Superuser-Handbuch

1. Einführung und Betriebsverantwortung

Workflow verbindet Vorgänge, Verantwortlichkeiten, Prozessschritte, Pendenzen, Dokumente und Kommunikation. Die Windows-App verarbeitet den lokalen Arbeitsbestand. Website-Verkauf, Stripe-Zahlung, Lizenzzustellung und externe Kundenformulare sind davon getrennte Systeme mit eigenen Datenbeständen und Verantwortlichkeiten.

Vor Produktivbeginn schriftlich festlegen:

1. Fachlich verantwortliche Person und technische Administration.
2. Erreichbarkeit, Kontrollzeiten und Vertretung bei Ausfällen.
3. Führendes System für Anfragen und Rechnungen; parallele, unkontrollierte Importer vermeiden.
4. Zulässige Empfänger, Dokumentarten, Aufbewahrung und Löschentscheidungen.
5. Sicherungsziele, Wiederherstellungsschlüssel und akzeptierte Wiederherstellungszeit.

Ein eingeschalteter Laptop mit angemeldeter Person ist kein Rund-um-die-Uhr-Server. Ausserhalb seiner Laufzeit können lokale Dienste und Aufgaben nicht arbeiten. Öffentliche Formularannahme und Nachrichtenzustellung benötigen deshalb ein bewusst gewähltes Betriebskonzept.

2. Pakete, Voraussetzungen und Installation

Verwenden Sie die für Ihre Umgebung freigegebene Windows-x64-Ausgabe. Prüfen Sie Herkunft, Dateiname, Versionsstand und SHA-256. Ein Release-Manifest wird mit einem unabhängig bekannten öffentlichen Schlüssel geprüft; ein im selben Download beliebig ausgetauschter Schlüssel genügt nicht als Vertrauensnachweis.

Die direkt gelieferte EXE und ein separat angebotener Installer sind unterschiedliche Paketarten. Ein Desktop-Link, Autostart, Microsoft-Store-Zertifizierung oder Windows-Publishersignatur ist nur dann vorhanden, wenn es für das konkrete Paket belegt ist. Die Dokumentation ersetzt keine Installerprüfung.

Für eine neue Einzelplatzinstallation:

1. Geeigneten Rechner, freien lokalen Speicher und Benutzerkontext bestimmen.
2. EXE in einen festen lokalen Programmordner legen und die Version dokumentieren.
3. Ersten Start durch die verantwortliche Person begleiten.
4. Richtige Browseradresse, Ersteinrichtung und Lizenzaktivierung prüfen.
5. Vor echten Daten Rollen, Zustellung und Wiederherstellung mit Testdaten abnehmen.

Geben Sie die Programmdatei nicht zusammen mit einer bereits eingerichteten Datenbank, Sitzungsschlüsseldatei, .env oder Lizenzsammlung an andere Kunden weiter.

3. Datenablage und lokale Konfiguration

Die Verkaufs-EXE verwendet standardmässig %LOCALAPPDATA%\VerwaltungsWorkflow-Sales. Eine frühere Pilotinstallation kann %LOCALAPPDATA%\VerwaltungsWorkflow oder einen ausdrücklich gesetzten anderen Pfad verwenden. MW_USER_DATA_ROOT kann den Datenordner ändern. Prüfen Sie stets den tatsächlich gestarteten Prozess und dessen Konfiguration.

Zum Datenbestand gehören insbesondere:

Konfigurationsvariablen werden beim Start gelesen. Änderungen erfordern einen geplanten Neustart. Verwalten Sie die Dateien geschützt im richtigen Datenordner und im richtigen Windows-Benutzerkontext. Nicht den aktuellen Arbeitsordner einer Entwicklungsinstallation mit dem Datenordner eines Kunden verwechseln.

Die Standarddatenbank ist nicht pauschal vollständig verschlüsselt. Verwenden Sie passende Dateirechte, Geräteverschlüsselung und verschlüsselte Sicherungen. Ein verschlüsselter Versanddatensatz ersetzt keinen Schutz des gesamten Rechners.

4. Erstanmeldung und Kontowiederherstellung

Der erste Benutzer einer leeren Installation muss Administration sein. Danach schliesst der Bootstrap serverseitig. Ein Update, ein erneuter Download oder ein neuer Dateiname setzt die Benutzer nicht zurück. Zeigt die App „Anmelden“, prüfen Sie den vorhandenen Datenbestand und die frühere lokale Kontoanlage.

