Wie wird der Objektspeicher gegen unbefugten Zugriff geschützt?
Ja. Alle S3-Buckets bei amaise sind umfassend abgesichert — sowohl auf Infrastruktur- als auch auf Applikationsebene:
Infrastruktur-Ebene (KMS-basiert):
Verschlüsselung: Kundendaten werden mit mandantenspezifischen KMS-Schlüsseln (SSE-KMS) verschlüsselt. Jeder Mandant erhält einen eigenen Customer Managed Key (CMK). Infrastrukturdaten verwenden SSE-S3.
Kein öffentlicher Zugriff: Öffentlicher Lese- und Schreibzugriff ist auf allen Buckets verboten, durchgesetzt durch NIST-Config-Regeln.
SSL-Only: Bucket-Richtlinien erzwingen ausschliesslich verschlüsselte Verbindungen (HTTPS).
Zugriffskontrolle: Kein direkter öffentlicher S3-Zugriff möglich — der Zugriff erfolgt ausschliesslich über CloudFront (HTTPS) und VPC-Gateway-Endpunkte.
Applikations-Ebene (Workspace/Mandantenisolation):
Mandantentrennung: Auf Applikationsebene wird der Zugriff strikt nach Workspace bzw. Mandant isoliert. Jeder Zugriff wird gegen die authentifizierte Mandanten-ID validiert.
Schlüsselzuweisung: Der mandantenspezifische CMK wird bereits beim frühesten Eintritt in das System (Entry Proxy) zugewiesen und für alle nachfolgenden Operationen verwendet.
Monitoring und Audit:
S3-Zugriffslogs werden an einen zentralen Logging-Bucket gesendet und 90 Tage aufbewahrt. CloudTrail erfasst alle S3-Datenereignisse.
Bucket-Konfigurationen werden im Rahmen vierteljährlicher Sicherheitsaudits und kontinuierlicher IaC-Sicherheitsscans überprüft.