Tenant-isolatie
July 30, 2026
Tenant-isolatie is het geheel aan maatregelen dat voorkomt dat de gegevens en handelingen van de ene klant binnen een multi-tenant SaaS-applicatie die van een andere klant bereiken. Elke tenant deelt dezelfde codebase en vaak dezelfde infrastructuur, dus de muren ertussen bestaan in code, configuratie en beleid, niet in fysiek gescheiden systemen.
Waarom het ertoe doet
Voor een SaaS-bedrijf is een fout in tenant-isolatie zowat het ergste incident dat er is: klant A ziet de gegevens van klant B. AWS noemt tenant-isolatie "fundamental to the design and development of SaaS systems" in het whitepaper SaaS Tenant Isolation Strategies, en beschrijft een overschreden tenant-grens als een significante en mogelijk onherstelbare gebeurtenis voor een SaaS-bedrijf. Enterprise-kopers weten dit, en daarom duiken isolatievragen op in bijna elke beveiligingsvragenlijst.
Silo vs. pool
Het AWS-whitepaper deelt isolatiestrategieen in twee brede modellen in:
Silo: elke tenant krijgt eigen, toegewijde resources, soms een volledig aparte stack. De muren zijn sterk omdat ze structureel zijn, maar de kosten en operationele overhead groeien met elke tenant.
Pool: tenants delen resources, en de isolatie wordt afgedwongen door de applicatie: tenant-ID's op elke query, scoped tokens, row-level security, encryptiesleutels per tenant. Dit is het model dat de meeste SaaS-producten gebruiken, omdat het efficient is.
De meeste echte systemen combineren beide: bijvoorbeeld een gepoolde applicatielaag met gesiloede opslag voor grotere klanten.
Hoe het wordt getest
Gepoolde isolatie zit in de applicatielogica, dus ze faalt zoals applicatielogica faalt: een ontbrekende tenant-controle op een endpoint, een object-ID dat wordt geaccepteerd zonder eigenaarschap te verifieren, een achtergrondtaak die over tenants heen loopt. Geautomatiseerde scanners vinden deze zelden. Een pentest van een SaaS-applicatie besteedt daarom veel tijd aan ingelogd zijn als de ene tenant terwijl geprobeerd wordt de gegevens van een andere tenant te lezen of te wijzigen, in de webapp, de API en elke export- of rapportagefunctie.