Die Kaufadresse ist nicht automatisch der lokale Benutzername. Lassen Sie die berechtigte Person ihre ursprüngliche App-E-Mail und ihr eigenes Passwort verwenden. Keine geratenen Standardzugänge ausgeben und keine Passwörter anderer ALKENS-Produkte übernehmen.

Bei Passwortverlust:

1. Richtige Installation und Identität der berechtigten Person klären.
2. Vorhandene Daten konsistent sichern.
3. Einen kontrollierten lokalen Wiederherstellungsweg mit der verantwortlichen IT vorbereiten.
4. Änderung, Zeitpunkt und Prüfung dokumentieren, ohne Passwortwerte zu protokollieren.

Diese Ausgabe bietet keinen zugesicherten allgemeinen Passwort-zurücksetzen-Link. Eine Datenbanklöschung oder erneute Freischaltung des Bootstrap ist kein zulässiger Ersatz für Wiederherstellung.

5. Lizenz, Laufzeit und Nutzerplätze

Unter Organisation → Lizenz und Testversion wird die erworbene Lizenz aktiviert. Prüfen Sie die Anzeige Aktiv, die Laufzeit und den Zähler belegter Nutzerplätze. Die öffentliche Signaturprüfung erfolgt lokal mit dem an die Ausgabe gebundenen öffentlichen Schlüssel.

Die separate Test-App benötigt keine Online-Aktivierung und keine Zahlungsdaten. Standardadresse: http://localhost:8786; eigener Arbeitsbestand: %LOCALAPPDATA%\VerwaltungsWorkflow-Trial. Die daneben gespeicherte Datei trial-state.sqlite hält Startzeit und zuletzt beobachtete Uhrzeit fest, unabhängig von data/municipal_workflow.db. Bei Updates und Sicherungen mitführen. Neustart oder Austausch der EXE verlängern den Test nicht. Eine deutliche Rückstellung der Uhr sperrt die Bearbeitung dauerhaft bis zur gültigen Kaufaktivierung; vorhandene Daten bleiben lesbar. Eine beschädigte Zeitdatei führt ebenfalls zur Bearbeitungssperre. Korrigieren Sie das Windows-Datum und kontaktieren Sie gegebenenfalls den Support.

Dies ist eine lokale Nutzungsbegrenzung, kein Manipulationsschutz gegen Windows-Administratoren, die sämtliche Zustandsdateien löschen oder das Programm verändern. Durch eine vollständige Löschung aller Testdateien kann ein neuer Zustand entstehen. Die Anwendung enthält keinen privaten Lizenzsignaturschlüssel.

Nach Ablauf bleiben Anmeldung, lesende Zugriffe und Hilfe erhalten. Eine gültige Kauf-Lizenz lässt sich direkt in der Test-App aktivieren und übernimmt die Nutzerzahl der Kaufstufe. Der Datenbestand bleibt dabei erhalten. Bei einem Wechsel zur separaten Kauf-EXE muss der Datenordner ausdrücklich übernommen werden; die Vorgaben der beiden Ausgaben sind absichtlich getrennt. Gesondert ausgestellte signierte Testlizenzen werden weiterhin anhand ihrer eigenen 14-Tage-Laufzeit ab Ausstellung geprüft.

Administratorkonten zählen mit. Deaktivierte Konten belegen keinen aktiven Platz; ihre Reaktivierung wird erneut gegen das Limit geprüft. Ein Downgrade muss zum vorhandenen aktiven Benutzerbestand passen. Eine Lizenz nicht durch das Anlegen weiterer Konten oder Manipulieren der Datenbank umgehen.

Nach Ablauf können vorhandene Daten im Rahmen der Rollen weiterhin gelesen werden; Bearbeitung wird gesperrt. Aktivieren Sie eine passende gültige Lizenz. Löschen Sie keine Arbeitsdaten wegen eines Lizenzfehlers. Die Jahreslaufzeit und Kündigung richten sich nach den beim Kauf akzeptierten Vertragsbedingungen; dieses Handbuch verändert sie nicht.

6. Rollen und Berechtigungen einrichten

Unter Organisation lokale Konten mit Name, E-Mail und Anfangspasswort anlegen. Die Kontenübersicht erlaubt Rollenänderung sowie Aktivierung und Deaktivierung normaler Konten. Administratorkonten werden dort bewusst nicht geändert. Eine weitere Administration ist kein zugesicherter Self-Service-Schritt.

