MSP-FAQ: X-Tenant-ID / Body-Tenant-Selektor ist keine Autorisierung

OWASP Multi Tenant: Client-Tenant-IDs sind nur Selektoren. Soft-Auris-Posture tenant_id gebunden / org_id null / short-lived m2m @ 2026-09-21T16:28:03.813Z — Posture, kein Zert.

Warum ein client-gelieferter Tenant-Header keine Cross-Tenant-Reads autorisiert

Wenn ein MSP-Kunde oder eine Integration X-Tenant-ID (oder einen Tenant-Selektor im Body) sendet — warum reicht das nicht für Cross-Tenant-Reads, und was muss ein Multi-Tenant-IAM-Produkt vor jeder tenant-scoped Query prüfen?

Quelle: OWASP Multi Tenant Security Cheat Sheet (abgerufen 21.09.2026) — client-gelieferte Tenant-IDs sind nur Selektoren; Tenant-Kontext an serverseitig verifizierte Identität + aktuelle Mitgliedschaft binden; Downstream darf verifizierten Kontext nicht durch unverifizierten Input ersetzen.

Das OWASP-Cheat-Sheet ist klar: eine Tenant-ID vom Client ist ein Selektor, kein Entitlement-Nachweis. Vor jeder tenant-scoped Query sollte das Produkt (1) den Aufrufer authentifizieren, (2) Membership aus serverseitigen Identity-Stores auflösen, (3) die aufgelöste tenant_id in den Request-Kontext binden und (4) jeden Versuch von Downstream-Code ablehnen, dieses Binding mit einem unverifizierten Header- oder Body-Feld zu überschreiben.

Soft-Auris-Posture (Produktisolation, kein Zert): Live-Isolation-Check um 2026-09-21T16:28:03.813Z zeigte tenant_id gebunden, org_id null, short-lived m2m, Probe ok, 0 Violations. Das ist ein beobachteter Produkt-Posture-Snapshot — kein ACN, C5, SecNumCloud oder sonstiger Zertifizierungsanspruch.

Nur Entwurf. Mensch publiziert. Soft-Auris-Posture ist keine Zertifizierung. Keine ACN-/C5-/SecNumCloud-/CLOUD-Act-Claims.