Zum Inhalt

Bereiche

Bereiche sind logische Organisationseinheiten in Business GPT, mit denen Inhalte — Container, Assistenten und Integrationen — entsprechend der internen Struktur Ihres Unternehmens gruppiert und isoliert verwaltet werden können. Über dedizierte Bereichsadministratoren delegieren Sie die Verwaltung einzelner Bereiche, ohne dass diese Zugriff auf Inhalte außerhalb ihrer Zuständigkeit erhalten.

Voraussetzung

Die Bereiche-Funktion muss durch einen Administrator in den Workspace-Einstellungen aktiviert werden (siehe Bereiche aktivieren). Ist die Funktion nicht aktiviert, gelten die hier beschriebenen Regeln nicht.

1. Überblick

Was sind Bereiche?

Bereiche sind logische Organisationseinheiten, mit denen Inhalte — Container, Assistenten und Integrationen — entsprechend der internen Struktur Ihres Unternehmens gruppiert und isoliert verwaltet werden können.

Ohne Bereiche hat jeder Administrator (Rolle admin) Ihres Tenants uneingeschränkten Verwaltungszugriff auf alle Inhalte. Mit Bereichen können Sie:

  • Inhalte verschiedener Abteilungen, Teams oder Geschäftsbereiche voneinander trennen
  • dedizierte Bereichsadministratoren benennen, die nur für ihre zugewiesenen Bereiche verantwortlich sind
  • sicherstellen, dass kein Administrator Inhalte außerhalb seines Zuständigkeitsbereichs einsehen oder bearbeiten kann

Bereiche und nicht zugewiesene Inhalte

Bereiche sind die einzigen sichtbaren, konfigurierbaren organisatorischen Einheiten in der Bereichsverwaltung. Sie werden vom Administrator (Rolle admin) erstellt, benannt und Benutzergruppen zugewiesen. Es kann beliebig viele Bereiche pro Tenant geben.

Inhalte (Container, Assistenten, Integrationen), die keinem Bereich zugewiesen sind, liegen im Verantwortungsbereich ausschließlich des Administrators (Rolle admin). Bereichsadministratoren (Rolle area_admin) haben keinen Zugriff auf nicht zugewiesene Inhalte — sie sehen und verwalten ausschließlich Inhalte in ihren eigenen Bereichen. Inhalte ohne Bereichszuweisung erhalten in den Übersichten keinen Bereichs-Label und sind somit als „bereichslos" erkennbar.

Governance-Prinzip

Nicht zugewiesene Inhalte sind allein dem Administrator vorbehalten. Damit ist ausgeschlossen, dass ein Bereichsadministrator über seine Rolle Einsicht in Inhalte erhält, die ihm nicht ausdrücklich über einen Bereich delegiert wurden.

2. Rollen & Verantwortlichkeiten

Rollenübersicht

Rolle Aufgaben
Administrator Aktiviert/deaktiviert die Bereiche-Funktion. Erstellt, bearbeitet und löscht Bereiche. Weist Gruppen zu Bereichen zu. Hat vollen Verwaltungszugriff auf alle Inhalte ohne Bereichszuweisung. Weist nicht zugewiesene Inhalte einem Bereich zu (Übergabe an die Bereichsadministratoren). Sieht alle Inhalte im Tenant (nur lesend für Bereichsinhalte).
Bereichsadministrator Verwaltet ausschließlich Inhalte in seinen zugewiesenen Bereichen. Hat keinen Zugriff auf nicht zugewiesene Inhalte. Kann einen Inhalt in den nicht zugewiesenen Zustand zurückgeben, indem er die Bereichszuweisung entfernt. Hat keinen Zugriff auf andere Bereiche.
User Verwendet Inhalte (Assistenten, Container) innerhalb der Bereiche, für die er Zugriff hat.

Wichtige Abgrenzung

  • Die Zuweisung eines nicht zugewiesenen Inhalts zu einem Bereich (Erstüberführung) nimmt ausschließlich der Administrator (Rolle admin) vor — nicht die Bereichsadministratoren.
  • Mit der Zuweisung eines Inhalts zu einem Bereich verliert der Administrator selbst die Bearbeitungs- und Löschrechte an diesem Inhalt (er wird für ihn schreibgeschützt) — er kann sich also bewusst „aussperren". Die Oberfläche weist mit einem Bestätigungsdialog ausdrücklich darauf hin.
  • Der Administrator (Rolle admin) hat — abgesehen von nicht zugewiesenen Inhalten — keine Bearbeitungs- oder Löschrechte für Inhalte innerhalb von Bereichen.
  • Ein Bereichsadministrator (Rolle area_admin) sieht ausschließlich die Bereiche, für die er sowohl die Rolle als auch die Gruppenmitgliedschaft besitzt.