Änderungen wirken bei der nächsten Anfrage; eine bestehende Sitzung kann dadurch ungültig werden. Rechteprüfung findet serverseitig statt. Das Sichtbar- oder Unsichtbarmachen eines Menüs ist nicht die eigentliche Zugriffskontrolle.

Testen Sie mit mindestens einem normalen Konto, dass fremde Vorgänge, interne Daten und Administrationsfunktionen tatsächlich eingeschränkt sind. Geben Sie keine gemeinsamen Team-Passwörter aus.

7. Organisation und Zuständigkeiten aufbauen

Zuerst Teams beziehungsweise Abteilungen anlegen, danach Zuständigkeitsbereiche mit einer übergeordneten Abteilung oder als übergreifende Einheit. Verwenden Sie stabile Schlüssel und verständliche Namen. Ein Personenname ist nicht der Name eines fachlichen Zuständigkeitsbereichs.

Im Vorgang werden Person, Team und Bereich getrennt ausgewählt und gespeichert. Ein ausgewähltes Team allein legt nicht automatisch eine bestimmte Person fest. Die Personenliste enthält nur zulässige aktive Bearbeitungskonten.

Prüffall für die Einrichtung:

1. Team „Service“ und Bereich „Mitgliedschaften“ anlegen.
2. Ein Bearbeitungskonto erstellen, falls die Lizenz genügend Plätze hat.
3. Einen synthetischen Vorgang dieser Person und diesem Bereich zuweisen.
4. Mit dem Bearbeitungskonto den sichtbaren Arbeitsbestand prüfen.
5. An eine andere Person übergeben und die geänderte Sichtbarkeit kontrollieren.

Bei organisatorischen Änderungen offene Aufgaben und Vertretungen mitprüfen. Eine reine Namensänderung ist kein Beleg einer fachlichen Übergabe.

8. Prozessmodell und Freigaben

Die sieben neuen Prozessvorlagen werden nur ergänzt, wenn ihr Schlüssel noch nicht existiert. Bestehende, umbenannte oder deaktivierte Kundendefinitionen werden nicht überschrieben. Jeder neue Vorgang speichert seine Felddefinition und Regeln als Momentaufnahme. Interne und Verbandsfreigaben prüfen serverseitig die Trennung zwischen antragstellender, bearbeitender und freigebender Person. Dokumentpflicht und Antwortnachweis sind verbindliche Abschlussbedingungen.

Die Oberfläche und die lokalen Handbücher sind über die Sprachauswahl in DE, EN, IT und FR verfügbar. Die Auswahl wird pro Browser gespeichert. Kundentexte, Personennamen, Dokumente und selbst benannte Konfigurationen bleiben unverändert. Für die fachliche Abnahme mindestens einen Kundenanfrage- und einen Freigabedurchlauf sowie die Sichtbarkeit mit einem Nicht-Administratorkonto prüfen.

Die Gesamtzustände sind Entwurf, Eingereicht, In Prüfung, Überarbeitung, Genehmigt, Abgelehnt und Abgeschlossen. Die sichtbaren Prozessschritte haben eigene Bearbeitungsanzeigen. Die aktuell ausführbaren Aktionen werden vom Status und der Rolle bestimmt.

Vorgangsarten sind versionierte Definitionen. Der ausführbare Übergangskatalog bleibt in dieser Ausgabe kontrolliert im Programm. Es wird kein uneingeschränkt frei konfigurierbarer grafischer Prozessdesigner zugesichert.

• Einreichen und erneutes Einreichen stehen berechtigten Erstellern beziehungsweise Administration zur Verfügung.
• Bearbeitung und Administration können Prüfung starten, Überarbeitung verlangen und Freigabe empfehlen.
• Freigabe und Administration können genehmigen oder ablehnen, sofern die weiteren fachlichen Voraussetzungen erfüllt sind.
• Bearbeitung und Administration können genehmigte oder abgelehnte Vorgänge abschliessen.

Begründungspflichten, Zuständigkeiten und gegebenenfalls Dokumentbedingungen bleiben zusätzlich wirksam. Lassen Sie den Ablauf vor der Einführung mit positiven und negativen Testfällen prüfen: falsche Rolle, fehlende Angaben, Rückgabe zur Überarbeitung, erneute Einreichung und Abschluss.

