Sitzzuweisungen.

Entscheiden Sie, wie Sie Gruppen erstellen. Sie können Gruppen manuell in Claude erstellen oder sie von Ihrem Identitätsanbieter (IdP) über SCIM synchronisieren. Sie können auch beide Methoden gleichzeitig verwenden. Wenn Sie planen, IdP-Gruppen von Okta, Entra ID oder einem anderen Anbieter zu verwenden, stellen Sie sicher, dass die SCIM-Verzeichnissynchronisierung konfiguriert ist. Siehe JIT- oder SCIM-Bereitstellung einrichten.

Fügen Sie die Konnektoren hinzu, die Sie verwalten möchten. Konnektorberechtigung deckt nur Konnektoren ab, die ein Owner oder Primary Owner bereits unter Organisationseinstellungen > Konnektoren hinzugefügt und mit Admin-Anmeldedaten verbunden hat. Überprüfen Sie auch Ihre organisationsweite Tool-Richtlinie dort, da Rollenzuweisungen darin eingeengt werden und nicht über sie hinaus erweitert werden können. Siehe Verwenden Sie Konnektoren, um die Funktionen von Claude zu erweitern.

Bevor Sie etwas erstellen, entscheiden Sie, auf welche Funktionen jedes Team oder jede Gruppe von Mitgliedern Zugriff haben sollte. Hier sind vier häufige Muster:

Dies ist der empfohlene Ansatz für die meisten Organisationen. Erstellen Sie eine "Standard Access"-Rolle für alle mit gemeinsamen Funktionen wie Web Search, Memory und Projects. Erstellen Sie dann additive Rollen, die spezifische Funktionen gewähren – beispielsweise eine "Cowork Enabled"-Rolle, die nur Cowork hinzufügt. Weisen Sie alle Mitglieder der Basisrolle über eine "All Users"-Gruppe zu und fügen Sie bestimmte Mitglieder zu zusätzlichen Gruppen hinzu, die zusätzliche Funktionen überlagern.

Dieses Muster ist flexibel, da Berechtigungen additiv sind – die Kombination einer Basisrolle mit additiven Rollen setzt sich sauber zusammen, ohne Konflikte zu verursachen.

Erstellen Sie unterschiedliche Tiers: "Full Access" mit allen Funktionen, "Standard Access" mit den meisten Funktionen und "Restricted Access" mit minimalen Funktionen. Jedes Mitglied geht in genau eine Gruppe, die einem Tier zugewiesen ist.

Erstellen Sie Rollen, die Abteilungen zuordnen: "Engineering" mit Chat, Cowork, Claude Code und Code-Ausführung; "Research" mit Chat, Web Search, Memory und Projects; "Business" mit Chat, Web Search und nur Projects. Weisen Sie jede Abteilungsgruppe ihrer entsprechenden Rolle zu.

Erstellen Sie Rollen, die Teile der Verwaltung delegieren, ohne die Owner-Rolle zu gewähren. Eine benutzerdefinierte Rolle mit Admin-Berechtigungen benötigt keine Benutzerfunktionen und umgekehrt. Sie könnten eine "Finance"-Rolle erstellen, die Billing-Zugriff gewährt, aber keine Chat- oder Claude Code-Funktion, oder eine "Engineering Lead"-Rolle, die Claude Code plus Analytics-Ansichtszugriff gewährt. Erfahren Sie mehr über Admin-Berechtigungen für benutzerdefinierte Rollen.

Denken Sie daran: Jede Funktion, die Sie pro Gruppe kontrollieren möchten, muss auf Organisationsebene aktiviert sein. Wenn eine Funktion auf Organisationsebene ausgeschaltet ist, kann keine benutzerdefinierte Rolle Zugriff darauf gewähren.

Erstellen Sie Ihre benutzerdefinierten Rollen, bevor Sie Funktionen aktivieren oder Mitglieder migrieren. Dies stellt sicher, dass Ihre Rollen bereit sind, den Zugriff durchzusetzen, sobald Funktionen aktiviert werden.

Rollenänderungen können bis zu 15 Minuten dauern, bis sie wirksam werden. Mitglieder müssen möglicherweise ihren Browser aktualisieren, um den aktualisierten Zugriff zu sehen.

Siehe Benutzerdefinierte Rollen in Enterprise-Plänen verwalten für Details zu verfügbaren Funktionen, Admin-Berechtigungen und Konnektoren.

