Verschlüsselung

Mit der Ende-zu-Ende-Verschlüsselung ver- und entschlüsselt der Browser die Teilnehmerdaten eines Mandanten; der Server speichert sie nur verschlüsselt.

Ort: Einstellungen > Datenschutz > Verschlüsselung. Sichtbar für: Super-Admins, nur in Installationen mit Mandanten. Warum fepli so verschlüsselt, erklärt Wie fepli Teilnehmerdaten Ende-zu-Ende verschlüsselt.

Seite Verschlüsselung

Die Seite heißt Verschlüsselung des Mandanten. Darunter steht „Verschlüsselt Namen und Geburtsdaten der Kinder, Gesundheitsangaben und sensible Angaben von {Mandant} im Browser. Den Wiederherstellungsschlüssel verwahrt der Mandant; fepli kann ihn nicht zurücksetzen.“

beispiel.fepli.eu/admin/einstellungen/datenschutz/verschluesselung

☀️

Einstellungen/Datenschutz/VerschlüsselungNeu⌘ ↵

Einstellungen

AllgemeinAnmeldungAngeboteZahlungenDatenschutzIntegrationenApp-Store

LöschfristenAufbewahrungDatenschutzerklärungVerschlüsselung

Verschlüsselung des Mandanten

Verschlüsselt Namen und Geburtsdaten der Kinder, Gesundheitsangaben und sensible Angaben von Ferienpass Elmsbrück im Browser. Den Wiederherstellungsschlüssel verwahrt der Mandant; fepli kann ihn nicht zurücksetzen.

VerschlüsseltAktivSeit 01.03.2027 · Namen, Geburtsdaten, Gesundheitsangaben

Fingerabdruck4F2A 9C1E 77B0 D3A5 0E6C 18F9(aus dem Schlüssel, den dieses Konto kennt)Notfall-KitErstellt am 01.03.2027 von Robin Beispiel

Neues Notfall-Kit erstellen …Erzeugt einen neuen Wiederherstellungsschlüssel. Das bisherige Kit wird ungültig.

Mit Notfall-Kit wiederherstellen …Wenn im Team niemand mehr entsperren kann.

Element	Bedeutung	Auswirkung
Status	Ob der Mandant verschlüsselt, mit Kennzeichen und Satz darunter	Siehe Status. Bei Aus steht hier Aktivieren …, bei Läuft nach einem Abbruch Fortsetzen.
Fingerabdruck	Kennung des Team-Signaturschlüssels in 6 Blöcken, z. B. `4F2A 9C1E 77B0 D3A5 0E6C 18F9`	Erst ab Läuft sichtbar. Dahinter steht zuerst „(Angabe des Servers, zum Prüfen entsperren)“. Nach dem Entsperren zeigt die Seite den Fingerabdruck des Schlüssels, den Ihr Konto kennt, mit „(aus dem Schlüssel, den dieses Konto kennt)“. Diesen Fingerabdruck druckt ein neues Notfall-Kit.
Notfall-Kit	„Erstellt am {Datum} von {Name}“	Erst ab Läuft sichtbar.
Neues Notfall-Kit erstellen …	„Erzeugt einen neuen Wiederherstellungsschlüssel. Das bisherige Kit wird ungültig.“	Öffnet den Dialog mit dem Titel Neues Notfall-Kit erstellen. Nur bei Aktiv.
Mit Notfall-Kit wiederherstellen …	„Wenn im Team niemand mehr entsperren kann.“	Öffnet die Wiederherstellung. Nur bei Aktiv und solange das Kit nicht verwendet wurde.

Status

Status	Kennzeichen	Satz	Bedeutung
Nicht verschlüsselt	Aus	„Personenbezogene Daten stehen im Klartext in der Datenbank.“	Darunter stehen unter So läuft es ab die 4 Schritte der Aktivierung und der Hinweis „Hat kein Admin mehr Zugang und ist das Notfall-Kit verloren, sind die Daten nicht wiederherstellbar.“
Wird verschlüsselt	Läuft, während der Browser arbeitet der Fortschritt in Prozent	„Läuft in diesem Fenster. Bitte offen lassen; in einem anderen Tab können Sie weiterarbeiten.“	Der Browser verschlüsselt die gespeicherten Daten in Paketen, mit Fortschrittsbalken. Wurde das Fenster geschlossen, setzt Fortsetzen fort; ist der Browser nicht entsperrt, öffnet es erst den Zugangsdialog. Der Status erscheint auch, wenn ein eingeschalteter Mandant noch unverschlüsselte Datensätze hat.
Verschlüsselt	Aktiv	„Seit {Datum} · Namen, Geburtsdaten, Gesundheitsangaben“	Alles Gespeicherte ist verschlüsselt. Ausschalten lässt sich die Verschlüsselung auf der Seite nicht.

Wurde mit dem Notfall-Kit ein Zugang wiederhergestellt, steht bei Aktiv „Das Notfall-Kit wurde am {Datum} von {Name} verwendet und öffnet nichts mehr. Erstellen Sie jetzt ein neues und vernichten Sie das alte.“ Neues Notfall-Kit erstellen … ist dann hervorgehoben, und Mit Notfall-Kit wiederherstellen … fehlt.

Ab Läuft listet Integrationen mit Zugriff auf Teilnehmende jeden aktiven Service-Account mit der Rolle Teilnehmer:innen, mit dem Kennzeichen seines Schlüssels: Nur Pseudonyme, Wartet oder Aktiv. Der Name führt zur Seite des Service-Accounts (Einstellungen: Verschlüsselung eines Service-Accounts).

Dialog

Aktivieren … und Neues Notfall-Kit erstellen … öffnen denselben Dialog mit zwei Schritten, „Schritt 1 von 2“ und „Schritt 2 von 2“.

Element	Bedeutung	Werte	Auswirkung
Titel	Verschlüsselung aktivieren oder Neues Notfall-Kit erstellen, im zweiten Schritt Notfall-Kit speichern	–	–
Integrationen	Beim Aktivieren die aktiven Service-Accounts mit der Rolle Teilnehmer:innen	–	„Diese Integration liest die Teilnehmenden. Danach sieht sie nur noch Pseudonyme, bis sie einen eigenen Schlüssel hat:“ (bei mehreren „Diese Integrationen …“), darunter ihre Namen
Person	Name und „Super-Admin“	–	–
Bestätigen	Beim Aktivieren	–	Der Browser erzeugt die Schlüssel und den Wiederherstellungsschlüssel und ist danach verbunden.
Weiter	Beim neuen Kit	–	Der Browser erzeugt den Wiederherstellungsschlüssel. Ist er nicht entsperrt, schließt sich der Dialog, und der Zugangsdialog öffnet sich mit Entsperren.
Notfall-Kit herunterladen (PDF)	Öffnet das Notfall-Kit in einem neuen Fenster und den Druckdialog	–	„A4, eine Seite. Im Druckdialog „Als PDF speichern“ wählen – oder direkt ausdrucken.“ Danach heißt die Schaltfläche Erneut herunterladen. Der Schlüssel wird nur in diesem Dialog erzeugt und nirgends sonst angezeigt.
Zeichen	„Zur Bestätigung: Geben Sie die Zeichen {Positionen} des Wiederherstellungsschlüssels ein (ohne „R1-“ und Bindestriche).“	4 Felder für je 1 Zeichen	Erst nach dem Herunterladen sichtbar. Der Dialog wählt die 4 Stellen zufällig.
Verschlüsselung starten oder Neues Kit aktivieren	Abschluss	–	Erst wählbar, wenn die 4 Zeichen stimmen. Verschlüsselung starten schaltet die Verschlüsselung ein und beginnt das Verschlüsseln. Neues Kit aktivieren macht das bisherige Kit ungültig.

Unten links nennt der Dialog, was fehlt: „Erst herunterladen, dann geht es weiter.“ oder „Bitte die Zeichen aus dem Kit eingeben.“

Notfall-Kit

Das Notfall-Kit ist eine A4-Seite, die der Browser füllt und zum Drucken öffnet. Es heißt „Notfall-Kit · {Mandant}“ und steht in der Sprache des Admin-Panels der Person, die es herunterlädt.

fepliNotfall-Kit

Erstellt am 01.03.2027 · Ferienpass Elmsbrück

Zugangsdaten des MandantenOrganisationFerienpass ElmsbrückMandanten-IDelmsbrueckAnmeldeadressehttps://beispiel.fepli.eu/adminWiederherstellungsschlüsselR1-7K3QD-MX9TA-2PHVB-WN4CE-8RJ6F-GZ5SYFingerabdruck des Team-Signaturschlüssels4F2A 9C1E 77B0 D3A5 0E6C 18F9

QR-CodeHilfe benötigt?docs.fepli.eu oder Ihr Kontakt bei fepli. fepli kennt diesen Schlüssel nicht.

