# Teilen: im Team und extern per Link

{/* AUTO-SYNCED SOURCE: this page lives in apps/app/src/modules/credentials/docs/ and is mirrored into the docs app by `bun sync:module-docs`. Edit it in the module, not in apps/docs. */}
<Lead>
Ein Tresor-Eintrag ist erst dann wertvoll, wenn genau die richtigen Personen ihn sehen: dein Team über interne Freigaben, Externe über einen zeitlich begrenzten Link. Beides steuerst du pro Eintrag, und beides wird protokolliert.
</Lead>

## Persönlich oder Geteilt

Jeder Eintrag hat eine **Sichtbarkeit**, die du beim Anlegen (und später beim Bearbeiten) festlegst:

<DefinitionList>
  <DefItem term="Geteilt (Team)">
    Der Eintrag gehört dem Team. Wer ihn sehen kann, hängt von den Berechtigungen und den Freigaben ab: Admins sehen alle geteilten Einträge, Mitglieder sehen ihre eigenen sowie alles, was für sie freigegeben wurde.
  </DefItem>
  <DefItem term="Persönlich">
    Der Eintrag gehört nur dir. Andere sehen ihn nicht, auch Admins nicht. Einzige technische Ausnahme ist der oder die Inhaber:in des Workspace. In der Liste trägt der Eintrag das Badge **Persönlich**.
  </DefItem>
</DefinitionList>

## Im Team teilen

Die Zeilen-Aktion **Teilen** öffnet den Freigabe-Dialog. Dort vergibst du **Lese-Zugriff** über drei Arten von Schaltern:

- **pro Mitglied:** einzelne Kolleg:innen gezielt freischalten
- **pro Rolle:** alle **Administrator:innen**, **Mitglieder** oder **Betrachter:innen** auf einmal
- **pro Gruppe:** selbst definierte Team-Bündel (siehe unten)

Zwei Regeln gelten immer:

- Freigaben vergeben **Lese-Zugriff**: Empfänger:innen können den Eintrag sehen und anzeigen, aber nicht bearbeiten oder löschen.
- Der oder die **Ersteller:in behält immer den Verwaltungs-Zugriff** auf den eigenen Eintrag. Im Dialog ist diese Person mit **(Ersteller)** markiert, ihr Zugriff lässt sich nicht entziehen.

<Info title="Freigabe ist nicht gleich Tresor-Zugang">
Eine Freigabe wirkt nur für Personen, die den Tresor überhaupt öffnen dürfen. Ob eine Rolle das darf, steuern die Werkzeug-Berechtigungen des Workspace: siehe [Audit und Berechtigungen](/tools/zugangsdaten-tresor/audit-und-berechtigungen#rollen-und-rechte).
</Info>

## Gruppen

Wenn du denselben Personenkreis immer wieder freischaltest (z.B. "alle, die Portale betreuen"), lohnt sich eine Gruppe. Der Kopfzeilen-Button **Gruppen** öffnet den Dialog **Permission-Gruppen**, die der Tresor als **Team-Bündel für Freigaben** beschreibt:

- **Anlegen:** Namen eintragen (das Feld schlägt vor: **Neue Gruppe (z.B. Portale)**) und die Mitglieder per Checkbox auswählen.
- **Verwenden:** Beim Teilen eines Eintrags taucht die Gruppe als eigener Schalter auf.
- **Löschen:** Beim Entfernen einer Gruppe warnt der Dialog: **Bestehende Freigaben an diese Gruppe entfallen.**

Gruppen verwalten kann nur, wer die entsprechende Berechtigung hat (standardmäßig Admins).

## Extern per Link teilen

Für Externe ohne Plattform-Zugang (Notariat, Hausverwaltung, IT-Dienstleister) erzeugst du im Teilen-Dialog unter **Extern per Link** einen zeitlich begrenzten Freigabe-Link:

<Steps>
  <Step title="Rahmen festlegen">
    Optional trägst du unter **E-Mail (optional)** die Adresse der Empfänger:in ein (zur eigenen Zuordnung). Unter **Gültig für** wählst du die Laufzeit: **1 Stunde**, **6 Stunden**, **24 Stunden (Standard)**, **3 Tage** oder **7 Tage (max)**.
  </Step>
  <Step title="Grund angeben">
    Das Feld **Grund (Pflicht, protokolliert)** ist verpflichtend. Der Grund landet im Audit-Protokoll, damit ihr später nachvollziehen könnt, warum der Zugang nach außen ging.
  </Step>
  <Step title="Link erzeugen und selbst versenden">
    Nach **Link erzeugen** zeigt dir der Tresor den Link **genau einmal** an, mit dem Hinweis, ihn zu kopieren und selbst zu senden. Die Plattform verschickt **keine** E-Mail. Kopiere den Link und übermittle ihn auf dem Weg deiner Wahl.
  </Step>
</Steps>

Für jeden aktiven Link siehst du danach eine Zeile mit E-Mail (oder "ohne E-Mail"), Gültigkeit und Öffnungs-Zähler, z.B. **bis 24.07.2026 · 3× geöffnet**. Über **Widerrufen** machst du einen Link jederzeit sofort ungültig.

<Warning title="Grenzen externer Links">
Einträge der Stufe **Hyper-sensibel** lassen sich grundsätzlich nicht extern teilen. Und: Ein Link ist so sicher wie sein Übertragungsweg. Jede Person, die den Link während der Laufzeit besitzt, kann den Eintrag öffnen; eine E-Mail-Verifikation der Empfänger:in gibt es nicht. Wähle die Laufzeit deshalb so kurz wie möglich und widerrufe den Link, sobald er nicht mehr gebraucht wird.
</Warning>

## Die Empfänger-Ansicht

Die Empfänger:in öffnet den Link (Adresse der Form `/share/{token}`) im Browser, ganz ohne Konto. Dort kann sie den Eintrag nur **ansehen und kopieren**; auch hier leert sich die Zwischenablage 30 Sekunden nach dem Kopieren automatisch. Die Seite weist darauf hin: **Dieser Link ist zeitlich begrenzt und kann jederzeit widerrufen werden. Jeder Zugriff wird protokolliert.** Nach Ablauf oder Widerruf ist die Seite nicht mehr erreichbar.

## Weiterführend

Für wiederkehrende Dienste, bei denen jede:r im Team einen **eigenen** Zugang hinterlegen soll, gibt es einen besseren Weg als viele Einzel-Freigaben: [Mitarbeiter-Zugänge](/tools/zugangsdaten-tresor/mitarbeiter-zugaenge). Was genau protokolliert wird, steht unter [Audit und Berechtigungen](/tools/zugangsdaten-tresor/audit-und-berechtigungen). Zurück zur Übersicht: [Zugangsdaten-Tresor](/tools/zugangsdaten-tresor).