Geteilte Mandantenfähigkeit ist ein Versprechen über Code, den Sie nicht lesen können. Jede Kundin von email.eu bekommt ein eigenes Drive-Exemplar mit eigener Datenbank und eigenem Speicher. Was das einbringt, was es uns kostet, und der Zugriffshaken, der sich als richtiger Ort für jede Rechteentscheidung erwies.
"Mandantenfähig" ist das Wort dafür, dass hunderte Unternehmen sich ein System teilen, getrennt durch eine Spalte in einer Datenbank, die sagt, zu welchem Unternehmen jede Zeile gehört. So ist die meiste Software gebaut, die Sie nutzen, und es funktioniert, bis genau zu dem Moment, in dem eine Abfrage irgendwo vergisst, auf diese Spalte zu filtern.
Von außen können Sie das nicht prüfen. Sie vertrauen darauf, dass jede Abfrage, in jeder Funktion, geschrieben von jeder Entwicklerin, die je dort gearbeitet hat, daran gedacht hat. Die ehrliche Zusammenfassung geteilter Mandantenfähigkeit lautet: Sie ist ein Versprechen über Code, den Sie nicht lesen können.
Unser Drive ist nicht so gebaut. Jede Kundin bekommt ein eigenes.
Wenn Ihre Arbeitsumgebung angelegt wird, stellen wir ein vollständiges Drive für Sie auf. Ihr eigenes Exemplar der Software, unter Ihrer eigenen Adresse, mit einer eigenen Datenbank und einem eigenen Speicherbereich.
Nicht Ihre eigene Zeile in unserer Datenbank. Ihre eigene Datenbank. Nicht ein Ordner in einem gemeinsamen Speicher. Ihr eigener Speicher.
Die Frage "könnten die Dateien einer anderen Kundin bei uns sichtbar werden oder unsere bei ihr" hat damit eine strukturelle statt einer verfahrensmäßigen Antwort. Es gibt keine Abfrage, die Dateien eines anderen Unternehmens zurückgeben könnte, denn die Dateien dieses anderen Unternehmens liegen nicht in dem Speicher, der abgefragt wird. Isolation ist kein Filter, der jedes Mal richtig angewendet werden muss. Sie ist die Form des Systems.
Begrenzter Schaden. Ein Problem, das auf ein Exemplar beschränkt ist, ist auf eine Kundin beschränkt. Nicht eine Art Problem, die per Konstruktion alle gleichzeitig trifft.
Löschen, das Löschen bedeutet. Gehen Sie, wird Ihr Drive abgebaut: Exemplar, Datenbank, Speicher. Es bleibt kein archivierter Rest Ihrer Dateien in einem gemeinsamen Speicher liegen und wartet auf eine Aufbewahrungsregel, die eingehalten wird oder nicht. Dieses Versprechen funktioniert nur, weil die Isolation echt ist.
Ehrliche Antworten bei einer Prüfung. Fragt eine Kundin von Ihnen, wo ihre Daten liegen und wer noch herankommt, können Sie konkret antworten, statt ein Compliance-Dokument eines Anbieters weiterzuleiten.
Der Preis, und den sollten wir nennen, ist, dass das aufwendiger zu betreiben ist als ein großes gemeinsames System. Mehr Exemplare, mehr Datenbanken, mehr bewegliche Teile. Wir haben uns trotzdem dafür entschieden, denn die Alternative ist, Sie zu bitten, Code zu vertrauen, den Sie nicht sehen können, und genau dieses Vertrauen soll unser ganzer Ansatz nicht einfordern müssen.
Hier ist ein Entwurfsdetail, das interessanter ist, als es klingt.
Die Drive-Software hat keinen eingebauten Weg, eine harte Speichergrenze je Person durchzusetzen. Viele Systeme sind so: Sie zeigen Ihnen die Nutzung und halten niemanden auf. Das ist ein Problem, wenn Speicher Teil dessen ist, was ein Tarif kauft.
Also fragt jedes Exemplar bei uns nach. Jedes Mal, wenn jemand das Drive öffnet oder eine Datei hochlädt, ruft das Exemplar bei unserer Verwaltungsoberfläche zurück mit "diese Person, diese Arbeitsumgebung, darf sie?", und wir antworten ja oder nein. Dieser eine Haken erwies sich als der richtige Ort für jede Zugriffsentscheidung, nicht nur für Speicher:
Das alles an einer Stelle zu beantworten heißt, dass Zugriffskontrolle in dem System lebt, das die Wahrheit über Mitglieder, Tarife und Zahlungen wirklich kennt, statt in jedes Produkt kopiert zu werden und auseinanderzudriften.
Es gibt eine Feinheit, die wir beim zweiten Lesen der Dokumentation richtig gemacht haben, und es ist die Art Sache, die entscheidet, ob ein System unter Druck vertrauenswürdig ist. Wollen wir Zugriff verweigern, müssen wir klar "nein" antworten. Gäben wir stattdessen einen Fehler zurück, behandelt das Drive die ganze Prüfung als kaputt und zeigt der Person eine Fehlerseite. Eine Verweigerung und eine Störung sind verschiedene Ereignisse und müssen verschieden aussehen, sonst wird jeder Schluckauf in unserer Verwaltungsoberfläche zu einem Ausfall für Sie. Eine Verweigerung ist deshalb ein ausdrückliches, sauber geformtes Nein, und Fehler sind Dingen vorbehalten, die wirklich Fehler sind.
Das Kontingent ist ein Topf für die Arbeitsumgebung, bemessen danach, wie viele Personen Sie haben. Bei Starter sind das 100 GB je Person, bei Business 2 TB je Person, und es deckt Post und Dateien zusammen ab.
Topf statt je Person ist Absicht. In jedem echten Unternehmen ist die Speichernutzung wild ungleich: Die Gestalterin hat 400 GB Material und die Vertriebsleiterin 4 GB PDFs. Ein strenger Käfig je Person bedeutet, dass die Gestalterin blockiert ist, während das meiste, wofür Sie bezahlt haben, ungenutzt liegt. Ein Topf bedeutet, dass Sie für das Unternehmen kaufen und das Unternehmen es verteilt, und so wird es auch wirklich genutzt.
Dateien synchronisieren, lassen sich per Link teilen und öffnen in einem echten Editor, um gemeinsam an Dokumenten und Tabellen zu arbeiten. Es spricht Standardprotokolle, sodass Sie aus dem Dateimanager Ihres Rechners darankommen und alles herausholen können, wann Sie wollen, und das ist der Grundsatz der Mitnehmbarkeit, angewandt auf Dateien.
Die Software darunter ist La Suite Drive, das quelloffene Drive der französischen Verwaltung, das wir betreiben und zu dem wir beitragen. Wir haben früher geschrieben, warum wir auf diesem Ökosystem bauen, statt selbst bei null anzufangen.
Eine Grenze ist es wert genannt zu werden: Dateien sind im Speicher verschlüsselt, aber nicht so, dass sie für uns unlesbar wären, anders als bei der Verschlüsselung Ihres Postfachs im Ruhezustand, wo Sie den Schlüssel haben. Ist eine Datei so heikel, dass keine Betreiberin sie lesen können darf, verschlüsseln Sie sie, bevor sie hineingeht. Wir nennen Ihnen lieber die Grenze, als Sie eine stärkere annehmen zu lassen.
Drive ist in jedem Tarif enthalten, mit dem Topf nach Ihrem Tarif bemessen.