9. Pendenzen, Termine und Vertretung

Pendenzen ergänzen den Vorgang um konkrete Arbeitsschritte. Nutzen Sie Aufgaben für nächste Aktion, verantwortliche Person und vereinbarten Termin. Vorgangsfristen und Aufgabenfristen sind fachlich getrennt.

Die Administration legt fest, wie häufig offene und überfällige Einträge kontrolliert werden. Automatische Eskalation an beliebige externe Stellen ist nicht aus einer roten Markierung abzuleiten. Für Urlaub, Ausfall und unbesetzte Teams eine klare Vertretung vereinbaren.

Prüfen Sie nach einer organisatorischen Übergabe, dass die neue Person den Vorgang wirklich sieht und die vorgesehenen Aktionen ausführen kann. Eine Aufgabe ist erst erledigt, wenn das Ergebnis dokumentiert wurde. Ein genehmigter Vorgang kann weiterhin Nacharbeiten benötigen, die getrennt sichtbar bleiben müssen.

10. Benachrichtigungsregeln und Vorlagen

Unter Automatisierung werden Statusmeldungen und Gebührenregeln gepflegt. Für Statusmeldungen Kanal, Aktivierung, Betreff und Textvorlage nach dem tatsächlichen Geschäftsprozess festlegen. Verwenden Sie nur die von der Eingabe angebotenen und serverseitig akzeptierten Platzhalter; freie Programmierung in Vorlagen ist nicht vorgesehen.

1. Regel für den gewünschten Zielstatus öffnen.
2. Empfängerzweck und Kanal bestimmen.
3. Eine sachliche Vorlage ohne unnötige Personendaten erstellen.
4. Mit synthetischen Kontakten und Vorgängen testen.
5. Gespeicherte Nachricht und Transportergebnis getrennt prüfen.

Automatische Statusmeldungen und manuelle Kommunikation haben unterschiedliche Freigabewege. Ein Statuswechsel kann korrekt gespeichert sein, während die Zustellung fehlgeschlagen ist. Diese Fehler müssen sichtbar bleiben und bearbeitet werden. Bei deaktivierter Regel keine Kundenbenachrichtigung versprechen.

11. SMTP, Exchange, Brief und Portal

Der sichere Standard ist Outbox. Dabei werden Übergabedateien erzeugt; es findet kein echter Versand an einen externen Mailserver statt. Live-Versand muss lokal bewusst konfiguriert und getestet werden. Die Oberfläche kann Regeln pflegen, ersetzt aber nicht die notwendigen Zugangsdaten oder Anbieterfreigaben.

Beispiel ohne echte Zugangsdaten:

MW_DELIVERY_MODE=outbox
MW_EMAIL_TRANSPORT=smtp
MW_SMTP_HOST=mail.example.invalid
MW_SMTP_PORT=587
MW_SMTP_FROM=service@example.invalid
MW_SMTP_USERNAME=service@example.invalid
MW_SMTP_STARTTLS=true
MW_SMTP_SSL=false

Das Passwort wird ausschliesslich geschützt in der lokalen Betriebsumgebung ergänzt. Für tatsächlichen Versand muss MW_DELIVERY_MODE=live bewusst gesetzt werden. Port und TLS-Verfahren müssen zum Anbieter passen. TLS-Zertifikatsprüfung nicht abschalten.

Exchange Online benötigt eine eigene Entra-Anwendung, Tenant-/Client-Konfiguration, geschütztes Secret und passende, möglichst eng begrenzte Mailberechtigung. Es ist keine automatische Anmeldung mit dem Windows-Konto implementiert. Die konkrete Tenantfreigabe muss durch die zuständige Microsoft-Administration erfolgen.

Briefe werden in der lokalen Brief-Outbox abgelegt. Druck, Kuvertierung und physische Übergabe sind ein eigener Prozess. Ein Portal benötigt einen eingerichteten HTTPS-Endpunkt und eine abgesicherte Authentisierung; die Gegenstelle muss Wiederholungen anhand der übergebenen Referenz korrekt behandeln.

12. Zustellfehler und manuelle Nachrichten

Manuelle Nachrichten durchlaufen Entwurf, Prüfung und Freigabe. Ersteller und freigebende Person müssen verschieden sein. Mit Solo und nur einem aktiven Administratorkonto ist dieser Zweipersonenablauf nicht allein erfüllbar; ein anderes Lizenzpaket oder ein ausserhalb dieser Funktion geregelter Versandweg ist erforderlich.