Wer diesen Schlüssel hat, kann alle verschlüsselten Daten des Mandanten lesen.Ausdrucken, an zwei Orten verwahren, nicht per Mail verschicken.

Was ist geschützt?Ohne Schlüssel kein Zugriff.Sicher aufbewahren.Neues Kit erstellt?

Aufbewahrt von (Name, Funktion)OrtDatum

Vertraulich · gehört dem Mandanten Ferienpass ElmsbrückKit 2027-03-01 · Prüfsumme 3E9A-71C4

Teil	Inhalt
„Zugangsdaten des Mandanten“	„Organisation“, „Mandanten-ID“, „Anmeldeadresse“ des Admin-Panels, „Wiederherstellungsschlüssel“ und „Fingerabdruck des Team-Signaturschlüssels“, bei einem neuen Kit der des Schlüssels, den das Konto kennt. Der Schlüssel beginnt mit `R1-` und hat 6 Blöcke aus je 5 Zeichen.
„QR-Code“	Derselbe Schlüssel als QR-Code, ohne Link: „Im Admin-Bereich unter Einstellungen → Datenschutz → Verschlüsselung → „Mit Notfall-Kit wiederherstellen“ scannen. Er enthält denselben Schlüssel wie oben. Zusätzlich bestätigen Sie einen Link, den fepli an die E-Mail-Adresse Ihres Kontos schickt.“
„Hilfe benötigt?“	„docs.fepli.eu“ oder der Kontakt bei fepli, dazu „fepli kennt diesen Schlüssel nicht.“
Warnung	„Wer diesen Schlüssel hat, kann alle verschlüsselten Daten des Mandanten lesen.“ und „Ausdrucken, an zwei Orten verwahren, nicht per Mail verschicken.“
Hinweise	„Was ist geschützt?“, „Ohne Schlüssel kein Zugriff.“, „Sicher aufbewahren.“ und „Neues Kit erstellt?“
Aufbewahrung	Leere Zeilen für „Aufbewahrt von (Name, Funktion)“, „Ort“ und „Datum“
Fußzeile	„Vertraulich · gehört dem Mandanten {Mandant}“ und „Kit {Datum} · Prüfsumme {Prüfsumme}“

Wiederherstellung

Mit Notfall-Kit wiederherstellen … öffnet einen Dialog mit vier Schritten. Die Wiederherstellung gibt es nur bei Aktiv.

Schritt	Titel	Inhalt
1 von 4	Mit Notfall-Kit wiederherstellen	Feld Wiederherstellungsschlüssel: „Geben Sie den Wiederherstellungsschlüssel aus dem Notfall-Kit von {Mandant} ein, oder scannen Sie den QR-Code darauf.“ QR-Code scannen öffnet die Kamera; die Schaltfläche fehlt in Browsern, die keine QR-Codes lesen. Weiter prüft den Schlüssel („Prüfe …“).
2 von 4	E-Mail bestätigen	„Wir haben einen Link an {E-Mail-Adresse} geschickt. Öffnen Sie ihn, melden Sie sich an und bestätigen Sie die Wiederherstellung. Danach geht es hier von selbst weiter.“ Darunter „Warte auf Bestätigung …“ und Ich habe bestätigt.
3 von 4	Fingerabdruck vergleichen	„Der Schlüssel des Teams ist geöffnet. Vergleichen Sie den Fingerabdruck mit dem auf dem Notfall-Kit. Erst wenn er übereinstimmt, bestätigen Sie; dieses Gerät öffnet die Daten danach von selbst. Weicht er ab, brechen Sie ab und wenden Sie sich an fepli.“ Darunter Fingerabdruck, das Kästchen „Der Fingerabdruck stimmt Zeichen für Zeichen mit dem auf dem Notfall-Kit überein.“ und Bestätigen, das erst mit dem Häkchen wählbar ist.
4 von 4	Notfall-Kit speichern	Wie im Dialog, mit „Der Code des bisherigen Notfall-Kits ist verbraucht. Speichern Sie jetzt ein neues Kit; erst dann ist der Mandant wieder abgesichert.“ und Neues Kit aktivieren.

Der Link geht an die E-Mail-Adresse des Kontos, das den Schlüssel eingibt. Er gilt 30 Minuten und einmal. Schließt jemand den Dialog nach Schritt 3, steht auf der Seite der Hinweis, dass das Kit verwendet wurde.

Seite hinter dem Link

Der Link öffnet https://beispiel.fepli.eu/admin/e2e/wiederherstellen. Die Seite verlangt die Anmeldung mit demselben Konto und bestätigt erst mit der Schaltfläche.

Zustand	Titel	Text
Offen	Wiederherstellung bestätigen	„Am {Datum} um {Uhrzeit} Uhr wurde für Ihr Konto {E-Mail-Adresse} der Code aus dem Notfall-Kit eingegeben. Bestätigen Sie nur, wenn Sie das selbst waren.“ Schaltfläche Wiederherstellung bestätigen, darunter „Das waren Sie nicht? Bestätigen Sie nichts und informieren Sie sofort Ihr Team: Dann hat jemand anderes den Code des Notfall-Kits.“
Bestätigt	Bestätigt	„Wechseln Sie zurück zum Fenster, in dem Sie den Code eingegeben haben. Dort geht es weiter.“
Abgelaufen	Link abgelaufen	„Der Link gilt nicht mehr. Beginnen Sie die Wiederherstellung neu.“
Ungültig	Link ungültig	„Dieser Link gehört zu keiner offenen Wiederherstellung Ihres Kontos. Wurde er schon verwendet, oder sind Sie mit einem anderen Konto angemeldet?“

E-Mails und Protokoll

Anlass	Empfänger:innen	Betreff	Schaltfläche
Schlüssel eingegeben (Schritt 1)	das Konto, das den Schlüssel eingibt	„Zugang mit dem Notfall-Kit wiederherstellen“	Wiederherstellung bestätigen
Zugang wiederhergestellt (Schritt 3)	alle Super-Admins, alle Konten mit Zugang zum Team-Schlüssel und das Konto selbst	„Notfall-Kit verwendet – neues Kit erstellen“	Zur Verschlüsselung

Das Protokoll der Betroffenenrechte verzeichnet Wiederherstellung mit Notfall-Kit begonnen und Zugang mit Notfall-Kit wiederhergestellt.

Entsperren

Bei einem Mandanten, der verschlüsselt, entsperrt ein verbundenes Gerät die Schlüssel der Person von selbst, auf jeder Seite und nach jeder Anmeldung. Ein anderer Browser entsperrt nicht. Mit dem Abmelden und am Ende der Sitzung sind die Schlüssel zu; eine Zeit ohne Eingabe sperrt nicht. Wer mit Anmelden als im Konto einer anderen Person arbeitet, öffnet deren Schlüssel nicht und sieht Schlüssel & Geräte nicht. Was globale Admins sehen, steht unter Support-Freigabe.

beispiel.fepli.eu/admin/teilnehmende

Ferienpass Elmsbrück

Suchen …⌘ K

ÜbersichtAngeboteTeilnehmer:innenVeranstalter:innenZahlungenKontenDateien

Robin Beispiel

Teilnehmer:innenNeu⌘ ↵

Teilnehmer:innen

K7Q2Zum Entschlüsseln tippen9XRT

Robin Beispiel

Persönliche DatenSicherheit

Schlüssel & Geräte

Hilfe & Handbuch↗Abmelden

Element	Bedeutung	Auswirkung
Pseudonym	Was statt des Namens steht, solange der Browser nicht entsperrt ist oder das Konto keinen Schlüssel für den Datensatz hat: 4 Zeichen, z. B. „K7Q2“	Nicht entsperrt ist es gepunktet unterstrichen, mit dem Tooltip „Zum Entschlüsseln tippen“. Auswählen öffnet dann den Zugangsdialog statt der Zeile. Nach dem Entsperren schließt sich der Dialog, und die Seite zeigt erst die verschlüsselten Zeichen, dann von links nach rechts den Namen.
Schlüssel & Geräte	Eintrag im Kontomenü	Öffnet den Zugangsdialog.
Punkt	Gelber Punkt neben Schlüssel & Geräte, solange etwas wartet	Sein Tooltip nennt, was wartet, siehe Zugangsdialog.

