Balerion LogoBalerion
Jetzt starten
← Blog

Mandantenfähige Software: Entscheidungsleitfaden für IT-Verantwortliche

Stilvoll gestaltete Titelgrafik

Mandantenfähigkeit ist die Eigenschaft einer Software, mehrere Kunden oder Organisationseinheiten auf einer einzigen technischen Installation zu verwalten, wobei Daten, Benutzerverwaltung und Konfigurationen strikt voneinander getrennt bleiben. Kurz: eine Instanz, viele Mandanten, keine Datenvermischung. Ob Sie diese Eigenschaft brauchen, lässt sich mit drei Fragen klären:

  • Rechtliche Selbstständigkeit: Verwalten Sie mehrere rechtlich eigenständige Einheiten oder Kunden mit eigenen Datenverantwortlichkeiten?
  • Betriebs- und Kostenziele: Wollen Sie Updates, Wartung und Infrastruktur zentral steuern, statt für jede Einheit eine eigene Installation zu betreiben?
  • Datenschutzanforderungen: Müssen Daten verschiedener Mandanten so getrennt sein, dass ein Mandant technisch Zugriff auf Daten eines anderen erhalten kann?

Wer zwei oder drei dieser Fragen mit Ja beantwortet, sollte mandantenfähige Software evaluieren. Wer nur eine bejaht, reicht oft mit einem ausgereiften Berechtigungsmodell aus.

Wichtige Erkenntnisse

Mandantenfähige Software ist dann die richtige Wahl, wenn mehrere rechtlich selbstständige Einheiten oder externe Kunden mit eigenen Datenschutzpflichten in einer gemeinsamen Systeminstanz verwaltet werden müssen.

Thema Details
Architekturwahl entscheidet Schema-Trennung ist für die meisten Fälle der pragmatische Mittelweg zwischen Kosten und Isolationsgrad.
DSGVO-Anforderung Datenschutzbehörden fordern Nachweise zur technischen Trennung und mandantenübergreifendes Sicherheitsmanagement.
Spezifikation ist kritisch Unklare Lastenheftanforderungen zur Mandantisierung sind die häufigste Ursache für spätere Migrationsprojekte.
Abnahme-Testplan nutzen Datenisolationstest, Backup-Test und Administratorzugriffstest vor Vertragsunterzeichnung durchführen.
Balerion für Sicherheitsdienste Balerion bietet Multi-Mandanten-Isolation mit DSGVO-konformer Protokollierung für Sicherheitsdienstleister.

Inhaltsverzeichnis

Was Mandantenfähigkeit wirklich bedeutet und wie sie sich abgrenzt

Ein Mandant ist im technischen Sinne eine eigenständige Organisationseinheit innerhalb einer gemeinsamen Softwareinstanz: mit eigenen Stammdaten, eigenen Benutzern, eigener Konfiguration. Der Begriff stammt aus der Buchhaltung, wo ein Mandant einem eigenständigen Buchungskreis entspricht.

Drei Konzepte werden häufig verwechselt:

  • Mandantenfähigkeit schafft eine vollständige organisatorische und datentechnische Abschottung auf Systemebene. Jeder Mandant sieht nur seine eigenen Daten, unabhängig davon, welche Berechtigungen er hat.
  • Berechtigungsmodelle steuern, wer auf welche Daten zugreifen darf. Sie filtern Zugriff, trennen aber keine Daten strukturell. Ein Administrator mit ausreichenden Rechten kann in einem reinen Berechtigungsmodell theoretisch auf alle Daten zugreifen.
  • Infrastruktur-Multi-Tenancy bezeichnet das gemeinsame Nutzen von Servern oder Netzwerken, sagt aber nichts über die Datentrennung auf Anwendungsebene aus.

Ein konkretes Beispiel: Ein Steuerberater betreut mehrere Mandanten. In einer mandantenfähigen Buchhaltungssoftware kann er für jeden Mandanten einen eigenen Buchungskreis anlegen. Die Sachbearbeiterin für Mandant A sieht nie die Belege von Mandant B, selbst wenn beide auf derselben Serverinstanz arbeiten. Ein reines Berechtigungsmodell würde das nur durch manuelle Filterregeln erreichen, die fehleranfällig sind und keine strukturelle Garantie bieten.

Profi-Tipp: Fragen Sie Anbieter explizit, ob die Trennung auf Datenbankebene oder nur auf Anwendungsebene realisiert ist. Nur ersteres gilt als echte Mandantenfähigkeit im Sinne der Datenschutzaufsicht.

