Self-Service-Portal

Das Self-Service-Portal entlastet die Admin-Pflege: Mitarbeiter ändern selbst, was sie selbst am besten wissen — Foto, Mobilnummer, LinkedIn-/XING-Profil, Kalender-Link.

Name, Position, Firma, Bereich und Büro-Telefon bleiben Admin- Hoheit — diese Felder werden zentral gepflegt.

So funktioniert’s

MA ruft team.<deine-domain>.de/portal auf
Gibt seine dienstliche E-Mail ein ([email protected])
Server schickt eine Mail mit einem Login-Link
MA klickt den Link → landet auf einer Bestätigungsseite („Hallo Erika Mustermann — jetzt anmelden?”)
Klick auf „Jetzt anmelden” → eingeloggt, kann nur das eigene Profil bearbeiten
Speichern → Karte ist aktualisiert

Sicherheits-Eigenschaften

Magic-Link gültig 30 Min, einmalig konsumierbar
Pre-Fetch-sicher: die Bestätigungsseite verbraucht den Token noch nicht. Outlook 365 Safelinks und ähnliche Pre-Fetcher rufen Links automatisch auf — das war früher ein klassisches Magic-Link- Problem. Hier konsumiert erst der Klick auf den Bestätigungs- Button den Token
Eigenes Cookie (portal_session), getrennt vom Admin-Login. 8 Stunden gültig
Audit-Log: jede Self-Service-Änderung landet im GoBD-Audit-Log mit action: self_service_update

SMTP-Konfiguration

Damit das Portal Mails versenden kann, brauchst du SMTP-Zugangsdaten. Siehe SMTP-Konfiguration für Details (M365, Brevo, eigener Postfix).

Solange SMTP_HOST nicht gesetzt ist, schreibt das Portal Magic-Links nur in die Server-Logs — praktisch für Dev/Test.

Stolperfallen

MA hat keine dienstliche E-Mail in TeamVis hinterlegt: Login wird abgelehnt (generisch, ohne zu verraten, ob die Adresse existiert). Admin muss zuerst die E-Mail in der Karte eintragen.
MA-Karte ist inactive: kein Login möglich. Erst aktivieren.
Mehrere Karten pro Person: aktuell loggt sich der MA über die E-Mail einer bestimmten Karte ein. Pflegen kann er nur diese eine Karte. Cross-Karten-Editor ist auf der Roadmap.