Legen Sie Admin-Berechtigungen für jede Rolle fest, um den Zugriff auf Admin-Einstellungen wie Abrechnung, Benutzerverwaltung oder Datenschutz zu delegieren, ohne die Owner-Rolle zu gewähren. Dieser Schritt ist optional. Wenn Sie ihn nicht konfigurieren, gewähren Rollen keinen Admin-Zugriff und die Verwaltung bleibt bei Owners und Primary Owners. Für die Abdeckung der einzelnen Berechtigungsbereiche siehe Benutzerdefinierte Rollen in Enterprise-Plänen verwalten.

Die Registerkarte Berechtigungen listet jeden Administratorbereich auf: Identität & Zugriff, Abrechnung, Analytik, Datenschutz, Benutzerverwaltung und Bibliotheken. Legen Sie jeden Administratorbereich auf eine der folgenden Optionen fest:

Innerhalb eines Bereichs gewähren Sie entweder alle Anzeigeberechtigungen oder alle Verwaltungsberechtigungen. Sie können einzelne Seiten oder Einstellungen nicht gewähren oder einschränken.

Überprüfen Sie die Administratorberechtigungen, nachdem Sie Mitglieder zu "Benutzerdefinierten" Rollen migriert haben (Schritt 7). Siehe Schritt 11: Überprüfung und Überwachung.

Legen Sie Konnektor-Berechtigungen für jede Rolle fest, um zu steuern, welche Konnektoren und welche Tools auf diesen Konnektoren die Rolle verwenden kann. Dieser Schritt ist optional. Wenn Sie ihn nicht konfigurieren, greifen Ihre Rollen auf das unten beschriebene Standardverhalten zurück. Informationen zur Funktionsweise des Berechtigungsmodells von Ende zu Ende finden Sie unter Benutzerdefinierte Rollen in Enterprise-Plänen verwalten.

Die Standardeinstellungen für neue Rollen sind permissiv. Bestätigen Sie beim Erstellen oder Ändern einer Rolle die Einstellungen auf jeder Registerkarte, um unbeabsichtigte Berechtigungen zu vermeiden.

Die Registerkarte Konnektoren listet oben eine Zeile Alle Konnektoren auf, gefolgt von jedem Konnektor, den Ihre Organisation hinzugefügt hat. Jede Zeile hat ein Dropdown-Menü mit vier Optionen:

Wenn Sie „Immer zulassen

Das Dropdown-Menü Wie Mitglieder eine Verbindung herstellen steuert, ob sich die Mitglieder der Rolle mit ihren eigenen Konten bei Konnektoren anmelden oder sich automatisch über Ihren Identitätsanbieter verbinden:

Wenn ein Konnektor sowohl Einzeln als auch Verwaltete Autorisierung aktiviert hat, versucht Claude zuerst die verwaltete Autorisierung. Wenn dies fehlschlägt, können sich Mitglieder immer noch einzeln mit ihrem eigenen Konto anmelden, sodass sie nicht vom Konnektor ausgesperrt werden, während ein Problem mit dem Identitätsanbieter behoben wird.

Wenn Sie Einzeln oder Verwaltete Autorisierung in der Zeile Alle Konnektoren wählen, wird eine Baseline für jeden Konnektor auf einmal festgelegt, einschließlich aller Konnektoren, die Sie später hinzufügen. Verwenden Sie sie, um einen Standard für eine Rolle festzulegen, und überschreiben Sie dann einzelne Konnektoren.

Legen Sie einen Konnektor auf Benutzerdefiniert fest, um seine Tools als einzelne Zeilen anzuzeigen. Jedes Tool hat sein eigenes Dropdown-Menü: „Immer zulassen

Tool-Berechtigungen pro Tool ermöglichen es einer Rolle, einen Teil eines Konnektors zu erreichen. Wenn beispielsweise Jira auf Benutzerdefiniert gesetzt ist, sein Tool search_issues auf „Genehmigung erforderlich" gesetzt ist und jedes andere Jira-Tool auf „Blockiert" gesetzt ist, können Mitglieder mit der Rolle Jira durchsuchen, aber nichts anderes. Claude sieht nur die Tools, die Sie gewährt haben, daher gibt die Aufforderung, ein Ticket zu erstellen, „Ich habe kein Tool dafür

Da Konnektor-Berechtigungen rollenübergreifend additiv sind, hat das Blockieren eines Konnektors in einer Rolle keine Auswirkung auf ein Mitglied, das auch eine andere Rolle hält, die ihn gewährt. Jede Konnektor-Zeile zeigt eine Warnung an, wenn andere Rollen denselben Konnektor auf einer anderen Ebene gewähren. Die Warnung nennt diese Rollen und verlinkt auf sie, und die permissivste Berechtigung ist diejenige, die gilt.

