Systemadministrator — CRMconnect

Abteilung: IT / Admin
Ebene: Senior / Technisches Management
Hauptziel: Plattform läuft korrekt, alle Benutzer haben angemessenen Zugang, Daten sind sicher und intakt

Was diese Rolle tut

Der Systemadministrator ist der technische Eigentümer der CRMconnect-Instanz. Er konfiguriert die Plattform beim Start, verwaltet Benutzer und Berechtigungen, überwacht den Systemzustand, integriert CRMconnect mit externen Systemen und gewährleistet die Datensicherheit. Er ist die einzige Person mit vollständigem Zugriff (admin = 1) und ist für alles rund um den technischen Betrieb verantwortlich.

Detaillierte technische Dokumentation (Stack, Sicherheit, Kubernetes, DSGVO, API): IT / Administratorhandbuch

Verwaltete Module

Ersteinrichtung — vollständige Checkliste

Bei der ersten Konfiguration der Instanz diese Schritte der Reihe nach durcharbeiten:

Schritt 1 — Unternehmensdaten (`/admin/settings`)

Registerkarte Allgemein:
  ✓ Unternehmensname
  ✓ Logo Hellmodus (PNG, max. 300px Breite)
  ✓ Logo Dunkelmodus (Version für dunkles Theme)
  ✓ Favicon (32×32px)
  ✓ Vollständige Postanschrift (erscheint auf PDF-Rechnungen)
  ✓ PDF-Logo-Breite (Logobreite auf Dokumenten)

Registerkarte E-Mail (SMTP):
  ✓ email_protocol = smtp
  ✓ smtp_host (z.B. smtp.gmail.com oder mail.unternehmen.com)
  ✓ smtp_port: 587 (TLS) oder 465 (SSL)
  ✓ smtp_email (Absenderadresse)
  ✓ smtp_username + smtp_password
  ✓ TEST: Schaltfläche „Test-E-Mail senden" → Eingang bestätigen

Registerkarte Lokalisierung:
  ✓ Standardsprache
  ✓ Zeitzone (ENTSCHEIDEND für korrekte Zeitstempel)
  ✓ Datumsformat (TT/MM/JJJJ für DE, MM/TT/JJJJ für US)
  ✓ Tausender-/Dezimaltrennzeichen (nach lokalem Standard)

Registerkarte Cronjob:
  ✓ Cron-URL auf Server konfiguriert
  ✓ Prüfen dass last_run jede Minute aktualisiert wird

Wesentlicher Cron-Job. Ohne aktiven Cron funktionieren folgende nicht: wiederkehrende Abrechnung, WooCommerce-Sync, Marketing-Automatisierung, Ablaufbenachrichtigungen. Serverkonfiguration: * * * * * curl -s "https://unternehmen.com/cron/index" > /dev/null

Schritt 2 — Organisationsstruktur

1. /admin/departments → Unternehmensabteilungen erstellen
   (mit dedizierten E-Mail-Adressen für Ticket-Routing)

2. /admin/roles → Rollen je Stellenfunktion erstellen:
   - Vertriebsmitarbeiter, Debitorenbuchhalter, Lagermitarbeiter, etc.
   - Prinzip: minimale Berechtigungen — streng notwendiger Zugriff

3. /admin/staff → alle Benutzer hinzufügen:
   - Eindeutige E-Mail (= Benutzername)
   - Aus in Schritt 2 erstellter Liste zugewiesene Rolle
   - Willkommens-E-Mail mit Passworteinrichtungslink senden

Schritt 3 — Finanzkonfiguration

/admin/taxes → MwSt-Sätze (19%, 9%, 5%, 0%, Reverse Charge)
/admin/currencies → verwendete Währungen + Wechselkurse
/admin/paymentmodes → akzeptierte Zahlungsmethoden
/admin/billing/config → Nummernserien für Rechnungen/Angebote/Verträge

