msolarczekandClaude Opus 4.8
2ec0230f57
Neues Dokument docs/STAND-dev-branch.md fasst alle Entwicklungstätigkeiten auf dev zusammen: Produktionshärtung (Pakete 1-3), Benutzer-/Rollenverwaltung (A/B/C), Freigabe-Workflow + Aufgaben-Modul, Richtlinien-Governance und GAP-Report (WP1-4, E2). Enthält fachlichen Status für PM, technische Landkarte (neue Modelle, 6 Migrationen, Auth-Architektur, Modul-Guards, Fallstricke), Commit-Übersicht und nächste Schritte. HANDOVER-DEV.md und HANDOVER-PM.md verweisen prominent darauf. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
9.9 KiB
9.9 KiB
Projektübergabe — ISMS-Tool (Stand für Projektmanagement)
📌 Konsolidierter Gesamtstand aller Entwicklungstätigkeiten auf
dev(PM + Dev): siehedocs/STAND-dev-branch.md.
Stand: 2026-07-22 · Branch
dev(Produktionshärtung + Benutzerverwaltung; noch nicht nachmaingemerged) Zweck: Statusüberblick für die Weiterplanung — was ist umgesetzt, was ist offen (mit Priorität & grobem Aufwand).
🆕 Neu auf dev (Produktionshärtung Phase 1 + Benutzerverwaltung)
| Thema | Status | Kurz |
|---|---|---|
| API-seitige Modul-Durchsetzung | ✅ | Deaktiviertes Modul sperrt jetzt auch Writes serverseitig; automatischer Vollständigkeitscheck (Build-Gate). |
| Separater Superadmin-Store + eigener Login | ✅ | Eigener Store/Login (/platform/login), Session ohne Mandantenbezug; isPlatformAdmin-Umweg abgelöst. |
| MFA für Superadmins | ✅ (optional) | Zunächst als Pflicht gebaut, dann auf optional umgestellt; Policy-Flag „MFA-Pflicht" (aus) stellt die Erzwingung wieder her. |
| Nicht-destruktiver Richtlinien-Re-Import | ✅ | Diff/Upsert; Status/Override/Freigabe/Variablenwerte bleiben, entfernte Einträge werden deaktiviert; Änderungsreport + Vorschau. |
| Benutzer- & Rollenverwaltung | ✅ | Plattform-Admin legt je Kunde Nutzer an (Initial-/Einmal-Passwort); Mandanten-Admin verwaltet Nutzer und Rollen intern (eigene Rollen + Rechte, Standardrollen klonbar), mandantengetrennt + Lockout-Schutz. Force-Change beim ersten Login, Passwort-Policy. |
| Nutzer-MFA (Mandant) | ✅ (optional) | Je Nutzer aktivierbar (/account); Login verlangt Code nur bei aktiver MFA. |
| SMTP + Einladungs-/Aktivierungs-/Reset-Flow (Paket 4) | ⏸️ zurückgestellt | E-Mail-Versand bewusst später; die Nutzer-Aktivierung läuft vorerst über Initial-/Einmal-Passwort und ist so gekapselt, dass der Einladungs-Flow ohne Umbau ergänzt werden kann. |
Was ist das Produkt
Multi-Tenant-SaaS für Informationssicherheits-Management (ISMS), ausgerichtet auf ISO/IEC 27001:2022 und TISAX / VDA-ISA 2027. Web-App (Deutsch, EN vorbereitet), Dark-Theme, mandantenfähig (mehrere Kunden, Nutzer, Rollen). Mehrere fachliche Module + Plattform-/Kundenverwaltung.
Aufwands-Legende: S = klein (≤ 1 Tag) · M = mittel (2–4 Tage) · L = groß (> 1 Woche).