Wenn Sie ungespeicherte Änderungen haben, wenn Sie eine verlinkte Rolle öffnen, werden Sie aufgefordert, diese zuerst zu verwerfen.

Überprüfen Sie die Konnektor-Berechtigungen, nachdem Sie Mitglieder zu "Benutzerdefinierten" Rollen migriert haben (Schritt 7). Siehe Schritt 11: Überprüfung und Überwachung.

Legen Sie den Modellzugriff für jede Rolle fest, um zu steuern, welche Claude-Modelle die Rolle verwenden kann, die maximale Aufwandsstufe pro Modell zu begrenzen und das Modell auszuwählen, auf dem neue Gespräche beginnen. Dieser Schritt ist optional. Wenn Sie ihn nicht konfigurieren, können neue Rollen jedes Modell verwenden, das auf Organisationsebene aktiviert ist, auf jeder Aufwandsstufe, und beginnen mit dem Organisationsstandardmodell.

Informationen zur Funktionsweise der Modellzugriffs- und Standardmodelleinstellungen von Ende zu Ende finden Sie unter Modellzugriff für Ihre Organisation verwalten und Standardmodell für Ihre Organisation festlegen.

Unter Modellzugriff können Sie jedes Modell für diese Rolle ein- oder ausschalten. Modelle, die auf Organisationsebene deaktiviert sind, werden angezeigt, können aber hier nicht aktiviert werden, bis Sie sie für die Organisation in Organisationseinstellungen > Modelle aktivieren. Haiku-Modelle sind immer aktiviert und können nicht deaktiviert werden.

Um die Anstrengungsstufe zu begrenzen, die eine Rolle für ein Modell auswählen kann, klicken Sie auf das Zahnradsymbol neben dem Modell und wählen Sie eine Stufe aus.

Unter Standardmodell können Sie optional das Modell auswählen, mit dem neue Unterhaltungen für diese Rolle beginnen. Es können nur Modelle ausgewählt werden, auf die die Rolle Zugriff hat.

Überprüfen Sie den Modellzugriff, nachdem Sie Mitglieder zu „Benutzerdefinierten

Wenn Sie SCIM-Verzeichnissynchronisierung verwenden, können Sie Gruppen von Ihrem Identitätsanbieter synchronisieren, anstatt sie manuell zu erstellen. Weitere Informationen zur SCIM-Gruppensynchronisierung finden Sie unter Gruppen und Gruppausgabenlimits in Enterprise-Plänen verwalten.

Mehrere Organisationen unter derselben übergeordneten Organisation: Gruppen werden auf der Ebene der übergeordneten Organisation verwaltet und werden an alle untergeordneten Organisationen weitergegeben. Möglicherweise sehen Sie Mitglieder aus anderen Organisationen in einer Gruppe aufgelistet – dies bedeutet nicht, dass sie Zugriff auf Ihre Organisation haben. Benutzerdefinierte Rollen, die einer Gruppe zugewiesen sind, gewähren Funktionen nur Mitgliedern, die Teil Ihrer spezifischen Organisation sind.

Wenn Sie anfordern, eine Organisation von einer übergeordneten Organisation zu einer anderen zu verschieben (dies ist in der Praxis selten), werden Gruppen und Rollen nicht definiert und Sie müssen sie neu erstellen.

Bevor Sie Mitglieder zu benutzerdefinierten Rollen migrieren, bestätigen Sie, dass sich jedes Mitglied, das Sie migrieren möchten, in mindestens einer Gruppe befindet, die einer benutzerdefinierten Rolle zugewiesen ist. Mitglieder, die ohne Gruppen- oder Rollenabdeckung migriert werden, verlieren den Zugriff auf alle verwalteten Funktionen.

Damit benutzerdefinierte Rollenfunktionen wirksam werden, müssen Mitglieder ihre Rolle auf „Benutzerdefiniert" gesetzt haben. Mitglieder mit den Rollen „Benutzer", „Administrator" oder „Eigentümer" erhalten ihre Berechtigungen direkt von diesen Rollen, nicht von benutzerdefinierten Rollen.

Wählen Sie den Migrationspfad basierend darauf aus, ob Ihre Organisation bereits Gruppenzuordnungen aktiviert hat:

Verwenden Sie diesen Pfad nur, wenn Ihre Organisation bereits Gruppenzuordnungen für die Rollenzuweisung aktiviert hat. Wenn Sie diese Einstellung nicht bereits verwenden, fahren Sie mit Pfad B fort.

Mitglieder in IdP-Gruppen, die „Benutzerdefinierten

Verwenden Sie diesen Pfad, wenn Ihre Organisation Gruppenzuordnungen nicht aktiviert hat.