Zugangsdialog

Tooltip des Punkts	Wer es sieht	Dialog
„Zugang einrichten“	Konto ohne Zugang	„Zugang zu verschlüsselten Daten“, „Schritt 1 von 2“: Zugang einrichten. Für Admins „Die Teilnehmerdaten dieses Mandanten sind Ende-zu-Ende-verschlüsselt. Richten Sie Ihren Zugang auf diesem Gerät ein; ein Teammitglied bestätigt ihn danach per Emoji-Vergleich.“, für Veranstalter:innen „Die Daten der angemeldeten Kinder sind Ende-zu-Ende-verschlüsselt. Richten Sie Ihren Zugang auf diesem Gerät ein; eine Kollegin oder ein Kollege mit Zugang bestätigt ihn danach per Emoji-Vergleich, beim ersten Mal das Team.“
„Zugang wartet auf Bestätigung“	Konto mit Zugang, den noch niemand bestätigt hat	Auf einem anderen als dem verbundenen Gerät erst Entsperren (Verbundene Geräte). Dann Emoji-Vergleich, „Schritt 2 von 2“: „Bitten Sie ein Teammitglied, Ihren Zugang zu bestätigen – am Telefon oder nebeneinander. Lassen Sie dieses Fenster offen.“, bei Veranstalter:innen „Bitten Sie eine Kollegin oder einen Kollegen mit Zugang – beim ersten Mal das Team –, Ihren Zugang zu bestätigen, am Telefon oder nebeneinander. Lassen Sie dieses Fenster offen.“
„1 Zugangsanfrage“, „{Anzahl} Zugangsanfragen“	Konto mit Zugang, auf das Anfragen warten	Zugangsanfragen: je Anfrage Name, bei Veranstalter:innen „für {Veranstalter-Profil}“, beim Support-Schlüssel „Support“, E-Mail-Adresse, „angefragt am {Datum}“ und Vergleichen. Ist der Browser nicht entsperrt, steht statt der Liste „Ihr Zugang öffnet sich auf Ihren verbundenen Geräten, noch nicht auf diesem.“ (Verbundene Geräte).
„Neues Gerät verbinden“	Verbundenes Gerät, während ein anderes Gerät derselben Person fragt	Neues Gerät verbinden (Verbundene Geräte)
kein Punkt	Konto mit Zugang ohne offene Anfragen	Zugangsanfragen mit „Keine offenen Anfragen.“; ist der Browser nicht entsperrt, wie in der Zeile darüber

Anfragen von Admins und des Supports sieht das Team. Die erste Anfrage aus einem Veranstalter-Profil sieht das Team, jede weitere die Konten dieses Veranstalter-Profils mit Zugang.

Jede neue Anfrage meldet die Glocke den Admins, die sie bestätigen können, nie der Person, die fragt: „Verschlüsselung · Zugangsanfrage“ mit ihrem Namen und „Möchte auf die verschlüsselten Daten zugreifen.“ Auswählen öffnet den Zugangsdialog mit den Anfragen, auf jeder Seite. Veranstalter:innen bekommen diese Benachrichtigung nicht. Per E-Mail kommt sie nur, wenn Zugangsanfragen unter Benachrichtigungen eingeschaltet ist.

Schritt	Titel	Inhalt
Warten	Emoji-Vergleich	Beim Teammitglied: „Warte auf {Name}. Bei {Name} muss „Zugang einrichten“ geöffnet sein.“ Nach der eigenen Bestätigung: „Warte auf die Bestätigung von {Name} …“
Vergleich	Emojis vergleichen	„Stimmen diese Emojis in derselben Reihenfolge mit denen bei {Name} überein?“, 7 Emojis mit ihren Namen in der Sprache des Admin-Panels, „Vergleichen Sie am Telefon oder nebeneinander, nicht per E-Mail oder Chat.“ Schaltflächen Stimmen nicht überein und Stimmen überein.
Ergebnis	Zugang eingerichtet	Bei der neuen Person „Ihr Zugang ist bestätigt. Sie sehen die verschlüsselten Daten jetzt auf diesem Gerät.“, beim Teammitglied „{Name} hat jetzt Zugang zu den verschlüsselten Daten.“
Abbruch	Vergleich abgebrochen	Der Grund (siehe Meldungen); bei der neuen Person dazu „Ein Teammitglied kann den Vergleich neu starten, solange dieses Fenster offen ist.“ Zur Liste führt das Teammitglied zurück zu den Anfragen.

Verschlüsselte Daten

Angabe	Für wen verschlüsselt	Was der Server stattdessen hat
Vorname und Nachname einer Teilnehmer:in	Team; die Veranstalter-Profile, bei deren Angeboten sie angemeldet ist; die Familie, wenn ihr Konto einen eigenen Schlüssel hat und das Team ihn unterschrieben hat	Pseudonym „Kind {Code}“
Geburtsdatum	wie die Namen	das Geburtsjahr und das Alter jeder Anmeldung. Das Geburtsjahr übernimmt der Server nur aus einem Datum, das Team oder Familie beim Bearbeiten speichern, und aus dem Datum, das er beim ersten Verschlüsseln noch im Klartext hatte; ein Datum, das Veranstalter:innen beim Anmelden mitschicken, ändert es nicht. Ohne Datum ist das Alter einer Anmeldung das, das die Teilnehmer:in im Jahr des Angebots erreicht.
Wichtige Infos für die Veranstalter:innen	wie die Namen	nichts
Antworten auf Zusatzfragen	Team; die Veranstalter-Profile, bei deren Angeboten die Anmeldung ist; die Familie, wenn ihr Konto einen eigenen Schlüssel hat und das Team ihn unterschrieben hat	nichts. Ausgenommen sind die Antworten im Abschnitt Im Klartext. Die Spalten der Zusatzfragen in der Teilnahmeliste entschlüsselt der Browser.
Nachname eines Teilnahmekontos	Team	den Vornamen
Rechnungsadresse eines Belegs	Team; das zahlende Konto, wenn es einen eigenen Schlüssel hat. Das zahlende Konto ist das Familienkonto der Debitor:in oder das, das an der Kasse gezahlt hat, nie das buchende Teammitglied.	die Anschrift nur in der Anfrage, die sie schreibt
Name unter Erklärt von einer Einwilligung	Team; das Konto, um das es geht, wenn es einen eigenen Schlüssel hat	den Namen nur in der Anfrage, die die Einwilligung erklärt
Belege, Einwilligungsnachweise und Papiernachweise im Archiv	Team; das Konto, um das es geht, wenn es einen eigenen Schlüssel hat; das Notfall-Kit	die Prüfsumme der Datei

Was vor dem Einschalten im Archiv lag, bleibt bis zum Ende seiner Sperre unverschlüsselt. Ein verschlüsselter Beleg lädt im Admin-Panel und im Konto der Familie erst nach dem Entsperren herunter. Im Admin-Panel zeigt ein solcher Link, z. B. PDF eines Belegs oder Dokument einer Einwilligung, nicht entsperrt Erst entsperren und öffnet den Zugangsdialog. Wer die Adresse der Datei direkt öffnet, sieht „Verschlüsselt abgelegt. Zum Herunterladen erst entschlüsseln.“

Ein Beleg oder Einwilligungsnachweis nennt die Namen im Klartext: die Rechnungsadresse und die Teilnehmer:innen eines Belegs, die Teilnehmer:in mit Geburtsdatum und das Konto, das eingewilligt hat. Der Server legt ihn erst ab, wenn ein entsperrter Browser des Teams alle diese Angaben entschlüsselt mitgeschickt hat; er verwendet sie nur für diese Datei und speichert sie nicht. Ein Geburtsdatum, das nicht zum bekannten Geburtsjahr passt, nimmt er nicht an. Das erledigt im Hintergrund jede Seite des Admin-Panels, sobald ein Teammitglied entsperrt hat. Der Browser einer Familie legt nichts ab: Prüfen kann der Server die Namen nicht, und abgelegt wird, was der Browser schickt. Der Hintergrunddienst und der nächtliche Lauf legen kein Dokument mit verschlüsselten Namen ab. Öffnet das Team ein noch nicht abgelegtes Dokument, legt sein Browser es zuerst ab. Wird die Person gelöscht, bevor ein Browser ihren Einwilligungsnachweis abgelegt hat, bleibt der Datensatz der Einwilligung selbst der Nachweis; eine Datei mit Pseudonym entsteht nicht.

