Es gibt einen Schlüssel für beide Zugangswege: Programme im eigenen Netz senden ihn mit, und auf der Anmeldeseite des Zugangs von außen wird derselbe Wert als Kennwort eingegeben. Beide Wege öffnen denselben Werkzeugkasten, deshalb gibt es auch nur ein Geheimnis.
Der Schlüssel gehört behandelt wie ein Administratorkennwort: nicht per E-Mail versenden, nicht in einem Ticket hinterlegen, nicht in einer Konfigurationsdatei auf einem geteilten Laufwerk ablegen. Wer ihn hat, hat vollen Zugriff auf den Mandanten.
## Port Der Port, auf dem der Zugang lauscht. Vorbelegt ist 3000. Zu ändern ist er nur, wenn der Port auf dem Server schon belegt ist. ## Öffentliche Adresse Das Feld entscheidet, **welcher der beiden Zugangswege** aktiv ist: | Feld | Wirkung | | ------------- | ------------------------------------------------------------------- | | **leer** | Nur der Zugang im eigenen Netz über den Schlüssel. Siehe [Zugang im eigenen Netz](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-im-eigenen-netz). | | **gefüllt** | Zusätzlich der Zugang von außen mit Anmeldeseite. Siehe [Zugang von außen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-von-aussen). | Einzutragen ist die Adresse, unter der der Zugang **von außen** erreichbar ist — also die des vorgeschalteten Webservers, nicht die des lokalen Ports. Beispiel: `https://mcp.kunde.de`.Die Adresse muss über HTTPS erreichbar sein. Eine unverschlüsselte Adresse wird abgelehnt — über diese Verbindung laufen Mandantendaten.
## Der Endpoint Unterhalb der Felder zeigt die Oberfläche die Adresse an, die in den Assistenten eingetragen wird. Sie endet immer auf `/mcp`: - mit öffentlicher Adresse: `https://mcp.kunde.de/mcp` - ohne: die lokale Adresse samt Port, nur im eigenen Netz erreichbar ## Speichern startet die Anwendung neuPort und öffentliche Adresse werden beim Start der Anwendung festgelegt. Beim Speichern wird deshalb ein Neustart angestoßen — für einige Sekunden sind alle Module von FINN.ghost nicht erreichbar.
Das gehört also nicht in die Mittagspause der Kommissionierer. Für alles andere gilt: Der Schlüssel bleibt über den Neustart erhalten, bestehende Verbindungen melden sich von selbst neu an. ## Weiter [Zugang im eigenen Netz](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-im-eigenen-netz) # Zugang im eigenen Netz Der einfachere der beiden Wege: Das Programm auf dem Arbeitsplatz sendet den API-Schlüssel mit, und der Zugang steht. Es ist nichts weiter einzurichten — der Schlüssel entsteht beim ersten Start. ## Wann dieser Weg passt - Der Assistent läuft auf einem Rechner **im Firmennetz**. - Das Programm kann eine eigene Angabe zur Anmeldung mitsenden. Werkzeuge für Entwickler und Kommandozeilen-Assistenten können das in der Regel. - Es soll **nichts von außen** erreichbar sein.Für den ersten Versuch ist das der richtige Weg: kein Webserver davor, keine Freigabe nach außen, jederzeit abschaltbar. Wenn dabei klar wird, dass der Zugang taugt, kann man ihn danach nach außen öffnen.
## Was einzutragen ist Im Assistenten wird hinterlegt: | Angabe | Wert | | ------------------ | ------------------------------------------------------------ | | Adresse | die in den Einstellungen angezeigte lokale Adresse, endet auf `/mcp` | | Anmeldung | der **API-Schlüssel** aus den Einstellungen | Wie die Anmeldung genau heißt, hängt vom Programm ab; üblich sind ein Feld für einen Schlüssel oder eine zusätzliche Kopfzeile. Verwendet wird jeweils der unveränderte Schlüssel. Siehe [Einstellungen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/einstellungen). ## Was dieser Weg nicht kannVerbindungen, die sich über eine Anmeldeseite ausweisen wollen — etwa der Connector in Claude — kommen hierüber nicht hinein. Sie haben kein Feld für einen Schlüssel. Dafür braucht es den Zugang von außen.
