Schnittstellen sicher betreiben: Zugänge, Rechte, Schlüssel

Eine Schnittstelle ist so sicher wie ihre Zugänge. Bei bexio entscheiden drei Dinge: mit welchem Benutzer die Verbindung eingerichtet wird, welche Berechtigungen (Scopes) die Anwendung erhält und wie Sie Tokens und Client Secret schützen. Vergeben Sie so wenig Rechte wie möglich, teilen Sie keine Schlüssel, erneuern Sie sie regelmässig und prüfen Sie Ihre Verbindungen in festen Abständen.

Zugänge: wer verbindet?

Der Zugriff über die Schnittstelle läuft mit den Benutzerrechten der Person, die die Verbindung eingerichtet hat. Richtet jemand mit weitreichenden Rechten die Verbindung ein, kann die Anwendung im Rahmen ihrer Scopes entsprechend weit zugreifen. Besser ist ein Benutzer, der genau die Module sieht und bearbeitet, die die Anwendung braucht. Wie Sie Rechte pro Modul vergeben, erklärt Benutzer und Rechte in bexio verwalten. Die bexio-Hilfe empfiehlt, die Rechte nach der Vergabe zu überprüfen. Beachten Sie: «Editieren: Alle» erlaubt, Einträge zu erstellen, zu bearbeiten oder zu löschen.

Schützen Sie das Login dieses Benutzers. Personal Access Tokens und die Zugangsdaten einer App (Client ID und Client Secret) verwalten Sie im Entwicklerportal, und dort melden Sie sich laut Dokumentation mit Ihren bexio-Zugangsdaten an. bexio schützt das Login mit einem sechsstelligen Code per E-Mail und rät, auch das E-Mail-Konto stark abzusichern, idealerweise mit einem zweiten Faktor. Das Bundesamt für Cybersicherheit empfiehlt Mehr-Faktor-Authentisierung für alle wichtigen Dienste, ausdrücklich auch für Buchhaltungsprogramme. Der EDÖB hält fest: Auf ein Benutzerkonto gehört nur eine Person.

Rechte: Scopes und Benutzerrechte

Ein Scope ist die Berechtigung, die eine Anwendung beim Verbinden anfordert. bexio zeigt sie auf einer Zustimmungsseite an, und die Anwendung erhält nur diese Rechte. Die Dokumentation rät ausdrücklich, nur die nötigen Scopes anzufordern. Ein Schreib-Scope schliesst den Lesezugriff ein.

Die Endpunkt-Dokumentation nennt für das Löschen einer Offerte denselben Scope wie für das Anlegen (kb_offer_edit), bei Artikeln und Kontakten entsprechend article_edit und contact_edit. Wer Schreibrechte vergibt, vergibt also auch das Löschen. Offerten und Artikel entfernt eine Löschaktion endgültig, Kontakte werden nur als gelöscht markiert. Neue Scopes erhält eine Anwendung erst, wenn der Benutzer erneut zustimmt.

Schlüssel: Tokens und Client Secret

Personal Access Token: Er hat alle Standard-Scopes und damit vollen Zugriff auf die Firmendaten. Er gilt 60 Tage und wird widerrufen, indem Sie ihn im Entwicklerportal löschen. Die volle Wirkung kann bis zu einer Stunde dauern. Müssen Sie Zugriff mit anderen teilen, ist laut bexio OAuth der richtige Weg.

OAuth-Anwendung: Das Client Secret muss geheim bleiben, deshalb läuft die Anwendung serverseitig. Verwenden Sie für Produktion und Test getrennte Zugangsdaten, also je eine eigene App im Entwicklerportal. Weiterleitungsadressen müssen registriert sein, bis zu zehn sind möglich. Für ein Refresh Token braucht es den Scope offline_access.

Daraus ergeben sich fünf Regeln:

1. Sicher ablegen: Passwortmanager statt E-Mail, Chat, Tabelle oder Code-Archiv. OWASP rät, Geheimnisse zentral zu verwalten und nicht im Quelltext abzulegen.
2. Ein Schlüssel pro Anbindung: Beschriften Sie ihn mit Zweck und Verantwortlichem, dann widerrufen Sie ihn einzeln.
3. Regelmässig erneuern: OWASP empfiehlt eine regelmässige Rotation, damit gestohlene Zugangsdaten nur kurz funktionieren. Ein PAT läuft ohnehin nach 60 Tagen ab. Tragen Sie die Frist in den Kalender ein.
4. Nie weitergeben: Auch nicht an den IT-Dienstleister. Er richtet eine Anwendung mit OAuth ein, der Sie zustimmen.
5. Bei Personalwechsel prüfen: Rechte hängen am Benutzer. Kontrollieren Sie, welche Verbindungen die Person eingerichtet hat.

