Überblick
Rollenbasierte Zugriffskontrolle (RBAC) ermöglicht es Personen mit der Workspace-Rolle „Inhaber“, den Zugriff auf Funktionen über wiederverwendbare benutzerdefinierte Rollen zu konfigurieren. Ein Mitglied kann Rollen direkt und über Gruppenmitgliedschaften erhalten und mehrere Rollen haben.
Benutzerdefinierte Rollen steuern die Berechtigungen für Funktionen. Integrierte Workspace-Rollen wie „Mitglied“, „Admin“ und „Inhaber“ bestimmen, was eine Person verwalten kann. Informationen zu integrierten Rollen und Lizenzplatztypen findest du im Artikel Mitglieder, Workspace-Rollen und Lizenzplätze verwalten.
Verfügbarkeit
RBAC ist für ChatGPT Enterprise, Edu, Healthcare und Teachers in allen unterstützten Ländern verfügbar. Konfiguriere RBAC im Web in ChatGPT unter Workspace-Einstellungen > Berechtigungen & Rollen oder über die unterstützten Rollen- und Berechtigungseinstellungen in der Admin-Konsole.
Bevor du beginnst
Personen mit der Workspace-Rolle „Inhaber“ können benutzerdefinierte Rollen erstellen, löschen und zuweisen, Zuweisungen aufheben und Workspace-weite Standardeinstellungen für Berechtigungen verwalten.
Workspace-Admins können bestehende Rollen gegebenenfalls über unterstützte Verwaltungsoberflächen einsehen oder aktualisieren. Sie können keine benutzerdefinierten Rollen erstellen, löschen oder zuweisen und keine Zuweisungen aufheben.
Mitglieder und Personen mit Leserechten für Analysen können keine Workspace-weiten RBAC-Einstellungen verwalten.
In ChatGPT Enterprise können Berechtigungen an Gruppenverantwortliche delegiert werden. Nur Personen mit der Workspace-Rolle „Inhaber“ können Berechtigungen zugewiesener Rollen bearbeiten für Gruppenverantwortliche aktivieren oder deaktivieren.
Wer globale Admin-Rechte für einen Mandanten hat, erhält nicht automatisch eine Rolle in einem ChatGPT-Workspace. Benutzerdefinierte Rollen gewähren keinen Zugriff auf Admin-Schlüssel. Nur Personen mit der Workspace-Rolle „Inhaber“ oder „Admin“ können Admin-Schlüssel für den Workspace erstellen. Für sensible Compliance-Berechtigungen ist die Rolle „Inhaber“ erforderlich. Weitere Informationen findest du im Artikel Admin-Schlüssel in der Admin-Konsole verwalten.
Workspace-Standardeinstellungen und benutzerdefinierte Rollen verstehen
Die Workspace-Einstellungen bilden die Grundlage für Berechtigungen, die diese Funktion unterstützen. Eine reguläre benutzerdefinierte Rolle kann diese Zustände verwenden:
| Zustand | Auswirkung |
|---|---|
| Standard | Übernimmt die Workspace-Einstellung. |
| Ein | Gewährt die Berechtigung über diese Rolle. |
| Aus | Verweigert die Berechtigung über diese Rolle. Eine andere zugewiesene Rolle kann sie weiterhin gewähren. |
Berechtigungen aus regulären Rollen ergänzen sich. Wenn eine zugewiesene Rolle den Zugriff gewährt, behält das Mitglied den Zugriff. Dabei spielt es keine Rolle, ob die Rolle ihn ausdrücklich gewährt oder eine aktivierte Workspace-Einstellung übernimmt. Das gilt für direkt und über Gruppen zugewiesene Rollen.
Wenn alle geltenden regulären Rollen auf Aus gesetzt sind, wird der Zugriff über die reguläre RBAC verweigert. Wenn alle geltenden Rollen Standard verwenden, gilt die Workspace-Einstellung. Einige Berechtigungen, darunter bestimmte Einstellungen für Work und Plugins, bieten nur Ein und Aus.
Lizenzplatztyp, Plan und Berechtigung zur Produktnutzung bleiben weiterhin maßgeblich. Der Lockdown-Modus wird separat geprüft und kann eine Funktion einschränken, selbst wenn eine reguläre Rolle sie erlaubt.
Standardeinstellungen für Workspace-Berechtigungen festlegen
Öffne deinen ChatGPT-Workspace.
