Paperless-ngx in der Familie nutzen: Benutzer, Gruppen und Rechte

Ein Dokumentenarchiv für die ganze Familie klingt einfach: Alle laden ihre Dokumente hoch, alle finden alles. In der Praxis soll aber die Steuererklärung des einen nicht beim anderen auftauchen, während die Versicherungspolice für beide sichtbar sein soll. Paperless-ngx kann beides, wenn du Benutzer, Gruppen und Rechte von Anfang an sauber einrichtest.

Hier zeige ich, wie ich Paperless-ngx für mehrere Personen aufsetze: ein Konto pro Person, eine Gruppe für gemeinsame Dokumente, zentral gepflegte Dokumenttypen, ein Postfach pro Person für den Import und die Absicherung mit Zwei-Faktor-Anmeldung. Die Anleitung setzt eine laufende Paperless-Installation voraus, zum Beispiel nach der VPS-Anleitung.

Wie Rechte in Paperless funktionieren

Paperless kennt zwei Ebenen:

• Globale Rechte legen fest, welche Bereiche ein Benutzer überhaupt öffnen darf: Dokumente, Tags, Korrespondenten, Workflows, Einstellungen. Pro Bereich gibt es Ansehen, Hinzufügen, Ändern und Löschen.
• Rechte pro Objekt legen fest, wer ein einzelnes Dokument, einen Tag oder einen Korrespondenten sehen und bearbeiten darf. Jedes Objekt hat einen Eigentümer. Nur der Eigentümer sieht es, bis er Ansicht oder Bearbeitung für Benutzer oder Gruppen freigibt.

Daraus folgen drei Regeln, die in der Familie wichtig sind:

1. Neue Benutzer haben zunächst keine globalen Rechte, außer denen ihrer Gruppen.
2. Rechte an einem Tag gelten nur für den Tag selbst, nicht für die Dokumente mit diesem Tag.
3. Dokumente ohne Eigentümer sieht jeder Benutzer. Das betrifft Dateien aus dem consume-Ordner, sofern du keinen Eigentümer zuweist.

Die dritte Regel ist die häufigste Falle. Wer den Scanner an den Consume-Ordner hängt und nichts weiter einrichtet, hat ein Archiv, in dem jeder alles sieht. Wie du den Eigentümer automatisch setzt, steht weiter unten bei den Workflows.

Benutzer und Gruppe anlegen

Den Administrator brauchst du nur für die Einrichtung. Im Alltag arbeitet jeder mit einem eigenen Konto.

1. Öffne Einstellungen → Benutzer & Gruppen → Benutzer und klicke auf Hinzufügen. Lege für dich und für jede weitere Person ein Konto an, jeweils mit eigenem Passwort. Lass Staff und Superuser ausgeschaltet. Ein Superuser sieht alle Dokumente.
2. Wechsle zu Gruppen und lege eine Gruppe Familie an. Ordne alle Benutzer zu. Die Gruppe steht später für Dokumente, die mehrere sehen sollen.
3. Öffne die Gruppe und aktiviere unter Berechtigungen nur das, was ihr im Alltag braucht: Dokumente ansehen, hinzufügen und ändern, außerdem Tags und Korrespondenten. Mailkonten, Workflows und die Benutzerverwaltung bleiben dem Administrator vorbehalten.
4. Gib für UISettings mindestens Ansehen frei. Ohne dieses Recht kann ein Benutzer die Weboberfläche nicht nutzen.

Wenn Personen nur lesen sollen, etwa Kinder oder der Steuerberater, gibst du ihnen in einer eigenen Gruppe nur Ansehen.

Dokumenttypen zentral halten

Je mehr Leute Dokumenttypen anlegen, desto unübersichtlicher wird die Liste: “Rechnung”, “Rechnungen”, “Rechnung (Auto)”. Ich halte die Typen deshalb zentral. Setze in der Gruppe bei DocumentType nur Ansehen. Dann legt der Administrator die Typen an, und alle anderen können sie ihren Dokumenten zuweisen, aber keine neuen erfinden. Dasselbe gilt für Zusatzfelder (CustomField).

Sinnvolle Typen sind Rechnung, Vertrag, Brief, Bescheid, Anleitung und Sonstiges. Bei den Tags halte ich es genauso knapp: gemeinsame Tags wie Arbeit, Auto, Gesundheit, Steuern und Wohnen, dazu Inbox für alles, was noch nicht geprüft ist. Korrespondenten sind die konkreten Absender wie Stromanbieter, Krankenkasse oder Finanzamt.

Wer ein Dokument besitzt, sagt Paperless über den Eigentümer, nicht über einen Tag. Einen Tag Anna brauchst du also nicht.

Private und gemeinsame Dokumente

Ein Dokument ist zunächst nur für seinen Eigentümer sichtbar. Für gemeinsame Dokumente öffnest du es und wählst den Reiter Berechtigungen. Dort gibst du der Gruppe Familie Ansehen oder Bearbeiten.