Wir empfehlen, zunächst eine Pilotgruppe zu migrieren – ein Team oder eine Abteilung – und deren Zugriff zu überprüfen, bevor Sie auf den Rest der Organisation erweitern.

Unabhängig davon, welchen Pfad Sie verwenden, empfehlen wir eine schrittweise Migration:

Aktivieren Sie Funktionen auf Organisationsebene nur, nachdem Rollen, Gruppen und die Mitgliedermigration abgeschlossen sind. Dies stellt sicher, dass Funktionen für benutzerdefinierte Rollen bereits vorhanden sind, ohne dass es ein Zeitfenster gibt, in dem nicht autorisierte Mitglieder auf eine Funktion zugreifen könnten.

Für jede Funktion, die Sie pro Gruppe steuern möchten:

Das Aktivieren einer Funktion auf Organisationsebene bedeutet nicht, dass sie automatisch für alle verfügbar ist – benutzerdefinierte Rollenberechtigungen sind bereits vorhanden, um zu kontrollieren, wer sie nutzen kann. Denken Sie an den Organisationsebenen-Schalter als "Funktion für rollenbasierte Zuweisung verfügbar machen" statt "für alle aktivieren".

Navigieren Sie zur Seite "Nutzung", um ein monatliches Ausgabenlimit pro Benutzer für eine beliebige Gruppe festzulegen.

Beachten Sie die folgenden Prioritätsregeln:

Mitgliedschaftsänderungen werden automatisch wirksam – Benutzer erben oder verlieren Limits, sobald sich ihre Gruppenmitgliedschaft ändert. Nur relevant für nutzungsbasierte Abrechnungsorganisationen.

Wenn Sie Admin-Berechtigungen konfiguriert haben, überprüfen Sie auch:

Wenn Sie Connector-Berechtigungen konfiguriert haben, überprüfen Sie auch:

Wenn Sie Modellzugriff konfiguriert haben, überprüfen Sie auch:

Rollenänderungen können bis zu 15 Minuten dauern, um auf der gesamten Plattform wirksam zu werden. Mitglieder müssen möglicherweise ihren Browser aktualisieren, um den aktualisierten Zugriff zu sehen.

SCIM verbindet sich mit Ihren rollenbasierten Funktionen durch zwei Mechanismen, die zusammenarbeiten.

Dies steuert, welche integrierte Rolle ein Mitglied erhält, wenn es bereitgestellt wird. Ordnen Sie Ihre IdP-Gruppen "Benutzerdefinierten" Rollen zu, damit der Zugriff neuer Mitglieder automatisch durch benutzerdefinierte Rollenfunktionen gesteuert wird.

Dies zieht Ihre IdP-Gruppen in Claude, damit sie benutzerdefinierten Rollen zugewiesen werden können.

Wenn Sie feststellen, dass Ihre Rollenstruktur nach der Migration falsch konfiguriert ist:

Wenn Sie während der Einrichtung Gruppenzuordnungen aktiviert haben und den Admin-Zugriff verloren haben, führen Sie die Wiederherstellungsschritte in JIT- oder SCIM-Bereitstellung einrichten unter „Ich habe den Admin-/Owner-Zugriff nach Aktivierung von Gruppenzuordnungen verloren

Ja. Der Umschalter auf Organisationsebene muss aktiviert sein, damit benutzerdefinierte Rollen den Zugriff pro Mitglied steuern können. Wenn eine Funktion auf Organisationsebene deaktiviert ist, kann niemand darauf zugreifen, unabhängig von seiner Rolle. Stellen Sie sich das als Hauptschalter vor – benutzerdefinierte Rollen steuern, wer darunter Zugriff erhält.

Es hat keine benutzerdefinierten Rollenberechtigung, daher sind alle Funktionen, die Berechtigungen erfordern, ausgegraut oder verborgen. Stellen Sie sicher, dass jedes Mitglied, dessen Rolle auf „Benutzerdefiniert

Entweder ist das Modell auf Organisationsebene deaktiviert (Organisationseinstellungen > Modelle) oder keine der benutzerdefinierten Rollen des Mitglieds gewährt es. Deaktivierungen auf Organisationsebene betreffen alle, einschließlich Eigentümer und Administratoren.

Mitglieder in dieser Rolle sehen die Chat-Schnittstelle von Claude nicht. Sie landen auf ihrer Einstellungsseite, wenn sie sich anmelden. Wenn ihre Rolle andere Produkte wie Cowork oder Claude Code gewährt, bleiben diese über ihre Einstellungsseite und die relevanten Apps zugänglich.

