Alles, was du für die tägliche Arbeit mit UDKS Core brauchst —
vom ersten Anmelden bis zur Freigabe. Kapitel 9 richtet sich nur an den
Techsupport (Rolle admin).
Jedes Dokument wird im Browser des Absenders verschlüsselt und für
jeden Berechtigten einzeln gekapselt — der Server speichert und sieht nur
Ciphertext (Ende-zu-Ende, ML-KEM-768/ML-DSA-65). Dein einziger Zugang ist
deine Schlüsseldatei (.udkskey) plus Passphrase; es gibt
kein Passwort-Zurücksetzen, weil der Server nichts besitzt, womit er dir
helfen könnte. Verlierst du Datei oder Passphrase, setzt der Techsupport
dein Konto zurück — Bestandsdokumente werden dir danach automatisch wieder
zugänglich gemacht (Kapitel 8).
name:token — immer als ein kompletter String..udkskey sicher ablegen, plus eine
Kopie an einem zweiten sicheren Ort. Der Code ist danach verbraucht.Schlüsseldatei auswählen oder ins Feld ziehen, Passphrase eingeben, anmelden. Eine Sitzung läuft 60 Minuten — oben rechts zählt eine Anzeige herunter; unter 5 Minuten wird sie rot und warnt einmal. Nach Ablauf erscheint ein deutlicher roter Hinweis auf der Anmeldeseite — nichts Gespeichertes geht verloren, nur Eingaben eines noch nicht abgeschickten Formulars müssen nach der Neuanmeldung wiederholt werden. Ein Seiten-Reload (auch nach einem Server-Update) wirft dich nicht raus; erst Tab schließen oder „Abmelden" beendet die Sitzung endgültig.
Der Link „Datei wählen und auf diesem Gerät merken …" erscheint nur in Browsern mit Datei-System-Zugriff (Chrome/Edge) — in Firefox/Safari wird er bewusst ausgeblendet. Darüber wählst du deine Schlüsseldatei einmalig aus — ab dann steht sie bei jeder Anmeldung voreingestellt und du gibst nur noch die Passphrase ein (auch nach dem automatischen Sitzungsende). Gemerkt wird ausschließlich der Dateiverweis, nie der Schlüssel: Die Datei bleibt verschlüsselt auf deiner Platte, die Passphrase bleibt Pflicht. „Vergessen" entfernt den Verweis jederzeit. Der Browser fragt beim ersten Zugriff einmal um Erlaubnis; in Firefox/Safari gibt es die Funktion nicht — dort läuft die Anmeldung wie gewohnt über die Dateiauswahl. Auf fremden oder geteilten Geräten die Funktion bitte nicht verwenden.
Die Schlüsseldatei muss nie von Hand aufs Handy: Am Desktop unten links in der Seitenleiste „Mobilgerät koppeln" wählen — es erscheint ein QR-Code. Den mit der Kamera des Handys scannen; der Link öffnet UDKS und übergibt die versiegelte Schlüsseldatei automatisch, du gibst nur noch deine Passphrase ein. Der Code gilt 10 Minuten für genau einen Abruf, der Server sieht dabei ausschließlich doppelt verschlüsseltes Material — das QR-Geheimnis verlässt deinen Desktop-Bildschirm nicht. Auf dem Handy kannst du beim Anmelden das Häkchen „Schlüsseldatei auf diesem Gerät merken" setzen (auf iPhone/iPad vorausgewählt): Die versiegelte Datei bleibt dann am Gerät gespeichert und künftig genügt die Passphrase — sie bleibt bei jeder Anmeldung Pflicht, und „Vergessen" auf der Anmeldeseite löscht die gemerkte Datei sofort. Den QR-Code wie die Schlüsseldatei behandeln: nur selbst scannen, niemandem zeigen.
UDKS als App (Handy und Desktop): UDKS lässt sich wie eine App installieren: In Chrome/Edge über das Browser-Menü „App installieren", auf dem iPhone/iPad über Teilen → „Zum Home-Bildschirm". Danach startet UDKS mit eigenem Symbol und Fenster; Anmeldung und Verschlüsselung funktionieren wie im Browser. Einen Offline-Modus gibt es bewusst nicht — Ende-zu-Ende-Sitzungen brauchen den Server.
