Datenisolierung

Mirox wird als gemeinsame Plattform für viele Kunden betrieben. Ihre Organisation ist Ihr Mandant: Alles, was zu ihr gehört — Anlagen, Portfolios, Messwerte, Dateien, Ereignisse, Tickets, Berichte, Alarmregeln, Mitglieder und API-Tokens — ist von jeder anderen Organisation getrennt. Diese Seite beschreibt, wie diese Trennung funktioniert und wie der einzige zulässige Weg über sie hinweg aussieht.

Drei Mechanismen tragen die Trennung, jeder für eine andere Art von Daten:

Daten	Wo sie liegen	Wie sie getrennt werden
Messwerte (Leistung, Energie, Spannungen, Zustände, …)	Zeitreihendatenbank	Ein eigener Mandant pro Organisation. Eine Abfrage wird innerhalb eines Mandanten ausgeführt und kann niemals zwei umfassen.
Konfigurations- und Betriebsdaten (Anlagen, Mitglieder, Ereignisse, Tickets, Berichte, Alarmregeln, …)	Relationale Datenbank	Jeder Zugriff wird vom Berechtigungssystem autorisiert, bevor eine Zeile zurückgegeben oder geändert wird.
Dokumente, Bilder und Exporte	Objektspeicher	Abgelegt unter der Anlage oder Organisation, zu der sie gehören; ausgeliefert nur über die Plattform, nach derselben Berechtigungsprüfung, über ablaufende signierte Links.

Messwerte: ein eigener Mandant

Jede Organisation erhält bei ihrer Erstellung einen eigenen Mandanten in der Zeitreihendatenbank. Die Agenten Ihrer Anlagen liefern ihre Messwerte in diesen Mandanten und nirgendwo sonst: Ein Agent authentifiziert sich als das für seine Anlage registrierte Gerät, und diese Registrierung legt fest, in welche Anlage — und damit in welchen Mandanten — seine Daten geschrieben werden.

Auf dem Weg zurück beginnt jeder Lesezugriff bei der Anlage, nach der Sie fragen. Die Plattform ermittelt die Organisation der Anlage und damit den Mandanten, bevor die Abfrage gebaut wird; die Abfrage läuft dann innerhalb dieses einen Mandanten. Es gibt keine Anfrageform, die „alle Mandanten“ oder „alle Anlagen“ liest — ein Graph, eine KPI, ein Bericht oder ein Export benennt immer seine Anlagen, und jede davon wird zuerst gegen Ihre Berechtigungen geprüft.

Das gilt auch für den Rohzugriff auf die Messwerte. Der Datenexport, die Metric-Export-API und die Grafana-Dashboards sprechen nicht direkt mit der Datenbank. Sie gehen über einen Proxy, der die Anfrage authentifiziert, die Anlagen ermittelt, die der Aufrufer sehen darf, die Abfrage so umschreibt, dass sie nur diese Anlagen treffen kann, und sie erst dann weiterleitet. Eine Abfrage, die eine Anlage benennt, die Sie nicht sehen dürfen, liefert für diese Anlage nichts — der Proxy verlässt sich nicht darauf, dass Sie höflich fragen.

Konfigurations- und Betriebsdaten: eine Prüfung bei jedem Zugriff

Anlagen, Portfolios, Mitglieder, Ereignisse, Tickets, Berichte, Alarmregeln und alle weitere Konfiguration werden in einer relationalen Datenbank gehalten, und die Grenze zwischen Organisationen wird vom Berechtigungssystem bei jeder einzelnen Anfrage durchgesetzt:

Die Anfrage wird zuerst authentifiziert; eine Anfrage ohne gültige Sitzung oder API-Token wird abgewiesen, bevor Daten berührt werden.
Das Berechtigungssystem entscheidet dann pro Ressource. Eine Anlage wird gegen Ihre Rollen geprüft; alles, was zu einer Anlage gehört — ihre Komponenten, Ereignisse, Tickets, Dateien, Kommentare, Verträge — wird gegen diese Anlage geprüft, niemals nur gegen das Unterelement allein.
Listen werden gefiltert, nicht ausgeblendet: Eine Liste von Anlagen, Ereignissen oder Berichten wird nur aus den Ressourcen aufgebaut, die Sie sehen dürfen. Es gibt keinen „Alles anzeigen“-Pfad, der später im Browser eingeschränkt wird.
Die Prüfung läuft innerhalb derselben Datenbanktransaktion, die die Daten liest oder ändert. Ein Ergebnis kann niemals aus Zeilen zusammengesetzt werden, die die Prüfung nicht abgedeckt hat.

