Sicherheitsmodell
Betreut von: Aether365 Team Zielgruppe: Sicherheitsteams und IT-Administratoren Umfang: Tenant-Isolierung, Datenschutz und Berechtigungsmodell
Diese Seite beschreibt, wie Aether365 Ihre Daten schützt, welchen Zugriff es auf Ihre Microsoft 365-Umgebung hat und welche architektonischen Entscheidungen getroffen wurden, um Ihre Tenant-Daten sicher zu halten.
Authentifizierung und Zugriff
Wie Aether365 auf Ihren Tenant zugreift
Aether365 greift auf Ihren Microsoft 365 Tenant als Multi-Tenant-Anwendung zu, die in Microsoft Entra ID registriert ist. Wenn Sie Admin Consent erteilen, wird ein Service Principal in Ihrem Tenant erstellt. Aether365 authentifiziert sich dann mit seinen eigenen Anwendungsanmeldedaten (Client-ID und Client-Secret) - nicht mit Benutzerkonten.
Das bedeutet:
- Keine Benutzerkennwörter werden gespeichert
- Keine delegierten Berechtigungen werden erteilt
- Der Zugriff erfolgt ausschließlich auf Anwendungsebene und ist nicht an einen einzelnen Benutzer gebunden
- Sie können den Zugriff jederzeit widerrufen, indem Sie den Service Principal aus Ihrem Tenant entfernen
Schreibgeschützte Berechtigungen
Alle an Aether365 erteilten Microsoft Graph-Berechtigungen sind schreibgeschützte Anwendungsberechtigungen. Eine vollständige Liste finden Sie unter aether365.io/security#permissions.
Aether365 fordert niemals Schreibberechtigungen an. Der Microsoft-Consent-Bildschirm zeigt ausschließlich Leseberechtigungen.
Zugriff widerrufen
Um den Zugriff von Aether365 auf Ihren Tenant zu widerrufen:
- Öffnen Sie Einstellungen > Verbindungen im Aether365 Dashboard
- Klicken Sie auf Trennen neben dem Tenant
- Alternativ navigieren Sie im Microsoft Entra Admin Center zu Unternehmensanwendungen und löschen den Aether365 Service Principal
Das Trennen entfernt die Verbindung aus Aether365 und stoppt zukünftige Scans. Zuvor gesammelte Scandaten werden gemäß der standardmäßigen Aufbewahrungsrichtlinie beibehalten.
Datenschutz
Verschlüsselung
| Ebene | Methode |
|---|---|
| Daten bei der Übertragung | TLS 1.2+ (HTTPS überall) |
| Daten im Ruhezustand | AES-256-Verschlüsselung im Ruhezustand |
| Scan-Ergebnisdateien | AES-256 server-side encryption |
| Geheimnisse (API-Anmeldedaten) | Verschlüsselter Geheimnisspeicher (Envelope-Verschlüsselung) |
Welche Daten gespeichert werden
Aether365 speichert:
- Konfigurationsschnappschüsse - Die Werte, die während jedes Scans von Microsoft Graph gelesen werden. Dies sind die Rohkonfigurationswerte, die zur Bewertung jeder Prüfung verwendet werden.
- Scan-Ergebnisse - Bestanden-, Fehlgeschlagen-, Übersprungen-Status für jede Prüfung sowie die tatsächlichen und erwarteten Werte für fehlgeschlagene Prüfungen.
- Tenant-Metadaten - Die Microsoft Tenant-ID Ihres Tenants, Ihre Konto-E-Mail, Planstufe und Verbindungszeitstempel.
- Benachrichtigungseinstellungen - E-Mail-Adressen und Teams-Webhook-URLs, die Sie konfiguriert haben.