Wie mandantenfähige Software technisch funktioniert

Mandantenfähigkeit wird typischerweise über drei Architekturmuster umgesetzt, die sich in Isolationsgrad, Betriebskosten und Migrationsaufwand erheblich unterscheiden.

Muster Isolationsgrad Skalierbarkeit Betriebskosten Migrationsaufwand
Gemeinsame Tabellen mit Mandantenschlüssel Niedrig (Anwendungsebene) Sehr hoch Gering Gering
Separate Schemata pro Mandant Mittel (Datenbankebene) Hoch Mittel Mittel
Eigene Datenbank/Instanz pro Mandant Hoch (vollständige Isolation) Begrenzt Hoch Hoch

Gemeinsame Tabellen mit Mandantenschlüssel sind die kostengünstigste Variante. Alle Mandantendaten liegen in denselben Tabellen, eine Spalte (der Mandantenschlüssel) kennzeichnet die Zugehörigkeit. Updates sind trivial, aber ein Programmierfehler kann Daten mandantenübergreifend sichtbar machen.

Separate Schemata geben jedem Mandanten einen eigenen Datenbankbereich innerhalb derselben Datenbankinstanz. Die Trennung ist robuster als beim Schlüsselmodell, Backups lassen sich pro Mandant ziehen, und Audits sind einfacher. Für die meisten SaaS-Anwendungen ist das der pragmatische Mittelweg.

Eigene Datenbank pro Mandant bietet die stärkste Isolation und ist bei sehr hohen Compliance-Anforderungen oder rechtlich selbstständigen Einheiten mit eigenen Datenschutzverträgen sinnvoll. Der Preis: jede neue Instanz erhöht den Betriebsaufwand spürbar.

Profi-Tipp: Sicherheitsdienstleister und andere regulierte Branchen sollten mindestens das Schema-Trennungsmodell fordern. Es erlaubt mandantenspezifische Backups und erleichtert Audits erheblich, ohne die Betriebskosten auf das Niveau separater Instanzen zu treiben.

Welche Daten pro Mandant getrennt werden und welche geteilt werden können

Nicht alle Daten müssen mandantenspezifisch sein. Die Unterscheidung ist eine Designentscheidung mit direkten Auswirkungen auf Reporting, Intercompany-Transaktionen und Steuerkonformität.

Mandantenabhängige Daten (strikt pro Mandant):

  • Kundenstammdaten und Kontakte
  • Buchungen, Belege, Verträge
  • Benutzerverzeichnisse und Rollen
  • Konfigurationen, Workflows, Dokumentvorlagen
  • Protokoll- und Auditdaten

Mandantenübergreifende Daten (zentral verwaltbar):

  • Währungen und Wechselkurse
  • Systemtaxonomien und Klassifikationsschemata
  • Globale Steuersätze (sofern einheitlich)
  • Softwareversionen und Systemparameter

Die Entscheidung, welche Stammdaten zentral gepflegt werden, hat praktische Konsequenzen. Intercompany-Transaktionen zwischen Mandanten eines Konzerns erfordern oft gemeinsame Kontenrahmen. Gleichzeitig darf ein externer Mandant (z. B. ein Kunde eines Dienstleisters) keinen Einblick in diese übergreifenden Strukturen erhalten. Wer das im Lastenheft nicht sauber trennt, baut sich spätere Migrationsprobleme ein.

Vorteile und Risiken mandantenfähiger Systeme im Überblick

Die Kostenvorteile sind real. Zentrale Updates, gemeinsame Infrastruktur und geteilte Ressourcen senken den Betriebsaufwand gegenüber separaten Installationen pro Mandant deutlich. Für SaaS-Anbieter bedeutet das: ein Deployment, das alle Kunden gleichzeitig auf den neuesten Stand bringt.