✅ Umgesetzt (produktiv nutzbar)
| # | Modul | Umfang (Kurz) |
|---|---|---|
| 1 | Fundament | Login/Auth (lokale Accounts, NextAuth v5, JWT), RBAC (granulare Rechte, Rollen je Mandant), Mandanten-Isolation (tenant_id + Postgres-RLS + zentraler App-Guard), i18n (de/en), Dark-Theme (zentrale Tokens), Audit-Log. |
| 2 | Assets & BIA | Asset-Inventar + Geschäftsprozesse/BIA als ein Modul; C/I/A-Schutzbedarf, Vererbung, Abhängigkeiten; Detail/Bearbeiten/Anlegen als Popups; zugeordnete Risiken. |
| 3 | Risikoanalyse | 5×5-Heatmap, Risikoregister, Risiko-Detail mit Maßnahmen (dezimale Minderung, Brutto→Rest visualisiert), Bedrohungs-/Schwachstellen-Kataloge, Control-Verknüpfung. |
| 4 | Maßnahmen | Kanban-Board (Drag & Drop), berechnetes Restrisiko aus Maßnahmen. |
| 5 | Abhängigkeiten & kritische Pfade | Interaktiver Graph (React Flow + dagre), Single Points of Failure, kritische Pfade. |
| 6 | Lieferanten- & IT-Service-Management | Asset-basiert (Lieferant/IT-Service sind Assets); Anforderungs-Engine (Schutzbedarf→Stufen), Gate-Logik (erzeugt echte Risiken), ISB-Reifegrad-Freigabe; RACI-Matrix über ISA-Controls (VDA-ISA 6.1.3); Cockpit direkt aus dem Asset-Inventar öffenbar. |
| 7 | Richtlinien & Verfahren (VDA-ISA 2027) | Siehe Detailblock unten — größtes Modul. |
| 8 | Admin-Konsole & Mandantenverwaltung (Phase 1) | Plattform-Admin (/admin): Kunden anlegen + automatisch provisionieren, Module-Toggles, Lebenszyklus (aktiv/gesperrt/archiviert). Kunden-Einstellungen (/settings): Stammdaten → speisen ISMS-Variablen, Branding, TISAX-Level. Serverseitige Modul-Durchsetzung (deaktivierte Module gesperrt, nicht nur ausgeblendet). |
Modul 7 „Richtlinien & Verfahren" im Detail (umgesetzt)
- Import des VDA-ISA-2027-Vorlagenpakets: 28 Dokumente (Leitlinie L00, R01–R14, VA-01–VA-13), 316 Anforderungen (122 MUSS · 132 SOLL · 43 HOHER · 19 SEHR HOHER Schutzbedarf) über 45 Controls; Baseline-Parameter, Variablen, Nachweisregister.
- Rendering-Engine: Handlebars (verschachtelte
{{#if}}-Flags), Variablen aus einer Pflegestelle, Deep-Links, BL-Referenzen im Lesemodus entfernt; rückstandsfrei über alle Flag-Kombinationen. - Bibliothek + Referenz-/Coverage-Matrix (zwei Richtungen: nach Control / nach Dokument).
- Lesemodus als eigene Seite (kein Popup); Bearbeitungsmodus variablenbasiert + Vier-Augen-Freigabe (Entwurf → In Freigabe → Freigegeben); Experten-Modus (Rohtext-Editor + Formatier-/Einfügehilfen + Auto-Anlage neuer Variablen).
- Verwaltete Register (editierbar): Verschlüsselungsregister (mit Ablaufüberwachung), Risiko-Bewertungsmatrix (FB-80-04-Defaults), Klassifizierungs-Handhabungsmatrix (AA-80-20). Anwender-Handbuch (kuratiert, Baseline-synchron, Deep-Links).
- Schutzbedarf-/TISAX-Level-Schalter (AL2/AL3) global + Override je Richtlinie.