Nach Freigabe den Versuch und die Referenz prüfen. Eine SMTP-Annahme ist kein Lesebeleg. Die Outbox-Anzeige dokumentiert nur lokale Ablage. Eine manuelle Zustellbestätigung benötigt einen tatsächlichen Beleg und darf nicht allein zur Beseitigung einer Fehlermeldung gesetzt werden.

Bei einem Fehler:

1. Vorgang, Empfänger, Transport und Zeitpunkt bestimmen.
2. Prüfen, ob die Gegenstelle eventuell bereits angenommen hat.
3. Ursache beheben und denselben nachvollziehbaren Vorgang erneut zustellen, statt unkontrolliert doppelte Nachrichten zu erzeugen.
4. Referenz und Ergebnis dokumentieren.

Anbieterwartung, falsche TLS-Konfiguration, abgelaufene Secrets und ausgeschaltete Rechner können Zustellung verzögern. Den vereinbarten Kontroll- und Alarmprozess tatsächlich betreiben.

13. Kundenformulare erstellen, pflegen und veröffentlichen

Unter Kundenformulare zeigt die Bibliothek alle gespeicherten aktiven Vorlagen. Neues Formular anlegen erzeugt einen eigenen Eintrag; Bearbeiten ändert die ausgewählte Vorlage. Titel, Beschreibung, Vorgangsart und Felddefinitionen vor dem Speichern prüfen.

Die Feldtypen umfassen kurzen Text, E-Mail, langen Text, Auswahl und Checkbox. Pflichtfelder, Beschriftung und Feldschlüssel passend festlegen. Felder können verschoben werden; prüfen Sie die Reihenfolge anschliessend in der Vorschau. Ein reiner Formular-Editor-Screenshot ist keine Ende-zu-Ende-Prüfung.

• Veröffentlichen aktiviert die Vorlage im vorgesehenen Verfahren; die sichere externe Erreichbarkeit muss trotzdem eingerichtet sein.
• Zurückziehen beendet die Veröffentlichung der Vorlage.
• Löschen verschiebt die Vorlage in den Papierkorb und deaktiviert den Kundenlink.
• Eine gelöschte Vorlage kann wiederhergestellt werden. Frühere Anfragen sind nicht durch blosses Löschen der Vorlage als fachlich erledigt anzusehen.

Vor externer Freigabe einen neuen Eingang mit Referenz, Pflichtfeldern, zulässigen Dateiinhalten, Fehlerfall, Doppelübermittlung und Wiederanlauf prüfen. Interne Verwaltungszugänge nicht als Kundenformular ausgeben.

14. Externe Erreichbarkeit und Formularservice

Ein Link mit 127.0.0.1 oder localhost bezeichnet den Rechner der Person, die ihn öffnet. Er ist kein öffentlicher Kundenlink. Eine Freigabe im Formularstudio ersetzt weder Hosting noch HTTPS, Zugriffskontrolle oder Datenschutzinformation.

Für kleine Unternehmen ist ein klar getrennter, geschützter HTTPS-Formulareingang mit regelmässiger Eingangskontrolle möglich. Das führende Supportsystem und der manuelle Abgleich müssen festgelegt sein. Eine bestätigte Speicherung und eine stabile Referenz sind wichtiger als eine nur optisch erfolgreiche Bestätigungsseite.

Der separate Formularservice nutzt einen Anbieter-Vertrag für Vorlagen und Startlinks. Relevante Einstellungen sind MW_FORM_SERVICE_ENABLED, MW_FORM_SERVICE_BASE_URL, MW_FORM_SERVICE_ALLOWED_HOSTS, MW_FORM_SERVICE_TOKEN und Timeout. Hosts explizit freigeben; entfernte Dienste benötigen HTTPS.

Ein erfolgreicher Startlink bedeutet nicht automatisch, dass ausgefüllte Daten zurückimportiert wurden. Callback, Export, Identitätszuordnung und produktive Anbieterabnahme müssen separat geklärt sein.

15. Eingehende E-Mails und Duplikate

Der E-Mail-Eingang wird über eine ausdrücklich konfigurierte IMAP-Anbindung und Polling betrieben. Nutzen Sie ein geeignetes Servicepostfach mit beschränkten Rechten und geschütztem Passwort. Ein vorhandenes SMTP-Absenderkonto konfiguriert nicht automatisch den IMAP-Eingang.

Relevante Variablen beginnen mit MW_INBOUND_, unter anderem Aktivierung, IMAP-Host, Port, Benutzer, Passwort, maximale Nachrichtengrösse und Pollintervall. Die konkreten Werte mit der lokalen IT und dem Anbieter festlegen. Es werden keine fertigen Zugangsdaten mitgeliefert.

Nur einen führenden Importer für denselben Eingang aktivieren. Wenn bereits ein Supportsystem Anfragen übernimmt, zuerst Referenz- und Übergabevertrag klären. Nachricht erneut prüfen, bevor ein zweiter Vorgang angelegt wird. Offene oder ungeklärte Eingänge nicht löschen, nur weil eine Synchronisationsanzeige fehlt.

Testen Sie neue Anfrage, Wiederholung, Providerunterbrechung, erneute Verbindung und Zuständigkeitszuordnung. Dokumentieren Sie tatsächliche Tickets oder Vorgänge mit Referenzen. Ein manueller Vermerk ist keine automatische Bestätigung durch das Zielsystem.

16. Fachanwendungen und Buchhaltung anbinden

Unter Integrationen werden Profil, Adapter und Ziel gepflegt. Der Standardmodus erzeugt lokale Übergabedateien. Live-HTTP-Anbindungen benötigen eine separat erlaubte Gegenstelle, ein geprüftes Datenformat und geschützte Zugangsdaten. Ein aktivierter Schalter allein ist keine produktiv abgenommene Schnittstelle.

Die erste Buchhaltungsvariante arbeitet mit Datei-Export und administrativ hinterlegten Gebühren. Unter Automatisierung eine Gebührenregel für eine Vorgangsart einrichten: aktiv, Betrag, Kostenstelle. Der Betrag wird in CHF angezeigt und intern in kleinsten Währungseinheiten verarbeitet.

Bei Genehmigung kann die Regel eine Rechnung und Exportdatei erzeugen. Prüfen Sie Rechnungsnummer, Betrag und Kostenstelle sowie den Exportpfad. Bei Exportfehler kann die Administration den Export erneut versuchen.

Datei exportiert bedeutet weder bestätigte Buchung noch Zahlungseingang oder Kundenzustellung. Die Buchhaltungssoftware benötigt eine eigene Importprüfung. Testen Sie Mengen, Währung, Kostenstellen, doppelte Übergabe und Fehlerkorrektur mit dem tatsächlichen Buchhaltungssystem.

17. Lokale KI verantwortbar einrichten

Die KI-Hilfe ist standardmässig deaktiviert. Konfigurierbar sind MW_LOCAL_AI_ENABLED, MW_LOCAL_AI_ENDPOINT, MW_LOCAL_AI_MODEL und Timeout. Ein typischer lokaler Dienst kann unter 127.0.0.1:11434 laufen, muss aber separat installiert, mit einem passenden Modell versehen und geprüft werden.

„Lokal“ ist nur dann zutreffend, wenn der tatsächlich konfigurierte Dienst lokal verarbeitet. Ein eigener externer Endpunkt übermittelt Daten ausserhalb des Rechners. Prüfen Sie deshalb Endpoint, Modell, Protokollierung und Datenumfang, bevor echte Kundendaten verwendet werden.

Zulässige Hilfe umfasst Zusammenfassung, Hinweise, Statusinterpretation und unverbindliche Textentwürfe. Eine berechtigte Person prüft das Ergebnis. Verbindliche Genehmigung, Ablehnung, Buchung, Zahlung oder Nachrichtenfreigabe werden nicht an die KI delegiert.

Testen Sie fehlenden Dienst, Timeout, unpassende Antwort und lokale Fallbackanzeige. Ein sichtbarer KI-Bereich ist kein Nachweis eines eingerichteten Modells.

18. Sicherung einrichten und kontrollieren

Sichern Sie den tatsächlichen App-Datenbestand, nicht nur die EXE oder Website-Verkaufsdaten. Empfohlen ist eine regelmässige lokale Kopie plus eine getrennte Kopie auf NAS, BeeStation oder ein anderes geeignetes Medium. Turnus, Aufbewahrung und Wiederherstellungszeit richten sich nach Ihrem Risiko und Arbeitsvolumen.