3. Voraussetzungen

Bevor Sie Bereiche einrichten, stellen Sie sicher, dass folgende Voraussetzungen erfüllt sind:

3.1 Gruppen im Identity Provider (IdP)

Bereiche werden Benutzergruppen zugewiesen. Die Gruppen werden aus Ihrem IdP (z. B. Microsoft Entra ID) bezogen und müssen dort bereits existieren, bevor Sie Bereiche erstellen (siehe Gruppen). Stellen Sie sicher, dass:

  • die relevanten Gruppen in Ihrem IdP angelegt sind
  • die Gruppen via JWT Claims an Business GPT übermittelt werden (identisch zum bestehenden Mechanismus für die Administrator-Rolle)

3.2 Bereichsadministrator-Rolle im IdP

Die Rolle Bereichsadministrator wird ebenfalls via JWT Claim ausgewertet — analog zur bestehenden Administrator-Rolle. Bevor ein Benutzer als Bereichsadministrator agieren kann, muss:

  • die Rolle Bereichsadministrator (Claim area_admin) in Ihrem IdP angelegt sein
  • dem Benutzer diese Rolle zugewiesen sein
  • der Benutzer Mitglied mindestens einer Gruppe sein, die einem Bereich zugewiesen ist (für den Bereichszugriff)

Technischer Claim-Wert: area_admin

Auch wenn die Rolle in der Oberfläche und in dieser Dokumentation als „Bereichsadministrator" bezeichnet wird, lautet der tatsächlich im JWT Claim erwartete technische Wert area_admin (Kleinbuchstaben, mit Unterstrich). Legen Sie die Rolle in Ihrem Identity Provider genau unter diesem Wert an, damit Business GPT sie erkennt. Analog gilt für die Administrator-Rolle der Claim-Wert admin und für Standardnutzer user. Die erwarteten Claim-Werte lassen sich bei Bedarf über die Konfiguration anpassen (z. B. AUTH_ROLES_AREA_ADMIN_STRING).

4. Bereiche aktivieren

Erforderliche Rolle

Das Aktivieren der Bereiche-Funktion ist ausschließlich Nutzern mit der Rolle Administrator (admin) vorbehalten. Bereichsadministratoren (area_admin) und Standardnutzer (user) können die Funktion weder aktivieren noch deaktivieren. Die Aktivierung erfolgt tenant-weit in den Workspace-Einstellungen und wirkt sich auf alle Inhalte des Tenants aus.

Schritt 1: Workspace Management öffnen

Navigieren Sie in Business GPT zu den Workspace Management Settings (siehe Verwaltung).

Schritt 2: Bereiche-Feature aktivieren

Im Bereich der Workspace-Einstellungen finden Sie die Option „Bereiche". Aktivieren Sie diese.

Der Zustandswechsel wird mit Zeitstempel und ausführendem Benutzer protokolliert.

Was ändert sich nach der Aktivierung?

  • Die Bereichsverwaltung (Bereichsübersicht, Erstellen, Bearbeiten, Löschen) wird für den Administrator zugänglich.
  • Bereichsadministratoren können ihre zugewiesenen Bereiche sehen und verwalten.
  • Entity-Übersichten (Container, Assistenten, Integrationen) zeigen für Bereichsinhalte die jeweilige Bereichsbezeichnung.
  • Für Inhalte in Bereichen gelten die unter Abschnitt 11 beschriebenen Nutzungseinschränkungen.

Auswirkung auf den Administrator-Zugriff — wichtiger Hinweis

Die Aktivierung von Bereichen allein ändert nichts am Zugriff der Rolle admin

Alle bestehenden Inhalte haben zu diesem Zeitpunkt noch keine Bereichszuweisung und sind für den Administrator weiterhin vollständig verwaltbar.

Der Zugriffsverlust erfolgt schrittweise und explizit und liegt vollständig in der Hand des Administrators: Sobald der Administrator selbst einen Inhalt einem Bereich zuweist, verliert er für diesen Inhalt die Bearbeitungs- und Löschrechte. Er sieht den Inhalt weiterhin in den Übersichten — kann ihn aber nicht mehr ändern. Vor der Zuweisung erscheint ein Bestätigungsdialog, der ausdrücklich auf diesen Rechteverlust hinweist.

Das bedeutet für die Einführung von Bereichen:

  • Der Administrator steuert das Tempo der Transition vollständig selbst — er entscheidet, wann er welchen Inhalt einem Bereich übergibt.
  • Inhalte, die noch keinem Bereich zugewiesen sind, bleiben jederzeit vollständig durch den Administrator verwaltbar und sind für keinen Bereichsadministrator sichtbar.
  • Die Zuweisung ist eine bewusste Übergabe: Nach der Bereichszuweisung ist die Verwaltung ausschließlich Aufgabe der zuständigen Bereichsadministratoren. Eine Rückgabe in den nicht zugewiesenen Zustand kann nur ein Bereichsadministrator des betreffenden Bereichs vornehmen.

Empfohlener Einführungsweg für Bestandskunden

Erforderliche Rolle & Geltung

Die hier beschriebene Einführung obliegt ausschließlich der Rolle Administrator (admin). Der Ablauf gilt für Tenants mit bereits bestehenden Inhalten, die zum Zeitpunkt der Aktivierung noch keinem Bereich zugewiesen sind.

Wenn Sie Bereiche in einem Tenant mit bereits vorhandenen Inhalten einführen, ist der Übergang unkritisch — die Inhalte sind durch das Berechtigungsmodell von vornherein geschützt:

Bestehende Inhalte sind zunächst geschützt

Zum Zeitpunkt der Aktivierung haben alle bestehenden Inhalte noch keine Bereichszuweisung und sind damit ausschließlich für den Administrator zugänglich. Ein Bereichsadministrator erhält erst dann Zugriff auf einen Inhalt, wenn der Administrator diesen Inhalt ausdrücklich dem entsprechenden Bereich zuweist. Es gibt keinen Zustand, in dem ein Bereichsadministrator über seine Rolle Einsicht in den noch nicht einsortierten Bestand erhält.

