Schulung und Zertifizierung als Zugang im Freiwilligen-CRM

Wir haben das Schulungsmodul als Teil der Webanwendung der Organisation umgesetzt: Lernmaterial, dann eine Frage, dann sofort die Erklärung. Der Test hat eine konfigurierbare Bestehensgrenze (der Kunde hat 80 % festgelegt) und optional ein Limit für Versuche. Wer besteht, erhält sofort ein Zertifikat mit öffentlicher Prüfseite, aufrufbar per Nummer oder QR-Code und ohne Login. Ohne Zertifikat sehen Freiwillige keine Aufgaben und können keine übernehmen. Jeder der 16 Bereiche ergänzt eigene Inhalte und einen eigenen Test, der die Aufgaben dieses Bereichs freischaltet.

Die eigentliche Herausforderung war ein eindeutiger Zugang. Im Django-Backend beantwortet ein einziges Access-Gate die Frage „Darf diese Person arbeiten?“ und liefert für jede Ablehnung einen eigenen Grund: Schulung nicht bestanden, Zertifikat widerrufen, Bereich nicht zugelassen, Zulassung entzogen. Ein automatisierter Test lässt den Build fehlschlagen, sobald Code Zertifikate an diesem Gate vorbei ausliest. So bleibt die Regel auch bei wachsendem CRM bestehen.

Weitere Entscheidungen, die das System verlässlich machen:

• Richtige Antworten gelangen nie in den Browser.
• Zertifikatsnummern enthalten einen langen Zufallsanteil, rund 3,5·10¹³ Kombinationen pro Land. Die öffentliche Prüfseite lässt sich damit nicht durchprobieren; das ersetzte einen fortlaufenden Zähler.
• Ein Doppelklick erzeugte früher Versuche über dem Limit und zwei Zertifikate mit unterschiedlichen Nummern. Ein Row-Lock pro Freiwilligem und Unique-Constraints in der Datenbank haben diese Race Condition beseitigt.
• Die Grenze wird in Prozent gespeichert, gewertet werden nur tatsächlich angezeigte Fragen. Wer einen Test bearbeitet, senkt also weder die Hürde noch lässt er jemanden mitten im Versuch durchfallen.
• Ein widerrufenes Zertifikat wird mit Person, Zeitpunkt und Grund markiert statt gelöscht. Bereits übernommene Aufgaben bleiben, eine Wiederholung ist gesperrt.

Die Codebasis ist mit rund 3.100 Backend-Tests und etwa 120 Frontend-Testdateien abgesichert, Admins melden sich verpflichtend mit Zwei-Faktor-Authentifizierung an.