1. Datenbank konsistent per SQLite-Backup sichern oder die Anwendung vorher vollständig beenden.
2. Dokumente, Konfiguration, Sitzungsschlüssel und benötigte Outbox-Dateien in denselben nachvollziehbaren Sicherungsstand aufnehmen.
3. Archiv verschlüsseln und Schlüssel getrennt geschützt verwahren.
4. Zweites Ziel beschreiben, zurücklesen und Hash beziehungsweise Authentisierung prüfen.
5. Wiederherstellung in einer isolierten Umgebung testen: Datenbankintegrität, Dokumente, Benutzer, Lizenz und Berechtigungen kontrollieren.
6. Zeit, Ziele, Prüfergebnis und nächste Kontrolle dokumentieren.

Ein laufender Browser allein sagt nichts über den Zustand des Datenbankprozesses aus. Die aktive SQLite-Datei mit offenen WAL-Dateien nicht ungeprüft auf ein NAS kopieren. Eine Netzfreigabe ist Sicherungsziel, nicht automatisch ein geeigneter Ort für die aktive Datenbank.

19. BeeStation, Windows-Aufgaben und Wiederherstellung

Für ein SMB-Ziel muss die Freigabe im Windows-Benutzerkontext des Sicherungsjobs erreichbar sein. Ein sichtbares BeeStation-Browserportal beweist keine aktive SMB-Anmeldung. Beispielpfade wie \\NAS\Freigabe\Workflow-Backups sind durch Ihren tatsächlichen privaten Pfad zu ersetzen.

Ein Windows-Aufgabenjob benötigt den richtigen Benutzer, geprüften Startbefehl, festen Arbeitsordner, begrenzte Laufzeit und Schutz vor parallelen Instanzen. Verpasste Läufe und Akkubetrieb bewusst einstellen. Ein mit interaktiver Anmeldung konfigurierter Job läuft nicht ohne angemeldete Person; ein ausgeschalteter Laptop führt keine Sicherungen aus.

Für einen Restore zuerst den Betrieb stoppen und den aktuellen Stand zusätzlich sichern. Das Archiv zunächst isoliert entschlüsseln, Integrität und Vollständigkeit prüfen und nur in einen geplanten Zielpfad wiederherstellen. Anschliessend korrekte Konfiguration, Anmeldung, Lizenz, Dokumentzugriff und einen synthetischen Vorgang testen. Erst dann den Arbeitsbetrieb freigeben.

Eine Rücksicherung alter Konfiguration kann alte Empfänger, Secrets oder Nutzerzustände zurückbringen. Dies ausdrücklich prüfen. Die App besitzt in dieser Ausgabe keinen zugesicherten grafischen Ein-Klick-Komplettrestore. Betreiberjobs einer einzelnen ALKENS-Installation sind nicht automatisch Bestandteil jeder Kundenauslieferung.

20. Updates und Rückweg

Vor einem Update Version, Datenspeicher, Benutzerkontext, Signatur-/Hashnachweis und Wiederherstellung klären. Programmdatei und Nutzerdaten getrennt behandeln. Ein Update darf nicht durch Ersetzen des Kunden-Datenordners mit einem Testbestand erfolgen.

1. Aktuellen Datenstand konsistent sichern und Wiederherstellungsweg prüfen.
2. Neue EXE und zugehörige Releaseinformationen kontrollieren.
3. Bestehende Instanz geplant beenden; Browserfenster zu schliessen genügt nicht.
4. Neue Ausgabe mit dem bisherigen freigegebenen Datenpfad starten.
5. Richtige Version, vorhandenes lokales Konto, Lizenzstatus und Dokumentation prüfen.
6. Einen synthetischen Lese-/Bearbeitungstest sowie Integrationen und Sicherungsjob kontrollieren.

Bei Fehlern nicht automatisch neue Konten oder doppelte Vorgänge erzeugen. Ein Rollback kann neben der alten EXE auch eine passende Datenbanksicherung erfordern. Datenbankschema und Exportstände vor einem Rückwechsel vergleichen. Alte und neue Version nicht gleichzeitig unkoordiniert auf denselben Datenbestand schreiben lassen.

21. Netzwerk, Ports und lokale Betriebsgrenzen

Standard ist lokale Bindung an 127.0.0.1, typischer Port 8785. Mit einer localhost-Adresse einer anderen Person wird nicht Ihre Installation geöffnet. Ein gemeinsamer Teamzugang benötigt einen bewusst eingerichteten Serverbetrieb und passende Sicherheitsmassnahmen.