Die Navigation links ist in vier Gruppen gegliedert, immer in derselben Reihenfolge: Arbeiten (Mein Arbeitsplatz, Explorer, Dokumente, Workspaces), Lenkung (Abschluss & Freigabe; Versand & Kenntnisnahmen mit Dokumentenaustausch, Download-Links und Kenntnisnahmen; Import), Nachweise & Administration (Nachweise, Einrichtung) und Ab Welle 2 (Sicherung & Restore, Geheimnisse, Anwendungen & Datenbanken — jeweils mit dem Datum, ab dem der Bereich vollständig ist). Explorer und Dokumente zeigen denselben berechtigten Bestand auf zwei Arten: der Explorer als Ordner aus dem Kennzeichen und eigene Ordner, Dokumente als Tabelle mit Filtern für Listen- und Massenarbeit. Was deine Rolle nicht darf, steht nicht in der Navigation. Bereiche, die erst in einer späteren Welle kommen, zeigen eine Statuskachel mit Datum („verfügbar ab …“) statt einer leeren Seite — dasselbe Datum wie auf der Website und in der Bestellbestätigung. Auf schmalen Bildschirmen öffnet das Menü-Symbol die Navigation als Schublade; Esc schliesst sie. Hell oder dunkel wählst du oben rechts.
Kontextleiste: Über allen Bereichen stehen Gesellschaft, Rolle und ein Schutzklassen-Filter. Wählst du dort eine Gesellschaft oder eine Schutzklasse, filtern Ablage, Explorer, Suche, Versand, Nachweise und Kennzahlen gleichzeitig danach — du musst den Kontext nicht in jedem Bereich neu setzen. Er bleibt im Tab erhalten, bis du ihn änderst.
Startseite (Mein Arbeitsplatz): Oben die Kennzahlen im gewählten Kontext (Bestand je Status, offene Kenntnisnahmen, Fristen, Speicher der Gesellschaft in Prozent — ab 80 % mit Hinweis). Darunter „Wartet auf Ihre Entscheidung“: Dokumente, die auf deine Prüfung oder Freigabe warten (mit „Freigeben“/„Ablehnen“ direkt am Eintrag), und Download-Links, die auf Autorisierung warten; „Zur Kenntnisnahme“, wenn dir ein Dokument verteilt wurde; „In Bearbeitung“ mit deinen Entwürfen und gesperrten Dokumenten; „Fristen“ mit allem, was in den nächsten sieben Tagen abläuft (Download-Links, Vertretungen).
Eine Gesellschaft kann neue Personen geführt starten lassen — das stellt der Betreiber je Gesellschaft ein (Kapitel 9), Standard ist offen (alles sofort da). Im geführten Modus siehst du über der Oberfläche ein Band mit der aktuellen Einheit und ihrer Demoaufgabe; alles, was zu einer späteren Einheit gehört, ist grau und am Server gesperrt — ein Klick darauf sagt dir, welche Einheit es freischaltet, nichts geht verloren. Die sechs Einheiten folgen dieser Anleitung:
Eine Einheit gilt als erledigt, wenn ihre Sollbelege als Ereignisse in der Nachweiskette stehen — der Server erkennt sie, niemand hakt etwas ab. Je nach Einstellung geht es dann automatisch weiter oder eine Key-User-Person (Geschäftsführung oder Betreiber) schaltet dich frei; sie sieht dafür auf ihrem Arbeitsplatz die Fortschrittstabelle der Gesellschaft (Person, Einheit, Zeitpunkt) mit einem Knopf «Freischalten» je Person. Nach Einheit 6 verschwindet das Band; alle Funktionen deiner Rolle sind offen.
admin) und Informationssicherheit
(isb) werden nie geführt. Was du im offenen Modus schon getan hast, zählt
nach einem späteren Umschalten auf «geführt» nicht — der Pfad beginnt ab dem Stichtag.Der Explorer zeigt den Bestand wie einen Dateiserver: Ordner
entlang des Kennzeichens (Gesellschaft → Dokumentart → Objektbezug →
Unterklasse) mit Anzahl je Ordner, Brotkrumen-Navigation und den
Dokumenten auf der untersten Ebene. „Hier hochladen" übernimmt
den geöffneten Ordner direkt als Vorbelegung für den Upload. Die
Suche oben zeigt schon beim Tippen die passenden Dokumente —
ein Klick öffnet sie direkt; Enter springt wie bisher in die
gefilterte Liste. Gezielt mit Stern: In den Filtern Beschreibung und Revision funktionieren Platzhalter — Projekt* (beginnt mit), *Plan (endet auf), *Plan* (enthält), bei der Revision z. B. 1.* für alle 1.x-Stände. Ohne Stern bleibt die Beschreibung eine Teiltextsuche, die Revision wird exakt verglichen.
