M 2.549 Erstellung eines Mandantenkonzeptes

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter

Verantwortlich für Umsetzung: Fachverantwortliche, IT-Sicherheitsbeauftragter, Leiter IT

Häufig werden von mehreren Institutionen zentrale IT-Infrastrukturen oder Dienste eines Dienstleisters gemeinsam genutzt. Hierbei können auch Anwendungen gemeinsam betrieben und genutzt werden, wobei Datenhaltung und Datenverarbeitung z. B. infolge rechtlicher Anforderungen oder aufgrund von Betriebs- und Geschäftsgeheimnissen getrennt erfolgen müssen. In diesen Fällen wird häufig von mandantenfähigen Anwendungen gesprochen, wobei jeder nutzenden Institution ein Mandantenbereich, kurz Mandant, zugeordnet wird.

Ein Beispiel hierfür sind in der öffentlichen Verwaltung Registeranwendungen wie das ePersonenstandsregister, in denen mehrere Kommunen als eigenständige datenverarbeitende Stellen ihre Personenstandsdaten ablegen und verwalten. Cloud-basierende Anwendungen (auch als "Software as a Service", SaaS bezeichnet) sind ein weiteres Beispiel.

In jedem dieser Fälle ist durch ein geeignetes Mandantenkonzept sicherzustellen, dass die Anwendungen mandantenfähig betrieben werden. Dazu gehört, dass jede datenverarbeitende Stelle innerhalb ihres Bereichs, also ihres Mandantensystems, die fachlichen Vorgaben (z. B. bezogen auf Protokollierungsumfang und Speicherfristen) umsetzen sowie ihren Kontrollpflichten nachkommen kann. Das Mandantenkonzept ist durch den Betreiber der mandantenfähigen Anwendung zu erstellen und den nutzenden Institutionen zur Verfügung zu stellen. Diese müssen sich überzeugen, dass das Mandantenkonzept für ihren Schutzbedarf eine angemessene Sicherheit bietet, bevor sie solche Systeme oder Dienste gemeinsam mit weiteren Anwendern nutzen. Das Mandantenkonzept ist somit Bestandteil des Sicherheitskonzeptes, das für ein Outsourcingvorhaben zu stellen ist (siehe B 1.11 Outsourcing, insbesondere M 2.254 Erstellung eines Sicherheitskonzepts für das Outsourcing-Vorhaben).

Auch unter datenschutzrechtlichen Gesichtspunkten sind Anforderungen an die Trennung von Mandanten zu beachten. Hinweise dazu gibt die "Orientierungshilfe Mandantenfähigkeit" des Arbeitskreises Technik der Datenschutzbeauftragten des Bundes und der Länder.

Wenn eine Anwendung neu beschafft, erstellt oder wesentlich geändert wird, muss außerdem zunächst grundsätzlich sichergestellt sein, dass diese Anwendung Mandanten sauber trennen kann (siehe M 2.552 Erstellung eines Pflichtenheftes).

Ein Mandantenkonzept sollte mindestens folgende Punkte berücksichtigen:

Die Umsetzung dieser Anforderungen kann auf vielfältige Weise erfolgen. Eine herausragende Rolle spielt dabei ein geeignetes Rollen- und Berechtigungskonzept innerhalb von Anwendungen. Darüber hinaus können auf der Infrastruktur- und Diensteebene hierzu z. B. Virtualisierungstechniken eingesetzt werden wie:

Der Auftraggeber sollte prüfen, ob die vom Dienstleister gewählte Lösung zur Mandantentrennung effektiv ist.

Prüffragen: