KISicheres Gateway für Microsoft-365-Copilot-Zugriff auf ERP-Daten
Ein Security-Reverse-Proxy zwischen Microsoft Entra ID und dem Sage-100-ERP, damit Copilot gezielt auf Artikel-, Kunden- und Belegdaten zugreifen kann, ohne die ERP-Instanz direkt aus dem Internet erreichbar zu machen.
Veröffentlicht: · Stand:
Für Entscheider in drei Sätzen
- Problem:
- Microsoft 365 Copilot sollte auf ERP-Daten zugreifen, ohne dass die ERP-Instanz aus dem Internet erreichbar wird.
- Lösung:
- Ein eigens entwickeltes Security-Gateway prüft jede Anfrage und lässt nur ausdrücklich freigegebene Zugriffe durch.
- Nutzen:
- Mitarbeitende nutzen Copilot mit Unternehmensdaten, die ERP-Instanz bleibt geschützt und jeder Zugriff ist nachvollziehbar protokolliert. Produktiv nach vier Tagen.
Architektur: Security-Gateway zwischen Copilot und ERP
Anfrage
Microsoft 365 Copilotüber den Copilot-ConnectorIdentität
Microsoft Entra IDAnmeldung und TokenSchutz
Security-GatewayPrüfung jeder Anfrage · nur freigegebene Pfade · Mandantentrennung · Schutz vor Doppelbuchungen · Audit-ProtokollDaten
ERP-Systemnicht aus dem Internet erreichbar
Technische Details
Ausgangslage
Microsoft 365 Copilot sollte gezielt und sicher auf ERP-Daten zugreifen können (Artikel, Kunden, Belege) — die ERP-Instanz durfte dafür aber nicht direkt aus dem Internet erreichbar sein. Mehrere Parteien waren beteiligt: der Kunde mit Netzwerk und ERP-Betrieb, ein Microsoft-Partner für die Copilot-Seite und ein ERP-Dienstleister.
Umsetzung
Ein eigens entwickeltes Gateway zwischen Microsoft Entra ID und dem ERP: Prüfung jeder Anfrage, ausdrücklich freigegebene Zugriffspfade nach dem Fail-Closed-Prinzip, strikte Trennung der Mandanten, Schutz vor ERP-Doppelbuchungen und vollständiges Audit-Protokoll.
Ergebnis
Nach vier Tagen produktiv, seither im laufenden Live-Betrieb kontinuierlich erweitert. Zwei unabhängige Security-Audits, alle Findings behoben.
Ausgangslage
Ein mittelständisches Unternehmen mit Sage-100-ERP wollte Microsoft 365 Copilot gezielt auf ERP-Daten zugreifen lassen. Die zentrale Anforderung: Die ERP-Instanz darf dafür nicht direkt aus dem Internet erreichbar sein.
An dem Vorhaben waren mehrere Parteien beteiligt: Der Kunde stellte Infrastruktur und ERP-Betrieb, ein Microsoft-Partner die Copilot-Seite und ein ERP-Dienstleister die ERP-Seite. codekunst systems baute das Gateway dazwischen.
Lösung: ein Security-Gateway zwischen Entra ID und ERP
Das Gateway prüft jeden Aufruf und gibt nur zu, was ausdrücklich erlaubt ist. Die wichtigsten Bausteine:
| Baustein | Umsetzung |
|---|---|
| Authentifizierung | Jede Anfrage wird gegen Microsoft Entra ID geprüft, bevor sie das ERP erreicht |
| Autorisierung | Nur ausdrücklich freigegebene Zugriffspfade und Methoden, alles andere wird abgewiesen (fail-closed) |
| Mandantentrennung | Getrennte Zugriffsrollen je Umgebung — ein Test-Zugriff kann strukturell nie auf Produktivdaten treffen |
| Schutz vor Doppelbuchungen | Schreibende Anfragen sind eindeutig gekennzeichnet, wiederholte Anfragen führen nicht zu doppelten Belegen |
| Audit | Vollständiges Zugriffsprotokoll mit Live-Ansicht für den Betrieb |
| Betrieb | Verwaltungsbereich für Freigaben und Mandanten, Schutz durch vorgelagerte Web Application Firewall |
| Ausrollung | Reproduzierbare Installation, Geheimnisse verschlüsselt abgelegt |
Was wir daraus mitnehmen
- Identitäten sauber trennen: Eine einzelne Anwendungsregistrierung wurde in drei getrennte Rollen zerlegt — Gateway, Verwaltungsoberfläche und Copilot-Anbindung. Jede bekommt nur die Rechte, die sie braucht.
- Eine Umgebung, ein Zugang: Der ERP-Dienstleister wollte je Umgebung eine eigene Registrierung, damit Test und Produktion sich strukturell nicht berühren können. Diese Trennung ist umgesetzt.
- Fehler nicht vorschnell im eigenen Code suchen: Auch ERP-Eigenheiten und Zertifikatsfragen der Gegenseite können Symptome am Gateway auslösen. Das Gateway liefert deshalb gezielte Diagnosen statt nur allgemeiner Fehlermeldungen.
- Doppelbuchungen aktiv verhindern: Das ERP bringt keinen eigenen Duplikatschutz mit. Das Gateway übernimmt ihn bewusst, auch wenn das eine strengere Schnittstelle bedeutet.
- Sicherheit als laufender Prozess: Zwei unabhängige Security-Audits, alle Findings behoben. Abhängigkeiten werden geprüft, und bewusste Abweichungen sind dokumentiert und begründet.
- Barrierefreiheit nachgeprüft: Die Verwaltungsoberfläche wurde auf ausreichenden Kontrast geprüft und nachgebessert.
Was bewusst nicht öffentlich ist
Firmen-, Domain- und Hostnamen, Tenant- und Client-IDs sowie Namen beteiligter Dienstleister und Ansprechpartner sind aus dieser Fallstudie bewusst entfernt.
Vergleichbares Projekt anfragen
Sagen Sie uns kurz, wie Ihre Umgebung aussieht — wir sagen Ihnen ehrlich, was ein vergleichbares Projekt bei Ihnen bedeuten würde.