Empfohlener Ablauf:

  1. Bereichsstruktur anlegen. Der Administrator (admin) erstellt alle benötigten Bereiche und weist ihnen die jeweiligen Gruppen zu. Nur Bereiche mit mindestens einer zugewiesenen Gruppe können später Zuweisungsziel sein.
  2. Inhalte gezielt übergeben. Der Administrator weist die vorhandenen Inhalte nacheinander den korrekten Bereichen zu. Mit jeder Zuweisung übergibt er die Verantwortung an die zuständigen Bereichsadministratoren und verliert selbst die Bearbeitungsrechte. Die Übergabe wird erst nach ausdrücklicher Bestätigung in einem eigenen Dialog wirksam.
  3. Bereichsadministratoren benennen. Sie können die area_admin-Rolle jederzeit vergeben — auch parallel für mehrere Abteilungen. Da Bereichsadministratoren nur Inhalte ihrer eigenen Bereiche sehen, besteht kein Risiko der Einsicht in abteilungsfremde oder noch nicht zugewiesene Inhalte.
  4. Nicht zugewiesene Inhalte verbleiben beim Administrator. Inhalte, die keinem Bereich zugewiesen werden, bleiben dauerhaft allein in der Verantwortung des Administrators.

Hinweis: Sie müssen Bereichsadministratoren nicht in einer bestimmten Reihenfolge oder erst nach Abschluss der Einsortierung benennen. Da ein Bereichsadministrator ausschließlich Inhalte seiner eigenen Bereiche sieht — und nie nicht zugewiesene Inhalte —, können Sie die area_admin-Rolle bedenkenlos schon vor oder während der Einsortierung vergeben. Ein versehentlicher Einblick in noch nicht übergebene Inhalte ist ausgeschlossen.

Wissenskonsistenz beachten

Wenn Ihre Assistenten Container oder Integrationen als Wissensquelle nutzen, beachten Sie bei der Übergabe zusätzlich die Regeln zur Bereichskonsistenz von Wissensquellen — insbesondere, dass ein Assistent sein zugewiesenes Wissen bei der Bereichsübergabe automatisch mitnimmt (Mitnahme) und dass das Verschieben einer noch genutzten Wissensquelle gesperrt werden kann (Guard).

5. Bereiche verwalten

Erforderliche Rolle & Voraussetzung

Das Erstellen, Bearbeiten und Löschen von Bereichen ist ausschließlich Nutzern mit der Rolle Administrator (Claim admin) vorbehalten. Bereichsadministratoren (area_admin) können ihre zugewiesenen Bereiche zwar einsehen, aber die Bereichsstruktur selbst nicht verändern. Voraussetzung ist zudem, dass die Bereiche-Funktion aktiviert ist (siehe Abschnitt 4).

5.1 Bereichsübersicht

Die Bereichsübersicht ist nach Aktivierung im Navigationsmenü erreichbar. Sie zeigt alle Bereiche Ihres Tenants mit folgenden Informationen:

  • Name des Bereichs
  • Beschreibung
  • Zugewiesene Gruppen (Verwaltet von)
  • Anzahl Inhalte im Bereich

Die Übersicht unterstützt Suche nach Name sowie Sortierung auf- und absteigend.

Bereiche Übersicht

5.2 Bereich erstellen

  1. Navigieren Sie zur Bereichsübersicht.
  2. Klicken Sie auf „Bereich erstellen".
  3. Füllen Sie das Formular aus:
  4. Name (Pflichtfeld, muss im Tenant eindeutig sein)
  5. Beschreibung (optional)
  6. Verwaltet von (optional, Gruppenauswahl)
  7. Speichern Sie — der neue Bereich erscheint sofort in der Übersicht.

Hinweis: Bis mindestens eine Gruppe zugewiesen ist, kann kein Bereichsadministrator auf diesen Bereich zugreifen. Die Zuweisung kann nachträglich über das Bearbeiten-Formular erfolgen.

5.3 Bereich bearbeiten

  1. Öffnen Sie die Detailansicht des gewünschten Bereichs.
  2. Name, Beschreibung und Gruppenzuweisungen können geändert werden.
  3. Speichern — Änderungen sind sofort sichtbar.

5.4 Bereich löschen

  1. Öffnen Sie die Detailansicht oder wählen Sie den Bereich in der Übersicht.
  2. Klicken Sie auf „Löschen" und bestätigen Sie den Vorgang.

Wichtig

Ein Bereich kann nur gelöscht werden, wenn er keine Inhalte enthält. Beauftragen Sie die Bereichsadministratoren, alle Inhalte entweder in einen anderen Bereich zu verschieben oder die Bereichszuweisung zu entfernen, bevor Sie den Bereich löschen.

6. Bereichsadministrator einrichten

6.1 Bereichsadministrator-Rolle im IdP anlegen

Die Rolle Bereichsadministrator wird in Ihrem Identity Provider (z. B. Microsoft Entra ID) angelegt und per JWT Claim an Business GPT übermittelt — identisch zum bestehenden Administrator-Mechanismus.

