Benutzer und Benutzergruppen in Joomla verwalten

Joomla verfügt über eine integrierte Benutzerverwaltung, mit der Administratoren neue Benutzerkonten anlegen, bestehende Konten bearbeiten und Benutzer unterschiedlichen Benutzergruppen zuweisen können. Dieses Cheatsheet zeigt zunächst den schnellen Ablauf. Anschließend werden Benutzergruppen, Zugriffsebenen und Berechtigungen ausführlicher erklärt.

Cheatsheet: Neuen Benutzer im Joomla-Backend anlegen

Für das Anlegen eines neuen Benutzers wird ein Administratorkonto benötigt, das auf die Joomla-Benutzerverwaltung zugreifen und Benutzer erstellen darf.

Schritt 1: Im Joomla-Backend anmelden

Das Administrator-Backend wird üblicherweise über die folgende Adresse aufgerufen:

https://www.example.at/administrator

Die Anmeldung muss mit einem Benutzerkonto erfolgen, das zur Verwaltung anderer Benutzer berechtigt ist.

Schritt 2: Benutzerverwaltung öffnen

Im Administrator-Menü wird die Benutzerverwaltung geöffnet. Je nach Menüführung kann sie über einen der folgenden Wege erreichbar sein:

Benutzer → Verwalten

oder über das Dashboard:

Startseite → Website → Benutzer

In der Benutzerübersicht anschließend auf die Schaltfläche Neu klicken.

Schritt 3: Kontodaten eintragen

Schritt 4: Benutzergruppe zuweisen

Im Benutzerformular den Reiter oder Bereich Zugewiesene Benutzergruppen öffnen und die benötigte Benutzergruppe auswählen.

Ein Benutzer kann mehreren Benutzergruppen gleichzeitig zugeordnet werden. Die wirksamen Berechtigungen ergeben sich dann aus der Kombination dieser Gruppen.

Schritt 5: Benutzer speichern

Nach der Eingabe der Kontodaten und der Auswahl der Benutzergruppe auf Speichern & Schließen klicken. Das neue Konto erscheint anschließend in der Benutzerliste.

Schritt 6: Anmeldung prüfen

Die Anmeldung sollte mit dem neu angelegten Konto getestet werden. Für einen Benutzer mit Backend-Rechten erfolgt der Test unter:

https://www.example.at/administrator

Eine Backend-Anmeldung ist nur möglich, wenn mindestens eine zugewiesene Benutzergruppe die erforderliche Berechtigung für die Anmeldung am Administratorbereich besitzt.

Ablaufdiagramm: Benutzer anlegen

Bestehende Benutzer bearbeiten

Kontodaten und Gruppenzuordnungen können jederzeit geändert werden:

1. Benutzer → Verwalten öffnen.
2. Auf den Namen des betreffenden Benutzers klicken.
3. Die gewünschten Kontodaten ändern.
4. Den Bereich Zugewiesene Benutzergruppen öffnen.
5. Benutzergruppen hinzufügen oder nicht mehr benötigte Gruppen deaktivieren.
6. Die Änderungen mit Speichern & Schließen übernehmen.

Nach einer Änderung der Benutzergruppen sollte sich der betroffene Benutzer vollständig abmelden und erneut anmelden. Dadurch wird eine neue Sitzung mit den aktualisierten Gruppen und Berechtigungen aufgebaut.

Benutzergruppen mehrerer Benutzer gleichzeitig ändern

Über die Stapelverarbeitung können mehrere Benutzer gleichzeitig einer Benutzergruppe hinzugefügt oder aus einer Gruppe entfernt werden.

1. Die Benutzerverwaltung öffnen.
2. Die Kontrollkästchen der betroffenen Benutzer aktivieren.
3. In der Werkzeugleiste Stapelverarbeitung beziehungsweise Batch auswählen.
4. Die gewünschte Benutzergruppe festlegen.
5. Die vorgesehene Aktion auswählen.
6. Die Stapelverarbeitung starten.

Eigene Benutzergruppe erstellen

Für individuelle Rollen sollten eigene Benutzergruppen angelegt werden. Dadurch müssen die von Joomla bereitgestellten Standardgruppen nicht verändert werden.

Benutzergruppe anlegen

1. Im Backend Benutzer → Gruppen öffnen.
2. Auf Neu klicken.
3. Einen aussagekräftigen Gruppentitel vergeben.
4. Eine geeignete übergeordnete Gruppe auswählen.
5. Die Gruppe mit Speichern & Schließen anlegen.
6. Die erforderlichen Berechtigungen für die neue Gruppe konfigurieren.
7. Die Gruppe einem Testbenutzer zuweisen und praktisch prüfen.

Mögliche Bezeichnungen für eigene Benutzergruppen sind beispielsweise:

• Redaktion Aktuelles
• Produktpflege
• Kundenbetreuung
• Externe Agentur
• Shop-Verwaltung
• Standortredaktion Wien

Die übergeordnete Gruppe bewusst auswählen

Joomla bildet Benutzergruppen in einer hierarchischen Struktur ab. Eine untergeordnete Gruppe übernimmt Berechtigungen aus ihrer übergeordneten Gruppe. Deshalb sollte als Ausgangspunkt eine Gruppe gewählt werden, die nicht bereits wesentlich mehr Rechte besitzt, als für die neue Rolle erforderlich sind.

Standardgruppen möglichst nicht verändern

Die mit Joomla ausgelieferten Standardgruppen sollten möglichst nicht umbenannt, gelöscht oder grundlegend umstrukturiert werden. Dazu gehören unter anderem:

• Öffentlich
• Gast
• Registriert
• Autor
• Editor
• Publisher
• Manager
• Administrator
• Super Benutzer

Individuelle Rollen lassen sich nachvollziehbarer über eigene Benutzergruppen abbilden. Das vereinfacht spätere Kontrollen, Wartungsarbeiten und Anpassungen des Berechtigungskonzepts.