Schritt 4 — Sicherheit

/admin/authenticator_2fa → 2FA für alle Admins aktivieren
/admin/roles → prüfen dass keine mehr Berechtigungen haben als die Rolle erfordert
Allen Benutzern mitteilen: temporäres Passwort muss bei erster Anmeldung geändert werden

Schritt 5 — Benutzerdefinierte Felder (falls erforderlich)

/admin/custom_fields → unternehmensspezifische Felder hinzufügen:
   z.B. auf Leads: Branche, Mitarbeiteranzahl, Geschätztes Budget
   z.B. auf Kunden: USt-IdNr., Handelsregisternr., ERP-Kundencode
   z.B. auf Rechnungen: Kunden-Bestellnr., Projektreferenz

Schritt 6 — Integrationen

API-Tokens (/admin/api/api_management):
   → Einen Token je externer Integration erstellen
   → Explizit benennen (z.B. "Zapier - Leads", "Mobile App", "ERP Sync")
   → Token wird nur einmal angezeigt — sofort kopieren

Webhooks (/admin/webhooks):
   → Für jedes externe System konfigurieren das Benachrichtigungen benötigt
   → Mit debug_mode = 1 testen vor Aktivierung

E-Mail-Pipe (für Tickets):
   → Abteilungs-E-Mail-Weiterleitung → pipe.php auf Server konfiguriert
   → Mit echter E-Mail testen

Benutzerverwaltung

Neuer Mitarbeiter

/admin/staff → Mitarbeiter hinzufügen
  → E-Mail (im System eindeutig)
  → Rolle: aus Rollenliste auswählen
  → Abteilung(en): kann in mehreren sein
  → „Willkommens-E-Mail senden" ankreuzen
  → Speichern

Prüfen:
  → Kann der Benutzer sich einloggen?
  → Sieht er die korrekten Module für seine Rolle?
  → Sieht er KEINE Module zu denen er keinen Zugriff haben sollte?

Ausscheidender Mitarbeiter (Offboarding)

SOFORT bei Ausscheiden (am selben Tag):
  /admin/staff → Datensatz öffnen → Aktiv = 0 setzen

Mitarbeiter NIE löschen — deaktivieren!
Bei Löschung → System erzwingt Neuzuweisung ALLER ihrer Datensätze
(Tickets, Aufgaben, Leads, Projekte) auf einen von Ihnen gewählten Benutzer.

Als nächstes: verbundenen Zugang prüfen und widerrufen:
  → Unternehmens-E-Mail
  → VPN
  → Andere externe Systeme mit von ihnen generierten API-Tokens

Lizenzlimits

Bei Fehler bei der Aktivierung eines neuen Benutzers → Lizenz hat ihr Seat-Limit erreicht (MEMBERS_INCLUDED + extra_seats):

• Ein inaktives Konto deaktivieren (active = 0) — gibt einen Seat frei
• Oder CRMconnect kontaktieren um zusätzliche Seats zu erwerben

Rollen und Berechtigungen — korrekte Konfiguration

Zugriffshierarchiestruktur

Admin (admin = 1) → vollständiger Zugriff, Berechtigungen NICHT geprüft
       ↓
Mitarbeiter mit Rolle → erben Rollenberechtigungen
       ↓
Kundenkontakt → separate Berechtigungen (Kundenportal)

Berechtigungstypen je Modul

Empfohlene Standardrollen

Vertriebsmitarbeiter:
  Leads: view_own + create + edit
  Kunden: view + create
  Angebote: view + create + edit
  Rechnungen: view_own
  Einstellungen: ✗ (kein Zugriff)

Debitorenbuchhalter:
  Rechnungen: view + edit
  Zahlungen: view + create
  Kontoauszüge: view + create
  Kunden: view
  Einstellungen: ✗

Lagermitarbeiter:
  Lager (alle Untermodule): view + create + edit
  Verkaufsaufträge: view
  Einkauf: view
  Einstellungen: ✗

HR-Administrator:
  Mitarbeiter: view + create + edit
  HR-Profil: view + create + edit
  Rekrutierung: view + create + edit
  Gehaltsabrechnung: view + create + edit
  Einstellungen: ✗