  1. Legen Sie die Rolle Bereichsadministrator in Ihrem IdP an. Verwenden Sie dabei den technischen Claim-Wert area_admin (siehe Abschnitt 3.2) — die Bezeichnung „Bereichsadministrator" ist nur die Anzeige-/Sprechweise; Business GPT wertet den Wert area_admin aus.
  2. Weisen Sie die Rolle den gewünschten Benutzern zu.

6.2 Benutzer einer Gruppe zuweisen

Damit ein Bereichsadministrator auf einen Bereich zugreifen kann, müssen beide Bedingungen gleichzeitig erfüllt sein:

  1. Der Benutzer besitzt den area_admin JWT Claim (Rolle im IdP)
  2. Der Benutzer ist Mitglied mindestens einer Gruppe, die dem jeweiligen Bereich zugewiesen ist

Das ist das Dual-Authorization-Modell von Bereichen: keine der Bedingungen allein ist ausreichend.

6.3 Zugriff auf nicht zugewiesene Inhalte

Inhalte, die keinem Bereich zugewiesen sind, sind ausschließlich dem Administrator (Rolle admin) vorbehalten. Bereichsadministratoren haben keinen Zugriff darauf — weder Sicht noch Bearbeitung. Ein Bereichsadministrator sieht und verwaltet ausschließlich Inhalte in seinen zugewiesenen Bereichen. Die Überführung eines nicht zugewiesenen Inhalts in einen Bereich nimmt der Administrator vor (siehe Abschnitt 7).

6.4 Zusammenfassung: Zugriffsmatrix

Bedingung Nicht zugewiesene Inhalte Bereich
admin Rolle Vollzugriff (inkl. Zuweisung zu Bereichen) Nur lesend
area_admin Rolle ✓, Gruppe ✗ Kein Zugriff Kein Zugriff
area_admin Rolle ✗, Gruppe ✓ Kein Zugriff Kein Zugriff
area_admin Rolle ✓, Gruppe ✓ Kein Zugriff Vollzugriff (nur eigene Bereiche)

7. Inhalte einem Bereich zuweisen

Voraussetzung: Der Bereich benötigt mindestens eine zugewiesene Gruppe

Ein Bereich kann erst dann als Zuweisungsziel für Inhalte (Container, Assistenten, Integrationen) dienen, wenn ihm mindestens eine Gruppe zugewiesen ist. Bereiche ohne Gruppenzuweisung erscheinen in der Bereichsauswahl nicht und lassen sich nicht auswählen — andernfalls entstünde ein Bereich, dessen Inhalte von keinem Bereichsadministrator übernommen werden könnten. Weisen Sie dem Bereich zuerst über das Bearbeiten-Formular eine Gruppe zu; anschließend steht er als Zuweisungsziel zur Verfügung.

Konzept

Die Zuständigkeit für die Zuweisung ist nach Richtung aufgeteilt:

Bewegung Wer darf?
Nicht zugewiesen → Bereich (Erstübergabe) Nur der Administrator (Rolle admin)
Bereich → nicht zugewiesen (Rückgabe) Nur ein Bereichsadministrator des Quell-Bereichs
Bereich X → Bereich Y (Verschieben) Nur ein Bereichsadministrator, der für beide Bereiche autorisiert ist

Neu erstellte Inhalte verhalten sich je nach Rolle des Erstellers unterschiedlich (siehe 7.1).

7.1 Inhalt erstellen

  • Als Bereichsadministrator: Im Erstellungs-Dialog (Container, Assistent, Integration) ist die Bereichsauswahl ein Pflichtfeld. Es sind ausschließlich Ihre eigenen Bereiche auswählbar; eine Erstellung ohne Bereich ist nicht möglich. Der Inhalt ist sofort dem gewählten Bereich zugeordnet.
  • Als Administrator: Neu erstellte Inhalte sind zunächst nicht zugewiesen und verbleiben in Ihrer Verantwortung, bis Sie sie einem Bereich übergeben (7.2).

7.2 Nicht zugewiesenen Inhalt einem Bereich zuweisen (Administrator)

Erforderliche Rolle

Die Erstübergabe eines nicht zugewiesenen Inhalts in einen Bereich nimmt ausschließlich die Rolle Administrator (Claim admin) vor. Bereichsadministratoren können diesen Schritt nicht ausführen, da nicht zugewiesene Inhalte für sie nicht sichtbar sind.

  1. Öffnen Sie den Bearbeiten-Dialog des nicht zugewiesenen Inhalts.
  2. Wählen Sie in der Bereichsauswahl den Ziel-Bereich. Auswählbar sind nur Bereiche mit mindestens einer zugewiesenen Gruppe — andernfalls könnte der Inhalt von keinem Bereichsadministrator übernommen werden.
  3. Bestätigen Sie den Bestätigungsdialog, der Sie darauf hinweist, dass Sie mit der Zuweisung Ihre Bearbeitungs- und Löschrechte an diesem Inhalt verlieren (der Inhalt wird für Sie schreibgeschützt) und nur ein Bereichsadministrator des Ziel-Bereichs ihn zurückgeben kann.
  4. Speichern — der Inhalt ist dem Bereich zugeordnet und wird von dessen Bereichsadministratoren verwaltet.