Vorteile:

  • Zentrale Wartung und Updates für alle Mandanten gleichzeitig
  • Geringere Infrastrukturkosten durch gemeinsame Ressourcennutzung
  • Einheitliche Compliance-Konfiguration über alle Mandanten hinweg
  • Schnelleres Onboarding neuer Mandanten ohne neue Installationen
  • Bessere Ressourcenauslastung durch dynamische Lastverteilung

Risiken:

  • Backup- und Wiederherstellungsstrategien werden komplexer, weil alle Mandanten in einer gemeinsamen Infrastruktur liegen können
  • Höhere Anforderungen an Datenschutz und Audit-Nachweise
  • Fehlkonfigurationen können mandantenübergreifende Datenlecks verursachen
  • Migrationsprojekte sind aufwendiger, wenn die Mandantisierung im Lastenheft unklar war
  • Performance-Engpässe eines Mandanten können andere beeinflussen (sogenanntes „Noisy Neighbor“-Problem)

Zur Abwägung: Die größte Gefahr in mandantenfähigen Systemen liegt nicht in Cross-Tenant-Angriffen, die in gut konfigurierten Umgebungen selten sind, sondern in Fehlkonfigurationen und unzureichenden Zugriffskontrollen. Wer die Architektur sorgfältig wählt und regelmäßig auditiert, beherrscht dieses Risiko.

Sicherheit, DSGVO und Auditanforderungen bei Mandantentrennung

Die Datenschutzaufsicht fordert ein mandantenübergreifendes Sicherheitsmanagement und Nachweise zur technischen Trennung, wenn gemeinsame Infrastruktur genutzt wird. Das ist keine Empfehlung, sondern eine Anforderung, die bei Audits geprüft wird.

Kernprüfungen für die technische Trennung:

  1. Nachweis der Datentrennung auf Datenbank- oder Schemaebene (nicht nur Anwendungsebene)
  2. Protokollierung aller mandantenübergreifenden Zugriffe durch Administratoren
  3. Rollenbasierte Zugriffskontrolle mit mandantenspezifischen Berechtigungsstufen
  4. Verschlüsselung mandantenspezifischer Daten im Ruhezustand und bei der Übertragung
  5. Getrennte Backup- und Wiederherstellungsprozesse pro Mandant
  6. Dokumentiertes Verfahren zur Datenlöschung bei Mandantenoffboarding

Auditpunkte, die Datenschutzbehörden typischerweise prüfen:

  • Gibt es ein dokumentiertes Sicherheitskonzept für die gemeinsame Infrastruktur?
  • Werden Zugriffsrechte von Systemadministratoren auf das notwendige Minimum beschränkt?
  • Sind Verantwortlichkeiten für mandantenübergreifende Sicherheitsvorfälle klar geregelt?
  • Finden regelmäßige Penetrationstests und Sicherheitsaudits statt?
  • Ist ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO für jeden Mandanten vorhanden?

Profi-Tipp: Fordern Sie vom Anbieter einen aktuellen Penetrationstest-Bericht und fragen Sie konkret, wie Administratorzugriffe auf Mandantendaten protokolliert und wer diese Protokolle einsehen kann. Anbieter, die hier zögern, haben oft keine befriedigende Antwort.

Wie Sie mandantenfähige Software richtig auswählen und abnehmen

Wie Sie mandantenfähige Software richtig auswählen und abnehmen — overview diagram

Fehlerhafte Spezifikationen zur Mandantisierung in Ausschreibungen führen häufig zu Nachbesserungen, erhöhtem Betriebsaufwand oder kostspieligen Migrationsprojekten. Ein strukturierter Fragenkatalog schützt davor.

Fragen an den Anbieter:

  • Auf welcher Ebene ist die Datentrennung realisiert (Tabelle, Schema, Datenbank)?
  • Können Backups pro Mandant gezogen und wiederhergestellt werden?
  • Welche SLA gilt bei mandantenspezifischen Ausfällen?
  • Wie ist das Rollenmodell aufgebaut, und können Rollen mandantenspezifisch konfiguriert werden?
  • Welche Schnittstellen (APIs) stehen für die Integration in bestehende Systeme zur Verfügung?
  • Wie ist das Lizenzmodell strukturiert: pro Mandant, pro Nutzer, pauschal?
  • Wie läuft die Migration eines einzelnen Mandanten ab, ohne andere zu beeinflussen?

Abnahme-Testplan (6 Schritte):

  1. Datenisolationstest: Legen Sie zwei Testmandanten an und prüfen Sie, ob Daten aus Mandant A in Mandant B sichtbar sind, auch nach Berechtigungsänderungen.
  2. Administratorzugriffstest: Prüfen Sie, ob ein Systemadministrator auf Mandantendaten zugreifen kann und ob dieser Zugriff protokolliert wird.
  3. Backup- und Wiederherstellungstest: Stellen Sie einen einzelnen Mandanten aus einem Backup wieder her, ohne andere Mandanten zu beeinflussen.
  4. Lasttest: Simulieren Sie hohe Last auf einem Mandanten und messen Sie, ob andere Mandanten Performanceeinbußen erleiden.
  5. Rollenmodelltest: Weisen Sie einem Benutzer mandantenspezifische Rollen zu und verifizieren Sie, dass er keinen Zugriff auf andere Mandanten erhält.
  6. Offboarding-Test: Löschen Sie einen Testmandanten vollständig und bestätigen Sie, dass keine Restdaten in der Datenbank verbleiben.