MW_HOST, MW_PORT und die erlaubten Origins sind technische Einstellungen, keine generelle Freigabe zur Internetveröffentlichung. Zugriffe von anderen Rechnern erfordern geprüfte Authentisierung, TLS beziehungsweise geeignete geschützte Netzverbindung, Firewallregeln und Betriebskonzept. Die EXE bringt keinen zugesicherten öffentlich sicheren Reverse-Proxy mit.

Bei mehreren Installationen Port und Datenpfad eindeutig dokumentieren. Vor einem Eingriff den lauschenden Prozess zuordnen. Eine ältere App nicht versehentlich für die neue halten. Passwörter nicht wegen einer falschen Browseradresse zurücksetzen.

Für den professionellen HTTPS-Serverbetrieb sind zusätzliche Produktionsprüfungen einschliesslich sicherer Cookies und eigenem Sitzungsschlüssel erforderlich. Solche Einstellungen nicht blind für eine reine HTTP-Loopback-Installation übernehmen; sonst können Anmeldecookies unbrauchbar werden.

22. Audit, Datenschutz und Aufbewahrung

Änderungsprotokoll zeigt berechtigten Administratoren sicherheitsrelevante Änderungen und die Integritätsprüfung. Ein JSON-Export ist ein Nachweis, keine Wiederherstellung des gesamten Arbeitsbestands. Die Integritätsprüfung ist keine pauschale Zusicherung einer revisionssicheren externen Archivierung.

Legen Sie für Ihr Unternehmen fest, welche Vorgänge, Dokumente, Nachrichten, Exporte und Sicherungen wie lange benötigt werden. Gesetzliche Aufbewahrung, vertragliche Nachweise und kurze technische Logfristen sind nicht dasselbe. Die App entfernt nicht automatisch sämtliche Daten nach einer allgemeinen Unternehmensfrist.

Prüfen Sie vor Löschung offene Anliegen, Buchhaltungsbelege und laufende Streitfälle. Externe Kommentarsichtbarkeit, Dokumentzugriffe, Rollen und tatsächliche Dienstempfänger berücksichtigen. Ein lokaler Speicherort allein macht die gesamte Verarbeitung nicht automatisch datenschutzkonform.

Benutzerhandbücher und Website-Dokumentation enthalten keine individuellen Kundendaten. Bewahren Sie eigene Zugangsdaten und Wiederherstellungsschlüssel getrennt auf; niemals in Formularvorlagen, Supporttexten oder frei zugänglichen Markdown-Dateien speichern.

23. Abnahmetest vor der Einführung

Für jeden tatsächlich eingerichteten Betrieb einmal vollständig prüfen:

1. Sauberer Erststart, Kontoeinrichtung und normale Anmeldung nach Neustart.
2. Passende Lizenz und Nutzergrenze einschliesslich Administration.
3. Berechtigung je eingesetzter Rolle, auch bewusst abgewiesene Aktionen.
4. Vorgangserfassung, Zuständigkeit, Pendenz, Überarbeitung und Freigabe.
5. Interner/externer Kommentar, Dokumentupload und Freigabestatus.
6. Testnachricht über den vorgesehenen Kanal: Annahme, tatsächlicher Empfang und nachvollziehbarer Fehlerfall.
7. Formular- oder E-Mail-Eingang, Wiederholung ohne unbeabsichtigten Doppelvorgang und tatsächliche Übernahme.
8. Rechnungsregel und Dateiimport in der konkreten Buchhaltung, sofern eingesetzt.
9. Sicherung beider Ziele, unabhängiger Restore und Wiederanlauf.
10. Fachliche und technische Freigabe mit Version, Datum, Prüfergebnissen und Rückweg dokumentieren.

Ein bestandener Kauf- und Lizenztest belegt nicht automatisch alle kundenspezifischen Mail-, Formular-, Netzwerk- oder Buchhaltungsanbindungen. Prüfen Sie die konkret verwendeten Funktionen mit Ihrer Umgebung.

24. Störungsbehebung und Supportübergabe

Support erhält Version, Betriebssystem, Zeitpunkt, bereinigten Fehlertext und benötigte Referenzen. Keine Passwörter, privaten Schlüssel, vollständigen Lizenz-/Downloadtokens oder unnötigen Kundendaten senden. Bei unklarem Zahlungseingang nicht erneut bezahlen; bei unklarer Zustellung nicht blind mehrfach senden.

Abgeschlossen ist eine Störung erst nach Prüfung des tatsächlichen Ergebnisses und einer aktualisierten Dokumentation. Allgemeiner Supportkontakt: ALKENS Support.