🟥 Offen — Hohe Priorität
| Thema | Aufwand | Anmerkung |
|---|---|---|
| NIS2-Modul (nie begonnen) | L | Framework Art. 20/21 + Control-Mapping, Einrichtungs-Einstufung + BSI-Registrierung, Incident-Reporting-Workflow mit Fristen-Timern (24 h / 72 h / 1 Monat), NIS2-Dashboard. War „Teil C" der ursprünglichen Planung. |
| Admin-Konsole Phase 2 — Impersonation | M | Zeitlich begrenzter, protokollierter Support-Zugriff in einen Mandanten; „Support-Sitzung aktiv"-Banner; automatischer Ablauf. |
| Admin-Konsole Phase 2 — Plan/Limits | M | Lizenzstufen, Limits (Nutzer/Speicher/Assets), Warnung/Sperre bei Überschreitung. |
| Separater Superadmin-Store + eigener Login + MFA-Pflicht | M–L | Aktuell ist der Superadmin ein isPlatformAdmin-Nutzer im Mandanten (Demo). Spec fordert getrennte Accounts + eigenen Login-Pfad. |
| Richtlinien: echte Versionierung + Diff | M–L | Aktuell ändert die Freigabe nur den Status (ohne Versionshistorie/Diff). Entwurf-neben-Freigegeben, block-/klauselgenauer Diff. |
| Richtlinien: DOCX/PDF-Export | M | Voll gerendert im GEFIM-Corporate-Design; Referenz-/Nachweisdoku separat. |
🟧 Offen — Mittlere Priorität
| Thema | Aufwand | Anmerkung |
|---|---|---|
| Richtlinien: Status „Revoked" + Auto-Version | S | Vom Kunden ausdrücklich für später gemerkt: Status-Auswahl inkl. Revoked (manuell), Version zählt bei jedem Speichern automatisch hoch. |
| Richtlinien: Word-Upload (.docx-Import) | M | Eigene Dokumente hochladen → Block-Modell + Original als Anhang, versioniert, im Freigabeprozess. |
| Richtlinien: KI-Wizard | L | Geführte Erstellung/Anpassung (control-getrieben, Feature-Flags/Reifegrad), KI formuliert Blocktext. |
| Richtlinien: KI-Formulierungshilfe im Experten-Modus | M | Braucht Anthropic-API-Anbindung. |
| Zentrale Baseline-/Variablen-Einstellseite | S–M | Eine Pflegestelle mit Freigabe-Durchlauf. |
| Admin Phase 2 — Logo-Upload / Objektspeicher je Mandant | M | Für UI-Kopf + Export (Branding/Whitelabel). |
| Admin Phase 2 — SMTP/Benachrichtigungen + Einladungs-/Aktivierungs-Flow | M | E-Mail-Einladung, Passwort-Setzen, Benachrichtigungsregeln (Fristen/Freigaben/Vorfälle). |
| Lieferanten Phase 2 | M–L | Fragebogen-Builder, Self-Service-Portal (externer Lieferantenzugang), Scheduler (Review-/Ablauf-Erinnerungen). |
| Risikomatrix zusammenführen | M | Bewertungsmatrix im Richtlinienmodul ist eigene 4×4-Pflegestelle (FB-80-04); Risikoanalyse nutzt 5×5. Auf eine gemeinsame, zentrale Skala vereinheitlichen. |
| Platzhalter-Module ausbauen | je M–L | Sidebar-Punkte vorhanden, aber nicht gebaut: SoA & Controls, Vorfälle, Nachweise, Management-Review, KI-Chat. |
🟩 Offen — Niedrige Priorität / Technische Schulden
| Thema | Aufwand | Anmerkung |
|---|---|---|
| Modul-Durchsetzung auf API-Ebene vervollständigen | S | Route-Zugriff (GET) ist für alle Module gesperrt; der requireModule-Guard in Server-Actions ist bisher exemplarisch nur für Richtlinien gesetzt. Einzeiler je Action-Guard nachziehen. |
| Richtlinien-Re-Import ist destruktiv | M | Re-Import löscht + legt Dokumente/Anforderungen neu an (setzt per-Dokument-Status/Override/Freigabe zurück). Spec wünscht „deaktivieren statt löschen" + Historie erhalten. |
| Coverage zeigt alle statt nur aktive Anforderungen | S | Referenzmatrix listet vollständig (gut für Audit); optional Filter „nur aktive" nach effektiven Flags. |
| Admin Phase 2 — Datenexport/Löschung/Retention (DSGVO) | L | Mandantenvollständiger Export, Löschkonzept, Aufbewahrungsfristen. |
| Optionale Zusatzfeatures | je M | SSO (OIDC/SAML), API-Keys/Webhooks, Onboarding-Wizard, E-Mail-Domain-Allowlist, Wartungs-/Status-Banner. |
Hinweise für die Planung
- Spezifikationen liegen im Repo:
docs/SPEC.md(Gesamt-Spec) sowie die Übergabe-Prompts und Mockups je Modul (Richtlinien, Admin-Konsole). Neue Anforderungen kamen bisher als „Delta-Prompts" (z. B. TISAX-Level-Update). - Nächster logischer Block: entweder NIS2 (letztes großes Framework, hängt am Incident-/Vorfälle-Modul) oder Admin-Konsole Phase 2 (Impersonation + Plan/Limits + Superadmin-Login), je nach Vertriebs-/Compliance-Priorität.
- Demo-Umgebung: Mandant „demo", Login
admin@demo.example(ist Superadmin + Mandanten-Admin), Passwort im Seed. 4 Demo-Rollen vorhanden. - Qualität: Jede Iteration wurde mit
tsc+lint+buildund – wo möglich – Browser-Verifikation abgeschlossen; Commits sind fein granular und je Thema.