Sicherheit und Betrieb
Verantwortung, Fehlersuche und häufige Fragen.
Sicherheit und Verantwortung
Diese Seite ist die wichtigste des Buchs. Der Zugang ist mächtig, und ein Teil der Absicherung ist eine Frage der Organisation, nicht der Einstellungen.
Der Schlüssel ist der Zugang
Ein einzelnes Geheimnis öffnet den gesamten Mandanten — lesend und schreibend. Es ist gleichwertig zu einem Administratorkennwort der SelectLine und gehört genauso behandelt.
Daraus folgt:
- Nicht per E-Mail, Chat oder Ticket versenden.
- Nicht in einer Datei auf einem geteilten Laufwerk ablegen.
- Nur an Personen geben, die den Zugang wirklich brauchen.
- Bei Verdacht auf Weitergabe erneuern lassen — das entwertet alle bestehenden Verbindungen.
Was technisch abgesichert ist
| Bereich | Absicherung |
|---|---|
| Lesen | nur Abfragen, die nichts verändern; Schreibbefehle werden abgewiesen |
| Schreiben | über geprüfte Funktionen; Tabellen- und Spaltennamen werden gegen den Systemkatalog geprüft, berechnete Felder abgewiesen |
| Anmeldung von außen | verschlüsselte Verbindung erforderlich, Fehlversuche werden gebremst |
| Verbindungsdaten | Anmeldungen verschlüsselt, Zugangsmerkmale nur als Prüfsumme gespeichert |
| Web-Abrufe | Adressen im eigenen Netz ausgeschlossen, Größe begrenzt |
| Sitzungen | nach 30 Minuten ohne Aktivität geschlossen, höchstens 50 gleichzeitig |
Was nicht abgesichert ist
Es gibt keine abgestuften Rechte. Der Zugang kennt kein „nur lesen" für einzelne Benutzer und keine Beschränkung auf Bereiche. Wer verbunden ist, kann alles, was der Assistent kann.
Wer eine Trennung braucht, löst sie über die Umgebung:
- Testmandant für alles, was ausprobiert wird
- Zugang nur im eigenen Netz, solange es keinen Grund für den Zugang von außen gibt
- öffentliche Adresse leeren, wenn der Zugang von außen pausieren soll
Empfehlung für den Anfang
- Testmandant.
- Nur im eigenen Netz.
- Nur Fragen, keine Anweisungen.
- Erst danach schreiben, erst danach nach außen.
Siehe Erstinbetriebnahme.
Was im Haus geklärt sein sollte
| Frage | Warum |
|---|---|
| Wer nutzt den Zugang? | es gibt keine Rechteverwaltung |
| Wo liegt der Schlüssel? | er ist der ganze Zugang |
| Darf geschrieben werden, und was? | technisch ist alles erlaubt |
| Wer prüft Zahlen, die weitergegeben werden? | Antworten sind reproduzierbar, aber nicht unfehlbar |
| Wer bemerkt Ungewöhnliches? | das Protokoll wird nicht von sich aus gelesen |
Nachvollziehbarkeit
Jeder Aufruf steht im Protokoll von FINN.ghost. Beim Zugang von außen hängt der Name der Verbindung daran, beim Zugang im eigenen Netz nicht.
Am Datensatz in der SelectLine ist nicht erkennbar, dass ein Assistent ihn angelegt hat. Wer das unterscheiden möchte, muss ins Protokoll von FINN.ghost sehen.
Weiter
Wenn die Verbindung nicht zustande kommt
Wenn die Verbindung nicht zustande kommt
Die Meldungen der Assistenten sind an dieser Stelle wenig aussagekräftig — meist heißt es nur, dass keine Verbindung möglich ist. Diese Seite geht die Ursachen in der Reihenfolge durch, in der sie auftreten.
Der Menüpunkt FINN.MCP fehlt
- Modul lizenziert? Ohne Lizenz erscheint der Bereich nicht.
- Als Administrator angemeldet? Der Bereich ist nur für Administratoren sichtbar.
Das Feld API-Schlüssel ist leer
Der Schlüssel entsteht beim Start der Anwendung. Ist das Feld leer, wurde die Anwendung seit der Freischaltung des Moduls nicht neu gestartet.
Siehe Einstellungen.
Der Zugang im eigenen Netz antwortet nicht
| Prüfpunkt | Hinweis |
|---|---|
| Läuft FINN.ghost? | der Zugang gehört zur Anwendung |
| Richtige Adresse samt Port? | die Oberfläche zeigt sie an, sie endet auf /mcp |
| Port belegt? | ein anderes Programm auf dem Server kann ihn halten |
| Firewall auf dem Server? | der Port muss im eigenen Netz erreichbar sein |
| Schlüssel unverändert übernommen? | Leerzeichen am Anfang oder Ende sind der Klassiker |
Der Zugang von außen kommt nicht zustande
Der häufigste Fall, und fast immer liegt es am vorgeschalteten Webserver.
1. Ist die öffentliche Adresse gesetzt und gespeichert?
Ohne diese Angabe gibt es keine Anmeldeseite. Nach dem Speichern startet die Anwendung neu; danach steht im Protokoll eine Zeile mit der Adresse, die einzutragen ist.