Hinweis: Der Administrator kann einen Inhalt ausschließlich aus dem nicht zugewiesenen Zustand in einen Bereich überführen. Er kann Inhalte nicht zwischen Bereichen verschieben und nicht aus einem Bereich zurückholen.

7.3 Inhalt in einen anderen Bereich verschieben (Bereichsadministrator)

Erforderliche Rolle

Das Verschieben zwischen Bereichen ist ausschließlich der Rolle Bereichsadministrator (Claim area_admin) vorbehalten. Sie müssen dabei sowohl für den Quell- als auch für den Ziel-Bereich autorisiert sein (Dual-Auth). Der Administrator (admin) kann Inhalte nicht zwischen Bereichen verschieben.

  1. Öffnen Sie den Bearbeiten-Dialog des Inhalts innerhalb Ihres Bereichs.
  2. Wählen Sie in der Bereichsauswahl einen anderen Ihrer zugewiesenen Bereiche.
  3. Speichern — der Inhalt ist sofort im Ziel-Bereich.

Voraussetzung: Sie müssen sowohl für den Quell- als auch für den Ziel-Bereich autorisiert sein.

Wirkung auf zugewiesenes Wissen

Verschieben Sie einen Assistenten, wandern seine gebundenen Wissensquellen automatisch mit. Verschieben Sie eine Wissensquelle (Container, Integration), kann der Vorgang gesperrt werden, wenn ein noch referenzierender Assistent dadurch in einem anderen Bereich zurückbliebe. Details siehe Abschnitt 9.

7.4 Inhalt in den nicht zugewiesenen Zustand zurückgeben (Bereichsadministrator)

Erforderliche Rolle

Die Rückgabe eines Inhalts in den nicht zugewiesenen Zustand kann ausschließlich ein Bereichsadministrator (Claim area_admin) des betreffenden Bereichs vornehmen. Der Administrator (admin) kann Inhalte nicht aus einem Bereich zurückholen.

  1. Öffnen Sie den Bearbeiten-Dialog des Inhalts.
  2. Entfernen Sie die Bereichszuweisung (Auswahl leeren).
  3. Bestätigen Sie den Bestätigungsdialog, der Sie darauf hinweist, dass der Inhalt in den nicht zugewiesenen Zustand zurückkehrt, für Sie nicht mehr sichtbar ist und nur der Administrator ihn erneut einem Bereich zuweisen kann.
  4. Speichern — der Inhalt ist nicht mehr zugewiesen, für Sie nicht mehr sichtbar und liegt wieder allein in der Verantwortung des Administrators.

8. Inhalte innerhalb eines Bereichs verwalten

8.1 Inhalte bearbeiten und löschen

Bereichsadministratoren können alle Inhalte (Container, Assistenten, Integrationen) vollständig bearbeiten und löschen, die ihren zugewiesenen Bereichen angehören (Dual-Auth erforderlich).

Für Inhalte anderer Bereiche sowie für nicht zugewiesene Inhalte besteht kein Zugriff — nicht zugewiesene Inhalte sind allein dem Administrator vorbehalten.

8.2 Dokument-Sichtbarkeit

Dokumente (Unternehmensdokumente) sind ein Sonderfall, da sie immer innerhalb eines Containers gespeichert sind — sie stellen also eine verschachtelte Entität dar. Dokumente haben keine eigene Bereichszuweisung. Ihr Zugriff richtet sich ausschließlich danach, welchem Bereich der übergeordnete Container zugeordnet ist.

Die Zugriffsregeln im Überblick:

Container-Bereichszuweisung Sichtbar für Bereichsadministrator Sichtbar für Administrator
Kein Bereich zugewiesen Nein Ja (mit Verwaltungszugriff)
Eigener zugewiesener Bereich Ja (Dual-Auth erforderlich) Ja (nur lesend)
Anderer Bereich Nein Ja (nur lesend)

In der Dokument-Übersicht sieht ein Bereichsadministrator daher ausschließlich Dokumente aus Containern seiner eigenen zugewiesenen Bereiche. Dokumente in Containern anderer Bereiche sowie in nicht zugewiesenen Containern sind nicht sichtbar.

8.3 Gruppenbasierte Nutzungszugriffe für Endnutzer

Bereichsadministratoren haben beim Konfigurieren von gruppenbasierten Nutzungszugriffen (welche Endnutzergruppen einen Assistenten oder Container verwenden dürfen) Zugriff auf alle Gruppen im Tenant.

9. Wissensquellen an Assistenten: Bereichskonsistenz

Assistenten können Container und Integrationen als Wissensquellen nutzen, damit sie im Chat auf die dort hinterlegten Inhalte zugreifen. Sobald Bereiche aktiv sind, gilt dafür eine zentrale Regel, die für durchgängig konsistente Berechtigungen sorgt und die im Folgenden mit ihren Auswirkungen erklärt wird.

9.1 Grundregel: Wissen stammt immer aus demselben Bereich

Ein Assistent kann ausschließlich Wissensquellen (Container, Integrationen) referenzieren, die demselben Bereich angehören wie der Assistent selbst.