Oben im Explorer wählst du Klassifizierung (die Ordner aus dem Kennzeichen — automatisch, niemand muss ein Dokument ablegen) oder Eigene Ordner. Eigene Ordner legt dein Team selbst an wie auf einem Serverlaufwerk: „Neuer Ordner" mit frei gewähltem Namen, umbenennen, löschen. Ein Dokument legst du über „⋯ → In eigenen Ordner legen" hinein und im Ordner mit „entfernen" wieder heraus.
Dabei gilt: Ein Ordner ist eine Sicht, keine Verschiebung — ein Dokument kann in beliebig vielen Ordnern liegen, Kennzeichen, Schutzklasse, Status und Rechte bleiben unverändert. Ein Ordner gehört einer Gesellschaft; wer sie sieht, sieht den Ordner, darin aber nur die Dokumente, die er ohnehin sehen darf — der Zähler am Ordner zählt deshalb je Person. Einlegen darf, wer das Dokument sehen darf; Ordner verwalten darf, wer in der Gesellschaft hochladen darf. Anlegen, Umbenennen, Einlegen, Entfernen und Löschen stehen als Ereignisse in den Nachweisen.
Kacheln oder Liste: In beiden Darstellungen zeigst du Dokumente als Kacheln (Dokumentart, Beschreibung, Kennzeichen, Status, Schutzklasse) oder als Liste — die Wahl merkt sich dein Browser.
Der Upload denkt mit: Die Beschreibung wird automatisch aus dem Dateinamen vorgeschlagen (regelkonform in PascalCase), und die zuletzt verwendete Kennzeichen-Kombination ist beim nächsten Upload bereits vorbelegt.
Start → „Dokument hochladen" → Datei wählen → Gesellschaft, Dokumentart, Objektbezug, Unterklasse, Beschreibung, Schutzklasse. Das Kennzeichen entsteht live als Vorschau. Bei S4 ist eine Arbeitsgruppe Pflicht, bei S5 wählst du die Berechtigten einzeln, bei S2 den gebundenen Empfänger. Das Upload-Protokoll zeigt, für wen verschlüsselt wurde.
Jedes Dokument trägt einen Datenpass: Gesellschaft, Dokumentart, Schutzklasse, zuständige Person, Stand, Herkunft (eigen, extern aus dem Austausch, Import — setzt der Server, nie du) und den Verweis in die Nachweiskette. Beim Upload prüft der Server die Pflichtfelder gegen das Regelwerk und sagt im Klartext, was fehlt. Der Pass steht im Dokumentdetail als Block und gilt genauso für jeden Arbeitsstand und jede Versandmappe. Die Zuständigkeit ist eine Person — vorbelegt mit dem Ersteller, übertragbar durch die zuständige Person, GF oder Administration (Ereignis in der Kette). In der Ablage filterst du nach Schutzklasse, Dokumentart, Stand, Herkunft und Zuständigkeit („ich“ oder ein Benutzername); die Liste nennt die zuständige Person und, falls gesperrt, wer gerade bearbeitet.
Erstellt (CR) → Entwurf (DR) → Zur Prüfung freigegeben (RA) → Freigegeben (AP) → In Kraft (IS); eine ersetzte Revision wird zu Archiv (IV). Die Knöpfe dafür stehen in der Dokumentansicht („Bearbeitung starten", „Zur Prüfung vorlegen"); ab RA entscheiden die laut Freigabe-Matrix zuständigen Personen über ihre Inbox. Der Ersteller kann ein Dokument aus der Prüfung zurückziehen (zurück in den Entwurf, auditiert) — der nächste Prüfungsgang startet einen frischen Freigabezyklus.
Leere Dokumentenhüllen: „Als Hülle anlegen (ohne Datei)“ reserviert ein Kennzeichen ohne Inhalt — z. B. für alle laut Vertrag geschuldeten Dokumente zu Projektbeginn. Hüllen sind in der Dokumentenliste rot markiert; über „Datei hinterlegen“ wird der Inhalt später Ende-zu-Ende verschlüsselt ergänzt — das Dokument wechselt damit automatisch in den Entwurf (DR).
