Mandantenfähige SaaS mit Next.js und Prisma: Praxiserfahrungen

Ich habe Captime entwickelt, eine mandantenfähige SaaS für Company-Secretarial-Kanzleien in Hongkong: Mandanten-Onboarding, KYC/AML, Dokumentenerstellung, E-Signaturen, Zahlungen und jährliche Meldungen, mandantenfähig vom ersten Tag an. Hier ist die Architektur, die sich im Produktivbetrieb bewährt hat, umgesetzt mit Next.js 15, Prisma und NextAuth.

Wählen Sie Ihr Mandantenmodell bewusst

• Gemeinsame Datenbank mit einer tenantId-Spalte in jeder Tabelle: am günstigsten im Betrieb, am einfachsten zu migrieren und für 95 % aller B2B-SaaS die richtige Wahl. Genau diesen Ansatz nutzt Captime
• Ein Schema pro Mandant: stärkere Trennung, aber Migrationen über Hunderte von Schemas werden schnell zu einem eigenen Betriebsprojekt
• Eine Datenbank pro Mandant: nur dann, wenn Verträge oder Aufsichtsbehörden es verlangen. Kosten und Aufwand für das Tooling sind erheblich

Setzen Sie die Datentrennung an einer Stelle durch, nicht überall

Der klassische Fehler in mandantenfähigen Systemen ist eine einzige vergessene where-Bedingung, durch die Daten eines anderen Mandanten sichtbar werden. Verlassen Sie sich nicht darauf, dass Entwickler daran denken. Ermitteln Sie den Mandanten einmal pro Request (aus der Session oder der Subdomain) und leiten Sie jede Abfrage über eine mandantenbezogene Datenschicht, etwa eine Prisma-Client-Extension, die die tenantId in jeden Lese- und Schreibzugriff einfügt. Im Code-Review muss dann nur noch die direkte Nutzung des ungefilterten Clients auffallen, nicht jede einzelne Abfrage.

Bauen Sie in den Tests eine zweite Verteidigungslinie ein: eine Testsuite, die zwei Mandanten anlegt, Daten als der eine schreibt und sicherstellt, dass der andere sie über keinen einzigen Endpunkt lesen kann.

Die Details, die eine SaaS enterprise-tauglich wirken lassen

• Branding pro Mandant: Logo, Farben und E-Mail-Vorlagen werden pro Mandant gespeichert und beim Rendern angewendet
• Verschlüsselte Zugangsdaten für Integrationen: Die API-Schlüssel jedes Mandanten für Drittanbieter werden im Ruhezustand verschlüsselt (AES-GCM) und liegen nie in Umgebungsvariablen
• Ereignisgesteuerte Hintergrund-Workflows (Inngest), die nach Mandant getrennt laufen, damit ein aufwendiger Job eines Mandanten die anderen nicht ausbremst
• Ein Onboarding-Assistent mit über 40 Feldern, der den Fortschritt nach jedem Schritt speichert, denn Enterprise-Kunden schließen das Onboarding nie in einem Durchgang ab

Fehler, die ich beim nächsten Mal vermeiden würde

• Lösen Sie den Mandanten nicht auf jeder einzelnen Seite auf, sondern zentral in einer Layout- oder Middleware-Schicht
• Verwenden Sie keine fortlaufenden IDs über Mandanten hinweg, denn sie verraten etwas über Ihr Datenvolumen
• Verschieben Sie das Abrechnungsmodell pro Mandant nicht auf später. Eine nachträglich eingebaute Abrechnung nach Nutzerplätzen oder Verbrauch tut weh
• Lassen Sie Uploads nicht ohne Mandanten-Präfixe und signierte URLs in einem gemeinsamen Bucket landen

Sie planen ein mandantenfähiges Produkt?

Ich habe diese Entscheidungen bereits im Produktivbetrieb getroffen. Sehen Sie sich meine Projekte an oder beschreiben Sie mir Ihr Produkt, und ich sage Ihnen ehrlich, welches Mandantenmodell passt. Einen Überblick über meine Leistungen finden Sie auch auf der Seite zur SaaS-MVP-Entwicklung.