Daraus folgt:

  • Die Bereichszuordnung ist Voraussetzung, bevor einem Assistenten Wissen zugewiesen werden kann. Solange ein Assistent im Erstellungs-Dialog eines Bereichsadministrators noch keinem Bereich zugeordnet ist, ist die Wissensauswahl deaktiviert; ein Hinweis erklärt, dass zuerst ein Bereich gewählt werden muss.
  • In der Wissensauswahl werden nur Quellen aus dem Bereich des Assistenten angeboten. Quellen aus anderen Bereichen oder aus dem nicht zugewiesenen Bestand erscheinen nicht und sind nicht auswählbar.
  • Für Assistenten ohne Bereichszuweisung (die weiterhin in der Verantwortung des Administrators liegen) gilt dasselbe spiegelbildlich: Es lassen sich ausschließlich Wissensquellen referenzieren, die ebenfalls keinem Bereich zugeordnet sind. Wissensquellen aus einem Bereich stehen hier nicht zur Auswahl.
  • Wird im Erstellungs-Dialog der Bereich eines noch nicht gespeicherten Assistenten gewechselt, wird eine bereits getroffene, nun bereichsfremde Wissensauswahl automatisch geleert.
  • Die Regel wird sowohl in der Oberfläche als auch serverseitig (API) durchgesetzt — sie lässt sich nicht umgehen.

Warum diese Regel? Wäre ein bereichsübergreifender Bezug erlaubt, könnte ein Assistent Inhalte aus einem Bereich ausliefern, für den seine Nutzer gar nicht berechtigt sind. Die Gleich-Bereich-Regel stellt sicher, dass die Bereichsgrenze auch für das indirekt über Assistenten zugängliche Wissen gilt.

9.2 Assistenten in anderen Bereich verschieben: das Wissen zieht mit (Mitnahme)

Verschiebt ein Bereichsadministrator einen Assistenten in einen anderen Bereich — oder übergibt der Administrator einen nicht zugewiesenen Assistenten an einen Bereich —, so werden die daran gebundenen Wissensquellen automatisch mitgezogen. Der Assistent nimmt sein Wissen also mit, und die Gleich-Bereich-Regel bleibt dadurch jederzeit erfüllt.

  • Der Vorgang ist atomar: Entweder wechseln der Assistent und seine Wissensquellen gemeinsam den Bereich, oder es geschieht gar nichts.
  • Ein Bestätigungsdialog weist vor der Übergabe auf die Mitnahme hin.
  • Sonderfall geteiltes Wissen: Ist eine Wissensquelle zusätzlich an einen anderen Assistenten gebunden, der nicht mitverschoben wird, entstünde ein bereichsübergreifender Bezug. Dieser Konflikt muss vor dem Verschieben aufgelöst werden — entweder den anderen Assistenten mit übergeben oder dessen Wissensbindung lösen.

9.3 Wissen in anderen Bereich verschieben: die Sperre (Guard)

Umgekehrt lässt sich eine Wissensquelle (Container, Integration) nicht ohne Weiteres allein verschieben, wenn sie noch von einem Assistenten genutzt wird, der danach in einem anderen Bereich läge:

Der Verschiebevorgang wird blockiert, wenn dadurch ein referenzierender Assistent in einem anderen Bereich zurückbliebe. Es gibt keine stille EntKopplung — Wissen wird niemals unbemerkt vom Assistenten getrennt.

  • Nicht blockiert wird der Vorgang, wenn die Quelle an keinen Assistenten gebunden ist — oder wenn alle referenzierenden Assistenten in denselben Ziel-Bereich überführt werden.
  • Auflösung: Entweder die betroffenen Assistenten ebenfalls in den Ziel-Bereich verschieben, oder die Wissensbindung vorher lösen.
  • Auch diese Sperre gilt auf UI- und API-Ebene.

Merksatz: Der Assistent (das „Elternteil") nimmt sein Wissen mit; die Wissensquelle (das „Kind") kann ihre Assistenten nicht mitnehmen — deshalb wird sie in diesem Fall gesperrt, statt zu kaskadieren.

9.4 Rollenunterschied bei der Sperre — was die Meldung verrät

Die Sperrmeldung fällt je nach Rolle unterschiedlich aus, weil die Rollen unterschiedlich weit sehen:

Rolle Bewegung der Wissensquelle Sperrmeldung
Bereichsadministrator zwischen Bereichen nennt die blockierenden Assistenten nicht — der Bereichsadministrator ist möglicherweise nicht berechtigt, den fremden Assistenten zu sehen (kein Informationsabfluss).
Administrator (admin) aus dem nicht zugewiesenen Bestand in einen Bereich nennt die blockierenden Assistenten namentlich — der Administrator hat bereichsübergreifende Sicht und kann so gezielt handeln.

9.5 Best Practices für Bestandskunden (Transition)

Gerade bei der erstmaligen Einsortierung eines bestehenden Bestands helfen diese Empfehlungen, Sperren zu vermeiden und sauber zu migrieren:

  1. Zusammengehöriges gemeinsam planen. Betrachten Sie einen Assistenten und die von ihm genutzten Container/Integrationen als eine Einheit und weisen Sie sie demselben Bereich zu.
  2. Assistenten zuerst übergeben — Wissen zieht mit. Übergeben Sie in der Regel den Assistenten; seine gebundenen Wissensquellen wandern automatisch mit (siehe 9.2). Das ist der reibungsärmste Weg.
  3. Geteiltes Wissen bewusst behandeln. Nutzen mehrere Assistenten dieselbe Quelle, entscheiden Sie vorab, in welchen Bereich diese gehört, und überführen Sie alle betroffenen Assistenten gemeinsam.
  4. Sperrmeldungen als Hinweis lesen. Eine Sperre ist kein Fehler, sondern der Schutz vor bereichsübergreifenden Bezügen. Bei der Rolle admin nennt die Meldung die blockierenden Assistenten — arbeiten Sie diese Liste ab.
  5. Reihenfolge im Zweifel: erst Assistenten samt Wissen in die Zielbereiche überführen, dann verbleibende, ungenutzte Container/Integrationen einzeln zuordnen.