Gehe zu Workspace-Einstellungen > Berechtigungen & Rollen.
Öffne den Tab Workspace.
Prüfe die verfügbaren Berechtigungen und konfiguriere die Grundeinstellungen des Workspaces.
Die verfügbaren Optionen sind unter Berechtigungen & Rollen aufgeführt. Eine Workspace-Standardeinstellung gilt für eine unterstützte Berechtigung einer benutzerdefinierten Rolle, wenn die Rolle dafür Standard verwendet.
Du kannst den Zugriff für jede App einzeln steuern. Die Benutzeroberfläche einer App lässt sich nicht separat deaktivieren.
Benutzerdefinierte Rolle erstellen oder bearbeiten
Personen mit der Workspace-Rolle „Inhaber“ können benutzerdefinierte Rollen erstellen.
Gehe zu Workspace-Einstellungen > Berechtigungen & Rollen.
Öffne Benutzerdefinierte Rollen.
Wähle Rolle erstellen aus.
Gib einen Namen und eine Beschreibung ein und wähle dann Speichern aus.
Wähle auf der Berechtigungsseite der Rolle für jede unterstützte Berechtigung Standard, Ein oder Aus aus. Wähle bei Berechtigungen mit zwei Zuständen Ein oder Aus aus.
Um eine bestehende Rolle zu bearbeiten, öffne sie unter Benutzerdefinierte Rollen und aktualisiere die zur Bearbeitung freigegebenen Einstellungen. Die Verwaltungsberechtigungen hängen wie oben beschrieben von deiner Workspace-Rolle und der unterstützten Oberfläche ab.
Änderungen an einer benutzerdefinierten Rolle wirken sich auf jede Gruppe aus, der diese Rolle zugewiesen ist. Verwende separate Rollen, wenn Gruppen unabhängige Berechtigungseinstellungen benötigen.
Benutzerdefinierte Rolle zuweisen
Personen mit der Workspace-Rolle „Inhaber“ können Rollen direkt einzelnen Mitgliedern zuweisen, sofern verfügbar, oder Gruppen, die manuell erstellt oder über SCIM synchronisiert wurden. Für die Zugriffsverwaltung in größerem Umfang werden Gruppen empfohlen. Informationen zur Einrichtung von Gruppen findest du im Artikel Gruppen und Gruppenverantwortliche verwalten.
Gruppen eine Rolle zuweisen
Gehe zu Workspace-Einstellungen > Berechtigungen & Rollen.
Öffne Benutzerdefinierte Rollen und wähle die Rolle aus.
Öffne Rollenzuweisungen.
Wähle + Hinzufügen aus.
Wähle eine oder mehrere Gruppen aus.
Wähle Fertig aus.
Mitglieder erhalten Berechtigungen aus allen für sie geltenden Rollenzuweisungen, ob direkt oder über Gruppen. Es kann bis zu 5 Minuten dauern, bis Änderungen wirksam werden.
Einem Mitglied direkt eine Rolle zuweisen
Wenn direkte Zuweisungen verfügbar sind, öffne das Profil des Mitglieds, gehe zu Direkte Rollen und wähle Direkte Rolle zuweisen aus. Wähle die benutzerdefinierte Rolle aus, die du zuweisen möchtest. Eine direkt zugewiesene Rolle wird mit den Rollen kombiniert, die das Mitglied über Gruppen erhält.
Bearbeitung zugewiesener Rollen delegieren
In ChatGPT Enterprise können Personen mit der Workspace-Rolle „Inhaber“ Gruppenverantwortlichen erlauben, freigegebene Einstellungen benutzerdefinierter Rollen zu bearbeiten, die ihrer Gruppe zugewiesen sind. Gruppenverantwortliche können keine Rollen erstellen, löschen oder zuweisen und keine Zuweisungen aufheben. Wird eine Rolle bearbeitet, die mehrere Gruppen gemeinsam nutzen, wirkt sich das auf alle diese Gruppen aus.
Informationen zum Zuweisen und Entfernen von Gruppenverantwortlichen sowie zu delegierten Berechtigungseinstellungen findest du im Artikel Gruppen und Gruppenverantwortliche verwalten.
Modellzugriff und Sicherheitsausnahmen konfigurieren
Modellzugriff
Personen mit der Rolle „Inhaber“ können den Zugriff auf verfügbare Modelle über Workspace-Einstellungen oder benutzerdefinierte Rollen steuern. Eine Rolle kann ein Modell nicht verfügbar machen, wenn der Workspace nicht zu dessen Nutzung berechtigt ist. Die Auswahl eines Start- oder Standardmodells gewährt keinen Zugriff.
In berechtigten Enterprise- und Edu-Workspaces ist GPT-6 Astra bei der Einführung standardmäßig deaktiviert. Konfiguriere den Zugriff auf Astra separat. Bisherige Einstellungen für den frühzeitigen Modellzugriff werden nicht übernommen. Prüfe alle zugewiesenen Rollen: Eine Rolle, die Zugriff erlaubt, kann ihn aufrechterhalten, selbst wenn eine andere Rolle auf Aus gesetzt ist.
Bei ihrer Einführung in Work und Codex waren GPT-6 Sol und GPT-6 Luna in Enterprise- und Edu-Workspaces standardmäßig deaktiviert. Admins müssen noch deaktivierte Modelle aktivieren, bevor Mitglieder sie nutzen können. Bereits aktivierte Modelle müssen für diese Einführung in Chat nicht erneut aktiviert werden. Die Modellauswahl und der Schieberegler zeigen nur Optionen an, die dem Mitglied zur Verfügung stehen.
Verwende für GPT-6 in Chat mit Enterprise die bestehende Berechtigung für GPT-6 Sol, um den Zugriff auf die Stufen von Instant bis Sehr hoch zu steuern. Workspaces, in denen Sol aktiviert ist, können während der Einführung Zugriff erhalten. Mit dieser Veröffentlichung in Chat beginnt keine neue Vorschauphase für Admins.
Der Zugriff hängt von bestehenden Admin-Einstellungen und allen zugewiesenen Rollen ab. Berechtigungen regulärer Rollen ergänzen sich wie oben beschrieben: Eine Rolle kann Zugriff erlauben, selbst wenn eine andere ihn deaktiviert. Mitglieder müssen weiterhin die Voraussetzungen hinsichtlich Plan, Lizenzplatz und Produktnutzung erfüllen. Pro verwendet die separate Berechtigung für GPT-6 Astra.
Wenn ein Mitglied eines dieser Modelle in Work oder Codex nicht findet, prüfe, ob der Workspace zur Nutzung des Modells berechtigt ist, und überprüfe den tatsächlichen Modellzugriff des Mitglieds.
Admins können die Admin-Konsole öffnen, den ChatGPT-Workspace auswählen, dann Modelle öffnen und Testen auswählen. So können sie den Zugriff des Mitglieds und die dafür maßgeblichen Einstellungen prüfen. Der Test aktiviert kein Modell und ändert keine Berechtigungen.
Informationen zur Modellverfügbarkeit, zu Client-Anforderungen und die vollständige Anleitung findest du im Artikel Modelle und Limits in ChatGPT Enterprise und Edu.
Lockdown-Modus
In Workspaces, die Rollen mit Lockdown-Modus unterstützen, lässt sich eine benutzerdefinierte Rolle für Mitglieder erstellen, die diesen Modus benötigen. Der Lockdown-Modus ist eine Sicherheitskonfiguration auf Rollenebene, kein einzelner Berechtigungsschalter.
Eine Rolle mit Lockdown-Modus kann je nach Workspace-Einstellungen Funktionen mit Netzwerkzugriff einschränken. Dazu gehören die Live-Websuche, Deep Research, der Agentenmodus, der Netzwerkzugriff in Canvas und bestimmte App- oder MCP-Funktionen. Diese Einschränkungen können auch dann gelten, wenn eine reguläre Rolle die Funktion erlaubt.
Prüfe vor der Zuweisung einer Rolle mit Lockdown-Modus, welche Apps und Aktionen sie erlaubt. Mitglieder müssen außerdem in jedem verbundenen Quellsystem über die erforderlichen Berechtigungen verfügen. Der Zugriff auf Apps in ChatGPT setzt diese Berechtigungen nicht außer Kraft.
Weitere Informationen findest du im Artikel Lockdown-Modus.
Plugin-Zugriff für eine Rolle verwalten
In Enterprise- und Edu-Workspaces lässt sich der Zugriff auf ein einzelnes Plugin für eine benutzerdefinierte Rolle konfigurieren oder aus der Workspace-Standardeinstellung übernehmen. Diese Einstellungen pro Plugin sind unabhängig von der Workspace-weiten Berechtigung Plugins verwenden und anderen Plugin-Berechtigungen, für die nur Ein und Aus verfügbar sind.
