Architektur: Security-Gateway zwischen Copilot und ERP

  1. Anfrage

    Microsoft 365 Copilot
    über den Copilot-Connector

  2. Identität

    Microsoft Entra ID
    Anmeldung und Token

  3. Schutz

    Security-Gateway
    Prüfung jeder Anfrage · nur freigegebene Pfade · Mandantentrennung · Schutz vor Doppelbuchungen · Audit-Protokoll

  4. Daten

    ERP-System
    nicht aus dem Internet erreichbar
Das ERP ist nie direkt aus dem Internet erreichbar. Jede Anfrage läuft über das Gateway und wird dort geprüft und protokolliert.

Ausgangslage

Ein mittelständisches Unternehmen mit Sage-100-ERP wollte Microsoft 365 Copilot gezielt auf ERP-Daten zugreifen lassen. Die zentrale Anforderung: Die ERP-Instanz darf dafür nicht direkt aus dem Internet erreichbar sein.

An dem Vorhaben waren mehrere Parteien beteiligt: Der Kunde stellte Infrastruktur und ERP-Betrieb, ein Microsoft-Partner die Copilot-Seite und ein ERP-Dienstleister die ERP-Seite. codekunst systems baute das Gateway dazwischen.

Lösung: ein Security-Gateway zwischen Entra ID und ERP

Das Gateway prüft jeden Aufruf und gibt nur zu, was ausdrücklich erlaubt ist. Die wichtigsten Bausteine:

BausteinUmsetzung
AuthentifizierungJede Anfrage wird gegen Microsoft Entra ID geprüft, bevor sie das ERP erreicht
AutorisierungNur ausdrücklich freigegebene Zugriffspfade und Methoden, alles andere wird abgewiesen (fail-closed)
MandantentrennungGetrennte Zugriffsrollen je Umgebung — ein Test-Zugriff kann strukturell nie auf Produktivdaten treffen
Schutz vor DoppelbuchungenSchreibende Anfragen sind eindeutig gekennzeichnet, wiederholte Anfragen führen nicht zu doppelten Belegen
AuditVollständiges Zugriffsprotokoll mit Live-Ansicht für den Betrieb
BetriebVerwaltungsbereich für Freigaben und Mandanten, Schutz durch vorgelagerte Web Application Firewall
AusrollungReproduzierbare Installation, Geheimnisse verschlüsselt abgelegt

Was wir daraus mitnehmen

  • Identitäten sauber trennen: Eine einzelne Anwendungsregistrierung wurde in drei getrennte Rollen zerlegt — Gateway, Verwaltungsoberfläche und Copilot-Anbindung. Jede bekommt nur die Rechte, die sie braucht.
  • Eine Umgebung, ein Zugang: Der ERP-Dienstleister wollte je Umgebung eine eigene Registrierung, damit Test und Produktion sich strukturell nicht berühren können. Diese Trennung ist umgesetzt.
  • Fehler nicht vorschnell im eigenen Code suchen: Auch ERP-Eigenheiten und Zertifikatsfragen der Gegenseite können Symptome am Gateway auslösen. Das Gateway liefert deshalb gezielte Diagnosen statt nur allgemeiner Fehlermeldungen.
  • Doppelbuchungen aktiv verhindern: Das ERP bringt keinen eigenen Duplikatschutz mit. Das Gateway übernimmt ihn bewusst, auch wenn das eine strengere Schnittstelle bedeutet.
  • Sicherheit als laufender Prozess: Zwei unabhängige Security-Audits, alle Findings behoben. Abhängigkeiten werden geprüft, und bewusste Abweichungen sind dokumentiert und begründet.
  • Barrierefreiheit nachgeprüft: Die Verwaltungsoberfläche wurde auf ausreichenden Kontrast geprüft und nachgebessert.

Was bewusst nicht öffentlich ist

Firmen-, Domain- und Hostnamen, Tenant- und Client-IDs sowie Namen beteiligter Dienstleister und Ansprechpartner sind aus dieser Fallstudie bewusst entfernt.