Gelöst Zugriff auf Personen trotz fehlender Berechtigung
-
Hallo,
mir als Admin ist heute aufgefallen, dass eine Gruppenleitung selbstständig Personen in die Gruppe aufgenommen hat, die sie gar nicht sehen können dürfte.
Per Simulation habe ich dies nachstellen können.
Konkret:
- Person A und B sind in ChurchTools, sie sehen sich gegenseitig nicht (weder globale Suche, noch im Modul "Personen und Gruppen")
- Person A ist Gruppenleitung einer neuen Gruppe (Typ: Kleingruppe)
- Person A geht auf "Person zur Gruppe hinzufügen" und tippt die ersten Buchstaben von Person B ein. Diese erscheint und kann in die Gruppe aufgenommen werden
Ergebnis:
- Je nach Berechtigung der Gruppe hat A Zugriff auf Daten von B
- Überhaupt erfährt A dadurch, dass es B gibt
Beide Ergebnisse sind aus Datenschutzsicht sehr kritisch. Das ist "Selbstbedienung".
Welche Fehlkonfiguration liegt bei mir vor?
Danke für eure Unterstützung.
-
@holunder Möglicherweise ist die Sicht über den Personenstatus bereits erlaubt, dann braucht es in einer Gruppe nicht mehr explzit gestattet zu werden. Z.B. wenn hier ein Recht erteilt ist:
-
@holunder ich meine, dass man in den Suchfeldern, z.B. auch beim Dienst besetzen "andere Person wählen" alle Personen aus dem eigenen Bereich finden kann auch wenn man sie sonst unter Personen nicht sehen kann
-
@Andrej Nein, das geht nicht. Man kann in diesem Zusammnahng auch nur Personen auswählen, die man zu sehen berechtigt ist.
Die Sicht von A auf B wird durch ein Recht an irgendeiner Stelle gestattet, die hier nur schwer auszumachen ist.
Ich würde nachsehen:
Welche Rechte Hat A durch den Personenstatus, welche über eine Gruppe/Rolle und was ist mit dem Recht der speziellen neuen Gruppe/Rolle? -
Danke euch.
Es ist nachweislich so, dass A B nicht sehen kann. Hinzufügen geht aber wie oben beschrieben.
Als Recht hat A nur "Gruppenmitglieder hinzufügen". Das müsste aber korrekt sein, jedoch nur für lesbare Personen.
Habt ihr noch eine Idee?
Ansonsten würde ich mich ab den Support wenden. -
@holunder Beim hinzufügen von Personen zu einer Gruppe sieht man zusätzlich zu den Personen die man sehen kann alle Personen aus dem eigenen Bereich. Ich vermute das ist hier der Fall.
-
@holunder
@davidschilling sagte in Zugriff auf Personen trotz fehlender Berechtigung:alle Personen aus dem eigenen Bereich
Das stellt die Grafik oben dar. Dieses Recht war bei uns für alle Personen vergeben. Inzwischen hat es nur noch die Gemeindeleitung.
-
@davidschilling sagte in Zugriff auf Personen trotz fehlender Berechtigung:
@holunder Beim hinzufügen von Personen zu einer Gruppe sieht man zusätzlich zu den Personen die man sehen kann alle Personen aus dem eigenen Bereich. Ich vermute das ist hier der Fall.
@Karin-D sagte in Zugriff auf Personen trotz fehlender Berechtigung:
@holunder Möglicherweise ist die Sicht über den Personenstatus bereits erlaubt, dann braucht es in einer Gruppe nicht mehr explzit gestattet zu werden. Z.B. wenn hier ein Recht erteilt ist:
Danke sehr für diese Hilfe!
Die Grafik habe ich übersehen. Werde es direkt ausprobieren.
-
Soweit ich es sehe, ist dieses Recht weder für die Person, noch für irgendeinen Status, Gruppentyp oder Benutzer gesetzt.
-
@holunder @Karin-D Es ist so, wie ich und auch @davidschilling bereits geschrieben haben:
Beim Hinzufügen zu Gruppen kann man auch Personen hinzufügen, die man nicht sieht, die aber in demselben Bereich sind.Wenn die Rechte aus der Grafik gesetzt sind, dann kann man die Personen auf dem Bereich auch unter "Personen" sehen
-
@Andrej sagte in Zugriff auf Personen trotz fehlender Berechtigung:
@holunder @Karin-D Es ist so, wie ich und auch @davidschilling bereits geschrieben haben:
Beim Hinzufügen zu Gruppen kann man auch Personen hinzufügen, die man nicht sieht, die aber in demselben Bereich sind.Wenn die Rechte aus der Grafik gesetzt sind, dann kann man die Personen auf dem Bereich auch unter "Personen" sehen
Verstehe nun, dass es keine Option zum Abschalten gibt.
Danke für eure Unterstützung.
-
H holunder has marked this topic as solved
-
@Andrej @davidschilling Die Erklärung habe ich jetzt erst richtig verstanden. Das Verhalten ist mir völlig neu. Man lernt ja nicht aus. Vielen Dank!
