Systemübersicht

Seamless ist ein Cloud Dienst. Sie installieren nichts in Ihrem Rechenzentrum. Seamless läuft in Microsoft Azure im Rechenzentrum Schweiz Nord und wird von der Seamlesswork AG in Zürich entwickelt und betrieben.

Seamless arbeitet mit Ihrem Microsoft 365 über die offizielle Schnittstelle von Microsoft, Microsoft Graph, und nur mit den Berechtigungen, denen Sie zugestimmt haben. Ihre Inhalte wie Dateien, Nachrichten oder Mails bleiben in Ihrem Microsoft 365.

Die Architektur auf einen Blick

So funktioniert es, einfach erklärt

1. Ein einziger, geschützter Eingang

Alle Aufrufe aus dem Internet, vom Admin Center bis zur Teams App, kommen zuerst bei Azure Front Door an. Das ist der einzige öffentliche Eingang. Eine Web Application Firewall prüft jede Anfrage und blockiert Angriffe, bevor sie Seamless erreichen. Die Verbindung ist immer verschlüsselt.

2. Die Anwendungen laufen in einem privaten Netzwerk

Hinter dem Eingang laufen die Anwendungen von Seamless in Azure Kubernetes Service (AKS). Dieses Netzwerk ist aus dem Internet nicht direkt erreichbar. Front Door leitet Anfragen über eine private Verbindung (Azure Private Link) weiter, und ein interner Verteiler schickt sie an die richtige Anwendung:

3. Daten nur über private Verbindungen

Die Anwendungen erreichen Datenbank, Zwischenspeicher, Dateiablage, die KI Dienste und den Schlüsseltresor ausschliesslich über private Endpunkte im eigenen Netzwerk. Keiner dieser Dienste ist öffentlich im Internet erreichbar.

4. Keine Passwörter im Code

Die Anwendungen melden sich mit einer eigenen, von Microsoft Entra ID verwalteten Identität an (Azure Workload Identity). Geheimnisse liegen nur im Key Vault und werden beim Start sicher bereitgestellt. Es gibt keine gespeicherten Passwörter im Programmcode.

5. Änderungen in Microsoft 365 erkennen

Ändert sich in Ihrem Microsoft 365 etwas, zum Beispiel ein Sensitivity Label oder der Gastzugriff eines Teams, meldet Microsoft Graph das an Seamless. Eine kleine Funktion (Azure Function) nimmt die Meldung entgegen und stellt sie in eine Warteschlange (Azure Service Bus). Der Agent arbeitet die Meldungen der Reihe nach ab. So geht keine Änderung verloren, auch wenn viele gleichzeitig eintreffen.

6. Kontrollierte Updates

Neue Versionen von Seamless werden automatisiert und nachvollziehbar ausgerollt. Jede Änderung an der Plattform ist versioniert, und neue Versionen kommen zuerst in eine Testumgebung, bevor sie freigegeben werden.

7. Überwachung

Zugriffe auf den Eingang und die Telemetrie der Anwendungen werden zentral protokolliert. So erkennen wir Fehler und Angriffe früh und können bei Supportanfragen helfen.

Die Bausteine

Seamless Admin Center und Teams App Weboberfläche für Admins und App in Microsoft Teams für Benutzer. Die Anmeldung läuft über Microsoft Entra ID, nach den Sicherheitsstandards von Microsoft.

App Telemetrie Application Insights zeichnet Abläufe auf und bewahrt die Protokolle zu Teams, Gästen und Richtlinien während 90 Tagen auf.

Kundenkonfigurationen Ihre Einstellungen wie Vorlagen und Richtlinien liegen verschlüsselt in Cosmos DB. Nur Seamless greift darauf zu. Sie können Ihre Konfigurationen jederzeit endgültig löschen.

Microsoft Graph Alle Teile von Seamless arbeiten über Microsoft Graph mit Ihrem Microsoft 365 Tenant.

Microsoft Entra ID Microsoft Entra ID und die Microsoft Identity Platform schützen den Zugang zu Seamless. Dank eigener App Registrierung gelten auch Ihre Richtlinien für bedingten Zugriff (Conditional Access).

Microsoft 365 Tenant Ihr Microsoft 365 Tenant verwaltet Ihre Daten und stellt die Dienste für Zusammenarbeit, Sicherheit und Compliance bereit.

Externe Dienste Für einzelne Funktionen nutzt Seamless weitere Dienste, zum Beispiel SharePoint, Resend für den Versand von E-Mails und reCAPTCHA zum Schutz von Formularen vor Missbrauch.

Plattform und Technologie

• Microsoft Azure Rechenzentren in der Schweiz für Leistung, Skalierbarkeit, Verfügbarkeit, Sicherheit und Compliance.
• Azure Kubernetes Service betreibt die Anwendungen als Container, abgeschottet in einem privaten Netzwerk.
• Next.js für schnelle Weboberflächen mit serverseitigem Rendering, mit shadcn Komponenten und Tailwind CSS für die Gestaltung.
• Azure Functions und Azure Service Bus für die Verarbeitung von Änderungsmeldungen.
• Azure Cosmos DB für die Kundenkonfigurationen und Microsoft Graph für den Zugriff auf Microsoft 365.

Welche Kundendaten wir speichern

Seamless ist so gebaut, dass wir im Sinne des Schweizer Datenschutzgesetzes (revDSG) keine Personendaten Ihrer Mitarbeitenden aufbewahren. Wir nutzen keine Daten für Marketing oder um Sie zu kontaktieren.

Gespeichert werden:

• Objekt IDs von Benutzern: Die IDs aus Microsoft Entra ID erscheinen nur in der Telemetrie (Application Insights), ausschliesslich für den Support, und werden nach 90 Tagen automatisch gelöscht. Wir können damit keine Personen erkennen oder mit Namen, E-Mail Adressen oder Telefonnummern verknüpfen.
• Tenant ID: Damit erkennen wir, ob ein Tenant die 30 Tage Testphase schon genutzt hat. Welche Firma dahinter steht, sehen wir nicht.
• Zustimmung zu den Bedingungen: Datum und Anzeigename (nicht die E-Mail Adresse) des Admins, der den Datenschutzbestimmungen und AGB zugestimmt hat, als Nachweis.
• Konfigurationen: Ihre Vorlagen und Richtlinien mit Titeln, Beschreibungen, IDs und technischen Angaben. Wenn Sie Seamless nicht mehr nutzen, können Sie alle Konfigurationen löschen.

Wie wir Kundendaten speichern

Alle kundenspezifischen Konfigurationen liegen sicher in Cosmos DB. Jeder Kunde sieht nur seine eigenen Konfigurationen.

Angaben wie die zugewiesene Vorlage, die verantwortliche Person eines Gastes oder Regeln für die Verlängerung speichert Seamless direkt in Ihrem Microsoft Entra ID. Dort haben weder die Seamlesswork AG noch Dritte Zugriff darauf.

Sicherheit in Kürze

• Ein einziger öffentlicher Eingang mit Web Application Firewall
• Anwendungen in einem privaten Netzwerk, nicht direkt aus dem Internet erreichbar
• Datenbank, Speicher und Schlüsseltresor nur über private Verbindungen
• Keine Passwörter im Code, Identitäten über Microsoft Entra ID
• Verschlüsselte Verbindungen und verschlüsselt gespeicherte Konfigurationen
• Zentrale Protokollierung und Überwachung