Zusammenhang mit dem Einführungsweg: Diese Empfehlungen ergänzen den Empfohlenen Einführungsweg für Bestandskunden — dort insbesondere Schritt 2 („Inhalte gezielt übergeben").

10. Sichtbarkeit für den Administrator (Rolle admin)

Strukturelle Übersicht

Der Administrator hat in der Bereichsübersicht Einblick in alle Bereiche des Tenants mit strukturellen Metadaten:

  • Bereichsname, Typ, zugewiesene Gruppen, Anzahl Inhalte

Entity-Übersichten

In den Entity-Übersichten (Container, Assistenten, Integrationen) sieht der Administrator alle Inhalte des Tenants — auch Inhalte, die Bereichen zugeordnet sind. Für jeden Inhalt wird der zugewiesene Bereich angezeigt; Inhalte ohne Bereichszuweisung erhalten keine Bereichsbezeichnung.

Wichtig

Für Inhalte in Bereichen stehen dem Administrator keine Bearbeitungs- oder Löschaktionen zur Verfügung. Diese Einträge sind sichtbar, aber schreibgeschützt. Für Inhalte ohne Bereichszuweisung behält der Administrator den vollen Verwaltungszugriff — einschließlich der Möglichkeit, sie einem Bereich zuzuweisen (siehe Abschnitt 7.2). Mit dieser Zuweisung gibt der Administrator den Inhalt an die zuständigen Bereichsadministratoren ab und verliert selbst die Verwaltungsrechte.

11. Nutzungszugriff auf Bereichsinhalte

Der Nutzungszugriff (z. B. Chat mit einem Assistenten oder Nutzung eines Containers) wird unabhängig von Bereichen und unabhängig von der Rolle ausschließlich gruppenbasiert ausgewertet — für Administratoren, Bereichsadministratoren und Endnutzer:Innen gleichermaßen. Es gilt das allgemeine Zugriffsmodell über Gruppen:

Konfiguration des Inhalts Nutzungszugriff
Keine Nutzungsgruppe zugewiesen Zugriff für alle Nutzer:Innen (einschließlich Administrator)
Nutzungsgruppe(n) zugewiesen Zugriff nur für Mitglieder mindestens einer zugewiesenen Gruppe

Kein Sonderzugriff für Administratoren

Für den Nutzungszugriff gibt es keine rollenbasierte Ausnahme. Weder der Administrator (Rolle admin) noch ein Bereichsadministrator erhält allein aufgrund seiner Rolle Zugriff auf einen Inhalt. Maßgeblich ist ausschließlich die Gruppenmitgliedschaft — dies gilt für Inhalte in Bereichen ebenso wie für Inhalte ohne Bereichszuweisung.

Abgrenzung zur Verwaltung: Der hier beschriebene Nutzungszugriff ist unabhängig vom Verwaltungszugriff (siehe Abschnitt 10). Der Administrator kann Inhalte ohne Bereichszuweisung weiterhin verwalten, auch wenn er sie mangels Gruppenmitgliedschaft nicht im Chat nutzen kann.

12. Bereiche deaktivieren

Erforderliche Rolle

Das Deaktivieren der Bereiche-Funktion ist ausschließlich Nutzern mit der Rolle Administrator (Claim admin) vorbehalten. Zudem ist die Deaktivierung erst möglich, wenn keine Bereiche mehr existieren (siehe Voraussetzungen unten).

Das Deaktivieren des Bereiche-Features ist aus Sicherheitsgründen gesperrt, solange Bereiche in Ihrem Tenant existieren.

Hintergrund: Eine Deaktivierung bei bestehenden Bereichen würde Nutzern mit der Rolle admin sofortigen uneingeschränkten Verwaltungszugriff auf alle bisher isolierten Inhalte verschaffen.

Voraussetzungen zum Deaktivieren

  1. Alle Inhalte müssen durch Bereichsadministratoren aus ihren Bereichen entfernt worden sein (Bereichszuweisung aufheben).
  2. Alle Bereiche müssen gelöscht worden sein (nur möglich, wenn sie leer sind).
  3. Erst dann ist eine Deaktivierung möglich.

13. Häufige Fragen (FAQ)

Kann ein Administrator Inhalte in einem Bereich bearbeiten?

Nein. Sobald ein Inhalt einem Bereich zugewiesen ist, ist er für den Administrator schreibgeschützt. Die Verwaltung liegt ausschließlich bei den Bereichsadministratoren des jeweiligen Bereichs.

Wer kann einen Inhalt aus einem Bereich zurück in den nicht zugewiesenen Zustand geben?

Nur ein Bereichsadministrator des betreffenden Bereichs. Der Administrator kann Inhalte lediglich aus dem nicht zugewiesenen Zustand in einen Bereich überführen, nicht umgekehrt.