Kurzbezeichnung (Zählernummer): Jedes Dokument erhält
automatisch eine fortlaufende Nummer je Merkmalskombination
(Gesellschaft, Art, Objekt, Unterklasse) — als Kurzbezeichnung
z. B. DE-PRJ-LXP-TEC-001, sichtbar in Liste
(Spalte „Nr.") und Dokument-Informationen. Revisionen behalten ihre
Nummer, vergebene Nummern werden nie wiederverwendet, und die Suche
versteht sowohl die Kurzbezeichnung als auch die reine Nummer. Das
führende Kennzeichen bleibt unverändert.
gf und admin dürfen eigene Dokumente
selbst durch die komplette Kette bringen — jede solche Entscheidung wird in
der Audit-Kette sichtbar als Ausnahme gekennzeichnet.qm ist das Qualitätsmanagement: Sie prüft
(sofern die Freigabe-Matrix den Prüf-Schritt auf „QM" stellt) und
verteilt Kenntnisnahmen — sie gibt aber nie frei und hat
keine Verwaltungsrechte. So bleiben Prüfung und Freigabe personell
getrennt.Die Dokumentansicht startet im reinen Anzeige-Modus: Öffnen und Herunterladen gehen immer, alles Verändernde ist ausgeblendet. Der Stift (✎) rechts in der Aktionsleiste schaltet in den Bearbeiten-Modus (der Stift färbt sich rot) — erst dann erscheinen Statuswechsel, Datei-Aktionen, Revision, Sperre und Verwerfen. Das schützt vor versehentlichen Aktionen.
Datei aktualisieren: Der Ersteller ersetzt die Datei direkt — lokal entschlüsseln, bearbeiten, hier verschlüsselt wieder hochladen (auditiert; alle Schlüsselkapseln werden neu erzeugt). Im Status „Erstellt" wechselt das Dokument dabei automatisch in den Entwurf; eine inhaltlich identische Datei wird erkannt und gar nicht erst hochgeladen (Vergleich lokal im Browser). Erst nach der Freigabe laufen Änderungen über neue Revisionen. Arbeitsstände: Jedes „Datei aktualisieren“ im Entwurf ist ein Schnappschuss — der bisherige Inhalt bleibt als Arbeitsstand erhalten, mit Urheber, Zeit, Prüfsumme, deiner Signatur und einer verschlüsselten Änderungsnotiz, lesbar für dieselben Berechtigten. Der Reiter „Arbeitsstände“ zeigt den Verlauf, holt jeden Stand zurück und nennt je Stand den Speicherstatus: lokal erfasst, online bestätigt, separat gesichert. „Arbeitsstand sichern“ lädt hoch und behält die Sperre; beim Verwerfen eines Entwurfs werden auch die Kapseln der Stände vernichtet. Mitautoren: Ersteller, zuständige Person oder GF tragen im Reiter „Arbeitsstände“ weitere berechtigte Personen ein (E Ersteller, Z zuständig, M Mitautor — nur Personen, keine Dienste); Mitautoren sehen den Entwurf, aktualisieren und sperren ihn, verwerfen kann nur der Ersteller. Zu zweit tippen (Echtzeit): Bei Textentwürfen (.txt, .md, .csv, .json, .yaml, .ini, .log) hat die Detailansicht den Reiter „Bearbeiten“. „Beitreten“ öffnet den gemeinsamen Text; wer ebenfalls beitritt, tippt gleichzeitig mit — jede Änderung wird im Browser verschlüsselt und über den Server nur als Paket weitergereicht, der Server kann sie nicht lesen. Die Teilnehmerliste zeigt, wer gerade dabei ist. Der gemeinsame Text ist noch kein Dokumentinhalt: erst „Arbeitsstand sichern“ macht daraus einen signierten Arbeitsstand mit Änderungsnotiz („Echtzeit-Sitzung, Epoche …“) — danach tippen alle ohne Unterbruch weiter, die Anzeige nennt die nächste Epoche. Jeder Teilnehmer darf sichern, auch wenn die Sperre auf jemand anderem steht. „Verlassen“ beendet die eigene Teilnahme; die Sperre fällt, sobald die letzte Person geht und nichts Ungesichertes mehr offen ist — sonst bleibt das Dokument „in Bearbeitung“, bis jemand sichert. Darum: vor dem Verlassen sichern. Zwei Regeln: Mitautoren vor Beginn eintragen — wer erst nach der ersten Sicherung einer laufenden Sitzung Mitautor wird, sieht beim Beitreten den Hinweis „Diese Sitzung wurde begonnen, bevor du Mitautor wurdest …“ und kann beitreten, sobald alle gesichert und verlassen haben (dann beginnt die nächste Sitzung mit dem aktuellen Inhalt). Und: Echtzeit gilt für Textdateien; Office-Dateien laufen weiter über „Datei aktualisieren“ und Arbeitsstände. Konflikt: Hat jemand den Entwurf aktualisiert, seit du ihn geöffnet hast, ersetzt dein Hochladen nichts still — du siehst „Konflikt: … hat den Entwurf zwischenzeitlich aktualisiert“ und entscheidest: aktuellen Stand laden und einarbeiten, oder „Trotzdem ablegen“; dann bleibt der fremde Stand als Arbeitsstand, und der Konflikt steht im Nachweis. Check-out: „Zur Bearbeitung sperren" markiert das Dokument sichtbar als „in Bearbeitung durch …" — andere können bis zum Check-in weder die Datei ändern noch vorlegen oder eine Revision anlegen (vergessene Sperren löst GF/Admin); nach dem Wieder-Hochladen wird automatisch eingecheckt. Verwerfen: Nie freigegebene Entwürfe (CR/DR) kann der Ersteller mit Pflicht-Begründung verwerfen — auditierter Storno mit Crypto-Shredding: Der Inhalt ist unwiederbringlich, das Kennzeichen bleibt belegt, Historie und Nachweis bleiben (Status „Verworfen"). Freigegebene Dokumente sind Records und laufen ausschließlich über den Vernichtungsvorrat (Kap. 9).