Mehrere Dokumente auf einmal stellst du so um: In der Dokumentenliste markierst du sie und klickst auf Berechtigungen.

Beachte, dass Tags, Korrespondenten und Typen eigene Rechte haben. Legt Anna einen Tag an, sieht ihn zunächst nur sie. Damit alle ihn nutzen können, gibst du ihn unter Attribute für die Gruppe frei. Sieht jemand ein Objekt nicht, zeigt Paperless dort “Privat” an.

Dokumente per E-Mail einsammeln

Mit einem Postfach pro Person muss niemand wissen, wie Paperless funktioniert. Anna schickt ihre Rechnung an anna-papiere@deinedomain.de, und sie landet in ihrem Bereich. Praktisch sind ein Postfach pro Person und eines für gemeinsame Dokumente, zum Beispiel papiere@deinedomain.de. Du legst sie bei deinem Hoster an.

1. Mailkonto anlegen: Melde dich als Administrator im Django-Admin an (https://paperless.deinedomain.de/admin) und öffne E-Mail-Konten → Hinzufügen. Trage Benutzername, Passwort, IMAP-Server und Port ein. Den Servernamen nimmst du aus den Unterlagen deines Hosters, nicht einfach deinen Domainnamen.
2. Mailregel anlegen: Unter E-Mail-Regeln legst du pro Postfach eine Regel an, zum Beispiel Anna, Import. Ich verarbeite nur Anhänge, die zu *.pdf,*.jpg,*.jpeg,*.png,*.tif,*.tiff passen. Signaturbilder in Mails bleiben so draußen.
3. Eigentümer per Workflow zuweisen: Unter Workflows legst du pro Postfach einen an. Als Auslöser wählst du die Quelle Mail Fetch und die passende E-Mail-Regel. Die Aktion ist eine Zuordnung, bei der du den Eigentümer auf den richtigen Benutzer setzt. Für das gemeinsame Postfach setzt du zusätzlich die Gruppe Familie als Anzeigeberechtigte. Dann sehen alle das Dokument, bearbeiten darf es nur der Eigentümer.

Die Bezeichnungen können je nach Sprache und Version abweichen. Paperless prüft die Postfächer standardmäßig alle zehn Minuten. Teste mit einer Mail samt PDF-Anhang: Das Dokument sollte nach spätestens zehn Minuten auftauchen, nur für den richtigen Benutzer sichtbar.

Das gleiche Muster funktioniert für den Scanner. Ein Netzwerkscanner kann den Scan per E-Mail an das Postfach der jeweiligen Person schicken, oder du nutzt den Consume-Ordner mit Unterordnern pro Person, wie in der Scanner-Anleitung. Für Unterordner brauchst du ebenfalls einen Workflow, der den Eigentümer setzt, denn Dateien aus dem Ordner haben sonst keinen.

Anmeldung absichern

Mit mehreren Konten steigt das Risiko eines schwachen Passworts.

• Zwei-Faktor-Anmeldung: Jeder Benutzer aktiviert sie selbst unter Mein Profil. Er scannt einen QR-Code mit einer Authenticator-App und notiert die zehn Wiederherstellungscodes. Verliert jemand Handy und Codes, kann ein Superuser die Zwei-Faktor-Anmeldung in der Benutzerverwaltung zurücksetzen.
• Passwort zurücksetzen: Die Funktion braucht einen Mailserver. Setze dazu PAPERLESS_EMAIL_HOST und die zugehörigen Einstellungen sowie PAPERLESS_URL.
• Zentrale Anmeldung: Wer mehrere Dienste betreibt, kann Paperless an einen Identity-Provider wie Pocket ID anbinden. Dann meldet sich jeder mit einem Passkey an, wie in der Pocket-ID-Anleitung beschrieben.

Backup nicht vergessen

Konten, Mailregeln, Typen und Rechte sind Arbeit, die du nicht noch einmal machen willst. Sie stecken in der Datenbank. Ein Export mit document_exporter sichert die Dokumente samt Metadaten und Eigentümern. Wie du das automatisierst, steht in Paperless Backup und Restore.

Typische Fehler

Alle sehen alle Dokumente. Die Dokumente haben keinen Eigentümer, oft weil sie aus dem Consume-Ordner kommen. Setze per Workflow einen Eigentümer und weise bestehende Dokumente über die Massenbearbeitung zu.

Ein Benutzer sieht die Weboberfläche nicht. Ihm fehlt das globale Recht UISettings → Ansehen.

Ein Tag erscheint als “Privat”. Der Tag gehört einem anderen Benutzer und ist nicht für die Gruppe freigegeben. Der Eigentümer oder ein Administrator gibt ihn frei.

Jemand legt ständig neue Dokumenttypen an. Entziehe der Gruppe das Recht, Dokumenttypen hinzuzufügen, und lass nur Ansehen übrig.

FAQ