# Notfallzugriff und Vier-Augen-Prinzip

{/* AUTO-SYNCED SOURCE: this page lives in apps/app/src/modules/credentials/docs/ and is mirrored into the docs app by `bun sync:module-docs`. Edit it in the module, not in apps/docs. */}
<Lead>
Persönliche Einträge sieht wirklich nur die Person, die sie angelegt hat. Das ist der Grund, warum Mitarbeitende ihre eigenen Zugänge überhaupt hier eintragen. Es ist aber auch der Grund, warum an einem Freitagnachmittag niemand an das Portal kommt, wenn diese Person krank ist. Der **Notfallzugriff** löst genau das, ohne den Schutz aufzugeben.
</Lead>

## Warum es diesen Weg gibt

Ohne geregelten Weg passiert in jedem Büro dasselbe: Jemand ruft an, jemand liest das Passwort am Telefon vor, es landet in einer Kurznachricht, und dort bleibt es. Das ist das Schlechteste, was einem Tresor passieren kann, und es passiert ausgerechnet dann, wenn er eigentlich helfen sollte.

Der Notfallzugriff ist deshalb bewusst **kein Hauptschlüssel für die Verwaltung**. Niemand bekommt ihn durch eine Rolle oder ein Recht. Es gibt ihn nur so: Du selbst benennst eine Person, und dieser Person gibst du Zugriff auf deine eigenen Einträge. Deshalb braucht das Einrichten auch keine besondere Berechtigung. Du verschenkst etwas, das dir gehört.

## Einrichten

Du findest den Bereich in der Seitenleiste unter **Geteilte Links**, ganz unten unter **Notfallzugriff**.

<Steps>
  <Step title="Person auswählen">
    Wähle eine Kollegin oder einen Kollegen aus dem Arbeitsbereich. Dich selbst kannst du nicht auswählen.
  </Step>
  <Step title="Einrichten">
    Ein Klick genügt. Ab jetzt steht die Person in deiner Liste mit dem Vermerk **bereit**. Passiert ist damit noch nichts: Sie sieht weiterhin keinen einzigen deiner Einträge.
  </Step>
  <Step title="Bescheid sagen">
    Die andere Person sieht den Eintrag bei sich unter **Für dich hinterlegt**. Sag ihr trotzdem, dass es ihn gibt. Ein Notfallweg, von dem niemand weiß, ist im Notfall keiner.
  </Step>
</Steps>

Du kannst mehrere Personen benennen. Ein erneutes Einrichten für dieselbe Person setzt alles zurück, auch eine gerade laufende Anforderung.

## Wie eine Anforderung abläuft

Die benannte Person klickt bei sich auf **Anfordern**. Danach passiert dreierlei:

1. **Du wirst sofort benachrichtigt.** Die Nachricht steht in deinem Posteingang und nennt Name und Zeitpunkt, ab dem der Zugriff greift.
2. **Die Wartefrist läuft.** Ab Werk sind das 3 Tage; die Inhaberin des Arbeitsbereichs kann sie in den Tresor-Einstellungen zwischen 24 Stunden und 14 Tagen setzen.
3. **Erst danach greift der Zugriff.** Vorher sieht die anfordernde Person weiterhin nichts.

**Die Frist ist der eigentliche Schutz, nicht die Benennung.** Wer unberechtigt anfordert, löst damit als Erstes eine Benachrichtigung aus und hat Tage, in denen du widersprechen kannst. Wer berechtigt anfordert, wartet einmal und hat danach den Zugriff.

Zurücknehmen kannst du jederzeit, auch mitten in der laufenden Frist: ein Klick auf **Zurücknehmen** in deiner Liste.

<Callout tone="info">
Wenn die Benachrichtigung nicht zugestellt werden kann, schlägt die Anforderung fehl. Das ist Absicht: Eine Wartefrist, von der du nichts erfährst, ist keine Frist, sondern nur eine Verzögerung.
</Callout>

## Was der Notfallzugriff öffnet, und was nicht

| | |
|---|---|
| **Persönliche Einträge der freigebenden Person** | Ja, nach Ablauf der Frist. |
| **Geteilte Einträge des Teams** | Dafür braucht es ihn nicht, die laufen über die normalen Freigaben. |
| **Einträge der Stufe Hyper-sensibel** | Nein. Sie sind mit dem Master-Passwort der Person verschlüsselt, das den Browser nie verlässt. Auch der Notfallzugriff kann sie nicht öffnen. |
| **Einträge anderer Personen** | Nein. Der Zugriff gilt genau für die Person, die ihn eingerichtet hat. |

