--- title: secnostic platform canonical: https://www.secnostic.com/de/products/platform language: de dateModified: 2026-08-12 alternate-en: https://www.secnostic.com/en/products/platform --- # secnostic platform - URL: https://www.secnostic.com/de/products/platform - Positioning: SaaS-Governance und Mandantenbetrieb secnostic platform regelt Mandanten, Identitäten, Rollen, Zugriffe und Onboarding an einer Stelle, damit nicht jede App eigene Insellösungen entwickelt. Anmeldung, Mandantentrennung und Rechte entwickelt keine App mehr selbst. Das macht den Betrieb mehrerer Anwendungen einfach skalierbar und prüfbar. **Eine Basis für alle Apps** Jede App braucht Login, Mandanten, Rollen und Zugriffe. Löst das jede App für sich, vervielfacht sich der Aufwand, und Fehler schleichen sich ein. secnostic platform übernimmt diese Basis einmal für alle: Mandanten samt eigener Anmeldung, registrierte Apps, Rechte und Pakete je Kunde. Neue Kunden onboarden Sie an einer Stelle, steuern, wer was sieht, und behalten den Überblick, auch wenn das Portfolio wächst. **Capabilities** - Mandanten, Organisationen und Onboarding-Prozesse zentral verwalten - Identitätsanbieter, Rollen, Berechtigungen und technische Zugänge steuern - Apps sicher registrieren und Leistungsumfänge zentral bereitstellen - Änderungen, Zugriffe und Governance-Entscheidungen nachvollziehbar halten **Outcomes** - Mehrere Anwendungen und Kundenbereiche ohne Mehraufwand betreiben - Saubere Mandantentrennung und Kontrolle darüber, wer was sieht - Schluss mit Sonderlösungen für Rollen, Apps und Onboarding **Modules of secnostic platform** - **Tenants** - Mandanten: Jedes Subjekt und jede Vergabe sind pro Mandant getrennt, sauber abgegrenzt, ohne Datenvermischung. - **Permissions** - Rechte: Die granularen Fähigkeiten, die innerhalb eines Mandanten vergeben werden können, jede mit Namen und Beschreibung. - **Grants** - Zugriff (core module): Das Herzstück: weist einer Person eine Berechtigung oder Rolle mit Allow oder Deny zu, an einen Mandanten gebunden und mit eigener Priorität. Deny hat Vorrang vor Allow. - **Roles** - Bündel: Bündelt Berechtigungen zu einer Rolle, die ihre Berechtigungen mit Effekt, Priorität und Ziel auflistet. - **Authentication** - Anmeldung: OpenID-Connect-Provider wie Microsoft Entra für Single Sign-on einrichten. - **App Environments** - Umgebungen: Apps melden Umgebungen an, Mandanten erhalten Zugriff auf bestimmte, etwa Produktion oder Test. - **Tokens** - Onboarding: Registrierungs-Token werden pro Team für das Onboarding ausgestellt. **Von Anmeldung und App zu geregeltem Zugriff** secnostic platform ist die gemeinsame Steuerungsebene hinter den secnostic Apps. Eine Anfrage von inventory, focusAlert oder einer weiteren App durchläuft die Plattform Schicht für Schicht: Identität, Mandant, Zugriff, Entitlements und schließlich die App selbst. Keine App muss Anmeldung, Mandantentrennung, Rechte und Pakete erneut aufbauen. - **Identität**: OIDC und Microsoft Entra ID, je Mandant - **Mandanten**: isolierte Arbeitsbereiche - **Zugriff**: Erlauben oder Verweigern, mit Priorität - **Entitlements**: Limits, Pakete und Quoten, je Mandant oder global - **Apps**: registriert und angebunden **Zugriff und Mandanten im Detail** Zwei Mechanismen tragen die Plattform: ein Grant-Resolver, der jede Anfrage entscheidet, und die Mandantentrennung, die alles im Kontext genau eines Mandanten hält. _Zugriffs-Engine._ Ein rollenbasierter Grant-Resolver entscheidet, was jeder Benutzer, jede App und jedes Token darf. Eine Sync-Engine übernimmt die von jeder App deklarierten Berechtigungen, Entitlements und Metriken. Zusammen steuern sie Zugriff und Konfiguration je Mandant bei jeder Anfrage. - **Rechte & Rollen**: Rechte sind benannte Aktionen je Kontext; Rollen bündeln sie mit einer Priorität. - **Grants**: Ein Grant weist Rolle oder Recht zu, mit Erlauben oder Verweigern, einer Priorität, Kontext und optionalem Ablauf. - **Priorität**: Der Grant mit der höchsten Priorität gewinnt; Verweigern schlägt Erlauben bei Gleichstand. - **Entitlement-Sync**: Apps deklarieren Entitlements und Metriken; die Plattform prüft und speichert die Werte je Mandant. Manche Entitlements gelten global für die gesamte App, nicht an einen Mandanten gebunden. - **Token-Scope**: Tokens erben nur die Rechte ihres Besitzers und können sie nie überschreiten. Das Token, das eine App am Ende erhält, trägt nur deren App-Berechtigungen und die nötigen Benutzerangaben. Zugriffsentscheidungen und Entitlement-Werte stehen über eine REST-API mit Abfrage-Syntax bereit. Governance und Provisionierung lassen sich so automatisieren. In der Praxis: - **SaaS-Portfolio**: Ein Softwareanbieter nimmt einen neuen Kunden als isolierten Mandanten auf und schaltet zwei Apps in der Produktionsumgebung frei. (Einladung -> Mandant aktiv -> App-Zugriff -> Bereitstellung) - **Eigene Anmeldung**: Ein Kunde leitet alle Anmeldungen über sein eigenes Microsoft Entra ID statt über lokale Konten. (Anbieter -> Weiterleitung -> Benutzer -> Sitzung) - **Lizenzen & Limits**: Ein Produktmanager hebt die Paketstufe eines Kunden an und prüft die Nutzung gegen das neue Limit. (Definition -> Wert setzen -> App fragt ab -> Nutzung) **Isolierte Mandanten mit klarem Lebenszyklus** Jeder Kunde ist ein isolierter Mandant mit eigenen Benutzern, Rollen, Rechten, Anmeldeanbietern und Entitlement-Werten. Alles wird nur im Kontext dieses Mandanten ausgewertet. - **Isolierte Arbeitsbereiche**: Benutzer, Rollen, Rechte, Anmeldeanbieter, App-Sichtbarkeit und Entitlement-Werte gelten nur im jeweiligen Mandanten. Ein Grant in Mandant A wirkt nie in Mandant B. - **Onboarding und Offboarding**: Betreiber verschicken einmalige, ablaufende Einladungen. Ein Mandant startet als Entwurf und wird aktiv. Entzieht ein Betreiber den Zugriff wieder, endet er sofort im gesamten Mandanten, weil jede Vergabe an den Mandanten gebunden ist. - **Eigene Anmeldung je Mandant**: Jeder Mandant richtet eigene OAuth- und OIDC-Anbieter ein, inklusive Microsoft Entra ID. Benutzer können mehreren Mandanten angehören und den Kontext wechseln. - **App-Zugriff pro Umgebung**: Der Zugriff wird je Umgebung vergeben. Ein Mandant darf etwa die Produktion einer App nutzen, die Testumgebung aber nicht, einzeln schaltbar oder als Sammelfreigabe. **Einblicke in die Plattform** Berechtigungen, Rollen, Zuweisungen und Anmeldung sind nach Aufgabe getrennt und teilen dasselbe Mandantenmodell. - Berechtigungen: die granularen Rechte, die innerhalb eines Mandanten vergeben werden können. - Berechtigung anlegen: eine neue Fähigkeit definieren, die Rollen und Zuweisungen referenzieren können. - Rollen: bündeln Berechtigungen, jede mit Effekt, Priorität und Ziel. - Zuweisen, Schritt 1: das passende Recht oder die Rolle für eine Person wählen. - Zuweisen, Schritt 2: Effekt Erlauben oder Verweigern setzen und an den Mandanten binden. - Anmeldung: OpenID-Connect-Anbieter wie Microsoft Entra für Single Sign-on einrichten. **FAQ** - Q: Müssen Kunden ihre bestehenden Anmeldungen aufgeben? A: Nein. Jeder Mandant richtet eigene OAuth- und OIDC-Anbieter ein, mit einer Vorlage für Microsoft Entra ID. Benutzer authentifizieren sich über ihren eigenen Identitätsanbieter, die Plattform stellt anschließend eine Sitzung aus und tritt dabei als Relying Party auf. - Q: Wie getrennt sind die Daten der Mandanten? A: Ein Mandant ist ein isolierter Arbeitsbereich. Benutzer, Rollen, Rechte, Anmeldeanbieter und Entitlement-Werte gelten nur in seinem Kontext. Ein Recht für Mandant A wirkt nie in Mandant B, sodass sich Daten und Zugriffe verschiedener Kunden nicht vermischen. - Q: Können Kunden ihre eigenen Limits manipulieren? A: Nur die, die der Betreiber dafür freigibt. Jedes Entitlement ist entweder global für die App oder je Mandant definiert und pro Mandant sichtbar, verborgen oder einstellbar. Limit- und abrechnungsrelevante Werte pflegt der Betreiber; die Plattform bleibt die verbindliche Quelle, und Apps fragen den aktuellen Wert nur ab, statt eine änderbare Kopie zu halten. - Q: Was kostet es, eine neue App anzubinden? A: Die App erfüllt ein dokumentiertes Integrationsprotokoll: eine Konfigurationsdatei plus Endpunkte für Info, Status, OAuth und ihre Rechte-, Entitlement- und Metrik-Definitionen. Bei der Registrierung erhält sie ein Secret und OAuth-Zugangsdaten, danach gleicht die Plattform die Kataloge regelmäßig ab. **Getting started.** Wir klären, welche Mandanten, Apps, Rollen und Entitlements zuerst zusammenlaufen sollten und wo die Plattform sofort Aufwand und Sonderlösungen einspart.