Kontrolle im Alltag

• Verbindungsregister: Halten Sie für jede Anbindung Zweck, Anbieter, Verantwortliche, Scopes, Einrichtungsdatum und nächste Prüfung fest.
• Quartalsweise prüfen: Entfernen Sie Unbenutztes und kontrollieren Sie die Rechte nach Personalwechseln.
• Protokollieren: Erfassen Sie, wann welche Anbindung welchen Datensatz angelegt oder geändert hat. Der EDÖB empfiehlt, Protokolle zu schützen und nur einem engen Kreis zugänglich zu machen.
• Anfragelimit beachten: Bei Code 429 pausiert die Anbindung, statt dauernd nachzufragen. bexio kann den Zugriff bei zu hoher Last einschränken.
• Änderungen verfolgen: bexio verweist auf eine Statusseite und einen Entwickler-Newsletter.
• Testen: Verwenden Sie einen Sandbox-Account oder Musterdaten wie «Muster Haustechnik AG», nicht das produktive bexio.

Wenn etwas schiefgeht

1. Zugriff entziehen: Entfernen Sie die App unter «Apps & API» → «Apps» oder löschen Sie den PAT im Entwicklerportal. Beim PAT kann die volle Wirkung bis zu einer Stunde dauern.
2. Passwort des Benutzers ändern und das E-Mail-Konto prüfen.
3. Prüfen, was angelegt, geändert oder gelöscht wurde.
4. Den Anbieter der Anwendung informieren. Bei Anbindungen von Drittanbietern leistet bexio keinen Support.
5. Bei einer Verletzung der Datensicherheit mit hohem Risiko gilt eine Meldepflicht. Mehr dazu in Automatisierung und Datenschutz.

Rechtlicher Hintergrund

Das Datenschutzgesetz verlangt in Art. 8, dass Verantwortliche und Auftragsbearbeiter durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten. Die Datenschutzverordnung nennt in Art. 3 unter anderem die Zugriffskontrolle, damit Berechtigte nur auf die Personendaten zugreifen, die sie für ihre Aufgaben brauchen, und die Nachvollziehbarkeit, also die Prüfung, welche Personendaten wann von wem eingegeben oder verändert wurden. Geringste Rechte und Protokolle setzen diese Vorgaben praktisch um.

Häufige Fragen

Genügt ein Personal Access Token für eine Automatisierung im Betrieb?

Für Ihren persönlichen Gebrauch ja. Laut bexio ist er dafür gedacht und gibt vollen Zugriff. Sobald mehrere Personen oder ein Dienstleister beteiligt sind, nutzen Sie OAuth, wie es auch Zapier und Make mit bexio verbinden beschreibt.

Wie oft sollte ich Schlüssel erneuern?

Ein PAT läuft nach 60 Tagen ab. Für andere Schlüssel nennt die bexio-Dokumentation keine Frist. Legen Sie selbst eine feste Frist fest und erneuern Sie sofort bei Verdacht, Personalwechsel oder Wechsel des Dienstleisters.

Wie viele Rechte soll eine Anbindung haben?

Genau das, was ihre Aufgabe verlangt. Eine Anbindung, die nur Kontakte nachschlagen soll, braucht keinen Schreibzugriff. Was die Schnittstelle sonst kann, steht in Die bexio-Schnittstelle: was damit möglich ist.

Fazit

Sichern Sie die Schnittstelle an drei Stellen: beim Benutzer, der sie einrichtet, bei den Scopes, die sie erhält, und bei den Schlüsseln, die sie ausweisen. Geben Sie nur die nötigen Rechte, legen Sie Schlüssel sicher ab, erneuern Sie sie regelmässig und führen Sie ein Register Ihrer Verbindungen. So lässt sich ein Zugriff schnell nachvollziehen und im Ernstfall schnell sperren.

Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechts- oder Steuerberatung.