Was passiert mit nicht zugewiesenen Inhalten, wenn ich Bereiche aktiviere?

Nichts. Sie bleiben ausschließlich in der Verantwortung des Administrators und sind für keinen Bereichsadministrator sichtbar, bis der Administrator sie ausdrücklich einem Bereich zuweist.

Warum kann ich das Bereiche-Feature nicht deaktivieren?

Solange Bereiche existieren, ist die Deaktivierung gesperrt. Entfernen Sie zuerst alle Inhalte aus den Bereichen und löschen Sie anschließend alle Bereiche.

Reicht die area_admin-Rolle allein für den Zugriff auf einen Bereich?

Nein. Es gilt das Dual-Authorization-Modell: Der Benutzer benötigt sowohl die Rolle area_admin als auch die Mitgliedschaft in einer dem Bereich zugewiesenen Gruppe.

Benötigt ein Administrator oder Bereichsadministrator zusätzlich die Rolle user?

Nein. Die Rollen admin und area_admin enthalten automatisch alle Grundberechtigungen eines Standardnutzers (z. B. Chat, Nutzung freigegebener Assistenten und Container). Eine einzige Rolle je Benutzer genügt — Sie müssen user nicht zusätzlich vergeben.

Kann ein Bereichsadministrator mehrere Bereiche verwalten?

Ja. Ein Bereichsadministrator verwaltet alle Bereiche, für die er sowohl die Rolle area_admin als auch die Mitgliedschaft in einer dem jeweiligen Bereich zugewiesenen Gruppe besitzt. Bereiche, für die nur eine der beiden Bedingungen erfüllt ist, sind für ihn weder sichtbar noch verwaltbar.

Sieht ein Bereichsadministrator Inhalte anderer Bereiche oder nicht zugewiesene Inhalte?

Nein. Ein Bereichsadministrator sieht ausschließlich Inhalte seiner eigenen Bereiche. Inhalte anderer Bereiche sowie nicht zugewiesene Inhalte sind für ihn weder sichtbar noch bearbeitbar.

Was passiert mit den Wissensquellen eines Assistenten, wenn ich ihn in einen anderen Bereich verschiebe?

Die gebundenen Wissensquellen wandern automatisch mit (Mitnahme). Der Vorgang ist atomar — entweder wechseln Assistent und Wissensquellen gemeinsam den Bereich, oder es geschieht nichts. Details siehe Abschnitt 9.2.

Warum lässt sich eine Wissensquelle (Container, Integration) nicht verschieben?

Der Vorgang wird gesperrt, wenn dadurch ein noch referenzierender Assistent in einem anderen Bereich zurückbliebe (Guard) — andernfalls entstünde ein bereichsübergreifender Wissenszugriff. Lösung: die betroffenen Assistenten ebenfalls in den Ziel-Bereich verschieben oder die Wissensbindung vorher lösen. Details siehe Abschnitt 9.3.

Welchem Bereich gehören neu erstellte Inhalte?

Das hängt von der Rolle ab: Legt ein Bereichsadministrator einen Inhalt an, ist die Bereichsauswahl ein Pflichtfeld (nur eigene Bereiche) und der Inhalt ist sofort zugeordnet. Legt ein Administrator einen Inhalt an, ist dieser zunächst nicht zugewiesen und verbleibt in seiner Verantwortung, bis er ihn einem Bereich übergibt.

Haben Dokumente eine eigene Bereichszuweisung?

Nein. Dokumente folgen immer dem Bereich ihres übergeordneten Containers. Verschieben Sie einen Container in einen anderen Bereich, ändert sich damit auch der Zugriff auf die enthaltenen Dokumente. Details siehe Abschnitt 8.2.

Kann ich einen Bereich löschen, der noch Inhalte enthält?

Nein. Ein Bereich kann nur gelöscht werden, wenn er leer ist. Die Bereichsadministratoren müssen zuvor alle Inhalte entweder in einen anderen Bereich verschieben oder in den nicht zugewiesenen Zustand zurückgeben.

Warum erscheint mein neuer Bereich nicht in der Bereichsauswahl beim Zuweisen von Inhalten?

Ein Bereich kann erst dann als Zuweisungsziel dienen, wenn ihm mindestens eine Gruppe zugewiesen ist. Bereiche ohne Gruppenzuweisung werden in der Bereichsauswahl nicht angeboten — sonst entstünde ein Bereich, dessen Inhalte von keinem Bereichsadministrator übernommen werden könnten. Weisen Sie dem Bereich zuerst über das Bearbeiten-Formular eine Gruppe zu; danach steht er als Zuweisungsziel zur Verfügung.

Wie viele Bereiche kann ich anlegen?

Es gibt keine Begrenzung — Sie können pro Tenant beliebig viele Bereiche anlegen. Beachten Sie, dass ein Bereich erst dann Zuweisungsziel sein kann, wenn ihm mindestens eine Gruppe zugewiesen ist.

Hat der Administrator automatisch Nutzungszugriff (Chat) auf alle Inhalte?

Nein. Der Nutzungszugriff ist rein gruppenbasiert und rollenunabhängig. Ohne Mitgliedschaft in einer zugewiesenen Nutzungsgruppe hat auch der Administrator keinen Nutzungszugriff (siehe Abschnitt 11).