Zugriffskontrolle

4.1 Mandatsbezogene Trennung

Der Zugriffsfilter wird in die Suchmaschinen hineingegeben, nicht nachträglich auf das Ergebnis angewendet. Die Kennung des Mandats wird als Filter an die dichte Suche, die spärliche Suche und die Volltextsuche übergeben. Passagen aus Mandaten außerhalb des angefragten Bereichs werden daher gar nicht erst abgerufen, nicht bloß ausgeblendet.

Das ist ein wesentlicher Unterschied. Ein Nachfilter kann durch einen Fehler in der Anzeigeschicht umgangen werden. Ein Vorfilter nicht.

4.2 Rollen

Die Anwendung kennt Nutzerstufen. Die Verwaltungsbereiche — Gesetzesbibliothek, Modell- und Kostenverwaltung, Nutzerverwaltung — sind der Administratorstufe vorbehalten. Der Zugriff auf ein Mandat ergibt sich aus Eigentümerschaft oder ausdrücklicher Freigabe.

4.3 Wo die Entscheidung tatsächlich fällt — und wo nicht

Hier ist Genauigkeit wichtiger als ein gutes Schlagwort.

Die Zugriffsentscheidung fällt heute auf Anwendungsebene: Die Sitzung wird geprüft, die Berechtigung am Mandat wird geprüft, und das Ergebnis wird als Mandatsfilter an die Suchschicht weitergereicht. Der Abfragedienst selbst ist nur im internen Netzverbund erreichbar und nicht öffentlich exponiert.

Auf Datenbankebene sind Row-Level-Security-Regeln angelegt und aktiviert. Sie greifen jedoch nur, wenn pro Anfrage eine Sitzungsvariable mit der Nutzerkennung gesetzt wird — und das geschieht derzeit an keiner Stelle. Die Datenbankregeln sind daher heute nicht die durchsetzende Schicht. Wir führen sie hier auf, weil sie im Schema sichtbar sind und ein prüfender IT-Dienstleister sie finden wird. Sie als wirksame Absicherung zu verkaufen, wäre unrichtig.

Ebenfalls offen: Single Sign-on über OIDC ist nicht implementiert. Die Anmeldung erfolgt über eine selbst gehostete Authentifizierung.