Das ef.next Security Framework gibt Laravel-Anwendungen drei Eigenschaften, die regulierte Umgebungen verlangen: garantierte Mandantentrennung, ein manipulationssicheres Audit-Log und stabile öffentliche IDs. Quelloffen unter MIT, mit signierten Releases und Software-Stückliste. Gebaut von ef.next als eigener Referenzfall für den Cyber Resilience Act.
Vorabversion 1.0.0-beta.2 vom 28. Oktober 2026. Kein Produkt, kein Verkauf: frei nutzbar, der Quelltext ist offen.
Produkte mit digitalen Elementen, Plattformen für mehrere Kunden, Prozesse mit Freigabepflicht: Irgendwann fragt ein Auditor, ein Kunde oder eine Behörde nach Belegen. Dann zählt nicht, was die Software können sollte, sondern was sie beweisen kann.
Mehrere Kunden auf einer Plattform. Wer garantiert, dass sich die Daten nicht vermischen?
In den meisten Anwendungen hängt die Trennung an Disziplin: an einer Filterbedingung, die in jeder Abfrage stehen muss. Eine vergessene reicht, und ein Kunde sieht die Daten eines anderen. Ein Audit will das ausgeschlossen sehen, nicht versprochen.
MandantentrennungWer hat wann was getan? Und stimmt das Protokoll noch?
Ein Protokoll, das in derselben Datenbank liegt wie die Daten, kann jeder ändern, der Zugriff hat. Es beweist nur, dass jemand etwas geschrieben hat. Nicht, dass es seitdem unverändert ist.
NachvollziehbarkeitUnsere IDs stehen in URLs und Berichten. Und lassen sich durchzählen.
Fortlaufende Nummern verraten, wie viele Datensätze es gibt, und laden dazu ein, den nächsten auszuprobieren. Verweise, die sich bei einer Migration ändern, machen alte Berichte und Schnittstellen wertlos.
Öffentliche KennungenDer Cyber Resilience Act verlangt Nachweise. Wo fangen wir an?
Software-Stückliste, Schwachstellenprozess, sichere Updates: Ab Dezember 2027 gelten die Anforderungen vollständig, die Meldepflichten bereits seit September 2026. Belege entstehen nicht nachträglich. Sie müssen Teil des Release-Prozesses sein.
Cyber Resilience ActDas Framework verlässt sich nicht auf Disziplin. Es macht die drei Eigenschaften zur Voraussetzung dafür, dass die Anwendung überhaupt läuft, und legt für jede Zusage offen, wovon sie abhängt.
Für Laravel 13 auf PHP 8.3 bis 8.5, mit PostgreSQL, MySQL oder MariaDB. Gemeinsam installiert, ein Repository, ein Release. Die Einzelheiten stehen in der Dokumentation im Repository; hier das Bild in groben Zügen.
Ermittelt den Mandanten einer Anfrage, eines Hintergrundjobs oder eines Befehls und trägt ihn durch die gesamte Verarbeitung. Abfragen auf mandantengebundene Daten ohne Mandanten werden abgewiesen. Mitgliedschaften und Rollen werden durchgesetzt; Verweise über Mandantengrenzen scheitern an der Datenbank selbst.
Schreibt jedes relevante Ereignis in eine Kette je Mandant: fortlaufend nummeriert, mit dem Hash des Vorgängers verknüpft, signiert. Die Datenbank lehnt Änderungen und Löschungen ab. Anker in externem Speicher und ein Prüflauf machen jede Abweichung sichtbar.
Vergibt lesbare, unerratbare Kennungen wie dom_7f3k9zq2m4x8c1bt und globale Objekt-IDs für Verweise über Systemgrenzen hinweg. Sie bleiben stabil, verraten keine Datenbankschlüssel und lassen sich nicht durchzählen.
Sicherheitszusagen sind nur so viel wert wie die Bedingungen dahinter. Deshalb steht jede Zusage mit ihrer Voraussetzung in der Dokumentation, und ein Selbsttest prüft sie in der laufenden Installation.
Wer das Framework einsetzt, betreibt es selbst. Installation, Betrieb, Schlüsselrotation und Vorfallbehandlung sind im Repository dokumentiert; eine Beispielanwendung zeigt die Integration Schritt für Schritt. Die Dokumentation ist auf Englisch geschrieben, die Nutzer- und Betreiberseiten gibt es dort zusätzlich auf Deutsch und Schwedisch.
Für Teams, die mit KI-Coding-Agenten arbeiten, liefert das Repository einen Integrationsvertrag mit, damit Agenten die Regeln für Mandantenkontext und Audit-Log kennen, bevor sie Code schreiben.
Der Cyber Resilience Act gilt für Produkte mit digitalen Elementen und verlangt von Herstellern Nachweise über den gesamten Lebenszyklus: sichere Entwicklung, Software-Stückliste, Schwachstellenbehandlung, sichere Updates. ef.next richtet solche Nachweise für Kunden ein. Damit wir das glaubwürdig tun, durchläuft unser eigenes Framework denselben Prozess. Was wir Kunden abverlangen, zeigen wir am eigenen Code.
Hersteller müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Vorfälle melden. Dafür braucht es einen Meldeweg, der vorher feststeht.
Einschließlich technischer Dokumentation, Konformitätsbewertung und CE-Kennzeichnung für Produkte mit digitalen Elementen.
Einordnung: Das Framework macht ein Produkt nicht von sich aus CRA-konform. Die Konformität eines Produkts bleibt Sache des Herstellers. Das Framework liefert Bausteine für Trennung und Nachvollziehbarkeit und zeigt an sich selbst, wie Release-Belege aussehen können.
Das Framework steht unter der MIT-Lizenz, Copyright 2026 ef.next AB. Sie dürfen es nutzen, verändern und weitergeben, auch kommerziell. Self-Hosting ist möglich; wer es betreibt, trägt Betrieb und Konfiguration selbst, so wie es im Repository beschrieben ist.
ef.next verkauft das Framework nicht. Es ist die technische Grundlage der eigenen Software von ef.next und zugleich der eigene Referenzfall für den Cyber Resilience Act.
ef.next liefert produzierenden Unternehmen Qualität, Produktsicherheit und Compliance als belegte Ergebnisse. Das Framework ist dafür die technische Grundlage. Mehr über das Unternehmen auf ef-next.com.
Releases, Hinweise und Artikel. Beiträge erscheinen in der Sprache, in der sie geschrieben wurden.
Das Framework ist öffentlich auf GitHub, gebaut für Laravel 13 auf PHP 8.3 bis 8.5. Der Release ist ein signierter Tag mit Archiv, Software-Stückliste in SPDX und CycloneDX, Prüfsummen und Herkunftsnachweis. Die Schnittstellen können sich bis 1.0.0 noch ändern.
Release auf GitHubDas Paket efnext/security-framework ist auf Packagist veröffentlicht und lässt sich damit wie jedes andere Composer-Paket beziehen. Die Installation ist im README beschrieben.
Für Fragen zu Einsatz, Grenzen oder Zusammenarbeit genügt eine E-Mail. Wir antworten auf Deutsch, Englisch oder Schwedisch, in der Regel innerhalb von zwei Werktagen.
Fragen zu Einsatz, Grenzen und Zusammenarbeit. Auch für Presse und Partner.
Bitte nicht als öffentliches Issue. Vorgehen und Geltungsbereich stehen in SECURITY.md; Rückmeldung innerhalb von zwei Werktagen.
Schweden. Wir antworten auf Deutsch, Englisch oder Schwedisch.