Erklärung
Sicherheit und Zugriffsrechte in FlowEngine
Anmeldung, Sitzungen, Rollen, Zugriff auf Dokumente und die Prüfungen eingehender Dateien – mit den derzeitigen Grenzen.
Fachlich geprüft am 30. Oktober 2026 · Stand 2026.10
Dieser Artikel beschreibt, wie FlowEngine die Anmeldung, die Rollen in Ihrer Firma und den Zugriff auf Dokumente regelt und welche Prüfungen eingehende Dateien durchlaufen. Er beschreibt die Funktionen der Anwendung. Wie Ihre Installation betrieben wird, etwa Serverstandort, Datensicherung oder Verschlüsselung der gespeicherten Daten, beschreibt er nicht.
Anmeldung#
Sie melden sich mit Ihrer E-Mail-Adresse und Ihrem Passwort an. Passwörter und die Zwei-Faktor-Authentifizierung verwaltet ein zentraler Anmeldedienst; Administratoren sehen ihn in den Sicherheitsrichtlinien unter Identitätsanbieter.
| Thema | Verhalten |
|---|---|
| Passwort | mindestens acht Zeichen; ändern unter Einstellungen → Anmeldung & Sicherheit, zurücksetzen über Passwort vergessen? auf der Anmeldeseite |
| Zwei-Faktor-Authentifizierung | Einmalcodes aus einer Authenticator-App, dazu Wiederherstellungscodes für den Notfall. Jede Person richtet sie für ihr eigenes Konto ein. |
| Abgelehnte Anmeldung | FlowEngine zeigt eine allgemeine Meldung und nennt nicht, welche Angabe falsch war. Dieselbe Meldung erscheint derzeit auch bei einem entfernten Konto oder einer deaktivierten Firma. |
Eine Pflicht zur Zwei-Faktor-Authentifizierung für alle Personen einer Firma lässt sich in FlowEngine derzeit nicht einstellen.
Sitzungen#
Administratoren legen in den Sicherheitsrichtlinien fest, wie lange eine Sitzung höchstens dauert und nach wie vielen Minuten ohne Aktivität sie endet. Standardmäßig sind es zwölf Stunden und 60 Minuten. Der Server prüft beide Grenzen bei jeder Anfrage, auch wenn jemand Für 30 Tage angemeldet bleiben gewählt hat. Danach ist eine neue Anmeldung nötig.
Abmelden beendet die Sitzung in dem Browser, in dem Sie es wählen.
Firmen und Rollen#
Jedes Konto gehört zu genau einer Firma. Der Server ordnet jede Anfrage der Firma des angemeldeten Kontos zu; Mitglieder und Administratoren erhalten keinen Zugriff auf Dokumente anderer Firmen.
| Rolle | Rechte |
|---|---|
| Mitglied | arbeitet mit den Dokumenten und Beschaffungsprozessen, für die es zuständig ist |
| Administrator | sieht und bearbeitet alle Dokumente der Firma und verwaltet Mitglieder, Sicherheitsrichtlinien und weitere Einstellungen der Firma |
Entfernt eine Administratorin oder ein Administrator ein Mitglied, wird dessen Konto deaktiviert. Eine bestehende Sitzung wird bei der nächsten Anfrage abgelehnt.
Systemadministratoren des Betreibers#
Systemadministratoren gehören zum Betreiber von FlowEngine, nicht zu Ihrer Firma. Sie legen Firmen an, aktivieren und deaktivieren sie und schalten Funktionen frei. Technisch können sie die Dokumente aller Firmen öffnen und bearbeiten.
Zugriff auf Dokumente#
Wer ein Dokument sieht und bearbeitet, ergibt sich aus der Rolle und aus der Zuständigkeit für das Dokument:
| Beziehung zum Dokument | Mitglied | Administrator |
|---|---|---|
| zuständig | sehen und bearbeiten | sehen und bearbeiten |
| hat es eingeliefert oder verantwortet den zugehörigen Beschaffungsprozess, ist aber nicht zuständig | nur sehen | sehen und bearbeiten |
| keine Beziehung | nicht sichtbar | sehen und bearbeiten |
Ein freigegebenes Dokument ist schreibgeschützt. Ist in den Sicherheitsrichtlinien die Unternehmensweite Dokumentsuche für Mitglieder eingeschaltet, finden Mitglieder beim Hinzufügen zu ihren Beschaffungsprozessen auch fremde Dokumente; die Treffer zeigen dann nur Stammdaten wie Dateiname, Belegnummer und Lieferant.