Individuelle Berechtigungsüberschreibungen

Wenn ein Mitarbeiter andere Berechtigungen als seine Rolle benötigt:

• Mitarbeiterdatensatz → Registerkarte Berechtigungen → individuelle Überschreibungen setzen
• Überschreibung hat Vorrang vor der allgemeinen Rolle

Tägliche und wöchentliche Überwachung

Täglich (5 Minuten)

/admin/utilities → E-Mail-Warteschlange:
  → Blockierte E-Mails? → Alle verarbeiten oder Fehler untersuchen

/admin/utilities → pipe_log (bei E-Mail-Pipe für Tickets):
  → Importfehler? → Weiterleitungskonfiguration prüfen

/admin/webhooks → Protokolle (bei aktiven Webhooks):
  → Fehlgeschlagene Anfragen? → Ziel-URL prüfen

Wöchentlich (15–20 Minuten)

/admin/utilities/activity_log:
  → Ungewöhnliche Aktionen? (Massenlöschungen, Zugriff zu ungewöhnlichen Zeiten)
  → Anmeldungen von unbekannten IPs?

/admin/api/api_management:
  → API-Tokens mit unerwartet hoher Nutzung?
  → Tokens > 6 Monate inaktiv → deaktivieren

/admin/staff → last_login filtern:
  → Aktive Benutzer die sich seit 90+ Tagen nicht eingeloggt haben → Deaktivierung prüfen

2FA-Status (/admin/authenticator_2fa/userlist):
  → Haben alle Admins 2FA aktiviert? Falls nicht → erinnern oder erzwingen

Integrationen — API und Webhooks

API-Management

Für jede neue Integration:
  /admin/api/api_management → Token hinzufügen
  → Expliziter Name: "[System] - [Zweck]" (z.B. "Make.com - Leads Sync")
  → Zugeordneter Mitarbeiter: ein dedizierter Integrationsbenutzer (nicht Ihr persönliches Konto)
  → Token SOFORT kopieren (wird nur einmal angezeigt)
  → Token sicher an Empfänger übermitteln

Bei Ausscheiden des Mitarbeiters der Tokens hielt:
  → Alle mit ihnen verknüpften Tokens identifizieren → deaktivieren
  → Neue Tokens erstellen und Integrationen aktualisieren

Webhooks

Bei Konfiguration eines neuen Webhooks:
  1. Webhook mit Ziel-URL hinzufügen
  2. Entität (Lead, Rechnung, Ticket, etc.) und Ereignisse auswählen (erstellt, aktualisiert, gelöscht)
  3. debug_mode = 1 VORÜBERGEHEND aktivieren
  4. Testereignis senden
  5. Protokolle prüfen dass Anfrage ankam und Antwort 200 OK ist
  6. debug_mode = 1 deaktivieren (sonst wachsen Protokolle schnell)

Workflow-Automatisierung — interne Abläufe konfigurieren

/admin/workflow_automation → Automatisierung hinzufügen

Struktur:
  Auslöser: welches Ereignis startet sie (Lead erstellt, Ticket-Status geändert, etc.)
  Bedingung: zusätzliche Filter (z.B. nur Leads aus Quelle X)
  Aktion: was wird ausgeführt (Benachrichtigung, Aufgabe erstellt, E-Mail gesendet, Status geändert)

Standardbeispiele bei Ersteinrichtung konfigurieren:
  1. Dringender Lead → sofortige Benachrichtigung an Vertriebsleiter
  2. Neues Ticket → Abteilungs-Agent-Benachrichtigung
  3. Vertrag läuft in 60 Tagen ab → Verlängerungsaufgabe für KAM
  4. Rechnung überfällig > 30 Tage → automatische E-Mail-Erinnerung
  5. Neuer Mitarbeiter erstellt → Onboarding-Aufgabe für HR