Aether365 speichert nicht:
- E-Mail-Inhalte, Kalenderdaten oder benutzergenerierte Inhalte
- Benutzerkennwörter oder Anmeldedaten
- Microsoft Graph-Tokens (Zugriffstoken sind kurzlebig und werden nur während des Scans verwendet)
Datenresidenz
Alle Daten werden ausschließlich in unserem EU-Rechenzentrum (Ireland, Ireland) gespeichert. Keine Daten werden außerhalb dieser Region repliziert. Dies gilt für:
- Datenbank (Scan-Ergebnisse, Tenant-Metadaten)
- Dateispeicher (Scan-Ergebnisdateien)
- Geheimnisspeicher (Anwendungsanmeldedaten)
Siehe Datenresidenz und Datenschutz für Details einschließlich unserer Datenverarbeitungsvereinbarung.
Infrastruktursicherheit
Zero-Trust-Architektur
Jede API-Anfrage erfordert ein gültiges JWT, das vom Aether365-Authentifizierungssystem nach Microsoft Entra-Authentifizierung ausgestellt wurde. Das JWT wird bei jeder Anfrage validiert:
- RS256-Signaturverifizierung gegen den Aether365 JWKS-Endpunkt
- Token-Ablaufprüfung
- Aussteller- und Zielgruppenverifizierung
Es gibt keine unauthentifizierten API-Endpunkte außer /public/config (der nur plattformweite Einstellungen wie den Wartungsmodus zurückgibt).
Tenant-Isolierung
Jede Datenbankabfrage enthält einen Tenant-ID-Filter, der aus dem authentifizierten JWT abgeleitet wird - nicht aus Anfrageparametern. Es ist architektonisch unmöglich, über die API auf die Daten eines anderen Tenants zuzugreifen.
Scan-Arbeitslasten laufen in isolierten, kurzlebigen Rechenumgebungen. Jede Scan-Aufgabe hat:
- Keinen persistenten Speicher
- Keinen mandantenübergreifenden Netzwerkzugriff
- Eine dedizierte Servicerolle, die auf die minimal erforderlichen Berechtigungen beschränkt ist
- Automatische Beendigung nach Abschluss
Geheimnissverwaltung
Anwendungsanmeldedaten (Microsoft Entra Client-ID und Secret) werden in einem verschlüsselten Geheimnisspeicher gespeichert. Sie werden:
- Niemals in Umgebungsvariablen gespeichert
- Niemals in Protokolle geschrieben
- Zur Laufzeit abgerufen und nur für die Dauer des Scans im Speicher gehalten
- Nach einem Zeitplan rotiert
Kontosicherheit
Authentifizierung
Aether365 verwendet Microsoft als Identitätsanbieter. Sie melden sich mit Ihrem Microsoft-Konto über OpenID Connect an. Es existiert kein separates Aether365-Passwort.
Multi-Faktor-Authentifizierung
MFA wird durch die Richtlinien für bedingten Zugriff Ihres Microsoft-Kontos durchgesetzt. Aether365 übernimmt alle MFA-Anforderungen, die Ihr Microsoft-Tenant vorschreibt.
Sitzungsverwaltung
Zugriffstoken sind kurzlebige JWTs. Refresh-Tokens werden im lokalen Speicher Ihres Browsers gespeichert und bei Verwendung rotiert. Das Abmelden macht Ihre Sitzung sofort ungültig.
Audit Trail
Jede Aktion im Aether365 Dashboard oder der API wird in einem Audit Trail aufgezeichnet: wer die Aktion durchgeführt hat, wann und von welcher IP-Adresse. Siehe Audit Trail.
Verantwortungsvolle Offenlegung
Wenn Sie ein Sicherheitsproblem in Aether365 entdecken, melden Sie es bitte an security@aether365.io. Wir bestätigen den Eingang innerhalb von 24 Stunden und bemühen uns, kritische Probleme innerhalb von 72 Stunden zu beheben. Wir haben derzeit kein öffentliches Bug-Bounty-Programm, werden aber Melder mit deren Genehmigung in den Release Notes erwähnen.