Man braucht nicht jedem User einzeln Rechte für (Abfrage-)Masken geben, sondern kann dies auch über die Zugehörigkeit zu einer Gruppe erledigen.