Rote Flaggen, die Nachverhandlung erfordern:

  • Trennung nur auf Anwendungsebene ohne Datenbankisolation
  • Kein mandantenspezifisches Backup möglich
  • Administratoren können ohne Protokollierung auf alle Mandantendaten zugreifen
  • Keine klare Aussage zur Datenlöschung beim Mandantenoffboarding

Typische Einsatzfelder mandantenfähiger Software

Mandantenfähige Systeme sind in einer Reihe von Branchen der Standard, nicht die Ausnahme.

  • ERP und Finanzsoftware: Konzerne mit mehreren Tochtergesellschaften verwalten jeden Buchungskreis als eigenen Mandanten. Intercompany-Transaktionen laufen über definierte Schnittstellen zwischen Mandanten.
  • Steuerberater und Wirtschaftsprüfer: Jeder Klient ist ein Mandant. Die Kanzleisoftware trennt Belege, Fristen und Kommunikation vollständig. Kein Sachbearbeiter sieht mandantenfremde Daten.
  • SaaS-Anbieter: Jeder zahlende Kunde ist ein Mandant auf derselben Plattform. Updates werden einmal eingespielt und gelten sofort für alle.
  • Multi-Site-Unternehmen: Filialnetze oder Franchisesysteme nutzen Mandantenfähigkeit, um Standorte mit eigenen Stammdaten, aber zentralem Reporting zu betreiben.
  • Sicherheitsdienstleister: Mehrere Auftraggeber werden in einer Dispositionssoftware verwaltet. Schichtpläne, Mitarbeiterdaten und Einsatzberichte bleiben pro Auftraggeber strikt getrennt.

Ein konkretes Szenario aus dem Sicherheitsbereich: Ein Dienstleister betreut 15 Auftraggeber mit unterschiedlichen Schichtmodellen und Qualifikationsanforderungen. In einer mandantenfähigen Dispositionssoftware für Sicherheitsdienste kann jeder Auftraggeber als eigener Mandant angelegt werden. Schichtpläne, Mitarbeiterzuordnungen und Abrechnungsdaten bleiben vollständig getrennt, während die Disponenten zentral planen. Branchenspezifisch relevant: Abrechnungsmodelle unterscheiden sich pro Auftraggeber, und Qualifikationsnachweise müssen mandantenspezifisch dokumentiert werden.

Mandantenfähigkeit in der Praxis: Ein Beispiel aus der Sicherheitsbranche

Dispositionssoftware für Sicherheitsdienste ist ein Paradebeispiel dafür, wo Mandantenfähigkeit nicht optional ist. Mehrere Auftraggeber, unterschiedliche Verträge, getrennte Mitarbeiterpools und strikte Datenschutzpflichten machen eine saubere Mandantentrennung zur Grundvoraussetzung.

Balerion setzt Mandantenfähigkeit in seiner Einsatzplanungslösung mit folgenden Funktionen um:

  • Multi-Mandanten-Isolation: Jeder Auftraggeber erhält einen eigenen Datenbereich. Schichtpläne, Mitarbeiterdaten und Einsatzberichte sind vollständig getrennt.
  • Rollenbasierte Zugriffskontrolle: Disponenten sehen nur die Mandanten, für die sie freigeschaltet sind. Administratoren können Rechte mandantenspezifisch vergeben.
  • DSGVO-konforme Protokollierung: Alle Zugriffe auf mandantenspezifische Daten werden protokolliert und sind für Audits abrufbar.
  • GPS-gestützter Check-in: Mitarbeiter checken per App ein, die Daten werden mandantenspezifisch gespeichert und sind nicht mandantenübergreifend sichtbar.
  • Zentrale Verwaltung, getrennte Daten: Updates und Systemwartung erfolgen einmal für alle Mandanten, ohne dass Daten vermischt werden.