Siehe [Zugang von außen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-von-aussen). ## Erkennbar im Protokoll Bei diesem Weg trägt eine Anfrage **keinen Namen** — im Protokoll bleibt das Feld für die Verbindung leer. Es ist also nicht unterscheidbar, welcher Arbeitsplatz eine Abfrage ausgelöst hat.Wo mehrere Personen mit dem Zugang arbeiten und nachvollziehbar bleiben soll, wer was gefragt hat, ist der Zugang von außen die bessere Wahl: Dort hängt der Name der Verbindung am Zugang und steht in jeder Protokollzeile.
## Weiter [Zugang von außen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-von-aussen) # Zugang von außen Damit sich ein Assistent von außerhalb des Firmennetzes verbinden kann, bekommt der Zugang eine eigene, über HTTPS erreichbare Adresse und eine Anmeldeseite. Das ist der Weg für den Connector in Claude.  ## Was vorher stehen mussDieser Schritt braucht Zutun der IT: eine Adresse, ein Zertifikat und einen vorgeschalteten Webserver. Ohne diese Vorarbeit kommt keine Verbindung zustande, und die Fehlermeldungen der Assistenten sind dabei wenig hilfreich.
Erforderlich sind: 1. Eine **Adresse**, etwa `mcp.kunde.de`, die auf Ihren Server zeigt. 2. Ein **Zertifikat** für diese Adresse. Der vorgeschaltete Webserver beendet die Verschlüsselung. 3. Der Webserver leitet die **gesamte Adresse** an den Port des Zugangs weiter — nicht nur den Teil `/mcp`. 4. Die Adresse muss aus dem Internet erreichbar sein, damit der Assistent sie erreicht.Punkt 3 ist der häufigste Fehler bei der Einrichtung. Wird nur /mcp weitergeleitet, scheitert der Verbindungsaufbau, weil die Schritte der Anmeldung über eigene Adressen laufen. Der Assistent meldet dann lediglich, dass die Verbindung nicht möglich ist.
Ein Neustart von FINN.ghost — etwa nach einem Update — unterbricht die Verbindung also nicht dauerhaft. Wer mitten in einem Gespräch ist, merkt höchstens eine Verzögerung.
Gleichzeitig sind bis zu 50 Verbindungen möglich. Das reicht für jede Belegschaft; der Wert ist eine Schranke gegen Fehlkonfiguration, nicht eine Lizenzgrenze. ## Schutz gegen Ausprobieren Vor dem Zugang steht ein einzelnes Kennwort. Deshalb bremst die Anmeldeseite Fehlversuche: - **fünf** Fehlversuche je Anmeldevorgang, danach bricht er ab - **zehn** Fehlversuche innerhalb von 15 Minuten, danach ist die Anmeldeseite für 15 Minuten geschlossenIst die Seite gesperrt, hilft nur warten — auch für den, der das Kennwort kennt. Das ist gewollt: Ohne die zweite Schranke ließe sich die erste mit immer neuen Anmeldevorgängen umgehen.
## Nachvollziehbar, wer verbunden ist Bei diesem Weg hängt der **Name des Assistenten** am Zugang, etwa *Claude*. Er steht in jeder Protokollzeile des Aufrufs. In gemischtem Betrieb ist damit erkennbar, welche Verbindung eine Abfrage ausgelöst hat. ## Zugang wieder entziehen Drei Möglichkeiten, je nach Anlass: | Anlass | Vorgehen | | ---------------------------------- | -------------------------------------- | | eine Verbindung soll enden | im Assistenten die Verbindung trennen | | **alle** Verbindungen sollen enden | öffentliche Adresse leeren und speichern | | der Schlüssel ist in falsche Hände geraten | Support ansprechen; ein neuer Schlüssel entwertet alle bestehenden Verbindungen | Siehe [Sicherheit und Verantwortung](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/sicherheit-und-verantwortung). ## Weiter [Erstinbetriebnahme](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/erstinbetriebnahme) # Erstinbetriebnahme Diese Seite ist die Reihenfolge für den ersten Tag — bewusst vorsichtig, weil der Zugang schreiben darf. ## 1. Im Testmandanten beginnenDer Assistent schreibt in echte Mandanten. Ein angelegter Beleg ist ein Beleg, ein geänderter Preis ist geändert. Es gibt kein Rückgängig.