Einige Bereiche folgen derzeit nicht dieser Regel:
- Angebotsvergleiche sind, sofern die Funktion für Ihre Firma freigeschaltet ist, für alle Personen der Firma lesbar, einschließlich der Preisaufstellungen der verglichenen Angebote. Löschen kann sie ebenfalls jede Person der Firma.
- Erinnerungen an fehlende Folgedokumente sehen alle Personen der Firma, auch zu Beschaffungsprozessen, die sie nicht öffnen dürfen. Jede Person kann eine Erinnerung mit Zur Kenntnis genommen für alle quittieren.
Prüfungen beim Eingang von Dateien#
FlowEngine prüft jede Datei, gleich ob sie im Browser, mit der mobilen App, per E-Mail oder über die Dokumenten-Schnittstelle eingeht:
| Prüfung | Wirkung |
|---|---|
| Dateityp | FlowEngine bestimmt den Typ aus dem Inhalt der Datei, nicht aus der Dateiendung oder der Angabe des Absenders. Formate, die für den Eingangsweg nicht zugelassen sind, werden abgelehnt. |
| Größe | Es gilt die Maximale Upload-Größe Ihrer Firma; im Browser und in der mobilen App höchstens 20 MB je Datei. |
| Schadsoftware | Ein Virenscanner prüft jede Datei, bevor FlowEngine daraus ein Dokument anlegt. Gefundene Schadsoftware wird immer abgelehnt. Mit Striktes Malware-Scanning (Standard) werden Dateien auch abgelehnt, wenn der Scanner nicht erreichbar ist. |
| PDF-Verarbeitung | PDF-Dateien liest FlowEngine in getrennten Prozessen mit begrenztem Speicher und begrenzter Laufzeit, nicht im Hauptprozess der Anwendung. |
Welche Formate zugelassen sind, steht unter Unterstützte Dateiformate je Eingangskanal.
Weitere Schutzfunktionen#
- Prüfung auf dem Server: Die Oberfläche blendet Funktionen aus, die Sie nicht nutzen dürfen. Der eigentliche Schutz ist aber die Prüfung jeder Aktion auf dem Server, auch bei direkt aufgerufenen Adressen.
- Exporte: Administratoren können Dokumentexporte mit Dokumentexporte erlauben abschalten. Für Berichte aus dem Angebotsvergleich gilt diese Einstellung derzeit nicht.
- Einladungen: Unter Erlaubte Einladungs-Domains beschränken Administratoren Einladungen auf die Domains Ihres Unternehmens.
- KI-Anbieter: Mit Eigene KI-Anbieter erlauben legen Administratoren fest, ob Ihre Firma einen eigenen KI-Anbieter hinterlegen darf. Hinterlegte API-Schlüssel speichert FlowEngine verschlüsselt und zeigt sie nicht wieder an.
- Nachvollziehbarkeit: Die Seite Sicherheitsrichtlinien zeigt Administratoren die letzten Anmeldungen sowie Konto- und Einladungsereignisse. Die Dokumenthistorie zeigt Bearbeitungsschritte an einem Dokument; gelöschte Felder und neu angelegte Positionen erfasst sie derzeit nicht.
Was dieser Artikel nicht abdeckt#
Serverstandort, Verschlüsselung der gespeicherten Daten und der Verbindungen, Datensicherung, Aufbewahrungsfristen und Zertifizierungen hängen vom Betrieb Ihrer Installation und von Ihrem Vertrag ab. Wenden Sie sich dafür an Ihren FlowEngine-Ansprechpartner. Welche Daten FlowEngine für die Dokumentenverarbeitung an welche Dienste gibt, beschreibt Datenverarbeitung und KI-Funktionen.