Compliance-Hinweis zur Auditierbarkeit: Eine mandantenfähige Dispositionssoftware muss nachweisen können, dass kein Disponent die Schichtdaten eines fremden Auftraggebers einsehen kann, selbst wenn er technisch auf demselben System arbeitet. Balerion protokolliert Administratorzugriffe und ermöglicht mandantenspezifische Datenexporte für Datenschutzanfragen nach Art. 15 DSGVO.

Die Admin-Oberfläche zeigt typischerweise eine Mandantenübersicht, über die Administratoren zwischen Mandanten wechseln können. Jeder Wechsel wird protokolliert. Innerhalb eines Mandanten sieht der Disponent nur die ihm zugeordneten Objekte: Mitarbeiter, Objekte, Schichten und Berichte.

Wann Mandantenfähigkeit die richtige Wahl ist

Mandantenfähigkeit lohnt sich klar, wenn Sie mehrere rechtlich selbstständige Einheiten oder externe Kunden mit eigenen Datenschutzpflichten in einer Software verwalten. Für rein interne Abteilungstrennung reicht oft ein ausgereiftes Berechtigungsmodell.

Drei empfohlene nächste Schritte:

  • Risikoanalyse: Klären Sie, ob Ihre Mandanten rechtlich selbstständig sind und welche Datenschutzpflichten daraus folgen. Das bestimmt den erforderlichen Isolationsgrad.
  • Lastenheft: Definieren Sie explizit, welche Daten mandantenabhängig und welche mandantenübergreifend sein sollen. Unklare Anforderungen hier sind die häufigste Ursache für spätere Migrationsprojekte.
  • Proof of Concept: Führen Sie den Abnahme-Testplan aus Abschnitt 7 mit zwei Testmandanten durch, bevor Sie einen Vertrag unterzeichnen.

Eine persönliche Einschätzung zur Mandantenfähigkeit

Was die meisten bei der Auswahl unterschätzen

Die technische Architektur ist das eine. Was Entscheider aber regelmäßig unterschätzen, ist die Qualität der Spezifikation im Vorfeld. Ich habe Projekte gesehen, bei denen die Ausschreibung „Mandantenfähigkeit“ forderte, ohne zu definieren, was das konkret bedeutet. Das Ergebnis war eine Lösung mit Mandantenschlüsseln auf Tabellenebene, die für Datenschutzaudits nicht ausreichte und nach zwei Jahren migriert werden musste.

Mein Rat: Schreiben Sie in jede Ausschreibung drei Dinge explizit hinein. Erstens den geforderten Isolationsgrad (Tabelle, Schema oder eigene Datenbank). Zweitens die Anforderung an mandantenspezifische Backups. Drittens die Protokollierungspflicht für Administratorzugriffe. Anbieter, die auf diese drei Punkte keine klare Antwort geben, haben die Anforderung nicht verstanden oder erfüllen sie nicht.

Ein weiterer blinder Fleck: die Verwechslung von Konzernfähigkeit und echter Mandantenfähigkeit. Konzernfähigkeit erlaubt zentrale Steuerung mit gemeinsamen Stammdaten. Mandantenfähigkeit schafft vollständige Isolation für rechtlich selbstständige Einheiten. Wer das nicht trennt, kauft das falsche Produkt.

Mandantenfähigkeit mit Balerion: Testen ohne Risiko

Wer Sicherheitsdienste mit mehreren Auftraggebern disponiert, kennt das Problem: Schichtdaten, Mitarbeiterpools und Abrechnungen für verschiedene Kunden landen in derselben Software, müssen aber strikt getrennt bleiben. Balerion löst das mit echter Multi-Mandanten-Isolation, nicht mit Berechtigungsfiltern.

Balerion

Die Plattform trennt Auftraggeberdaten auf Systemebene, protokolliert alle Administratorzugriffe für DSGVO-Audits und erlaubt mandantenspezifische Datenexporte. Disponenten sehen nur ihre zugeordneten Mandanten. Updates werden zentral eingespielt, ohne dass Daten vermischt werden. Das Rollenmodell lässt sich pro Mandant feingranular konfigurieren.

Testen Sie Balerion kostenlos und prüfen Sie die Mandantentrennung mit dem Abnahme-Testplan aus diesem Artikel. Starten Sie jetzt auf Balerion oder sehen Sie sich die Lösungen für Sicherheitsdienste direkt an.

Quellen

Für Audits, Datenschutzbeurteilungen und technische Spezifikationen sind folgende Quellen besonders nützlich:

Empfehlung