<Callout tone="warning">
Für hyper-sensible Einträge gibt es keinen Notfallweg. Das ist keine Lücke, sondern der Sinn dieser Stufe. Wenn ein Zugang das Büro am Laufen hält, gehört er nicht dorthin, sondern in einen geteilten Eintrag.
</Callout>

Jeder Zugriff über diesen Weg steht im Zugriffs-Protokoll, und zwar mit dem Vermerk, dass er über den Notfallzugriff lief. Er ist also nicht heimlich, sondern nachlesbar.

## Wenn niemand hinterlegt ist

Dann kommt an deine persönlichen Zugänge niemand heran, auch die Inhaberin des Arbeitsbereichs nicht. Das ist so gewollt und wird im Tresor auch so angezeigt. Wenn dir das für einen bestimmten Zugang zu weit geht, ist meist nicht der Notfallzugriff die Antwort, sondern die Sichtbarkeit **Geteilt**.

## Vier Augen bei der höchsten Stufe

Ein zweiter Sonderweg, mit umgekehrter Richtung: Beim Notfallzugriff geht es darum, dass überhaupt jemand herankommt. Hier geht es darum, dass niemand allein herankommt.

Die Inhaberin kann in den Tresor-Einstellungen unter **Sicherheit** den Schalter **Höchste Stufe nur mit zweiter Person** einschalten. Dann läuft das Öffnen eines hyper-sensiblen Eintrags so:

<Steps>
  <Step title="Anfrage mit Grund">
    Wer den Eintrag öffnen will, gibt einen Grund an. Der Grund ist Pflicht und geht unverändert an die entscheidende Person. Eine Freigabe ohne Begründung wird durchgewinkt, und dann sind vier Augen nur zwei mit einem Zwischenschritt.
  </Step>
  <Step title="Zustimmung durch eine andere Person">
    Die Anfrage erscheint bei allen Berechtigten oben im Bereich **Geteilte Links**. Die eigene Anfrage kann niemand selbst freigeben.
  </Step>
  <Step title="Öffnen">
    Nach der Zustimmung lässt sich der Eintrag öffnen. Die Anfrage gilt eine Stunde: kurz genug, dass eine Zustimmung nicht tagelang offen liegt, lang genug für eine Rückfrage im Büro.
  </Step>
</Steps>

Anfrage, Grund und Entscheidung stehen im Protokoll. Auch eine Ablehnung.

## Häufige Fragen

<Faq>
  <FaqItem q="Sieht meine Vertrauensperson meine Einträge schon vor der Anforderung?">
    Nein. Bis zur Anforderung und bis zum Ablauf der Frist sieht sie nichts. Sie sieht nur, dass es den hinterlegten Notfallzugriff gibt.
  </FaqItem>
  <FaqItem q="Kann die Inhaberin des Arbeitsbereichs sich selbst einen Notfallzugriff geben?">
    Nein. Einrichten kann ihn immer nur die Person, um deren eigene Einträge es geht. Alles andere wäre ein Hauptschlüssel mit anderem Namen.
  </FaqItem>
  <FaqItem q="Was passiert, wenn ich das Büro verlasse?">
    Ein hinterlegter Notfallzugriff bleibt bestehen, solange dein Konto im Arbeitsbereich existiert. Für die geordnete Übergabe ist trotzdem der Bereich <strong>Beim Ausscheiden einer Person</strong> im Tresor-Check der richtige Weg, weil dort auch steht, welche Zugänge zu wechseln sind.
  </FaqItem>
  <FaqItem q="Warum kann ich die Wartefrist nicht auf null setzen?">
    Weil die Frist der Schutz ist. Ohne sie wäre der Notfallzugriff nur eine Freigabe mit einem dramatischeren Namen. Die kürzeste Einstellung sind 24 Stunden.
  </FaqItem>
  <FaqItem q="Zählt eine Anforderung, die ich zurücknehme, irgendwo?">
    Ja. Anfordern, Zurücknehmen und jeder spätere Zugriff stehen im Zugriffs-Protokoll und im Audit-Protokoll des Arbeitsbereichs.
  </FaqItem>
</Faq>