Wenn ein Testmandant vorhanden ist, gehört der erste Versuch dorthin. Dort lässt sich in Ruhe ausprobieren, wie der Assistent formuliert und was er tut, ohne dass eine falsch verstandene Anweisung Folgen hat. ## 2. Lizenz und Zugriff prüfen Erscheint **FINN.MCP** im Menü? Wenn nicht: - ist das Modul lizenziert? - sind Sie als Administrator angemeldet? Der Bereich ist nur für Administratoren sichtbar. ## 3. Schlüssel holen **FINN.MCP → Einstellungen.** Steht das Feld **API-Schlüssel** leer, die Anwendung einmal neu starten — der Schlüssel wird beim Start erzeugt. Danach über das Kopiersymbol übernehmen. Siehe [Einstellungen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/einstellungen). ## 4. Erst im eigenen Netz verbinden Für den ersten Versuch keine Adresse nach außen einrichten. Ein Assistent auf einem Rechner im Firmennetz genügt, um zu sehen, ob der Zugang tut, was er soll. Siehe [Zugang im eigenen Netz](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-im-eigenen-netz). ## 5. Mit Fragen anfangen, nicht mit Anweisungen Die ersten Fragen sollten nur lesen. Bewährt hat sich, drei Dinge zu fragen, deren Antwort man **schon kennt**: - eine Kundenanschrift, die man auswendig weiß - den Bestand eines Artikels, den man gerade in der SelectLine offen hat - die Anzahl der offenen Aufträge eines bestimmten KundenDer Sinn ist nicht, den Assistenten zu prüfen, sondern sich selbst: Man lernt daran, wie eine Frage gestellt sein muss, damit die Antwort stimmt.
Siehe [Fragen stellen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/fragen-stellen). ## 6. Eine Auswertung gegenrechnen Danach eine Frage, deren Antwort sich in der SelectLine nachrechnen lässt — etwa die verkaufte Menge eines Artikels in einem Monat. Stimmt die Zahl, stimmt in der Regel das Verständnis der Belegkette.Weicht sie ab, nicht die Zahl korrigieren, sondern die Frage präzisieren: Bestellt, geliefert oder berechnet? Über welchen Zeitraum? Welche Belegarten? Das sind in der SelectLine verschiedene Dinge.
## 7. Erst dann schreiben lassen Der erste Schreibvorgang sollte klein und prüfbar sein — ein Interessent mit Anschrift, ein Projekt. Danach in der SelectLine nachsehen, ob der Datensatz so aussieht, wie man ihn von Hand angelegt hätte. Siehe [Daten anlegen und ändern](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/daten-anlegen-und-andern). ## 8. Zugang nach außen, wenn nötig Erst wenn all das sitzt, lohnt der Aufwand mit Adresse, Zertifikat und Webserver. Siehe [Zugang von außen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/zugang-von-aussen). ## 9. Vorher im Haus klären Bevor der Zugang in den Alltag geht, sollten drei Dinge entschieden sein: | Frage | Warum sie zählt | | ------------------------------------- | -------------------------------------- | | Wer darf den Zugang nutzen? | es gibt keine abgestuften Rechte | | Wo wird der Schlüssel aufbewahrt? | er ist gleichwertig zu einem Administratorkennwort | | Was darf geschrieben werden? | technisch ist alles erlaubt, die Grenze ist eine Absprache | Siehe [Sicherheit und Verantwortung](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/sicherheit-und-verantwortung). ## Weiter [Fragen stellen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/fragen-stellen)