In Formularen sind verschlüsselte Felder gesperrt, bis der Browser entsperrt ist: „Zum Bearbeiten erst entschlüsseln.“ Das gilt im Admin-Panel für Vorname, Nachname, Geburtsdatum und Wichtige Infos für die Veranstalter:innen einer Teilnehmer:in, auch in Teilnehmer:in anlegen. Nach dem Entsperren stehen die entschlüsselten Werte in den Feldern, und die Leiste für ungespeicherte Änderungen zählt sie nicht als Änderung. Beim Speichern gehen nur die verschlüsselten Werte zum Server, nie der Klartext. Ist ein Pflichtfeld leer, zeigt der Server die übliche Fehlermeldung für ein leeres Pflichtfeld. Ohne eingegebenen Nachnamen übernimmt Teilnehmer:in anlegen den Nachnamen des Kontos und verschlüsselt ihn; als Platzhalter steht „{Name} · aus Konto“. Auf der Website verschlüsselt der Browser der Familie ein neues Kind mit allen vier Feldern. Den Nachnamen eines neuen Teilnahmekontos verschlüsselt der Browser bei der Registrierung auf der Website und unter Konto anlegen in Teilnehmer:in anlegen. Ebenso verschlüsselt er neue Teilnehmer:innen in Neue Anmeldung und die Namen, die im Abschlussbogen unter Person hinzufügen, die spontan dabei war eingegeben werden. Wo ein Formular nicht alle verschlüsselten Felder zeigen kann, sind sie gesperrt: „Verschlüsselt hinterlegt. Ändern kann es das Team.“

Im Formular für Teilnehmer:innen im Konto und bei der Registrierung zeigt ein Kind, das die Familie nicht öffnen kann, den Platzhalter „Hinterlegt“ und den Hinweis „Leer lassen, um die hinterlegten Angaben zu behalten. Zum Ändern alle neu eingeben.“ Hat die Familie das Kind mit dem Schloss geöffnet, entfällt der Hinweis, und die Felder zeigen die entschlüsselten Werte. Die Liste zeigt das Geburtsdatum als „Jahrgang {year}“.

Im Klartext

Angabe	Hinweis
E-Mail-Adresse, Telefonnummer und Anschrift der Konten	Damit verschickt der Server Benachrichtigungen und SMS.
E-Mail-Adresse, Telefonnummer und Mobilnummer einer Teilnehmer:in	–
Vorname der Konten	Anrede in E-Mails
Namen der Konten von Admins und Veranstalter:innen	–
Antworten auf eine Frage vom Typ Auswahl, bei der eine Option einen Aufpreis hat	Der Aufpreis gehört zum Teilnahmebeitrag und zum Beleg.
Antworten auf Ja/Nein-Fragen der Saison	Der Vorrang für Berufstätige wertet eine solche Frage beim Losen aus.
Angebote, Saisons, Veranstalter-Profile	–

