Eigentlich ist das Zugriffsrechte-Thema nicht sehr komplex:
Alle Attribute, die in der API angesprochen werden (egal ob in der Auswahl oder in Filtern/Sub-Queries), müssen für GET-Abfragen mindestens lesend für die Anmeldung zugänglich sein, die den API-Aufruf ausführt. Das kann direkt sein, oder über geerbte Rollen. Wenn da was schief geht, hat man meistens die Rolle nicht zugewiesen oder Benutzer verwechselt - jedenfalls passiert mir das oft genug...
Neben den direkten Berechtigungen (RWD), gibt es aber noch die Richtlinien (unter Relationen). Wenn eine Richtline auf einer der betroffenen Relationen aktiv ist, kann der Zugriff auf bestimmte Datensätze (auch lesend) gesperrt werden - je nachdem, wie die Richtlinie definiert ist. Das würde ich vllt. zuerst ausschließen.
Wenn ihr den Fehler nicht gleich findet - ich könnte mir die App auch kurz anschauen, wenn da nix geheimes drinsteht.
