RBAC Hier beginnt sich das Gateway zu amortisieren. In einer mandantenfähigen Banking-Plattform kann der Zugriff nicht pauschal gewährt werden, nur weil der Mitarbeiter “intern” ist. Jeder Mandant benötigt seine eigene Berechtigungsmatrix. Ein Händler, der ausschließlich Zahlungsauslösungen nutzt, sollte keinen Zugriff auf KYC-Tools erhalten. Ein Support-Mitarbeiter in einer Region sollte keine Kartenkontrollen für eine andere Region einsehen können. Ein Workflow, der lediglich eine Kontostandsabfrage benötigt, sollte keine Überweisungsvorbereitung erhalten.
Schema-Validierung ist der nächste Filter. Das Gateway sollte jede Anfrage anhand genehmigter OpenAPI-Spezifikationen oder gleichwertiger Verträge validieren. Dadurch werden fehlerhafte Payloads abgefangen: falsches Währungsformat, fehlende Empfänger-ID, nicht unterstützter Zahlungsweg, unmöglicher Datumsbereich, fehlerhafte KYC-Statusanfrage. Das Modell kann zwar eloquent sein und dennoch eine Payload erzeugen, die das System verwerfen sollte.
Genehmigungsabläufe Hier wird das Modell ohne Verwahrung konkret umgesetzt. Der Bearbeiter kann zwar eine Maßnahme vorbereiten, doch risikoreiche Vorgänge erfordern eine Warteschlange, beispielsweise bei Betragsgrenzen, neuen Begünstigten, verdächtigen Kontostatus, unvollständiger Identitätsprüfung (KYC), erhöhten Betrugssignalen oder mandantenspezifischen Richtlinien. Das Gateway sollte den Genehmigungsantrag erstellen, den Genehmiger benachrichtigen, Zeitlimitregeln überwachen und dem Nutzer oder Betreiber einen eindeutigen Status zurückmelden.
Protokollierung von Prüfvorgängen muss in den Ablauf integriert werden. Bei jeder Anfrage sollte das Gateway einen Datensatz erstellen, der nur um neue Einträge erweitert werden kann. Dieser Datensatz sollte Mandant, Benutzer, Kanal, Workflow-Status, Tool, Parameter nach der Anonymisierung, Validierungsergebnis, Genehmigungsstatus, nachgelagerte Antwort und Korrelations-ID enthalten. Compliance-Teams benötigen kein schön aufbereitetes Protokoll. Sie benötigen einen übersichtlichen Nachweis, der erklärt, warum das System die Aktion zugelassen oder blockiert hat.
Eine Unterscheidung, die es von Anfang an zu beachten gilt: Das Protokoll belegt, was ausgeführt wurde, nicht aber, wer dazu befugt war, dies zu veranlassen. Ein Trace kann zwar eindeutig zeigen, dass eine Übertragung unter einem bestimmten Token von A nach B erfolgte. Er kann jedoch für sich genommen nicht belegen, dass die Aktion von einem Auftraggeber autorisiert wurde, den beide Seiten anerkennen, oder dass die Autorisierung nicht bereits widerrufen worden war. In einem Single-Tenant-Ablauf ist diese Lücke nicht sichtbar, da sich das Protokoll und die Berechtigungsdatensätze am selben Ort befinden. Sobald ein Streitfall einen Mandanten oder eine Gegenpartei betrifft, wird genau diese Lücke zum Kernproblem. Daher sollte der Datensatz die Berechtigung erfassen: Welches Mandat hat den Aufruf autorisiert, in welchem Umfang und ob es zu diesem Zeitpunkt noch gültig war. Ich gehe in meinem Artikel näher auf diesen Punkt ein Ein Mandat ist nicht gleichbedeutend mit Regierungsführung.
Leistungsschalter Das ist ein Problem, weil Bankdienstleister auf langweilige Weise versagen – etwa durch Timeouts, teilweise Ausfälle, langsame Antworten, veraltete Statusmeldungen und Ratenbegrenzungen. Das Gateway sollte dieses Muster erkennen, einen erneuten Versuch mit Backoff unternehmen, wenn dies sicher ist, wiederholte Aufrufe unterbinden, wenn dies nicht der Fall ist, und dem Nutzer eine sinnvolle Alternative anbieten. “AML-Anbieter nicht verfügbar, bitte später erneut versuchen” ist besser, als den Agenten in einer Endlosschleife laufen zu lassen, einen Status zu erfinden oder einen beeinträchtigten Dienst weiter zu überlasten.
Gültigkeitsbereich von Tokens begrenzt den Schadensumfang. Ein Tool-Aufruf sollte nur die Mindestzugriffsrechte erhalten, die für diese spezifische Anfrage, diesen Mandanten, diesen Benutzer und diesen Workflow-Status erforderlich sind. Kurzlebige, bereichsgebundene Token sind wesentlich sicherer als langlebige Dienstzugangsdaten, die in der Agent-Ebene im Umlauf sind. Sollte etwas schiefgehen, sollte die fehlgeschlagene Anfrage nur begrenzte Auswirkungen haben.
Einstellen
Über uns