Folgen auf dem Server

Stelle	Bei verschlüsselten Datensätzen
Suche nach Namen	Entsperrt sucht der Browser in den Namen, die er entschlüsselt hat, und schickt dem Server nur, wen er gefunden hat, nicht den Suchbegriff. Das gilt in den Listen Teilnehmer:innen, Konten, Einwilligungen und Zahlungen, in der Teilnahmeliste und der globalen Suche, in Neue Anmeldung, Teilnehmer:in anlegen, Zahlung erfassen und Konto einladen, im Feld Konto einer Teilnehmer:in, in Zuteilung, Stapel und Zustellproblemen sowie bei den Betroffenenrechten in der Personensuche, beim Erfassen einer Anfrage und im Filter des Protokolls. Durchsucht ein Feld mehr als Namen, z. B. Titel von Angeboten oder Belegnummern, und findet der Browser niemanden, geht der Begriff an den Server. Der Export der so durchsuchten Listen Teilnehmer:innen, Konten und Belege enthält, wen der Browser gefunden hat; der Kassenbericht nennt unter Suche „{Anzahl} Personen nach Namen“.
Suche in einem Browser, der nicht entsperrt ist	Das Suchfeld einer Liste zeigt „Namen erst nach Entsperren“. Der Begriff geht an den Server, der nur findet, was er im Klartext hat, z. B. E-Mail-Adresse und Telefonnummer.
Sortieren nach Namen	Listen, die ganz auf einer Seite stehen, sortiert der Browser nach dem Entsperren nach Nachname und Vorname, z. B. die Teilnahmeliste innerhalb eines Status und Listenplatzes und die Liste beim Zurücksetzen offener Beiträge. In Teilnehmer:innen und Konten steht die Sortierung nach Namen hinter den anderen: Der Browser sortiert alle Einträge der Liste nach Nachname und Vorname und holt die Zeilen der Seite, die er gewählt hat. Der Server erfährt, welche Zeilen auf einer Seite stehen, nicht ihre Reihenfolge. Gesperrt und bis der Browser sortiert hat, stehen die Zeilen in einer Reihenfolge des Servers. Die Ansichten Debitor:innen und Anmeldungen unter Zahlungen bieten die Sortierung nach Namen nicht an. Die Debitoren der API kommen in der Reihenfolge ihres Anlegens.
Duplikate	Der Browser eines Teammitglieds vergleicht die entschlüsselten Namen und Geburtsdaten und schickt dem Server nur die Paare, siehe Duplikate.
Kopf, Geschwister und Aktivität einer Teilnehmer:in, Löschdialoge	Zeigen den Namen nach dem Entsperren, sonst das Pseudonym.
Titel des Browser-Reiters, Brotkrumen, Hinweismeldungen	Zeigen das Pseudonym.
Löschen und Löschlauf	Entfernen auch die Datensatzschlüssel der Teilnehmer:in.
E-Mails	Löst eine Person in einem entsperrten Browser den Versand aus, z. B. eine Rundmail, die Zulassungsbescheide oder einen Kommentar in der Aktivität eines Datensatzes oder als Antwort im Postausgang, schickt ihr Browser mit Senden die Vornamen mit. Bei einem Kommentar geht nur der Vorname der Teilnehmer:in mit, um die es in der Unterhaltung geht. Kam kein Name mit, steht in der E-Mail an eine Familie „Ihr Kind“ mit dem Avatar der Teilnehmer:in, sofern die App Avatare an ist. Eine Kommentar-E-Mail an das Team oder an Veranstalter:innen nennt die Teilnehmer:in dann beim Pseudonym. Der Postausgang und die Nachrichten des Kontos zeigen die Namen erst nach dem Entsperren. Bereits verschickte E-Mails behalten ihr Pseudonym.
Teilnahmeliste und Anwesenheitsliste (PDF, XLSX, DOCX), Exportvorlagen mit Eine Zeile je Kind	Die Datei des Auftrags enthält Pseudonyme. Daneben legt fepli die verschlüsselten Namen, Geburtsdaten, Wichtige Infos und Antworten ab, die nur die Person abruft, die den Export gestartet hat. Entsperrt entschlüsselt der Browser sie beim Herunterladen. Eine DOCX-Datei füllt er selbst. Eine PDF- oder XLSX-Datei baut der Server mit den entschlüsselten Werten neu und sortiert sie nach den Namen; er gibt sie zum Herunterladen aus und speichert sie nicht. Ein Datensatz, den der Browser nicht öffnen kann, behält sein Pseudonym. Ist der Browser nicht entsperrt, speichert er die Datei mit Pseudonymen. Ein Datensatz, der für die Betrachter:in maskiert ist, bleibt maskiert. Kommt ein Export per E-Mail, enthält er die Pseudonyme. Ist das Geburtsdatum versiegelt, nennt die PDF das Alter, das bei der Anmeldung gespeichert wurde.
Meldungen beim Export mit versiegelten Namen	Entsperrt: „{Datei} wird heruntergeladen.“ mit „Steht 24 Stunden unter Benachrichtigungen.“ Nicht entsperrt: „{Datei} mit Pseudonymen statt Namen.“ mit „Zum Entschlüsseln entsperren und erneut herunterladen.“ Ließen sich die Namen nicht entschlüsseln: „{Datei} mit Pseudonymen: Die Namen ließen sich nicht entschlüsseln.“
Weitere Exporte mit verschlüsselten Angaben	Wie bei der Teilnahmeliste setzt der entsperrte Browser die Werte ein, oder der Server baut die Datei mit ihnen neu: die Excel-Dateien der Listen Teilnehmer:innen, Konten und Belege, die Zahlungsliste (PDF), die Einwilligungsübersicht mit und ohne Nachweisblätter, die Auskunft, der Datenexport, Löschliste als CSV und Nachweis als CSV. Ist der Browser nicht entsperrt, bleiben die Spalten leer oder zeigen Pseudonyme. Die Liste Belege zeigt entsperrt die erste Zeile der Anschrift, gesperrt die E-Mail-Adresse des Belegs, falls er eine hat.
Anzeige im Admin-Panel	Liste, Seitenfenster, Kopf der Detailseite, Teilnahmeliste, Suchvorschau und Löschdialog entschlüsseln Geburtsdatum, Alter und Notizen im Browser, z. B. „11 Jahre · geb. 23.11.2014“ im Kopf der Detailseite.
Altersgrenzen	Geprüft mit dem Geburtsdatum, wenn der Browser es mitschickt, sonst mit dem Geburtsjahr: Die Grenze gilt als erfüllt, wenn eins der beiden Alter passt, die das Jahr offenlässt. Ist kein Alter bekannt, nimmt ein Angebot mit Altersgrenze das Kind nicht: „{Name} kann nicht teilnehmen – das Alter ist nicht bekannt (…). Bitte das Geburtsdatum angeben.“
Rechnungsadresse beim Schreiben	Der Server versiegelt sie, bevor er sie speichert, nur mit den öffentlichen Schlüsseln. Im Klartext hat sie nur die Anfrage, die sie schreibt. pmPayment und ein Beleg, der in dieser Anfrage entsteht, lesen sie dort. Das gilt für die Zahlung der Familie, das Verbuchen im Admin-Panel, Nachträglich anpassen, Stornieren und die API. Schreibt eine Anfrage die Adresse erneut, entsteht ein neuer Datensatzschlüssel.
Zahlungslink	Eine versiegelte Adresse zählt als fehlend: Die Seite fragt „Bitte vervollständigen Sie Ihre Rechnungsadresse“ erneut. Das Formular ist mit dem Namen des Kontos, bei verschlüsseltem Nachnamen nur dem Vornamen, und seiner Postanschrift vorbelegt, soweit der Server sie im Klartext hat. Die Zahlung beginnt in der Anfrage, die die Adresse entgegennimmt.
Belegseite im Admin-Panel	Unter Zahlt und Rechnungsadresse entschlüsselt der Browser Name und Adresse.
Beleg im Konto der Familie	Der Beleg ist eine Seite unter Zahlungen. Der Browser der Familie entschlüsselt die Anschrift, wenn er verbunden ist. Gesperrt steht an der Stelle der Anschrift „Hinterlegt“, daneben das Schloss. Die Zeile „Empfänger: {Name}“ nennt den Zahlungsempfänger und bleibt sichtbar. Als PDF laden öffnet den Schlüssel dann erst wie das Schloss und speichert den Beleg; währenddessen steht „Wird geöffnet …“, bei einem Fehler „Ließ sich nicht öffnen“. Ist der Browser nicht verbunden oder öffnet der Schlüssel den Beleg nicht, steht „Dieser Beleg lässt sich hier nicht öffnen. Sie erhalten ihn vom Team.“ Ein archivierter Beleg, der für den Schlüssel der Familie versiegelt ist, kommt versiegelt zum Browser; er öffnet ihn und prüft die Prüfsumme. Jeden anderen Beleg erzeugt der Server aus der entschlüsselten Anschrift für diese eine Anfrage und speichert nichts. Unter dem Angebot steht der Name des Kindes, sobald der Browser ihn entschlüsselt hat, sonst „Name hinterlegt“. Teammitglieder, die die Website als Familie ansehen, erhalten das PDF nicht.
Anzeige auf der Website	Wo ein Kind verschlüsselt ist, stehen „Name hinterlegt“ oder „Jahrgang {year}“ mit einem Schloss daneben. Auf den Seiten für Kinder (Konto und Willkommensschritt) steht oben die Meldung Namen verschlüsselt: „Die Namen Ihrer Kinder sind verschlüsselt und stehen hier als „Name hinterlegt“. Mit dem Schloss daneben öffnen Sie sie in diesem Browser.“ Hat das Konto noch keinen Schlüssel, erzeugt ihn der Browser beim Besuch von selbst und ist damit verbunden. Das Schloss erscheint nur, solange der Browser den Schlüssel nicht geöffnet hat, also auf einem Gerät, das noch nicht verbunden ist (Verbundene Geräte). Danach entschlüsselt der Browser Namen und Geburtsdaten im Konto, in den Einwilligungen, in der Datennutzung, im Anmeldeformular, in der Teilnahme und im Beleg.
Teilnehmer:innen anderer Familien	Unter Gemeinsam losen stehen Teilnehmer:innen anderer Familien, die zum selben Freunde-Code gehören, nur mit Vornamen. Ist ihr Name verschlüsselt, steht „Name hinterlegt“ ohne Schloss: Diese Namen erhält der Browser der Familie nicht, auch nicht verschlüsselt.
Suche	Die Vorschau zeigt die erste Zeile der Adresse, im Browser entschlüsselt. Die Suche findet einen Beleg nicht über seine Adresse, auch nicht die Suche der API.
Nachträglich anpassen, Stornieren	Der Browser entschlüsselt die Adresse des Originals. Der Stornobeleg und der korrigierte Beleg übernehmen sie. Ist der Browser nicht entsperrt, verweigert Stornieren mit „Die Anschrift des Belegs ist verschlüsselt. Zum Stornieren erst entschlüsseln.“ und Nachträglich anpassen mit „Die Anschrift des Belegs ist verschlüsselt. Zum Anpassen erst entschlüsseln.“ Eine leere Anschrift versiegelt fepli nicht. Im Seitenfenster Beleg anpassen beginnt Anschrift auf dem Beleg mit ihr, wenn das Feld leer ist.
Beleg als PDF, der in einer späteren Anfrage entsteht	Enthält keine Adresse; ausgenommen ist der Weg über den Beleg im Konto der Familie.
E-Mail Beleg erstellt	Sie hängt kein PDF an, weil der Server die Anschrift nicht lesen kann. Die Anrede nennt den Vornamen des zahlenden Kontos. Die Schaltfläche Beleg öffnen führt zum Beleg im Konto, dazu steht „Ihr Beleg ist verschlüsselt. In Ihrem Konto öffnet und speichert Ihr Browser ihn.“ Ohne zahlendes Konto fehlt die Schaltfläche, und es steht „Ihr Beleg ist verschlüsselt. Als PDF erhalten Sie ihn vom Team.“
Datenauskunft	Die Rechnungsanschrift eines Belegs mit versiegelter Adresse setzt der entsperrte Browser ein wie die Namen. Sonst fehlt sie.
E-Mail Kopie Ihrer Einwilligung	Bei Betrifft steht der Vorname, den der Browser der Familie beim Einwilligen mitgeschickt hat, sonst „Ihr Kind“, nie das Pseudonym. Den Namen zeigt das Konto unter Einwilligungen; der abgelegte Nachweis nennt ihn.
Aufbewahrungsfrist eines Belegs	Mit Adresse, E-Mail-Adresse, Konto und Zahlungsdaten löscht fepli die versiegelte Adresse und ihre Schlüssel.
Belege über die API	`billingAddress` ist `null`, wenn die Adresse versiegelt ist. Die API hat keinen Schlüssel: Ein Storno oder eine Korrektur hat eine leere Adresse, wenn der Client keine mitschickt (Belege).

Verbundene Geräte

Ein verbundenes Gerät ist ein Browser, der den Schlüssel der Person mit einem eigenen Schlüssel umhüllt hat. Er entsperrt von selbst, bis jemand ihn entfernt. Nur ein verbundenes Gerät entsperrt. Verbunden wird ein Browser, wenn die Person dort Zugang einrichtet, die Verschlüsselung aktiviert oder mit dem Notfall-Kit wiederherstellt, und von einem anderen verbundenen Gerät aus.

