Sicherheit der API

Diese Seite fasst zusammen, wie die SynCore-API geschützt ist und was deine Integration selbst beitragen muss. Sie hilft dir bei der Einrichtung und bei einer Sicherheitsprüfung, zum Beispiel wenn du als Einrichtung unter NIS2 deine Dienstleister bewerten musst.

Was SynCore schützt

• Schlüssel: Ein API-Key besteht aus syn_ und 24 Zufallsbytes. SynCore speichert davon nur einen SHA-256-Hash und die ersten zwölf Zeichen als Erkennungsmerkmal. Den vollständigen Schlüssel siehst du genau einmal, bei der Ausgabe.
• Zweck: Jeder Schlüssel trägt Scopes. Ein App-Tools-Schlüssel öffnet nur die App-Tools, jede Spezialanbindung verlangt ihren eigenen Scope.
• Rechte: Ein App-Tools-Schlüssel handelt als ein technischer Benutzer, der Actor-User. Die API prüft bei jedem Aufruf dieselben Rollen, Rechte und Datenbereiche wie in der Oberfläche. Hat der Schlüssel keinen Actor-User oder gibt es ihn nicht mehr, lehnt SynCore jeden Aufruf ab.
• Mandantentrennung: Ein Schlüssel gehört zu genau einem Mandanten. Kein Feld der Anfrage kann den Mandanten wechseln, jede Abfrage bleibt auf diesen Mandanten beschränkt.
• Besonders geschützte Daten: Tools für Daten der Datenklasse D, etwa Personalakten, Abwesenheiten, Schülerdaten und Lohnabrechnungen, bietet die API nicht an. Diese Daten bearbeitest du nur in der Oberfläche.
• Änderungen mit Rückfrage: Tools, die Daten anlegen, ändern oder löschen, sind im Katalog mit confirmationRequired gekennzeichnet. SynCore markiert, deine Anwendung holt die ausdrückliche Bestätigung ein.
• Protokoll: Standardmäßig steht jeder ausgeführte Aufruf mit Mandant, Actor-User, Tool und Ergebnis im Audit-Log, auch ein fachlich gescheiterter. Die Eingabedaten selbst speichert das Protokoll nicht. Mandanten-Administratoren können die Protokollierung einzelner Bereiche abschalten. Belege, Personal- und Schülerdaten werden immer protokolliert.
• Anfragelimits: Pro Schlüssel sind 1.200 Anfragen pro Minute und Endpunkt erlaubt, darüber antwortet SynCore mit 429. Details stehen unter Anfragelimits.
• Kein Zugriff aus fremden Webseiten: Die API sendet keine CORS-Freigaben. Skripte auf anderen Webseiten können sie im Browser deshalb nicht aufrufen. Der MCP-Zugang lehnt Anfragen mit fremdem Origin zusätzlich mit 403 ab.
• MCP mit denselben Regeln: Der MCP-Zugang nutzt dieselben Schlüssel und dieselben Prüfungen wie die App-Tools-API. Im Audit-Log steht als Quelle „mcp“. Mit ?nur=lesen an der Adresse sieht ein Assistent nur Werkzeuge, die nichts verändern.
• Fehlermeldungen ohne Interna: Scheitert ein Tool an der Datenbank, nennt die Antwort nur den Fehlercode und einen verständlichen Satz, keine Abfragen und keine Tabellennamen.
• Sofortige Sperre: Ein widerrufener Schlüssel gilt ab der nächsten Anfrage nicht mehr, die Integration bekommt 401.
• Zugangsdaten zu fremden Diensten: Passwörter und Schlüssel für angebundene Dienste liegen verschlüsselt (AES-256-GCM) je Mandant im Credential Store, getrennt von den API-Keys. Mehr dazu unter Wo welcher Schlüssel liegt.

Was deine Integration beitragen muss

1. Leg für jede Integration einen eigenen technischen Benutzer mit knappen Rechten an, nie ein persönliches Konto: API-Key beantragen.
2. Halte den Schlüssel auf dem Server, in einem Secret-Speicher oder einer Umgebungsvariable. Er gehört nicht in Browser-Code, Repositories, Tickets, Mails oder in den Chat mit einem KI-Assistenten.
3. Ruf SynCore nur über die HTTPS-Adresse deiner Instanz auf.
4. Führ Tools mit confirmationRequired erst nach ausdrücklicher Bestätigung aus und prüf das Ergebnis mit einem Lese-Tool.
5. Tausch Schlüssel regelmäßig, denn sie laufen nicht von selbst ab. Könnte ein Schlüssel bekannt geworden sein, lass ihn sofort widerrufen.
6. Speichere Antworten mit Personendaten nur so lange, wie deine Anwendung sie braucht, und schreib sie nicht in Protokolle.

Sicherheitslücke gefunden?

Schreib an security@unitedsynergy.com. Die Kontaktdaten stehen auch in der Datei /.well-known/security.txt jeder SynCore-Instanz. Beschreib, was du gefunden hast und wie es sich nachstellen lässt. Schick keine echten Personendaten und nie einen vollständigen API-Key.