Mandantentrennung in der Cloud: Fremde Patientendaten dürfen nicht nur in der Oberfläche verborgen sein
Mehrere Einrichtungen können dieselbe Plattform nutzen. Warum Zugriffsprüfung, Tests und ein geregelter Umgang mit Fehlanzeigen entscheidend sind.
Redaktioneller Stand:
Hintergrund & Quellenbefund
Mandantenfähige Software kann Ressourcen für mehrere Kunden gemeinsam betreiben und Zugriffe logisch trennen. Dabei ist nicht allein die Darstellung entscheidend: Die Anwendung muss für jede Datenanforderung prüfen, ob der angemeldete Nutzer auf das konkrete Objekt zugreifen darf. OWASP beschreibt fehlende objektbezogene Berechtigungsprüfungen als Broken Object Level Authorization. [1]
Eine ausgeblendete Schaltfläche oder eine schwer zu erratende Datensatznummer ist deshalb kein vollständiger Zugriffsschutz. Ebenso garantiert eine getrennte Datenbank allein noch keine sichere Anwendung, wenn etwa Export-, Such- oder Supportfunktionen die Zuordnung falsch behandeln. Risikogerechte Sicherheit braucht abgestimmte technische und organisatorische Maßnahmen. [1], [2]
Werden Daten unbefugt zugänglich, muss der Vorfall geprüft werden. Die DSGVO unterscheidet die Meldung an die Aufsicht nach Artikel 33 und die Benachrichtigung Betroffener bei voraussichtlich hohem Risiko nach Artikel 34. Eine dokumentierte Bewertung ist erforderlich; die Pflichten sind nicht mit einer automatischen Sanktion gleichzusetzen. [3]
Einordnung & Grenzen
Nicht jede Cloud nutzt dieselbe Tabellenstruktur, und Multi-Tenancy ist nicht grundsätzlich unsicher. Der Beitrag beschreibt eine Fehlerklasse, keinen nachgewiesenen Vorfall eines bestimmten Herstellers. Tests gegen fremde produktive Daten sind ohne ausdrückliche Befugnis kein zulässiger Selbsttest.
Einfach erklärt
Fiktives Praxisbeispiel: In einer vereinbarten Testumgebung werden zwei Einrichtungen mit erfundenen Datensätzen angelegt. Der Test prüft, ob Suche, Dateidownload und Export tatsächlich nur Daten der jeweils berechtigten Einrichtung liefern. Eine korrekte Startseite allein genügt als Ergebnis nicht.
Empfehlungen für die Praxis
Unsere Empfehlung: Fragen Sie nach dem Berechtigungsmodell und nach Tests, die Mandantengrenzen ausdrücklich abdecken. Lassen Sie zeigen, wie Nutzer, Rollen, Objekte und Hintergrundaufträge einer Einrichtung zugeordnet werden. Nachweise sollten mehr enthalten als die allgemeine Aussage, das Produkt sei sicher.
Vereinbaren Sie ein geregeltes Testverfahren mit künstlichen Daten und klaren Befugnissen. Betrachten Sie neben der normalen Oberfläche auch Schnittstellen, Sicherungsexporte und administrative Werkzeuge.
Tauchen im Alltag fremde Daten auf, öffnen Sie nicht zur Neugier weitere Akten. Stoppen Sie unnötige Zugriffe und informieren Sie Anbieter und Datenschutzverantwortliche über einen sicheren Weg. Sichern Sie nur die für die Sachverhaltsklärung notwendigen Angaben nach Anweisung. Zusätzliche Screenshots und Weiterleitungen können sonst selbst eine weitere Offenlegung erzeugen.