Merkmale: Sind für die Gesellschaft Merkmale definiert (z. B. Kostenstelle), erscheinen sie beim Upload als optionale Felder; die Werte stehen danach in den Dokument-Informationen und sind über die Suche auffindbar. Neue Revisionen verlangen immer einen Änderungsgrund (Pflicht) — sichtbar an der neuen Revision, in Historie und Audit-Kette. Bei freigegebenen Dokumenten erzeugt „Freigabeprotokoll“ eine druckbare Übersicht der kompletten Prüf-/Freigabekette für Auditoren. Der Reiter „Revisionen" zeigt die Revisionskette komprimiert — eine Zeile je Stand mit Autor, Datum und Änderungsgrund; der „Verlauf" daneben zeigt dagegen jeden einzelnen Schritt. Frühere Stände bleiben nach Richtlinie nicht öffenbar — es kursiert ausschließlich der Letztstand.
Der geführte Weg vom Fileserver oder Altsystem in UDKS — in fünf Schritten,
mit Protokoll, und ohne dass der Server je Klartext sieht.
1 Erfassen: Gesellschaft wählen, Quelle benennen, Ordner wählen,
„Inventar erfassen" — der Browser erfasst Pfade, Grössen, Typen und
Prüfsummen; Dateien mit gleicher Prüfsumme und Grösse gelten als Duplikat
und werden nur einmal importiert. 2 Zuordnen: Regeln Ordner →
Datenpass (Muster wie Vertraege/*, Dokumentart, Objektbezug,
Unterklasse, Schutzklasse, Zielstatus „Entwurf" oder „im Altsystem
freigegeben"); die Beschreibung entsteht aus dem Dateinamen in PascalCase,
wahlweise mit Ordnernamen davor. „Regeln anwenden" zeigt je Datei das
künftige Kennzeichen oder einen Befund (Dateityp nicht zulässig, Kennzeichen
doppelt, Kennzeichen schon belegt); „Hand" ordnet einen Eintrag einzeln zu,
„auslassen" nimmt ihn mit Grund heraus. 3 Testimport: „Testimport
starten" verschlüsselt und signiert jede zugeordnete Datei in deinem Browser
wie beim Upload und legt sie als Dokument der Gesellschaft an — mit Herkunft
„import", aber abgeschottet: bis zum Umschalten siehst nur du sie (und
GF oder Betreiber), nicht Ablage, Suche, Arbeitsplatz oder Versand. Die
Dateien müssen dafür in diesem Browser gewählt sein; nach einem Neustart den
Ordner erneut wählen. 4 Prüfen: „Prüfen (Delta)" listet jede Abweichung
mit Vorschlag; Delta 0 heisst: alles importiert oder bewusst ausgelassen. Ein
falsch zugeordneter Testimport lässt sich „verwerfen" — das Kennzeichen bleibt
belegt, der Eintrag bekommt eine neue Beschreibung oder Revision und wird
erneut importiert. 5 Umschalten: nur bei Delta 0 und nur durch eine
zweite Person mit Gegenzeichnung (GF oder Betreiber; im Lightmodus mit
Vermerk auch du selbst). Danach stehen die Dokumente in der Ablage, und das
Abnahmeprotokoll (Zahlen, Regeln, Personen, Kennzeichen je Pfad, Prüfsumme)
liegt im Lauf — seine Kennzahlen stehen in der Nachweiskette. Es gibt keinen
erfundenen Verlauf: Jedes importierte Dokument hat genau ein Ereignis „upload"
mit Quellpfad und Quelldatum, keine nachgestellten Prüf- oder
Freigabeschritte. „Abbrechen" verwirft alle Testimporte; das Inventar bleibt
als Nachweis.
