Wenn Fachbereiche ihre eigenen Apps bauen, will die IT vor allem eins wissen: Was kann so eine App anrichten? In Openbase.one ist die Antwort kurz. Eine App kann nur das, was die Umgebung ihr erlaubt. Und die Umgebung erlaubt wenig.
Abgeschottet und ohne Netzwerk
Der Code jeder App läuft in einer eigenen, isolierten Laufzeit (workerd-Isolates). Diese Laufzeit hat keinen Netzwerkzugang:
- Die App erreicht nicht das Internet. Sie kann keine Daten an fremde Server schicken.
- Die App erreicht keine anderen Workspaces.
- Erreichbar ist nur die Schnittstelle von Openbase.one selbst.
Das gilt für jede App gleich, für eure eigenen genauso wie für Apps aus dem App Store.
Kein SQL, jeder Zugriff wird geprüft
Apps schreiben kein SQL und greifen nie direkt auf die Datenbank zu. Jeder Datenzugriff läuft über das SDK von Openbase.one und ein Gateway, das jeden einzelnen Aufruf prüft:
- Gehört der Aufruf zu diesem Workspace?
- Gehört er zu dieser App?
- Darf die Person, für die die App gerade arbeitet, diese Daten sehen oder ändern?
Wenn ihr also beschreibt, dass Gehälter nur HR sieht, ist das keine Zeile Code, die man beim nächsten Umbau vergessen kann. Die Regel wird bei jedem Zugriff durchgesetzt.
Getrennt auf Datenbankebene
Workspaces sind auf Datenbankebene voneinander getrennt, mit Row-Level-Security. Die Trennung hängt nicht davon ab, dass eine App sich korrekt verhält. Sie gilt darunter.
Dieselben Rechte für den Assistenten
Der persönliche Assistent jeder Person arbeitet mit genau ihren Rechten. Er sieht nur, was sie sehen darf, auch in euren eigenen Apps. Jede Änderung legt er zur Freigabe vor.
Was die IT sonst noch sieht
- Anmeldung mit Google Workspace, Microsoft Entra ID, per E-Mail-Code oder mit Passwort. Admins können Passwörter abschalten. SAML gibt es im Enterprise-Tarif.
- Ein Audit-Log hält fest, wer was geändert hat, und lässt sich exportieren.
- Der Code jeder eigenen App liegt als Git-Repository im Workspace, die Daten sind exportierbar.
- Die Daten von Openbase.one liegen in Frankfurt. KI-Aufrufe laufen über kommerzielle Anbieter, im EU-Modus über AWS Bedrock in eu-central-1. Einen AVV gibt es auf Anfrage.
Was Isolation nicht ersetzt
Isolation und Rechte begrenzen, was eine App technisch tun kann. Ob sie fachlich das Richtige tut, entscheidet das Team, das sie baut. Dafür gibt es die Prüfung vor dem Livegang, den Weg zurück zur vorherigen Version und auf Wunsch einen Support-Vertrag.
Tarife
Isolation und Rechteprüfung gelten in jedem Tarif und für jede App. Die Tarife und Support-Verträge findet ihr auf der Preisseite.
Beschreibt eure erste App und seht, wie sie geprüft live geht.
Kostenlos starten