Mandantenfähigkeit und Row-Level-Security richtig aufsetzen

Sobald zwei Kunden dieselbe Datenbank benutzen, wird Mandantentrennung zur wichtigsten Sicherheitseigenschaft des Systems. Ein Fehler dort ist kein Bug, sondern ein meldepflichtiger Datenschutzvorfall. Und anders als ein Layoutfehler fällt er oft monatelang niemandem auf.

Drei Trennmodelle

Für vertikale Produkte mit hunderten Betrieben ist das dritte Modell fast immer richtig – vorausgesetzt, die Trennung liegt in der Datenbank und nicht im Anwendungscode.

Warum die Trennung in die Datenbank gehört

Wenn jede Abfrage im Code selbst daran denken muss, nach der Mandanten-ID zu filtern, ist es nur eine Frage der Zeit, bis eine Abfrage es vergisst: ein neuer Endpunkt, ein Report, ein Hintergrundjob, ein Export. Row-Level-Security dreht das Prinzip um – die Datenbank liefert grundsätzlich nichts aus, solange keine Regel den Zugriff ausdrücklich erlaubt. Vergessener Filter bedeutet dann leeres Ergebnis statt Datenabfluss.

Rechteprüfung ohne Rekursion

Ein klassischer Stolperstein: Die Sicherheitsregel einer Tabelle fragt eine zweite Tabelle ab, deren Regel wiederum die erste abfragt. Das Ergebnis ist eine Endlosschleife oder ein Fehler zur Laufzeit. Die Lösung ist eine gesicherte Datenbankfunktion, die mit erhöhten Rechten läuft und ausschließlich die Frage beantwortet: Hat dieser Nutzer diese Rolle in diesem Mandanten?

• Eine Tabelle für Mitgliedschaften: Nutzer, Mandant, Rolle – mit eindeutigem Schlüssel.
• Eine gesicherte Funktion, die genau diese Zuordnung prüft und sonst nichts tut.
• Alle Regeln anderer Tabellen rufen nur diese Funktion auf, nie direkt die Mitgliedschaftstabelle.
• Schreibrechte auf Mitgliedschaften ausschließlich für Administratoren des jeweiligen Mandanten.

Was beim Testen regelmäßig übersehen wird

• Hintergrundjobs und Exporte laufen oft mit erhöhten Rechten und umgehen jede Regel – sie brauchen einen eigenen Test.
• Dateien im Objektspeicher haben ihre eigenen Zugriffsregeln; ein sicherer Datensatz mit öffentlichem Anhang ist kein sicherer Datensatz.
• Aggregierte Auswertungen und Zähler verraten Informationen, auch wenn keine Zeile ausgeliefert wird.
• Fehlermeldungen dürfen keine fremden Datensatz-IDs enthalten.

Mandantenfähigkeit ist kein Feature, das man nachrüstet. Sie ist eine Eigenschaft des Datenmodells. Wer sie am Anfang eine Woche kostet, spart sich später ein Projekt.