Vor Urlaub oder Abwesenheit richtest du unten auf der Seite Abschluss & Freigabe deine Vertretung ein: Vertreter wählen, Zeitraum setzen, fertig. Im Zeitraum entscheidet der Vertreter deine Freigabe-Schritte mit — jede solche Entscheidung wird als Vertretungsentscheidung protokolliert und ist in der Freigabekette sichtbar („in Vertretung“). Beenden können Vertretener, Vertreter und Admin jederzeit. Im Krankheitsfall (der Abwesende kann nicht mehr selbst delegieren) richtet der Admin die Vertretung ein. Deine Schlüssel gibt eine Vertretung nie weiter — Inhalte liest der Vertreter nur, wenn er selbst berechtigt ist.
„Dokument öffnen" entschlüsselt den Inhalt lokal in deinem
Browser und prüft die Absender-Signatur (Anzeige über dem Inhalt). Die
Vorschau richtet sich nach dem Dateityp: PDF zeigt die App in einem
eigenen Viewer — sie zeichnet die Seiten nach der Entschlüsselung
selbst, mit Blättern, Zoom und Seitenanzeige, auf dem Handy genauso wie am
Desktop (kein Browser-Plugin nötig). Bilder (PNG,
JPG, GIF, SVG, WebP …) erscheinen direkt, Textformate
(TXT, MD, CSV, JSON …) als Text. Für alle anderen Formate (z. B.
Word, Excel) gibt es keine Browser-Vorschau — dafür steht
„Herunterladen" bereit: Es speichert die entschlüsselte Datei
nach Kennzeichen benannt (z. B.
DE-PRJ-LXP-TEC-Analyse-1.1.0-S3-AP.pdf) — so bleibt auch eine
lokale Kopie eindeutig zuordenbar; der Originalname steht weiterhin in den
Details. Du öffnest sie in der passenden Anwendung. Der Server sieht in
beiden Fällen nichts vom Klartext.
Download-Link (ab Status AP): erzeugt einen passwortgeschützten Link für Externe. Das Passwort erscheint einmalig — Link und Passwort immer getrennt übermitteln. Je nach Matrix muss ein Lead oder die GF den Link erst autorisieren; nach 10 Fehlversuchen sperrt er sich selbst.
Dokumentenaustausch (nur S1/S2, ab AP): Auf der Austausch-Seite steht die Liste aller versandfähigen Dokumente — filtern, anhaken, „Versandmappe erstellen": erst dann öffnet sich der Dialog mit Empfänger und Transmittal-Letter. Das Archiv darunter zeigt, wer was wann an wen versandt hat.
Verteilkenner P/M: Beim Upload lässt sich ein Dokument als P (Personal) oder M (Management) kennzeichnen — orthogonal zur Schutzklasse. Solche Dokumente verlassen das Unternehmen nie: kein Download-Link, kein Dokumentenaustausch; die Versandwege sind serverseitig gesperrt und in der Oberfläche ausgeblendet. Der Kenner wandert unverändert in jede neue Revision.
Private Notizen: Der Notiz-Tab am Dokument gehört nur dir — und zwar mathematisch: Die Notiz wird in deinem Browser verschlüsselt und nur für deinen eigenen Schlüssel gekapselt. Der Server speichert ausschließlich Ciphertext; kein anderer Nutzer und auch kein Admin kann sie lesen. Ältere Notizen werden beim ersten Öffnen automatisch auf dieses Verfahren umgestellt. Konsequenz: Nach einem Konto-Reset (neue Schlüssel) sind alte Notizen unwiederbringlich — sie hängen an deinem persönlichen Schlüssel.
Kenntnisnahme (Verteilung): Über den Tab „Verteilung“ eines freigegebenen Dokuments fordern Ersteller, Leads oder GF/Admin gezielt Lesebestätigungen an. Bei den Empfängern erscheint das Dokument auf der Startseite unter „Zur Kenntnisnahme“ — ein Klick auf „Gelesen & verstanden“ bestätigt; der Verteiler sieht jederzeit, wer noch aussteht. Beides ist auditiert — der klassische QM-Umlauf.