Chat ist standardmäßig in allen benutzerdefinierten Rollen aktiviert, daher müssen Sie sich nur darum kümmern, wenn Sie Chat für eine Rolle absichtlich deaktiviert haben.

Ja. Mitglieder mit den Rollen Benutzer, Administrator oder Eigentümer sind nicht von benutzerdefinierten Rollenberechtigung betroffen, da sie ihre Berechtigungen direkt von diesen Rollen erhalten. Nur Mitglieder mit einer auf „Benutzerdefiniert

Berechtigungen sind additiv. Wenn eine Rolle in der Kette eines Mitglieds eine Funktion gewährt, hat es diese. Sie können eine Rolle nicht verwenden, um eine Berechtigung zu entfernen, die von einer anderen Rolle gewährt wurde.

Ja. Beide Typen können benutzerdefinierten Rollen zugewiesen werden. Der Unterschied besteht darin, dass die SCIM-Gruppenmitgliedschaft in Ihrem Identitätsanbieter verwaltet wird, während die manuelle Gruppenmitgliedschaft in Claudes Organisationseinstellungen verwaltet wird.

Nein. Eigentümer und Primäre Eigentümer haben immer vollständigen Zugriff auf alle Funktionen.

Gruppen und SCIM-Synchronisierung werden auf der Ebene der übergeordneten Organisation verwaltet und über alle untergeordneten Organisationen hinweg gemeinsam genutzt. Rollen- und Ausgabenlimitierungszuweisungen werden unabhängig in jeder untergeordneten Organisation konfiguriert – Änderungen in einer untergeordneten Organisation beeinflussen andere nicht. Änderungen der Gruppenmitgliedschaft und SCIM-Neusynchronisierungen werden über alle untergeordneten Organisationen unter derselben übergeordneten Organisation hinweg verbreitet.

Jede vorhandene Rolle wird mit der Berechtigung „Alle Connectors

„Genehmigung erforderlich

Eine Rolle, deren Zeile „Alle Connectors

Überprüfen Sie, ob das Mitglied eine andere Rolle hat, die es gewährt, da die permissivste Berechtigung über Rollen hinweg gewinnt. Die Konfliktwarnung in der Connector-Zeile listet diese Rollen auf. Bestätigen Sie auch, dass die Rolle des Mitglieds auf „Benutzerdefiniert

Nein. Die organisationsweite Richtlinie ist die Obergrenze. Ein dort blockiertes Tool ist für alle blockiert, unabhängig von Rollenzuweisungen.

Cowork hat eine separate Organisationseinstellung, „Immer zulassen

Die Rolle kann es gewähren, aber die strengere Einstellung gewinnt, daher sehen Mitglieder es auf „Genehmigung erforderlich

Ja. Stellen Sie den Connector auf „Benutzerdefiniert

Nein. Integrierte Funktionen werden auf der Registerkarte „Funktionen

Rollenänderungen können bis zu 15 Minuten dauern, bis sie wirksam werden. Mitglieder müssen möglicherweise ihren Browser aktualisieren.

Nur wenn ihre Rolle „Identität & Zugriff

Nein. Admin-Berechtigungen gelten nur für Mitglieder in einer benutzerdefinierten Rolle. Mitglieder in einer integrierten Rolle behalten den Zugriff, den diese Rolle gewährt. Um jemandem spezifische Admin-Berechtigungen zu geben, ändern Sie das Mitglied in eine benutzerdefinierte Rolle und fügen Sie es einer Gruppe hinzu, die einer Rolle mit den erforderlichen Berechtigungen zugewiesen ist. Beachten Sie, dass dies seinen vorherigen integrierten Rollenzugriff entfernt.

Organisationseinstellungen zeigen nur die Abschnitte an, die ihre Berechtigungen abdecken. Abschnitte, auf die sie keinen Zugriff haben, sind vollständig aus ihren Organisationseinstellungen verborgen.

Organisationseinstellungen > Rollen zeigt die Admin-Berechtigungen an, die jede benutzerdefinierte Rolle gewährt, und Organisationseinstellungen > Gruppen zeigt, welche Gruppen jeder Rolle zugewiesen sind und wer zu ihnen gehört. Um ein bestimmtes Mitglied zu überprüfen, suchen Sie seine Gruppen in Organisationseinstellungen > Mitglieder auf und dann die Rollen, denen diese Gruppen zugewiesen sind.

Erstellen Sie eine Rolle, die Zugriff auf mehrere Bereiche gewährt, oder fügen Sie das Mitglied zu mehreren Gruppen hinzu, deren Rollen die benötigten Bereiche abdecken. Berechtigungen werden additiv kombiniert.