diff --git a/messages/uniworx/de-de-formal.msg b/messages/uniworx/de-de-formal.msg
index de2ed76ba..1a687b865 100644
--- a/messages/uniworx/de-de-formal.msg
+++ b/messages/uniworx/de-de-formal.msg
@@ -457,6 +457,7 @@ UnauthorizedSchoolAdmin: Sie sind nicht als Administrator für dieses Institut e
 UnauthorizedAdminEscalation: Sie sind nicht Administrator für alle Institute, für die dieser Nutzer Administrator oder Veranstalter ist.
 UnauthorizedExamOffice: Sie sind nicht mit Prüfungsverwaltung beauftragt.
 UnauthorizedExamExamOffice: Es existieren keine Prüfungsergebnisse für Nutzer, für die Sie mit der Prüfungsverwaltung beauftragt sind.
+UnauthorizedSystemExamOffice: Sie sind nicht mit systemweiter Prüfungsverwaltung beauftragt.
 UnauthorizedExternalExamExamOffice: Es existieren keine Prüfungsergebnisse für Nutzer, für die Sie mit der Prüfungsverwaltung beauftragt sind.
 UnauthorizedEvaluation: Sie sind nicht mit der Kursumfragenverwaltung beauftragt.
 UnauthorizedAllocationAdmin: Sie sind nicht mit der Administration von Zentralanmeldungen beauftragt.
@@ -1455,6 +1456,7 @@ AuthPredsActiveChanged: Authorisierungseinstellungen für aktuelle Sitzung gespe
 AuthTagFree: Seite ist universell zugänglich
 AuthTagAdmin: Nutzer ist Administrator
 AuthTagExamOffice: Nutzer ist mit Prüfungsverwaltung beauftragt
+AuthTagSystemExamOffice: Nutzer ist mit systemweiter Prüfungsverwaltung beauftragt
 AuthTagEvaluation: Nutzer ist mit Kursumfragenverwaltung beauftragt
 AuthTagAllocationAdmin: Nutzer ist mit der Administration von Zentralanmeldungen beauftragt
 AuthTagToken: Nutzer präsentiert Authorisierungs-Token
diff --git a/messages/uniworx/en-eu.msg b/messages/uniworx/en-eu.msg
index ade2650a1..a33b05a8f 100644
--- a/messages/uniworx/en-eu.msg
+++ b/messages/uniworx/en-eu.msg
@@ -457,6 +457,7 @@ UnauthorizedExamOffice: You are not part of an exam office.
 UnauthorizedEvaluation: You are not charged with course evaluation.
 UnauthorizedAllocationAdmin: You are not charged with the administration of central allocations.
 UnauthorizedExamExamOffice: You are not part of the appropriate exam office for any of the participants of this exam.
+UnauthorizedSystemExamOffice: You are not charged with system wide exam administration
 UnauthorizedExternalExamExamOffice: You are not part of the appropriate exam office for any of the participants of this exam.
 UnauthorizedSchoolLecturer: You are no lecturer for this department.
 UnauthorizedLecturer: You are no administrator for this course.
@@ -1455,6 +1456,7 @@ AuthPredsActiveChanged: Authorisation settings saved for the current session
 AuthTagFree: Page is freely accessable
 AuthTagAdmin: User is administrator
 AuthTagExamOffice: User is part of an exam office
+AuthTagSystemExamOffice: User is charged with system wide exam administration
 AuthTagEvaluation: User is charged with course evaluation
 AuthTagAllocationAdmin: User is charged with administration of central allocations
 AuthTagToken: User is presenting an authorisation-token
diff --git a/routes b/routes
index 1bb1c3f9a..810aeb824 100644
--- a/routes
+++ b/routes
@@ -79,10 +79,10 @@
 /user/storage-key          StorageKeyR             POST        !free
 
 /exam-office               ExamOfficeR                         !exam-office:
-  /                        EOExamsR            GET
+  /                        EOExamsR            GET             !system-exam-office
   /fields                  EOFieldsR           GET POST
-  /users                   EOUsersR            GET POST
-  /users/invite            EOUsersInviteR      GET POST
+  /users                   EOUsersR            GET POST        !system-exam-office
+  /users/invite            EOUsersInviteR      GET POST        !system-exam-office
 
 /external-exam             EExamListR          GET             !lecturer !¬empty
 /external-exam/new         EExamNewR           GET POST        !lecturer
diff --git a/src/Foundation/Authorization.hs b/src/Foundation/Authorization.hs
index 991224b2f..0997791f4 100644
--- a/src/Foundation/Authorization.hs
+++ b/src/Foundation/Authorization.hs
@@ -324,6 +324,11 @@ tagAccessPredicate AuthAdmin = APDB $ \mAuthId route _ -> case route of
     adrights <- lift $ selectFirst [UserFunctionUser ==. authId, UserFunctionFunction ==. SchoolAdmin] []
     guardMExceptT (isJust adrights) (unauthorizedI MsgUnauthorizedSiteAdmin)
     return Authorized
+tagAccessPredicate AuthSystemExamOffice = APDB $ \mAuthId _ _ -> $cachedHereBinary mAuthId . exceptT return return $ do
+  authId <- maybeExceptT AuthenticationRequired $ return mAuthId
+  isExamOffice <- lift $ exists [UserSystemFunctionUser ==. authId, UserSystemFunctionFunction ==. SystemExamOffice, UserSystemFunctionIsOptOut ==. False]
+  guardMExceptT isExamOffice $ unauthorizedI MsgUnauthorizedSystemExamOffice
+  return Authorized
 tagAccessPredicate AuthExamOffice = APDB $ \mAuthId route _ -> case route of
   CExamR tid ssh csh examn _ -> $cachedHereBinary (mAuthId, tid, ssh, csh, examn) . exceptT return return $ do
     authId <- maybeExceptT AuthenticationRequired $ return mAuthId
diff --git a/src/Model/Types/Security.hs b/src/Model/Types/Security.hs
index 8fa709687..9df7be8ab 100644
--- a/src/Model/Types/Security.hs
+++ b/src/Model/Types/Security.hs
@@ -52,6 +52,7 @@ data AuthTag -- sortiert nach gewünschter Reihenfolge auf /authpreds, d.h. Prä
   | AuthTutor
   | AuthTutorControl
   | AuthExamOffice
+  | AuthSystemExamOffice
   | AuthEvaluation
   | AuthAllocationAdmin
   | AuthAllocationRegistered