Restriction Rules vs. Scoping Rules vs. Sharing Rules

Der Großteil des Salesforce-Freigabemodells kennt nur eine Richtung: Zugriff öffnen. Restriction Rules und Scoping Rules sind die neueren Werkzeuge, die das ändern — sie tun jedoch sehr unterschiedliche Dinge und werden leicht verwechselt. So hängen alle drei zusammen.

Die Übersicht in einer Zeile

Sharing Rules — Zugriff öffnen. Datensätze für Benutzer freigeben, die sie sonst nicht sehen würden.
Restriction Rules — Zugriff reduzieren. Datensätze herausfiltern, die ein Benutzer sonst sehen dürfte.
Scoping Rules — die Ansicht fokussieren. Ändern, welche Datensätze standardmäßig erscheinen, ohne den Zugriff zu verändern.

Zwei davon betreffen die Sicherheit; eines nicht. Genau diese Unterscheidung sollten Sie im Kopf behalten.

Sharing Rules setzen auf dem organisationsweiten Standard auf und gewähren zusätzlichen Zugriff über Eigentümerschaft oder Kriterien. Sie können den Zugriff nur erweitern — niemals einschränken. Wenn Sie eine Auffrischung dazu brauchen, wie sie sich zur Hierarchie verhalten, lesen Sie Sharing Rules vs. Rollenhierarchie.

Das ist das additive, am wenigsten restriktive Verhalten (“most-permissive-wins”), das im Kern des Datensatzzugriffsmodells steht.

Restriction Rules: Zugriff reduzieren

Restriction Rules sind die Ausnahme zu der Regel “Salesforce-Freigaben öffnen den Zugriff nur”. Eine Restriction Rule definiert, welche Datensätze ein Benutzer sehen darf, und wird auf alles aufgesetzt, was das Freigabemodell gewährt hat — und filtert das Ergebnis damit effektiv.

Wenn der organisationsweite Standard, die Rollenhierarchie und Sharing Rules zusammen einem Benutzer 10.000 Datensätze zeigen würden, kann eine Restriction Rule das auf die Teilmenge eingrenzen, die ihren Kriterien entspricht.

Beispiel. Support-Mitarbeiter haben über eine Sharing Rule breiten Zugriff auf Cases, doch die Vertragskräfte unter ihnen sollen nur nicht vertrauliche Cases sehen. Eine Restriction Rule auf Case — Confidential = false für das Berechtigungsset der Vertragskräfte — entfernt die vertraulichen aus dem, was sie sehen können, obwohl die Freigabe sie technisch gewährt hat.

Zu diesem Werkzeug greifen Sie, wenn die Frage lautet: “Wie nehme ich Zugriff weg?”

Scoping Rules: Fokus, nicht Sicherheit

Scoping Rules steuern, welche Datensätze standardmäßig in Listenansichten, Suchen und Berichten erscheinen — basierend auf Bedingungen wie Eigentümer, Rolle oder Region. Entscheidend dabei:

Scoping Rules schränken den Zugriff nicht ein. Ein Benutzer kann den Geltungsbereich auf “alle Datensätze, auf die ich zugreifen kann” umschalten und alles sehen, was die Freigabe ihm gewährt.

Sie sind eine Produktivitätsfunktion: Sie zeigen einem ausgelasteten Vertriebsmitarbeiter zuerst seine eigene Region, ohne ihn darauf festzulegen. Wenn ein Benutzer am Sehen von Datensätzen gehindert werden muss, sind Scoping Rules das falsche Werkzeug — verwenden Sie dann Restriction Rules.

Im direkten Vergleich

	Sharing Rules	Restriction Rules	Scoping Rules
Wirkung auf den Zugriff	Öffnet	Reduziert	Keine
Sicherheitskontrolle?	Ja	Ja	Nein (nur Fokus)
Kann der Benutzer es übersteuern?	Nein	Nein	Ja (Geltungsbereich umschalten)
Richtung	Zugriff hinzufügen	Zugriff entfernen	Standardansicht filtern
Typische Grenze	Viele	~2 aktiv/Objekt	~2 aktiv/Objekt

Alle drei zusammen einsetzen

Ein realistisches Objekt könnte alle drei nutzen: einen privaten OWD, Sharing Rules, um Teams den nötigen Zugriff zu geben, eine Restriction Rule, um eine sensible Teilmenge von den Vertragskräften abzuschirmen, und eine Scoping Rule, damit jeder Benutzer standardmäßig auf seiner eigenen Region landet. Jedes erfüllt eine Aufgabe; zusammen bestimmen sie sowohl, was Benutzer sehen können, als auch, was sie zuerst sehen.

Der Haken: der effektive Zugriff ist die Summe

Das Übereinanderschichten von Werkzeugen, die öffnen, reduzieren und fokussieren, macht die Frage “Was kann dieser Benutzer eigentlich sehen?” durch bloßes Hinsehen wirklich schwer zu beantworten — die gewährten Freigaben minus der Restriction-Filter, unter Ausklammerung des Scopings. Genau diese Berechnung übernimmt AgentForceAccess für Sie: Fragen Sie, worauf ein Benutzer tatsächlich zugreifen kann, und es berücksichtigt sowohl die Freigabe, die den Zugriff gewährt, als auch die Restriction Rules, die ihn wieder zurechtstutzen — in verständlicher Sprache.

Häufig gestellte Fragen

Was ist der Unterschied in einem Satz?

Sharing Rules gewähren einem Benutzer Zugriff, den er nicht hatte, Restriction Rules entziehen ihm Zugriff, den er hatte, und Scoping Rules filtern nur die Listenansichten und Suchen vor, ohne den Zugriff überhaupt zu beeinflussen.

Kann eine Restriction Rule eine Sharing Rule oder die Rollenhierarchie außer Kraft setzen?

Ja. Restriction Rules werden auf das Freigabemodell aufgesetzt und filtern die Datensätze, die ein Benutzer sehen kann — selbst solche, die der organisationsweite Standard, die Rollenhierarchie oder Sharing Rules andernfalls offenlegen würden. Mit ihnen reduzieren Sie den Zugriff in Salesforce wirklich.

Verbergen Scoping Rules Datensätze aus Sicherheitsgründen?

Nein. Scoping Rules ändern nur die Standardmenge der Datensätze, die in Listenansichten, Suchen und Berichten angezeigt werden. Ein Benutzer kann den Geltungsbereich auf "alle Datensätze, auf die ich zugreifen kann" umschalten — es geht also um Fokus und Produktivität, nicht um Sicherheit. Verwenden Sie Restriction Rules, wenn der Zugriff tatsächlich eingeschränkt werden muss.

Gibt es Grenzen für diese Regeln?

Ja. Restriction Rules und Scoping Rules sind in der Regel jeweils auf bis zu 2 aktive Regeln pro Objekt begrenzt und stehen für benutzerdefinierte Objekte sowie eine Auswahl von Standardobjekten wie Account, Case, Contact, Event, Lead, Opportunity und Task zur Verfügung. Prüfen Sie die aktuellen Grenzen für Ihre Edition.