DerArchitekturkompass.de

Wie funktioniert es?

Die Sachbearbeiterin von Versicherer A meldet sich an. Die Schadenplattform liest aus der geprüften Anmeldung die Mandantenkennung „A“, also die Kennung, unter der die Schadenplattform alle Daten von Versicherer A führt. Die Daten der Versicherer 1 bis 11 liegen in der gemeinsamen Datenbank; A und B gehören zu diesen elf Versicherern. Dort trägt jede Zeile einer Tabelle die Mandantenkennung ihres Versicherers. Eine solche Zeile ist zum Beispiel eine Schadenakte. Die Schadenplattform fragt in der gemeinsamen Datenbank nur Zeilen mit der Kennung „A“ ab. Die gemeinsame Datenbank liefert nur die Akten von Versicherer A; eine Regel in der Datenbank blendet fremde Zeilen zusätzlich aus. Die Sachbearbeiterin sieht nur die Akten ihres Versicherers. Meldet sich ein Sachbearbeiter von Versicherer B an, läuft derselbe Vorgang mit der Kennung „B“ in derselben gemeinsamen Datenbank. Versicherer 12 hat in seinem Vertrag festgelegt, dass seine Daten in einer eigenen Datenbank liegen müssen. Meldet sich ein Sachbearbeiter von Versicherer 12 an, erkennt die Schadenplattform Versicherer 12 aus der Anmeldung und öffnet statt der gemeinsamen Datenbank die Datenbank von Versicherer 12. Der Programmcode ist für alle zwölf Versicherer derselbe, nur der Speicherort der Daten unterscheidet sich. Schließlich ruft die Sachbearbeiterin von Versicherer A über einen weitergeleiteten Link eine Akte mit der Kennung „B“ auf. Die Schadenplattform vergleicht die Kennung der Akte mit der Kennung aus der Anmeldung. Weil „B“ nicht „A“ ist, lehnt die Schadenplattform den Zugriff ab.

Der Dienstleister verkauft die Schadenplattform als Dienst: Die zwölf Versicherer installieren nichts selbst, sondern arbeiten über den Browser mit der Installation beim Dienstleister. Die Versicherer sind voneinander unabhängige Unternehmen, oft Wettbewerber. Für jeden Versicherer gelten eigene Verträge mit dem Dienstleister und eigene Pflichten zum Datenschutz. Die Anmeldung übernimmt ein eigener Anmeldedienst, der die Identität jeder Person prüft, bevor sie die Schadenplattform nutzen kann. Das Ergebnis der geprüften Anmeldung enthält die Angabe, zu welchem Versicherer die Person gehört. Die Schadenplattform übernimmt diese Angabe als Mandantenkennung. Mit der Mandantenkennung wählt die Schadenplattform den Speicherort und filtert jeden Datenzugriff der Anfrage. Die Mandantenkennung stammt bewusst nicht aus einem Feld, das der Nutzer selbst im Browser verändern könnte. Sonst könnte sich der Nutzer als Mitarbeiter eines anderen Versicherers ausgeben.

Für die Frage, wie die Daten der Versicherer gespeichert werden, gibt es drei übliche Trennungsstufen:

• Gemeinsame Tabellen: So liegen die Daten der Versicherer 1 bis 11. Die Schadenplattform muss bei jeder Abfrage die Bedingung „nur Zeilen mit Kennung A“ hinzufügen. Vergisst ein Entwickler diese Bedingung bei einer einzigen Abfrage, gibt diese Abfrage auch fremde Schadenakten aus. Deshalb setzen viele Entwicklungsteams zusätzlich eine Regel in der Datenbank selbst, die jede Zeile mit fremder Kennung ausblendet, auch wenn die Schadenplattform den Filter vergisst.
• Eigenes Schema je Versicherer: Ein Schema ist ein abgetrennter Bereich innerhalb einer Datenbank mit eigenen Tabellen. Jeder Versicherer bekommt einen solchen Bereich. Die Schadenplattform richtet jede Abfrage an den Bereich des angemeldeten Versicherers, eine Bedingung auf die Mandantenkennung ist nicht nötig. Dafür muss jede Änderung am Tabellenaufbau in allen Bereichen einzeln durchgeführt werden.
• Eigene Datenbank je Versicherer: So liegen die Daten von Versicherer 12. Daten und Sicherungskopien sind am stärksten getrennt. Der Verwaltungsaufwand ist am höchsten, weil der Dienstleister jede Datenbank einzeln einrichten, sichern und aktualisieren muss.

Welche Trennungsstufe passt, hängt vom Schutzbedarf der Daten, der Zahl der Kunden und den Ausgaben für Server und Datenbanken ab. Viele Dienstleister mischen die Stufen. Die meisten Kunden teilen sich gemeinsame Tabellen, und Kunden mit besonderen Vorgaben wie Versicherer 12 bekommen eine eigene Datenbank.

Neben der Trennung der Daten braucht die gemeinsame Installation Obergrenzen je Versicherer, etwa für die Zahl der Anfragen pro Minute, den belegten Speicher und die Rechenzeit. Bei jeder Anfrage prüft die Schadenplattform die Obergrenzen des Versicherers. Erfasst ein Versicherer nach einem Sturm tausende Schäden auf einmal, bremst die Schadenplattform nur die Anfragen dieses Versicherers, und die anderen Versicherer arbeiten normal weiter. Einstellungen wie Logo, Texte in Briefen oder Freigaberegeln speichert die Schadenplattform ebenfalls je Versicherer.

Keine der drei Trennungsstufen schützt vor einem Fehler, durch den die Schadenplattform eine Anfrage dem falschen Versicherer zuordnet. Auch eine eigene Datenbank hilft dann nicht, weil die Schadenplattform die falsche Datenbank öffnet. Jede Trennungsstufe schützt deshalb nur, wenn die Mandantenkennung aus der geprüften Anmeldung stimmt.

Mandantenfähigkeit: eine Plattform, zwölf Versicherer, getrennte Daten

Wann ist es sinnvoll und wann nicht?