Gehe zur Admin-Konsole, wähle den gewünschten ChatGPT-Workspace aus und öffne Plugins.
Wähle das Plugin aus und prüfe die Rolle, die du ändern möchtest.
Wähle aus, ob die Rolle eine eigene Einstellung für den Plugin-Zugriff erhält oder die Workspace-Standardeinstellung übernimmt.
Prüfe die aktuellen und vorgeschlagenen Zugriffsrechte für erforderliche Apps und gemeinsam genutzte Abhängigkeiten. Bestätige nur die Plugin- und App-Änderungen, die du vornehmen möchtest.
Prüfe die Ergebnisse und behebe Fehler bei fehlgeschlagenen Änderungen.
Berücksichtige bei der Zugriffsprüfung alle Rollen, die einem Mitglied direkt und über Gruppen zugewiesen sind. Der Plugin-Zugriff setzt die unabhängigen Einstellungen der enthaltenen Apps für Zugriff, Aktionen, Genehmigungen oder Anbieterautorisierung nicht außer Kraft.
Ein eingeschränktes Plugin kann im Verzeichnis mit dem Hinweis Durch Admin deaktiviert sichtbar bleiben. Informationen zur Plugin-Verwaltung und zu Konflikten mit erforderlichen Apps findest du im Artikel Admin-Einstellungen, Sicherheit und Compliance für Plugins und Apps.
Tatsächliche Zugriffsrechte eines Mitglieds prüfen
Prüfe den Lizenzplatztyp des Mitglieds, die Berechtigung im jeweiligen Plan, die Workspace-Standardeinstellungen und alle direkten sowie gruppenbasierten Rollenzuweisungen. Warte nach RBAC-Änderungen bis zu 5 Minuten, bis sie wirksam werden.
Die folgenden Beispiele verwenden reguläre Rollen, sofern nicht anders angegeben:
| Konfiguration | Ergebnis |
|---|---|
| Die Websuche im Workspace steht auf „Ein“; die einzige reguläre Rolle des Mitglieds verwendet „Standard“. | Die Websuche ist über diese Rolle erlaubt. |
| Eine reguläre Rolle setzt die Websuche auf „Aus“, eine andere auf „Ein“. | Die Websuche ist erlaubt, weil eine Rolle den Zugriff gewährt. |
| Alle geltenden regulären Rollen setzen die Websuche auf „Aus“. | Die reguläre RBAC gewährt keinen Zugriff, selbst wenn die Workspace-Grundeinstellung „Ein“ ist. |
| Eine reguläre Rolle erlaubt eine Funktion mit Netzwerkzugriff; eine Rolle mit Lockdown-Modus schränkt sie ein. | Die Einschränkung des Lockdown-Modus gilt. |
Um den Modellzugriff zu prüfen, können Admins mit Business, Enterprise, Healthcare und Edu im Bereich Modelle der Admin-Konsole die Funktion Testen verwenden. Sie zeigt den tatsächlichen Modellzugriff und die dafür maßgeblichen Einstellungen an. Sie gewährt keinen Zugriff und ändert keine Berechtigungen. Die Anleitung findest du im Artikel Modelle und Limits in ChatGPT Enterprise und Edu.
Häufig gestellte Fragen
Verliert ein Mitglied den Zugriff, wenn eine Berechtigung in einer Rolle auf „Aus“ gesetzt wird?
Nicht, wenn eine andere geltende reguläre Rolle die Berechtigung gewährt. Prüfe sowohl direkte Zuweisungen als auch Rollen, die über Gruppen zugewiesen werden. Der Lockdown-Modus und die Berechtigung zur Produktnutzung werden separat geprüft.
Kann RBAC den Lizenzplatztyp eines Mitglieds außer Kraft setzen?
Nein. RBAC steuert Funktionen innerhalb des Zugriffsrahmens, den der Lizenzplatztyp und der Workspace-Plan erlauben. Ein reiner Codex-Lizenzplatz erhält durch eine benutzerdefinierte Rolle keinen Zugriff auf ChatGPT.
Was ist, wenn eine Berechtigung nur „Ein“ und „Aus“ bietet?
Lege für den Workspace und die relevanten Rollen ausdrücklich Ein oder Aus fest. Standard ist nur für Berechtigungen verfügbar, die diese Option unterstützen.