Was Sie nicht sehen dürfen, existiert für Sie auch in keiner anderen Form: nicht in Suchergebnissen, nicht in Benachrichtigungen, nicht in den Antworten des KI-Assistenten und nicht in Exporten. Der Assistent und die agentischen Wizards arbeiten mit genau den Berechtigungen der Person, die sie benutzt.

Dateien

Dokumente, Bilder und erzeugte Exporte werden im Objektspeicher unter der Anlage oder Organisation abgelegt, zu der sie gehören. Sie werden nie direkt aus dem Speicher ausgeliefert: Ein Download wird über die Plattform angefordert, die dieselbe Berechtigungsprüfung wie für die Anlage selbst durchführt und dann einen signierten Link herausgibt, der abläuft. Ein Link kann weder erraten noch für eine andere Anlage wiederverwendet werden.

Dashboards

Jede Organisation erhält ihre eigene Organisation innerhalb von Grafana mit einer eigenen Datenquelle. Dashboards, Ordner und gespeicherte Abfragen eines Kunden sind in der Grafana-Organisation eines anderen nicht sichtbar, und jede Abfrage, die ein Dashboard sendet, durchläuft weiterhin den oben beschriebenen Proxy — die Grafana-Organisation ist eine Komfortgrenze oberhalb der eigentlichen, kein Ersatz für sie.

Agenten

Jede Anlage hat ihren eigenen Mirox-Agenten. Die Agenten laufen dezentral auf Agenten-Clustern in anderen Regionen als die Plattform selbst. Agenten teilen sich niemals einen Dienst, einen Speicherbereich oder einen Tunnel, und ein Agent kann nur Daten für die Anlage liefern, für die er registriert ist. Die Bereitstellungsoptionen beschreiben, wie die Agenten auf den Agenten-Clustern voneinander isoliert sind.

Die Grenze bewusst überschreiten

Es gibt genau einen Weg für jemanden außerhalb Ihrer Organisation, Ihre Daten zu sehen, und er ist bewusst, sichtbar und widerrufbar:

Eine Kooperation gewährt einer anderen Organisation Zugriff auf benannte Anlagen oder Portfolios. Sie wird von einem Admin oder Moderator Ihrer Organisation angelegt, listet auf, was geteilt wird, und endet in dem Moment, in dem sie widerrufen wird. Nichts wird kopiert — der Partner liest dieselben Daten unter denselben Prüfungen, und sein Zugriff ist durch die Kooperationsbeschränkungen begrenzt.
Ein externes Mitglied wird mit einer eingeschränkten Rolle in Ihre Organisation eingeladen und sieht nur, was diese Rolle erlaubt.
Ein API-Token kann die Berechtigungen des Benutzers, der ihn erstellt hat, nur einschränken, niemals erweitern.

Alles andere — ein anderer Kunde, eine Suche, eine erratene Kennung, eine konstruierte Abfrage — endet an der Grenze. Das Zugriffs-Audit-Log hält fest, wer auf welche Anlage zugegriffen hat, sodass Sie das für Ihre Organisation jederzeit überprüfen können.

Häufige Fragen

Kann ein anderer Mirox-Kunde jemals meine Anlagen sehen? Nein. Seine Anfragen werden mit seinen Berechtigungen und innerhalb seines Mandanten ausgeführt; Ihre Anlagen sind weder Teil des einen noch des anderen.

Kopiert eine Kooperation meine Daten zum Partner? Nein. Eine Kooperation ist eine Berechtigung, keine Kopie. Der Partner liest die geteilten Anlagen live, und nach dem Widerruf der Kooperation bleibt auf seiner Seite nichts zurück.

Ist die Trennung für die API dieselbe wie für die Web-App? Ja. Die Web-App, die Mobile-App, die API und der KI-Assistent gehen alle durch dasselbe Backend und dieselben Prüfungen. Es gibt keinen zweiten Pfad mit schwächeren Regeln.

Wie kann ich überprüfen, wer auf meine Daten zugegriffen hat? Öffnen Sie das Zugriffs-Audit-Log Ihrer Organisation. Es listet jeden Zugriff auf Ihre Anlagen auf, einschließlich derer über Kooperationen.