Jede Entscheidung des Servers steht als Ereignis in einer Nachweiskette:
SHA-512-verkettet, vom Server signiert, mit Identität (Mensch, Dienst,
System), Rolle, Vertretung, Regelversion, Client- und Serverzeit und dem
Stand des Objekts. Auch jede Verweigerung ist ein Ereignis — die Antwort an
dich nennt die Regel (z. B. „Regel R2“: deine Rolle hat diese Aktion nicht;
„Regel R1“: nicht deine Gesellschaft; „Regel VK“: Verteilkenner sperrt den
externen Weg). Die Rollen qm, isb, gf und
admin lesen die Kette im Bereich Nachweise mit Filtern
nach Gesellschaft, Objekt, Person, Aktion und Zeitraum — in der Reichweite des
eigenen Zugriffsrahmens. Jede Einsicht ist selbst ein Ereignis.
Kenntnisnahme: „Gelesen und verstanden“ steht je Person und Revision in der Kette, mit deiner Signatur — der Server kann sie nicht erzeugen.
python scripts/nachweis_export_pruefen.py
export.json (aus dem Repository; braucht nur Python und liboqs). Ohne
Filter und mit voller Reichweite ist der Export vollständig ab Genesis; mit
Filter ist er ein Ausschnitt, in dem jeder Eintrag für sich beweisbar bleibt.| Situation | Bedeutung | Was tun |
|---|---|---|
| „Für dich liegt (noch) kein DEK-Wrap vor …" | Du bist neu berechtigt (oder frisch zurückgesetzt), deine Schlüsselkapsel fehlt noch | Kurz warten: Sobald ein anderer Berechtigter angemeldet ist, kapselt sein Browser automatisch nach (≤ 1 Minute). Danach erneut öffnen |
| „Session abgelaufen" | 60-Minuten-Grenze erreicht oder Admin hat Sitzungen beendet | Neu anmelden (Datei + Passphrase) |
| „Konto ist deaktiviert" | Techsupport hat das Konto gesperrt | Techsupport kontaktieren |
| Schlüsseldatei/Passphrase verloren | — | Techsupport meldet: Konto wird zurückgesetzt, Aktivierung mit neuem Code und neuen Schlüsseln; Bestandsdokumente kommen per automatischer Nachversorgung zurück |
| Signatur UNGÜLTIG! | Inhalt passt nicht zur Absender-Signatur | Nicht verwenden — sofort Techsupport/ISB melden |
| „… darf … nicht (Regel R2)“ oder eine andere Regel | Der Server hat die Aktion verweigert und sagt, nach welcher Regel; der Vorgang steht als Ereignis in der Nachweiskette | Richtige Rolle oder Person wählen (Zuständigkeit, Vertretung); wenn die Rolle das dürfen sollte: GF, die Freigabe-Matrix der Gesellschaft prüft |
| „Speicherkontingent … erschöpft“ (413) | 1 TB je Gesellschaft oder 50 GB je Person sind voll — gezählt werden Inhalte aller Revisionen und Arbeitsstände | Entwürfe verwerfen, nicht mehr benötigte Stände bereinigen; sonst erweitert der Betreiber das Kontingent der Gesellschaft |
| „Zu viele Versuche“ (429) | Ratenbegrenzung bei Anmeldung oder Link-Abruf: 10 bzw. 20 Versuche pro Minute je Adresse | Eine Minute warten, dann erneut |
admin (SoftwareLabsAG, Einrichtungsschlüssel) sieht die
komplette Einrichtung. support (kundenseitige Verwaltung)
sieht den Kundenrahmen: Benutzer, Arbeitsgruppen, Empfänger,
Projektcodes. Gesellschaften (E8), Freigabe-Matrix, Backup und Audit
bleiben ausschließlich beim zentralen Admin; support legt nur
Kundenrollen (user/lead/isb/qm/gf)
an — nie admin- oder support-Konten. Der Server
erzwingt diese Grenzen unabhängig von der Oberfläche; support
hat keine Sonderrechte auf Dokumente.Smarter angelegt: Gesellschaften wählst du beim Anlegen als klickbare Kacheln (kein Strg-Klick mehr), der Aktivierungscode hat einen Kopier-Knopf, der Zugriffsrahmen eines Kontos lässt sich direkt in der Zeile über die Kennzeichen-Chips bearbeiten, und die Konto-Aktionen stecken aufgeräumt im ⋯-Menü.
