Mandantenmodell#

Orderport ist ein Multi-Tenant-Dienst. Jeder Kunde ist ein eigener Mandant (intern: Tenant). Alle Daten sind strikt nach Mandant getrennt – andere Kunden können Ihre Daten nicht sehen oder verändern.

Diese Seite fasst zusammen, was das für Sie bedeutet und wie die Trennung technisch umgesetzt ist.

Was das für Sie bedeutet#

• Ihre Pipelines, Credentials, Bestellungen, Audit-Logs sind nur für Benutzer Ihres Mandanten sichtbar.
• Benutzer-Accounts gehören zu einem Mandanten. Wer bei der Anmeldung eine Firma angibt, legt einen neuen Mandanten an. Weitere Benutzer werden auf Anfrage innerhalb desselben Mandanten angelegt.
• Rechnungen und Abonnement gehören dem Mandanten, nicht dem einzelnen Benutzer.
• Einstellungen wie Session-Timeout oder IP-Allowlist gelten mandantenweit für alle Benutzer.

Wie die Trennung funktioniert#

Alle Datenbank-Tabellen, die mandantenspezifische Daten enthalten, haben eine tenant_id-Spalte. Jede Abfrage wird automatisch auf diese tenant_id eingeschränkt – das System sorgt dafür, dass Sie keine Fremddaten sehen können, auch nicht versehentlich durch einen Programmierfehler.

Die Absicherung läuft auf drei Ebenen:

1. Automatischer Daten-Filter: Alle mandantenbezogenen Datenzugriffe werden automatisch auf die eigene Mandanten-ID eingeschränkt.
2. Autorisierungs-Prüfung: Jede Aktion prüft zusätzlich, ob der eingeloggte Benutzer für diese konkrete Ressource berechtigt ist.
3. Tests: Für jede Aktion existiert ein Isolations-Test, der sicherstellt, dass Kunde A nicht auf Daten von Kunde B zugreifen kann.

Das ist Teil der laufenden Qualitätssicherung, nicht nur Anspruch.

Grenzen der Trennung#

• Der gemeinsame Server: Orderport läuft auf gemeinsamen Servern und einer gemeinsamen Datenbank. „Ihre" Daten liegen physisch neben denen anderer Kunden, werden aber logisch strikt getrennt.
• Statistik-Aggregate: Interne Zahlen (Anzahl Mandanten, Gesamtbestellungen) werden für Produktentwicklung aggregiert. Keine individuellen Bestelldaten.
• Support-Zugriff: Orderport-Support kann mit expliziter Freigabe auf einen einzelnen Mandanten zugreifen – immer nur nach Anforderung und immer nachvollziehbar im Audit-Log.

Besondere Rollen#

• Demo-Tenants: Konten für Testzwecke. Sie haben alle Addon-Features freigeschaltet und dürfen sich wie Bezahlkunden verhalten. Auf Anfrage werden sie wieder in reguläre Test-Accounts umgewandelt.
• Admin-Konten: Orderport-Mitarbeiter haben einen eigenen Account-Typ (kein Mandant-Bezug) mit Zugriff auf ein separates Admin-Panel. Diese Konten sehen keine Kundendaten, können aber Mandanten-Metadaten (z. B. Plan-Zuordnung) verwalten.

Technische Details#

Drei Schichten Isolation#

Bei jedem Datenzugriff greifen drei Prüfungen ineinander:

1. Automatischer Filter auf jedem Datenbank-Query – Bestellungen, Pipelines, Credentials und alle anderen mandantenbezogenen Daten werden automatisch auf den aktuellen Mandanten eingeschränkt.
2. Autorisierungs-Prüfung bei jeder Aktion, die eine einzelne Ressource betrifft. Bei Mismatch: HTTP 403 oder 404.
3. Automatisierte Tests – für jede Aktion existiert ein Isolations-Test, der genau diesen Fall absichert: Kunde A darf nicht auf Daten von Kunde B zugreifen.

Queue-Verarbeitung#

Hintergrund-Aufgaben (Transformation, Zustellung) laufen in einer Queue. Der Mandanten-Kontext wird zusammen mit jedem Auftrag übergeben und vor jedem Durchlauf neu gesetzt – so gelten dieselben Isolations-Regeln wie für HTTP-Requests.

Wenn Sie Data-Processing-Dokumente brauchen#

Für die DSGVO-Dokumentation finden Sie:

• Datenschutzerklärung: /datenschutz
• Auftragsverarbeitungsvereinbarung (AVV): /legal/avv
• Impressum: /impressum
• AGB: /agb

Nächste Schritte#

• Sicherheit – 2FA, IP-Allowlist, Sessions
• Audit-Log
• Glossar