Stelle	Text	Bedeutung
Admin-Panel: Mein Konto > Sicherheit	Verbundene Geräte: „Öffnen die verschlüsselten Daten von selbst.“ Je Gerät Browser und System, z. B. „Firefox · macOS“, „Dieses Gerät“ und „zuletzt {Datum}“	Nur, wenn der Mandant verschlüsselt und das Konto Zugang hat. Dieses Gerät verbinden steht dort, solange dieser Browser nicht verbunden ist; wählbar, wenn er entsperrt ist. Gerät entfernen fragt „„{Name}“ entfernen?“ mit „Das Gerät öffnet die verschlüsselten Daten danach nicht mehr.“
Zugangsdialog auf einem Gerät, das nicht verbunden ist	Entsperren: „Ihr Zugang öffnet sich auf Ihren verbundenen Geräten, noch nicht auf diesem.“, Mit einem anderen Gerät verbinden und Kein verbundenes Gerät mehr?	Öffnet sich mit einem Pseudonym, einem verschlüsselten Dokument, Entsperren in der Support-Freigabe oder Schlüssel & Geräte. Über Schlüssel & Geräte und die Glocke heißt der Dialog bei bestätigtem Zugang Zugangsanfragen.
Mit einem anderen Gerät verbinden am Computer	Dieses Gerät verbinden mit einem QR-Code: „Öffnen Sie fepli auf Ihrem verbundenen Handy, wählen Sie „Neues Gerät verbinden“ und dann „QR-Code scannen“. Ohne Handy wählen Sie auf einem verbundenen Gerät „Neues Gerät verbinden“ und vergleichen die Emojis. Lassen Sie dieses Fenster offen.“	Der Code enthält keine Adresse. Nur QR-Code scannen in fepli liest ihn; danach entfällt der Emoji-Vergleich.
Mit einem anderen Gerät verbinden auf dem Handy	Dieses Gerät verbinden: „Öffnen Sie fepli auf einem Ihrer verbundenen Geräte und wählen Sie dort „Neues Gerät verbinden“. Lassen Sie dieses Fenster offen.“	Kein QR-Code, denn ein Handy kann den eigenen Bildschirm nicht scannen.
Zugangsdialog eines verbundenen Geräts	Neues Gerät verbinden: „„{Gerät}“ möchte sich verbinden ({Uhrzeit}). Verbinden Sie nur, wenn das neue Gerät vor Ihnen liegt.“ mit Vergleich starten, auf dem Handy auch QR-Code scannen	Ein anderes Gerät derselben Person hat gefragt; der Punkt neben Schlüssel & Geräte nennt „Neues Gerät verbinden“. Vergleich starten führt zum selben Emoji-Vergleich, „Stimmen diese Emojis in derselben Reihenfolge mit denen auf dem anderen Gerät überein?“. QR-Code scannen öffnet die Kamera in der Seite, Scannen beenden schließt sie; ein gelesener Code verbindet ohne Emojis. Am Ende Gerät verbunden.
Kein verbundenes Gerät mehr?	Zugang neu einrichten	„Sie richten Ihren Zugang auf diesem Gerät neu ein; ein Teammitglied bestätigt ihn per Emoji-Vergleich. …“ Der alte Schlüssel und die bisherigen Geräte gelten danach nicht mehr. Hat nur diese Person im Team Zugang: „Nur Sie haben im Team Zugang. Stellen Sie ihn mit dem Notfall-Kit wieder her.“ mit Mit Notfall-Kit wiederherstellen.
Website: Sicherheit	Abschnitt Verschlüsselung: der Stand dieses Browsers, z. B. „Dieser Browser ist verbunden“, darunter die Zeile Verbundene Geräte mit der Zahl der Geräte. Sie führt zur Seite Verbundene Geräte.	Nur, wenn der Mandant verschlüsselt und die Familie angemeldet ist. Die Zeile erscheint, sobald mindestens ein Gerät verbunden ist.
Website: Sicherheit > Verbundene Geräte	„Die Namen Ihrer Kinder sind verschlüsselt. Nur Geräte, die Sie verbunden haben, zeigen sie.“ Je Gerät eine Marke für Handy oder Computer, die Beschriftung des Browsers, z. B. „Safari · iOS“, und „Dieses Gerät“ oder „zuletzt genutzt am {date}“, z. B. „zuletzt genutzt am 3.11.“. Bei den anderen Geräten steht Entfernen.	Entfernen und Neues Gerät verbinden stehen nur, wenn dieser Browser die Namen öffnet. Sonst steht dort Diesen Browser verbinden.
Website: Neues Gerät verbinden	Öffnet den Dialog Neues Gerät verbinden auf diesem Gerät. Liegt eine Anfrage vor, steht dort „„{Gerät}“ möchte sich verbinden. Verbinden Sie nur, wenn das neue Gerät vor Ihnen liegt.“ mit Emojis vergleichen und QR-Code scannen, wenn der Browser eine Kamera ansprechen kann. Sonst steht dort „Öffnen Sie diese Website auf dem neuen Gerät und melden Sie sich dort an. Möchte es sich verbinden, erscheint es hier.“	Solange kein neues Gerät fragt, prüft der Dialog alle 3 Sekunden. Fragt eins, geht er weiter wie Verbinden im Hinweis „„{Gerät}“ möchte sich verbinden.“
Schloss auf der Website	Dieses Gerät verbinden	Wie im Admin-Panel. Am Computer: „Öffnen Sie diese Website auf Ihrem Handy, auf dem Sie die Namen Ihrer Kinder schon sehen, tippen Sie auf „Verbinden“ und dann auf „QR-Code scannen“. …“ mit QR-Code. Auf dem Handy zeigt der Dialog ebenfalls den QR-Code, mit dem Umschalter QR-Code und Emojis vergleichen: „Öffnen Sie diese Website auf einem Gerät, auf dem Sie die Namen Ihrer Kinder schon sehen, tippen Sie auf „Verbinden“ und dann auf „QR-Code scannen“. …“. Bei Emojis vergleichen steht „Öffnen Sie diese Website auf einem Gerät, auf dem Sie die Namen Ihrer Kinder schon sehen, und tippen Sie dort auf „Verbinden“. …“. Das verbundene Gerät zeigt „„{Gerät}“ möchte sich verbinden.“ mit Verbinden, danach „… Verbinden Sie nur, wenn das neue Gerät vor Ihnen liegt.“ mit Emojis vergleichen und QR-Code scannen, wenn der Browser eine Kamera ansprechen kann, auch am Computer. Öffnet sich keine Kamera, steht „Die Kamera lässt sich nicht öffnen. Vergleichen Sie stattdessen die Emojis.“ Kein anderes Gerät zur Hand? führt zu Hier neu einrichten: Die anderen Geräte der Familie zeigen die Namen dann nicht mehr, und hier erscheinen sie wieder, wenn jemand vom Team das nächste Mal in fepli arbeitet.

Passwort, Passkey und Anmeldelink melden an, öffnen aber keinen Schlüssel. Ein neues Passwort ändert nichts am Zugang zu den Daten.

Anmeldung der Admins

Unter Anmeldung der Admins schalten Super-Admins Nur mit Passkey ein und aus. Eingeschaltet lehnt das Admin-Panel für die Admins des Mandanten Passwort und Anmeldelink ab: „Admins dieses Programms melden sich nur mit Passkey an.“ Die Einladung eines neuen Admins öffnet weiterhin. Einschalten ist erst wählbar, wenn alle Admins einen Passkey haben; bis dahin steht dort „Noch ohne Passkey: {Namen}“.

Zugangslink

Ein Zugangslink gibt einem Konto den Schlüssel für die verschlüsselten Daten per E-Mail, ohne Emoji-Vergleich. Der Browser eines Teammitglieds erstellt den Schlüssel und übergibt die Daten der Kinder. Anleitung: Zugangslink senden.

Drawer

Schritt	Inhalt
Zugangslink senden	Die E-Mail-Adresse oder die Zahl der Konten; bei mehreren „Übersprungen werden Team-Konten, Konten mit Zugang, Konten ohne E-Mail-Adresse oder Kinder und Veranstalter, in deren Team schon jemand Zugang hat: Dort bestätigt eine Kollegin oder ein Kollege.“; der Hinweis Der Schlüssel entsteht unbeobachtet; Text der E-Mail, vorbelegt und Pflichtfeld; Alle {Anzahl} Konten ohne Zugang, wenn es mehr sind als ausgewählt
E-Mail prüfen	Die E-Mail, wie das erste erreichbare Konto sie bekommt; Zurück zum Text und Link senden

Schritt

Inhalt

Zugangslink senden

Die E-Mail-Adresse oder die Zahl der Konten; bei mehreren „Übersprungen werden Team-Konten, Konten mit Zugang, Konten ohne E-Mail-Adresse oder Kinder und Veranstalter, in deren Team schon jemand Zugang hat: Dort bestätigt eine Kollegin oder ein Kollege.“; der Hinweis Der Schlüssel entsteht unbeobachtet; Text der E-Mail, vorbelegt und Pflichtfeld; Alle {Anzahl} Konten ohne Zugang, wenn es mehr sind als ausgewählt

E-Mail prüfen

Die E-Mail, wie das erste erreichbare Konto sie bekommt; Zurück zum Text und Link senden

Die Aktion steht in der Tabellenansicht der Liste auch über den ausgewählten Zeilen. Alle {Anzahl} Konten ohne Zugang reicht über die Seite der Liste hinaus.