Datenimport

Massen-Excel-Import

/admin/excel_import → Modul auswählen (Leads, Kunden, Produkte, etc.)
→ Excel-Vorlage herunterladen
→ Daten in Vorlage einfüllen (Spaltenstruktur nicht ändern!)
→ Datei hochladen
→ System validiert → zeigt Fehler zeilenweise
→ Import bestätigen

Vor jedem großen Import:
  → Backup-Export der vorhandenen Daten erstellen
  → 10 Testzeilen vor der vollständigen Datei importieren
  → Korrekte Dateneingabe verifizieren

Benutzerdefinierte Felder — Kurzanleitung

/admin/custom_fields → Entität → Feld hinzufügen

Wichtige Optionen:
  required: bei Erstellung Pflicht (sorgfältig überlegen — kann rückwirkend nicht ohne fehlende Daten deaktiviert werden)
  show_on_pdf: Feld erscheint auf Rechnungs-/Vertrags-PDFs
  show_on_client_portal: Kunde sieht Feld in seinem Portal
  only_admin: Feld nur für Administratoren sichtbar
  bs_column: Breite im Formular (6 = halbe Breite, 12 = volle Breite)

Empfohlene Typen je Zweck:
  Externer Code/Referenz → text (kurz)
  Kategorie/Status → select (Dropdown mit vordefinierten Werten)
  Ablaufdatum → date_picker
  Lange Notizen → textarea
  Ja/Nein → checkbox

Sicherheit — permanente Checkliste

DSGVO — Rechtsanfragen

Wo: /admin/gdpr

Bei Eingang einer DSGVO-Rechtsanfrage:

Auskunftsrecht / Datenübertragbarkeit:
  → DSGVO → Person identifizieren
  → Alle mit ihrer E-Mail/ID verknüpften Daten exportieren
  → Daten in strukturiertem Format bereitstellen (JSON/CSV)
  → Gesetzliche Frist: 30 Tage ab Eingang der Anfrage

Recht auf Löschung (Recht auf Vergessenwerden):
  → DSGVO → Löschantrag → E-Mail eingeben
  → System anonymisiert: ersetzt personenbezogene Daten durch [GELÖSCHT]
  → Transaktionsverlauf bleibt (für gesetzliche Steuerpflichten)
  → Anfrage und Bearbeitungsdatum dokumentieren

Team-Passwort-Manager

Wo: /admin/team_password

Gemeinsame Team-Passwörter sicher speichern (Social-Media-Zugang, externe Dienstkonten, geteilte Zugangsdaten, etc.):

• Passwörter nach Kategorie organisiert
• Zugriff je Rolle/Abteilung gesteuert
• Sichtbarkeit getrennt von persönlichen Passwörtern der Mitarbeiter

Systemzustandsmetriken

Praktische Tipps

Das Prinzip der minimalen Berechtigung ist Ihr Schutz. Wenn ein Mitarbeiter Zugriff auf etwas hat und einen Fehler macht, sind Sie für die Gewährung dieses Zugriffs verantwortlich. Rollen restriktiv konfigurieren und bei Bedarf anpassen — nicht permissiv konfigurieren und später einschränken.

Niemals admin = 1 für Servicekonten. API-Tokens und Integrationskonten sollten normale Mitarbeiter mit eingeschränkten Rollen sein — kein Super-Admin. Ein kompromittiertes Token mit Admin-Rechten ist katastrophal.

SMTP nach jeder Zugangsdatenänderung testen. Falsches SMTP bedeutet dass die Plattform keine E-Mails sendet (Rechnungen, Benachrichtigungen, Passwort-Resets) — und Sie es nicht sofort merken werden. Die Test-Schaltfläche sendet eine Verifikations-E-Mail.

Jeden erstellten API-Token dokumentieren. Klare Namen verwenden: "Make.com - Leads 2026" nicht "Token 1". Wenn Sie widerrufen oder ersetzen müssen, wissen Sie genau was betroffen ist.

Vor jedem großen Import sichern. Ein fehlerhafter 10.000-Zeilen-Import ist schwer rückgängig zu machen. 5 Minuten Backup sparen Stunden manueller Bereinigung.