B2B- & Mandanten-Plattformen

Mandantenfähigkeit, Rollen und Rechte liegen bei uns von der ersten Zeile an im Fundament. Durchgesetzt wird die Trennung in der Datenschicht: Was der Client anfragt, ist ein Wunsch; was er bekommt, entscheidet der Server. Im Frontend lässt sich eine Mandantengrenze deshalb gar nicht überschreiten.

Damit diese Regel auch nach Monaten noch gilt, verlassen wir uns nicht auf Aufmerksamkeit. In der RetterApp laufen dafür Wächter-Tests über die real registrierten Schnittstellen: Die Anwendung wird im Test hochgefahren, meldet jede Route, und pro Route wird geprüft, ob der passende Schutz hängt. Eine neue Änderungsroute ohne Eigentümerprüfung? Rot. Eine neue Verwaltungsroute ohne Zwei-Faktor-Gate? Rot — automatisch, bei jeder Änderung.

Beim Rechtemodell arbeiten wir mit einer konfigurierbaren Rollen-Rechte-Matrix statt mit hartkodierten Sonderfällen. Wirkungsstarke Aktionen bekommen eine zusätzliche Hürde: eine frische Bestätigung innerhalb eines kurzen Zeitfensters. Der Wächter dafür fordert sie bei einer neuen Aktion von sich aus ein, statt sie stillschweigend entfallen zu lassen — Vergessen fällt damit auf die sichere Seite.

Und weil ein Verwaltungsprotokoll, das der Administrator selbst ändern kann, nichts beweist, haben wir es mit Manipulationsnachweis gebaut. Wenn ein Geschäftskunde fragt, wer wann auf seine Daten zugegriffen hat, ist das dadurch eine beantwortbare Frage.

Für unsere eigene Plattform (in Entwicklung, noch nicht buchbar) geht die Bauvorgabe weiter: Jeder Mandant bekommt dort eine eigene Datenbank; eine gemeinsame Tabelle mit Mandantenspalte als einzige Schutzschicht ist ausgeschlossen. Das kostet im Betrieb Aufwand — Migrationen, Überwachung und Sicherung laufen je Datenbank —, und genau deshalb steht im selben Dokument, ab welcher Mandantenzahl das Modell neu bewertet werden muss.