Wer keinen Link bekommt

Konto	Grund	Meldung im Einzelfall
Admin	Der Team-Schlüssel öffnet alle Datensätze.	„Das Team bekommt keinen Link. Sein Zugang läuft immer über den Emoji-Vergleich.“
Gesperrt, ohne E-Mail-Adresse, Adresse gesperrt oder ungültig	Die E-Mail käme nicht an.	„Dieses Konto ist gesperrt oder hat keine erreichbare E-Mail-Adresse.“
Hat schon Zugang	Es braucht keinen Link.	„Dieses Konto hat schon Zugang.“
Teilnahmekonto ohne Teilnehmer:innen	Es gibt nichts zu öffnen.	„Dieses Konto hat keine Kinder hinterlegt: Es gibt nichts zu öffnen.“
Veranstalter-Konto, in dessen Veranstalter-Profil schon jemand Zugang hat	Den Schlüssel des Profils hält nur das Profil. Eine Kollegin oder ein Kollege bestätigt das Konto per Emoji-Vergleich.	Wird beim Versand übersprungen.

Link und E-Mail

Punkt	Wert
E-Mail	„Ihr Zugang zu verschlüsselten Daten“ mit der Schaltfläche Browser verbinden und dem Text aus der Drawer
Gültigkeit	Einmal und 30 Tage. Danach entfällt der Schlüssel, und das Konto kann einen neuen Link bekommen.
Neuer Link	Ersetzt einen Link, den niemand geöffnet hat.
Ziel	Teilnahmekonten öffnen die Website, Veranstalter-Konten das Admin-Panel. Ohne Anmeldung zeigt die Seite zuerst die Anmeldung.
Postausgang	Zeigt die E-Mail ohne den Link und sendet sie nicht erneut.
Protokoll	Zugangslink gesendet

Nach dem Öffnen ist der Browser ein verbundenes Gerät, und der Link gilt nicht mehr. Veranstalter-Konten sehen die Kinder ihrer Angebote, sobald das Team sie weitergegeben hat; ein Veranstalter-Profil ohne Zugang gründet der Browser des Teammitglieds beim Versand.

Die Liste der Konten bleibt im Browser des Teammitglieds, das Link senden gewählt hat. Nach einem Neuladen läuft sie nur weiter, wenn sie vom selben Konto in derselben Anmeldung stammt und höchstens 24 Stunden alt ist. Sonst verwirft der Browser sie, ohne etwas zu versenden. Eine abgelaufene Sitzung zählt als andere Anmeldung, und beim Abmelden wird die Liste geleert.

Meldungen beim Versand:

Meldung	Wann
„{Anzahl} Zugangslinks werden im Hintergrund versendet.“	Nach Link senden
„Zugangslinks: {Anzahl} versendet, {Anzahl} übersprungen.“	Alle Konten sind abgearbeitet.
„Der Versand der Zugangslinks wurde abgebrochen. {Anzahl} versendet. Senden Sie die übrigen erneut.“	Ein Stapel ist fehlgeschlagen. Der Auftrag endet, und nichts läuft von selbst erneut.
„Entsperren Sie zuerst. Nur ein entsperrter Browser des Teams kann Schlüssel erstellen.“	Link senden in einem Browser, der nicht entsperrt ist
„Dieser Link gilt nicht mehr. …“	Der Link wurde verwendet, ist abgelaufen oder ersetzt.

Support-Freigabe

Nur in Installationen mit mehreren Mandanten. Admins eines Mandanten geben eine Teilnehmer:in oder ein Konto im Aktionsmenü mit Für Support freigeben befristet für globale Admins frei (Datensatz für den Support freigeben). Bei einem Mandanten, der verschlüsselt, hängt davon ab, was globale Admins sehen:

Fall	Was globale Admins sehen
Ohne Freigabe	Das maskierte Pseudonym, z. B. „K••• K•••“
Freigabe ohne Schlüssel	Das Pseudonym, z. B. „K7Q2“
Freigabe mit Schlüssel	Den Namen und die übrigen verschlüsselten Angaben des Datensatzes, entschlüsselt im eigenen Browser

Den Schlüssel des Datensatzes übergibt ein entsperrter Browser des Teams mit der Freigabe, und zwar für jeden Support-Schlüssel, den der Mandant bestätigt hat.

Dialog

Element	Inhalt	Auswirkung
Datensatz	Name, Geburtsdatum und Kennung	–
Übergabe	„Ihr Browser übergibt mit der Freigabe den Schlüssel dieses Datensatzes an den Support ({Namen}). Ein Schlüssel öffnet den ganzen Datensatz. Endet die Freigabe, wird er gelöscht; was der Support bis dahin gelesen hat, bleibt gelesen.“	In einem entsperrten Browser, wenn ein Support-Schlüssel bestätigt ist. Die Namen sind die Personen mit bestätigtem Support-Schlüssel. Der Browser übergibt genau den einen Datensatz, dessen Namen der Dialog oben entschlüsselt zeigt.
Nicht entsperrt	„Ihr Browser ist nicht entsperrt. So hebt die Freigabe nur die Maskierung auf: Der Support sieht „{Pseudonym}“, nicht den Namen.“ mit Entsperren	Entsperren öffnet den Zugangsdialog. Nach dem Entsperren zeigt der Dialog die Übergabe.
Kein Support-Schlüssel	„Für diesen Mandanten ist noch kein Support-Schlüssel bestätigt. Die Freigabe hebt deshalb nur die Maskierung auf: Der Support sieht „{Pseudonym}“, nicht den Namen.“ Dazu „Damit er Namen lesen kann, legt der Support seinen Schlüssel hier einmal vor, und Sie bestätigen ihn per Emoji-Vergleich.“ oder, wenn er vorgelegt ist, „Ist die Person am Telefon? Vergleichen Sie einmal die Emojis; danach übergibt Ihr Browser den Schlüssel des Datensatzes.“ mit Name, Fingerabdruck und Emojis vergleichen	Emojis vergleichen startet den Emoji-Vergleich wie im Zugangsdialog; danach lädt der Dialog neu.
Zeitraum der Freigabe	7 Tage, 14 Tage, 30 Tage, Bis Saisonende, jeweils mit dem Enddatum	Vorgewählt: 14 Tage. Läuft keine Saison, gilt Bis Saisonende 90 Tage.
Umfang	Nur Stammdaten: „Name und Geburtsdatum. Kontaktdaten und Notizen bleiben verdeckt.“, mit Support-Schlüssel dazu „Verschlüsselte Felder öffnet der Schlüssel des Datensatzes in beiden Umfängen.“ Vollständiger Datensatz: „Zusätzlich E-Mail, Mobil, Bearbeitungsnotizen und Zahlungsdetails.“	Vorgewählt: Vollständiger Datensatz. Die Umfänge unterscheiden sich nur in Angaben, die nicht verschlüsselt sind.
Grund · wird protokolliert	Pflichtfeld	Steht im Protokoll.
Freigeben	–	Gibt frei: „Der Datensatz ist jetzt für den Support freigegeben.“ Mit Übergabe verschlüsselt der Browser vorher den Schlüssel für den Support.

Freigabe jetzt beenden im Aktionsmenü, mit „bis {Datum}“, beendet die Freigabe sofort und löscht die übergebenen Schlüssel. Nach dem Ende des Zeitraums bekommt der Support keinen Schlüssel mehr; fepli löscht ihn spätestens eine Stunde danach. Das Protokoll verzeichnet Datensatz für Support freigegeben, Support-Freigabe beendet, Support-Freigabe abgelaufen, Schlüssel gelöscht und Support-Schlüssel bestätigt.

Support-Schlüssel

Globale Admins finden in einem fremden Mandanten, der verschlüsselt, unter Schlüssel & Geräte ihren Support-Schlüssel. Ein Support-Schlüssel gilt für alle Mandanten; jeder Mandant bestätigt ihn einmal per Emoji-Vergleich.

