Wie testet man Mandantentrennung bei SaaS-Datenexporten?
Mandantentrennung bedeutet mehr als die Bildschirmfilterung nach Kunden. Exportabfragen, Hintergrundaufgaben, Dateispeicherung und Downloadlinks müssen dieselbe Kundenberechtigung durchsetzen.…
Was enthält dieser Artikel?
Kurzantwort
Mandantentrennung bedeutet mehr als die Bildschirmfilterung nach Kunden. Exportabfragen, Hintergrundaufgaben, Dateispeicherung und Downloadlinks müssen dieselbe Kundenberechtigung durchsetzen. Tests müssen gesondert prüfen, dass die Berichtskennung eines Kunden keinen Zugriff auf Dateien eines anderen ermöglicht.
Die Trennung muss in der Berichtswarteschlange bestehen bleiben
Vertrauen Sie einem vom Nutzer gewählten Mandantenparameter nicht als Identität. Der Server muss prüfen, welche Berichte der Nutzer im Kundenbereich erstellen darf. Warteschlangenaufgaben benötigen Mandantenkennung, Berichtsumfang und Berechtigungskontext; Worker müssen innerhalb dieser Grenze abfragen. Eine Berechtigung bei Erstellung rechtfertigt keinen öffentlichen Dateidownload.
Ein Dateiname oder eine schwer erratbare URL ersetzt keine Zugriffskontrolle. Prüfen Sie beim Download erneut die aktuellen Nutzerrechte. Definieren Sie bei temporären Links Weitergaberisiken, Gültigkeitsdauer und Anforderungen an den Widerruf. Der Abnahmetest muss auch Downloadversuche über alte Links durch Nutzer mit entzogenen Zugriffsrechten abdecken.
Den Berichtsumfang sichtbar prüfbar machen
Zeigen Sie Zeitraum, Kundenbereich und Erstellungszeit in der Datei. Diese Angaben erleichtern betriebliche Prüfungen, sind aber keine Sicherheitsmechanismen. Ein Cacheschlüssel ohne Mandantenkennung kann einen Bericht an den falschen Kunden ausgeben. Identische Parameter zweier Mandanten benötigen deshalb einen eigenen Test.
Auch vorübergehender Supportzugriff muss im Berichtssystem abgebildet werden. Protokollieren Sie delegierte Rechte und Ausnahmerollen ausdrücklich; ein allgemeines „Admin“-Label darf nicht standardmäßig uneingeschränkte Downloads aller Kundendateien erlauben. OWASPs Ansatz zur Objektautorisierung kann Prüfungen von Berichts- und Dateikennungen leiten.
Negativtests als Lieferkriterium
Erstellen Sie verschieden markierte Beispieldaten in zwei Testmandanten. Lassen Sie Nutzer eins die Berichtskennung, Datei-URL und Filterparameter des zweiten versuchen. Prüfen Sie den Mandantenkontext in Aufgaben und die Trennung der Cacheschlüssel. Die Ausgabe darf keine Markierung des anderen Mandanten enthalten. Testen Sie jeden Berichtstyp und jede Rolle gesondert.
Checkliste für die Umsetzung
- Wird die Mandantenidentität serverseitig geprüft?
- Verwendet der Worker dieselbe Datengrenze?
- Wird der Download gesondert autorisiert?
- Ist der Cache nach Kundenkontext getrennt?
- Wurden Negativtests mit der Kennung eines anderen Mandanten durchgeführt?
Häufige Fragen
Sorgen UUIDs für Mandantentrennung?
Sie können das Erraten erschweren, ersetzen aber keine Berechtigungsprüfung.
Was passiert bei Rechteentzug während der Berichterstellung?
Prüfen Sie beim Download die aktuellen Rechte; frühere Erstellungsrechte dürfen keinen unbegrenzten Downloadzugriff gewähren.
Umfang und Grenzen
Diese Tests betreffen einen bestimmten Exportablauf. Prüfen Sie Mandantentrennung gesondert für sämtliche APIs, Dateien und Hintergrundvorgänge.
Quellen und Aktualität
Quellenprüfung: 7. Oktober 2026. Versionen verlinkter Dokumente und Anbieterbedingungen können sich ändern. Prüfen Sie vor der Umsetzung die aktuelle Fassung der jeweiligen Quelle.