Skip to main content

​
Sicherheits- und Isolationsarchitektur

theway wurde von Grund auf nach den Prinzipien Security by Design, Zero Trust und Least Privilege entwickelt. Als zentrale IT-Management-Plattform für den Mittelstand garantieren wir höchste Schutzstandards für die Daten und Systeme unserer Mandanten.

​
1. Das 4-Schichten Multi-Tenancy Isolationsmodell

Die Trennung zwischen verschiedenen Kunden-Mandanten erfolgt auf vier unabhängigen technischen Ebenen:

1. Routing- & Subdomain-Isolation

Jeder Mandant greift über eine dedizierte Subdomain ({slug}.portal.twisb.de) auf das Portal zu. Das API-Gateway löst die Subdomain serverseitig in die eindeutige Tenant-ID auf. Jede Anfrage wird vor der Ausführung an den Kontext des Kunden gebunden.

2. Datenbank-Isolation (PostgreSQL Row-Level Security)

In der Supabase PostgreSQL Datenbank ist für sämtliche Tabellen (tenants, tenant_users, approval_requests, identity_audit_log) Row-Level Security (RLS) aktiv.Datenbankabfragen prüfen automatisch den kryptografisch signierten JWT-Token des Benutzers (auth.uid()). Ein Mandant kann technisch unter keinen Umständen Datenzeilen eines anderen Mandanten einsehen oder manipulieren.

3. API-Gateway & Token-Cache Isolation

Microsoft Graph Access-Tokens und Schnittstellen-Credentials werden pro Mandant isoliert im Arbeitsspeicher gehalten (cacheKey = tenant.id). Es existieren keine geteilten Tokens oder übergreifende Dienstkonten.

4. Dedizierte Server-Option (Enterprise Silo-Modell)

Für regulierte Branchen (z. B. Finanz- oder Gesundheitssektor) bietet twisb optional vollständig dedizierte Container-Instanzen (kunde.agents.twisb.de) mit 100% physischer Prozess- und RAM-Isolation in deutschen ISO 27001 Rechenzentren.

​
2. Kryptografie & Verschlüsselungsstandards

Verschlüsselung ruhender Daten (AES-256-GCM)

Alle sensiblen Schnittstellen-Geheimnisse (Azure Client Secrets, Ticket-API-Keys) werden mittels AES-256-GCM und einem 32-Byte Master-Key verschlüsselt in der Datenbank gespeichert.

Transportverschlüsselung (TLS 1.3)

Sämtliche Verbindungen zwischen Endbenutzer-Browser, Vercel Edge-Netzwerk, Supabase und der Microsoft Graph API erzwingen TLS 1.3 mit Perfect Forward Secrecy (PFS) und HSTS.

​
3. Zero-Secrets-Architektur & Secret Scrubbing (DSGVO Art. 5)

Passwörter, BitLocker Recovery Keys, PINs oder MFA-Tokens dürfen nach den Grundsätzen der Datensparsamkeit nicht dauerhaft gespeichert werden:
  • Flüchtige Abfrage: Wenn ein Administrator einen BitLocker Recovery Key anfordert, wird dieser live über Microsoft Graph abgefragt, im Browser gerendert und unmittelbar aus dem Speicher verworfen.
  • Automatisierte Maskierung: Sämtliche System- und Audit-Logs durchlaufen vor der Speicherung automatisierte Filter (scrubSecretsDeep()), die sensible Parameter unkenntlich machen ([REDACTED]).

​
4. Schutz vor Cyber-Angriffen & Prompt-Injections

Benutzereingaben und Suchbegriffe für Microsoft Graph Abfragen werden vorab bereinigt (sanitizeODataValue()), um Filter-Injections und unberechtigte Datenabfragen zu unterbinden.
Externe Inhalte (wie Ticket-Texte von Benutzern oder E-Mail-Nachrichten) werden von den System-Prompts der KI-Agenten als reine Daten behandelt. Aufforderungen wie „Ignoriere alle vorherigen Befehle“ werden vom LLM ignoriert.
Ein Token-Bucket-Algorithmus begrenzt API- und KI-Anfragen auf Mandanten- und Benutzerebene (max. 30 Anfragen/Minute), um Missbrauch und Überlastung zuverlässig abzuwehren.
Kritische Systemeingriffe (z. B. Remote Device Wipe, Rollenzuweisungen, CIS-Hardening Änderungen) können von der KI niemals autonom ausgeführt werden, sondern erfordern zwingend eine Zweitfreigabe durch Administratoren.

​
5. Compliance, Hosting & Auftragsverarbeitung

  • Standort Deutschland: Alle Server, Datenbanken und KI-Gateways operieren in zertifizierten Rechenzentren in Deutschland (Nürnberg / Falkenstein).
  • DSGVO-Konformität & AVV: Für jeden Kunden steht ein standardisierter Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO mit detaillierten Technisch-Organisatorischen Maßnahmen (TOMs) bereit.
  • Automatisierte Löschfristen: Audit-Logs werden nach 3 Jahren (§ 195 BGB) und temporäre Monitoring-Caches nach 30 Tagen automatisiert und unwiderruflich bereinigt.