Der Schlüssel entsteht in dem Browser, in dem das Konto ihn einrichtet. Dieser Browser öffnet ihn danach von selbst.

Tooltip des Punkts	Wann	Dialog
„Support-Schlüssel einrichten“	Noch kein Support-Schlüssel	Support-Schlüssel einrichten: „Die Teilnehmerdaten von {Mandant} sind Ende-zu-Ende-verschlüsselt: Eine Support-Freigabe zeigt Ihnen ohne Schlüssel nur das Pseudonym. Auf diesem Gerät entsteht ein Support-Schlüssel, der für alle Mandanten gilt; jeder Mandant bestätigt ihn einmal per Emoji-Vergleich.“, darunter „Support · alle Mandanten“ und Support-Schlüssel einrichten. Danach legt der Dialog den Schlüssel im Mandanten vor.
„Support-Schlüssel vorlegen“	Support-Schlüssel vorhanden, in diesem Mandanten noch nicht vorgelegt	Auf einem Gerät, das den Support-Schlüssel öffnet, legt der Dialog ihn vor und wartet auf den Emoji-Vergleich (siehe unten). In einem anderen Browser heißt er Support-Schlüssel vorlegen und zeigt, was die Zeile „Anderer Browser“ nennt.
„Support-Schlüssel wartet auf Bestätigung“	Vorgelegt, noch nicht bestätigt	Auf einem Gerät, das den Support-Schlüssel öffnet, wartet der Dialog auf den Emoji-Vergleich. In einem anderen Browser heißt er Entsperren und zeigt, was die Zeile „Anderer Browser“ nennt.
Anderer Browser	Support-Schlüssel auf einem anderen Gerät eingerichtet	„Ihr Support-Schlüssel öffnet sich auf Ihren verbundenen Geräten, noch nicht auf diesem.“, Mit einem anderen Gerät verbinden und Kein verbundenes Gerät mehr?
Mit einem anderen Gerät verbinden im Support-Dialog	–	„Öffnen Sie fepli auf einem Gerät, das Ihren Support-Schlüssel öffnet, in einem Mandanten mit Verschlüsselung, und wählen Sie dort „Neues Gerät verbinden“. Lassen Sie dieses Fenster offen.“ Das Gerät mit dem Schlüssel zeigt Neues Gerät verbinden wie bei einem verbundenen Gerät. Die Mandanten behalten den bestätigten Schlüssel.
Kein verbundenes Gerät mehr?	–	Support-Schlüssel neu einrichten: „Sie richten Ihren Support-Schlüssel auf diesem Gerät neu ein. Der bisherige gilt danach nicht mehr: Jeder Mandant bestätigt den neuen wieder per Emoji-Vergleich, und laufende Freigaben müssen neu erteilt werden.“ Anfragen des alten Schlüssels erscheinen nicht mehr unter „Zugangsanfragen“ und lassen sich nicht bestätigen.

Nach dem Einrichten wartet der Dialog: „Bitten Sie ein Teammitglied von {Mandant}, Ihren Support-Schlüssel zu bestätigen – am Telefon, im Dialog „Für Support freigeben“ oder unter „Zugangsanfragen“. Lassen Sie dieses Fenster offen.“ Nach dem Vergleich zeigt er Support-Schlüssel bestätigt mit „{Mandant} hat Ihren Support-Schlüssel bestätigt. Was dieser Mandant Ihnen von jetzt an freigibt, lesen Sie in Ihrem Browser im Klartext.“ Beim Teammitglied steht „Der Support-Schlüssel von {Name} ist bestätigt. Ein entsperrter Browser des Teams übergibt ihm von jetzt an die Datensätze, die Sie für den Support freigeben.“

Meldungen

Meldung	Wann
„Die Namen Ihrer Kinder sehen Sie auf Ihren verbundenen Geräten, auf diesem noch nicht. …“	Schloss auf der Website, wenn der Dialog Dieses Gerät verbinden fehlt
„Das Entsperren hat nicht geklappt.“	Schloss auf der Website: ein anderer Fehler
„Der Schlüssel lässt sich hier nicht öffnen.“	Zugangsdialog: Ein Schlüssel ließ sich in diesem Browser nicht entschlüsseln.
„Noch nicht alle Admins haben einen Passkey.“	Nur mit Passkey einschalten, bevor alle einen haben
„Nicht entschlüsselbar: Der gespeicherte Wert ist beschädigt.“	Tooltip eines Werts, der sich nicht entschlüsseln lässt
„Das hat nicht geklappt.“	Ein anderer Fehler
„Das ist kein Wiederherstellungsschlüssel. Er beginnt mit „R1-“, danach folgen 30 Zeichen.“	Wiederherstellung, Schritt 1
„Der Schlüssel enthält einen Tippfehler: Die Prüfziffer passt nicht. Vergleichen Sie ihn Zeichen für Zeichen mit dem Notfall-Kit.“	Wiederherstellung, Schritt 1
„Dieser Schlüssel gehört zu keinem Notfall-Kit von {Mandant}.“	Wiederherstellung, Schritt 1
„Dieses Notfall-Kit gilt nicht mehr: Am {Datum} wurde ein neues erstellt. Verwenden Sie das neue Kit.“	Das Kit wurde ersetzt.
„Mit diesem Notfall-Kit wurde am {Datum} schon ein Zugang wiederhergestellt. Es öffnet nichts mehr; jemand mit Zugang muss ein neues erstellen.“	Das Kit wurde verwendet.
„Die E-Mail ist noch nicht bestätigt. Öffnen Sie den Link in der E-Mail an {E-Mail-Adresse} und klicken Sie dort auf „Wiederherstellung bestätigen“.“	Ich habe bestätigt vor der Bestätigung
„Die Wiederherstellung ist abgelaufen. Bitte beginnen Sie neu.“	Der Link ist abgelaufen.
„Diese Wiederherstellung gibt es nicht mehr. Bitte beginnen Sie neu.“	Die Wiederherstellung ist abgeschlossen oder durch eine neuere ersetzt.
„Zu viele Versuche. Versuchen Sie es ab {Uhrzeit} Uhr erneut.“	Zu viele Schlüssel eingegeben
„Die Verschlüsselung ist nicht eingeschaltet; es gibt nichts wiederherzustellen.“	Status nicht Aktiv
„Der Schlüssel des Teams passt nicht zum Notfall-Kit. Brechen Sie ab und wenden Sie sich an fepli.“	Wiederherstellung, Schritt 2 oder 3
„Der Schlüssel des Teams passt nicht zu dem, den Ihr Konto kennt. Es wird kein Notfall-Kit erstellt. Wenden Sie sich an fepli.“	Neues Notfall-Kit erstellen
„Die Kamera lässt sich nicht öffnen. Geben Sie den Schlüssel von Hand ein.“	QR-Code scannen in der Wiederherstellung
„Die Kamera lässt sich nicht öffnen. Vergleichen Sie stattdessen die Emojis.“	QR-Code scannen beim Verbinden eines Geräts
„Die Emojis stimmen nicht überein. Es wurde nichts freigegeben. Klären Sie mit der Person, was schiefging, bevor Sie es erneut versuchen.“	Stimmen nicht überein
„Der Vergleich wurde abgebrochen. Es wurde nichts freigegeben.“	Die andere Seite hat abgebrochen oder den Dialog geschlossen.
„Der Vergleich ist abgelaufen. Es wurde nichts freigegeben.“	Der Vergleich lag zu lange.
„Die Prüfung ist fehlgeschlagen. Es wurde nichts freigegeben.“	Ein Browser konnte die Schlüssel der anderen Seite nach dem Vergleich nicht bestätigen.
„Keine offenen Anfragen.“	Zugangsanfragen ohne Anfrage
„Der Dialog nennt nicht genau den Datensatz, der oben entschlüsselt steht. Es wurde nichts freigegeben.“	Freigeben im Dialog der Support-Freigabe
„Der Schlüssel des Datensatzes ließ sich in diesem Browser nicht öffnen. Es wurde nichts freigegeben.“	Freigeben im Dialog der Support-Freigabe
„Der Schlüssel des Datensatzes konnte nicht übergeben werden. Es wurde nichts freigegeben; öffnen Sie den Dialog neu.“	Freigeben im Dialog der Support-Freigabe, wenn fepli den übergebenen Schlüssel nicht annimmt