Benutzergruppen, Zugriffsebenen und Berechtigungen unterscheiden

Für die korrekte Konfiguration ist die Unterscheidung zwischen Benutzergruppen, Zugriffsebenen und Aktionsberechtigungen entscheidend.

Diagramm: Zusammenspiel der Zugriffskontrolle

Vereinfacht gilt:

• Benutzergruppen ordnen Benutzer Rollen zu.
• Berechtigungen bestimmen, was diese Rollen tun dürfen.
• Zugriffsebenen bestimmen, welche Inhalte diese Rollen sehen dürfen.

Zugriffsebenen verwalten

Zugriffsebenen werden in der Benutzerverwaltung unter Zugriffsebenen verwaltet. Eine Zugriffsebene enthält eine oder mehrere Benutzergruppen.

Beiträge, Kategorien, Menüeinträge, Module und andere Joomla-Objekte können anschließend einer Zugriffsebene zugeordnet werden. Sichtbar ist ein Objekt nur für Benutzer, deren Benutzergruppe in der betreffenden Zugriffsebene enthalten ist.

Beispiel: Geschützter Kundenbereich

1. Eine Benutzergruppe Premium-Kunden erstellen.
2. Eine Zugriffsebene Premium-Inhalte anlegen.
3. Der Zugriffsebene die Gruppe Premium-Kunden zuweisen.
4. Geschützte Beiträge, Kategorien oder Menüeinträge auf die Zugriffsebene Premium-Inhalte einstellen.
5. Die Konfiguration mit einem Benutzer aus der Gruppe Premium-Kunden testen.

Diagramm: Geschützte Inhalte freigeben

Berechtigungen einer Benutzergruppe konfigurieren

Das Anlegen einer Benutzergruppe allein gewährt noch nicht automatisch alle benötigten Rechte. Die tatsächlichen Berechtigungen werden über das Joomla-ACL-System konfiguriert.

Globale Berechtigungen

Globale Rechte werden in der Joomla-Konfiguration unter dem Bereich Berechtigungen festgelegt. Dazu können unter anderem folgende Aktionen gehören:

• Seitenanmeldung
• Administratoranmeldung
• Offlinezugriff
• Zugriff auf die Administrationsoberfläche
• Erstellen
• Löschen
• Bearbeiten
• Status bearbeiten
• Eigene Inhalte bearbeiten
• Optionen und Berechtigungen konfigurieren

Berechtigungen einzelner Komponenten

Viele Joomla-Komponenten besitzen eigene Berechtigungseinstellungen. Für Beiträge können die Rechte beispielsweise über die Optionen der Inhaltskomponente konfiguriert werden.

Dadurch kann eine Gruppe Zugriff auf die Inhaltsverwaltung erhalten, ohne gleichzeitig Benutzer, Erweiterungen oder die globale Joomla-Konfiguration verwalten zu dürfen.

Berechtigungen einzelner Kategorien

Für eine feinere Trennung können Berechtigungen zusätzlich auf Kategorien beschränkt werden. Eine Redaktion kann dadurch beispielsweise nur Beiträge innerhalb der Kategorie Aktuelles erstellen oder bearbeiten.

Vererbt, erlaubt und verweigert

Joomla verwendet bei ACL-Berechtigungen mehrere Zustände:

Beispiel: Eingeschränkte Redaktion einrichten

Eine Redaktion soll sich im Backend anmelden und Beiträge in der Kategorie Aktuelles bearbeiten können. Sie soll jedoch weder Erweiterungen installieren noch Benutzer oder die globale Konfiguration verwalten dürfen.

Benutzer sperren oder löschen?

Wenn ein Benutzer keinen Zugang mehr erhalten soll, ist das Sperren des Kontos häufig sinnvoller als das sofortige Löschen.

Ein gesperrter Benutzer bleibt in der Benutzerverwaltung und in der Datenbank erhalten, kann sich jedoch nicht mehr anmelden. Dadurch bleiben beispielsweise Autorenzuordnungen und administrative Nachvollziehbarkeit erhalten.

Das Sperren ist besonders sinnvoll, wenn:

• eine Person das Unternehmen verlassen hat,
• ein Zugang nur vorübergehend deaktiviert werden soll,
• Beiträge weiterhin dem ursprünglichen Autor zugeordnet bleiben sollen,
• noch nicht endgültig feststeht, ob das Konto später wieder benötigt wird.

Häufige Fehler

Sicherheitsempfehlungen

• Eigene Konten verwenden: Für jede Person ein separates Benutzerkonto anlegen.
• Least Privilege: Nur die tatsächlich benötigten Benutzergruppen und Berechtigungen zuweisen.
• Super-Benutzer begrenzen: Uneingeschränkten Zugriff nur ausgewählten verantwortlichen Personen geben.
• Mehrfaktor-Authentifizierung: Administrative Benutzerkonten zusätzlich absichern.
• Konten sperren: Nicht mehr benötigte Zugänge zeitnah deaktivieren.
• Testbenutzer einsetzen: Neue Rollen und ACL-Konfigurationen nie ausschließlich mit dem eigenen Super-Benutzer-Konto prüfen.
• Berechtigungen dokumentieren: Zweck, Umfang und verantwortliche Personen eigener Benutzergruppen nachvollziehbar festhalten.
• Regelmäßig kontrollieren: Benutzerkonten und Gruppenzuordnungen in festen Abständen überprüfen.

Praktische Checkliste