Mandantenfähige Architektur mit harter Trennung der Unternehmensdaten
Ein vergessener Abfragefilter genügt, um einen Mandanten preiszugeben
In einem gemeinsam genutzten Deployment ist die Mandantentrennung nur so stark wie die schwächste Abfrage. Filter auf Zeilenebene hängen davon ab, dass jede Entwicklerin und jeder Entwickler daran denkt, jeden Lese- und Schreibzugriff zu begrenzen — und an dem Tag, an dem es jemand vergisst, können die Verarbeitungsdatensätze, Lieferantenvereinbarungen oder Risikobeurteilungen eines Unternehmens in der Ansicht eines anderen auftauchen.
Dieser Fehlerfall lässt sich schwer ausschliessen und noch schwerer als beseitigt nachweisen. Wenn ein Sicherheitsteam oder eine Prüfstelle fragt: «Wie garantieren Sie, dass Mandant A die Daten von Mandant B nicht sehen kann?», lädt eine filterbasierte Antwort zu einer zeilenweisen Code-Prüfung ein, die Sie mit blossem Vertrauen nicht gewinnen können.
Jede Einheit als separate Konfiguration und separaten Datenspeicher ohne native Isolation zu verwalten, vervielfacht nur die Fläche, an der eine Grenze unbemerkt brechen kann.
Was Sie mit der Mandantentrennung tun können
- Jedes Unternehmen auf Datenspeicher-Ebene isolieren — jede Collection wird automatisch mit der Mandantenkennung präfixiert.
- Jede Abfrage auf den aktiven Mandanten begrenzen — der Unternehmenskontext wird pro Anfrage aufgelöst, ohne dass ein manueller Filter ergänzt werden muss.
- Isolation über alle 100+ Domänenmodelle erben — die Trennung stammt aus dem Basismodell, nicht aus funktionsspezifischem Code.
- Unternehmensübergreifenden Zugriff über einen zugelassenen Pfad leiten — nur ein expliziter Super-Admin-Geltungsbereich kann mandantenübergreifend lesen.
- Pro Unternehmen darstellen und navigieren — Anzeigename, Kennung und Metadaten steuern die Benutzeroberfläche und die Navigation.
Was es Ihrem Programm bringt
- Prüfstellen sagen, dass die Trennung strukturell und nicht prozedural ist — die Grenzen werden durch Collection-Scoping durchgesetzt, sodass Sie eine Architektur verteidigen statt eines Code-Prüfungsversprechens.
- Eine ganze Klasse mandantenübergreifender Datenlecks beseitigen — eine Abfrage kann ohne expliziten Geltungsbereich nicht auf den Speicher eines anderen Unternehmens zugreifen, sodass der Vorfall «jemand hat den Filter vergessen» gar nicht erst eintreten kann.
- Eine neue Einheit oder einen neuen Mandanten ohne Neuaufbau der Isolation onboarden — jede Einheit erhält ihren eigenen, begrenzten Datenspeicher unter demselben gesteuerten Modell.
- Sicherheitsteams eine einzige zu prüfende Massnahme geben — ein einziger Scoping-Mechanismus ersetzt die mandantenbezogene Logik je Abfrage, die Sie sonst überall prüfen müssten.
Für Compliance entwickelt
Dies ordnet die Funktion der Massnahmenabsicht von ISO 27001 und SOC 2 zu; Priverion unterstützt Sie hier bei Ihren Nachweisen und behauptet keine Zertifizierung in Ihrem Namen.
| Was das DPMS tut | Zugeordnet zu | Wie |
|---|---|---|
| Trennt Mandantendaten auf Speicherebene | ISO 27001 — Trennung in Umgebungen | Unternehmensbezogenes Collection-Präfixieren auf jedes Modell angewendet |
| Beschränkt den Zugriff standardmässig auf den aktiven Mandanten | SOC 2 — logische Zugriffskontrollen | Der Unternehmenskontext je Anfrage begrenzt alle Lese- und Schreibzugriffe |
| Beschränkt unternehmensübergreifenden Zugriff auf einen Pfad | SOC 2 — Zugriff nach dem Least-Privilege-Prinzip | Mandantenübergreifende Abfragen erfordern einen expliziten Super-Admin-Geltungsbereich |
Warum Priverion
Anders als universelle GRC-Tools, die die Mandantentrennung mit Filtern auf Zeilenebene auf ein gemeinsames Schema aufpfropfen, macht DPMS die Isolation strukturell: Ein einziger CompanyHandler präfixiert jede Collection mit der Unternehmenskennung, und alle 100+ Domänenmodelle erben dieses Scoping aus einer einzigen Basisklasse. Es gibt keine mandantenbezogene Logik je Abfrage, die man vergessen könnte. Verarbeitungsverzeichnis-, DSFA-, Risiko- und Lieferantendaten bleiben jeweils innerhalb ihrer Unternehmensgrenze durch denselben gesteuerten Mechanismus — die Isolation ist Teil der Plattform und nicht je Funktion aufgepfropft.
Fragen, die CISOs vor einer Demo stellen
Wie trennt Priverion die Daten eines Unternehmens von denen eines anderen?
Handelt es sich um Filterung auf Zeilenebene oder um echte Trennung?
Kann jemand unternehmensübergreifend abfragen?
Müssen wir jeder neuen Funktion oder jedem neuen Modell Isolationslogik hinzufügen?
Verwandte Funktionen entdecken
Bereit für eine Mandantentrennung, die Sie in einem Audit verteidigen können?