Der Bereich Einrichtung enthält die Verwaltungsfunktionen. Im Tab Benutzer stehen pro Konto:
| Funktion | Wirkung | Wofür |
|---|---|---|
| Rolle (Auswahlfeld) | Ändert die Rolle sofort; laufende Sitzungen der Person enden automatisch | Beförderung, Rollenkorrektur |
| Sitzungen beenden | Wirft die Person sofort aus allen laufenden Sitzungen; Konto und Schlüssel bleiben, Neuanmeldung sofort möglich | Tests, Verdachtsfall „Gerät offen liegen gelassen" |
| Deaktivieren / Aktivieren | Sperrt die Anmeldung komplett bis zur Reaktivierung; Schlüssel und Dokumente bleiben erhalten | Austritt, längere Abwesenheit |
| Zurücksetzen | Deaktiviert, beendet Sitzungen, erzeugt neuen Aktivierungscode; die Person erzeugt neue Schlüssel | Schlüsselverlust |
| Neuer Code | Frischer Aktivierungscode für ein noch nicht aktiviertes Konto | Code verloren/abgelaufen |
| Löschen | Entfernt ein nie aktiviertes Konto endgültig (auditiert) — aktivierte Konten sind Teil der revisionssicheren Historie und werden nie gelöscht, dafür gibt es „Deaktivieren" | Karteileichen aus Tests/Tippfehlern |
user.kick, user.update, user.reset …).
Das eigene Konto lässt sich bewusst nicht selbst ändern oder kicken
(Schutz vor Aussperrung) — dafür ist das zweite Admin-Konto da.Die übrigen Tabs: Gesellschaften (E8, Anlegen nur hier),
Freigabe-Matrix (Prüf-/Freigaberegeln je Schutzklasse),
Projektcodes, Merkmale (freie Zusatzfelder, auch für support), Empfänger (S2/Austausch), Arbeitsgruppen
(Pflicht für S4), Aufbewahrung (nur admin: Fristen nach GeBüV-Logik, Standard 10 Jahre, plus Vernichtungsvorrat — Vernichtung per Crypto-Shredding mit Pflicht-Begründung, Nachweis bleibt als Status „Vernichtet“), Speicherkontingent je Gesellschaft in GB (Standard 1000 = 1 TB; 0 setzt zurück auf den Standard), Lernmodus (nur admin, siehe unten), Backup (Pull-Token und Läufe), Audit
(Kette einsehen und verifizieren). Für die Erstinbetriebnahme gilt der
Leitfaden DE-INT-ORG-PRC-LeitfadenErsteinrichtung.
Im Tab Lernmodus wählst du die Gesellschaft und stellst ein, wie neue Personen
starten: offen (Standard — alle Funktionen der Rolle sofort) oder geführt
(sechs Einheiten nacheinander, Kapitel 3). Dazu Freischaltung: automatisch
(sobald die Sollbelege einer Einheit in der Kette stehen) oder durch Key-User
(Geschäftsführung oder Betreiber schalten je Person frei — die Fortschrittstabelle steht auf
deren Arbeitsplatz); und Gilt für: neue Konten (angelegt ab dem Stichtag)
oder alle Personen der Gesellschaft. Der Stichtag wird beim Speichern
gesetzt; Ereignisse davor zählen nicht, ein Wechsel geführt → offen → geführt beginnt
also für alle neu — die Oberfläche warnt vor dem Speichern. Die Rollen
admin und isb sind nie betroffen.
admin.lernmodus mit altem und neuem Wert;
Freischaltungen von Hand stehen als lern.freischaltung, jede erledigte
Einheit als lern.einheit.abgeschlossen in der Kette. Was ein Kunde erwartet
und was ihm die sechs Einheiten zeigen, steht im Lernpfad «Erste Schritte» aus dem
Onboarding-Kit.Ohne Escrow gilt: Verlieren alle Berechtigten ihre Schlüssel, ist ein Dokument mathematisch unwiederbringlich. Die Escrow-Zeremonie (Tab Gesellschaften → „Escrow einrichten“) erzeugt darum je Gesellschaft ein Notfall-Schlüsselpaar lokal im Browser: Der geheime Teil wird als passphrase-geschützte Datei (.udksescrow) heruntergeladen und offline verwahrt (Tresor, zwei Kopien an getrennten Orten, Fingerprint im Zeremonie-Protokoll notieren); nur der öffentliche Teil geht an den Server. Ab der Zeremonie kapselt jeder Upload den Dokumentenschlüssel zusätzlich für den Escrow-Schlüssel.
Im Ernstfall öffnet der Admin das Dokument-Menü (⋯) →
„Notfall-Wiederherstellung (Escrow)“, lädt die Escrow-Datei und
versorgt alle Berechtigten neu — der Server sieht dabei weiterhin nur
Ciphertext, und jeder Zugriff auf die Escrow-Kapsel wird als
Sicherheitsereignis (escrow.wrap_read) auditiert. Beim
Ersetzen des Escrow-Schlüssels bleibt die alte Datei für
Altdokumente zwingend erforderlich — nie vernichten.