2. Leitet der Webserver die ganze Adresse weiter?
Das ist die Ursache Nummer eins. Der Verbindungsaufbau läuft über mehrere Adressen, nicht nur über /mcp. Wird nur /mcp weitergeleitet, bricht er ohne brauchbare Meldung ab. Es muss der gesamte Adressbereich der Domain an den Port des Zugangs gehen.
3. Ist die Adresse über HTTPS erreichbar?
Eine unverschlüsselte Adresse wird abgelehnt. Das Zertifikat muss gültig und zur Adresse passend sein.
4. Ist die Adresse von außen erreichbar?
Der Assistent verbindet sich aus dem Internet. Eine Adresse, die nur im Firmennetz auflöst, genügt nicht.
5. Wurden Kennung und Geheimnis eingetragen?
Diese Felder bleiben leer. Der Assistent meldet sich selbst an.
Siehe Zugang von außen.
Die Anmeldeseite nimmt das Kennwort nicht
- Es ist der API-Schlüssel aus den Einstellungen, kein SelectLine-Kennwort.
- Nach zu vielen Fehlversuchen ist die Seite 15 Minuten geschlossen — dann hilft nur warten, auch mit richtigem Kennwort.
- Wurde der Schlüssel erneuert, gilt der alte nicht mehr.
Die Verbindung bricht immer wieder ab
| Ursache | Erkennbar an |
|---|---|
| Anwendung wurde neu gestartet | der Assistent verbindet sich selbst neu, kurze Verzögerung |
| lange Pause im Gespräch | die Sitzung wird nach 30 Minuten geschlossen und neu geöffnet |
| 90 Tage ohne Nutzung | die Verbindung muss im Assistenten erneut bestätigt werden |
| viele gleichzeitige Verbindungen | es sind höchstens 50 möglich |
Die ersten beiden Fälle sind normaler Betrieb und brauchen kein Zutun.
Der Assistent findet Daten nicht
Dann ist es meist keine Verbindungsfrage, sondern die Frage selbst — Zeitraum, Belegart oder Nummer fehlen. Siehe Fragen stellen.
Eine Zahl stimmt nicht
Präzisieren statt korrigieren: Bestellt, geliefert oder berechnet? Welcher Zeitraum? Welche Belegarten? Das sind in der SelectLine verschiedene Dinge. Nachfragen, woraus gerechnet wurde, ist der schnellste Weg zur Ursache.
Wenn es dabei bleibt
Wenden Sie sich an den Support und halten Sie bereit:
- welcher Zugangsweg — eigenes Netz oder von außen
- die eingetragene Adresse
- den Wortlaut der Meldung im Assistenten
- den Auszug aus dem Protokoll von FINN.ghost zum Zeitpunkt des Versuchs
Weiter
Häufige Fragen
Gehen unsere Daten dabei irgendwohin?
Der Assistent bekommt genau die Daten, die er für die Antwort abfragt — sie fließen in das Gespräch ein. Wo dieses Gespräch verarbeitet wird, entscheidet der Assistent, den Sie verbinden, nicht FINN.ghost.
Diese Frage gehört vor der Freigabe geklärt, nicht danach — am besten gemeinsam mit dem Datenschutzbeauftragten und mit Blick auf die Bedingungen des jeweiligen Anbieters.
Kann ich einstellen, dass nur gelesen wird?
Nein, es gibt keine abgestuften Rechte. Wer verbunden ist, kann auch schreiben. Die praktikable Trennung führt über die Umgebung: ein Testmandant zum Ausprobieren, den echten Mandanten erst danach. Siehe Grenzen.
Wer hat welche Frage gestellt?
Beim Zugang von außen steht der Name der Verbindung in jeder Protokollzeile. Beim Zugang im eigenen Netz nicht — dort ist nicht unterscheidbar, welcher Arbeitsplatz gefragt hat.
Sieht man in der SelectLine, dass ein Assistent etwas angelegt hat?
Nein, am Datensatz nicht. Es sieht aus wie eine Anlage über die Schnittstelle. Erkennbar ist es nur im Protokoll von FINN.ghost.
Braucht jeder Mitarbeiter einen eigenen Schlüssel?
Es gibt nur einen Schlüssel für die Installation. Mehrere Personen können ihn nutzen; getrennt auswerten lässt sich das nicht.
Muss FINN.ghost dafür ins Internet?
Nur für den Zugang von außen. Im eigenen Netz genügt der Port ohne jede Freigabe nach außen. Siehe Zugang im eigenen Netz.
Warum startet die Anwendung beim Speichern neu?
Port und öffentliche Adresse werden beim Start festgelegt. Der API-Schlüssel bleibt dabei erhalten, laufende Verbindungen melden sich selbst neu an.
Kann der Assistent Bestände buchen?
Nein. Ein- und Auslagern, Umlagern und Inventur laufen über FINN.lager, nicht über diesen Zugang.
Kann er Belege drucken oder versenden?
Nein. Er legt Belege an und ändert sie; Druck und Versand bleiben in der SelectLine.
Kann er einen Beleg löschen?
Ja. Bei einem Beleg, der in der Belegkette schon weitergeführt wurde, ist das selten die richtige Antwort auf einen Fehler — dort gelten dieselben Überlegungen wie in der SelectLine.
Woher kennt er unsere Belegarten?
Er liest die Bezeichnungen Ihres Mandanten. Dass Belegarten je Mandant anders heißen, ist als Regel hinterlegt — nach „Ticket" oder „Service" zu fragen funktioniert deshalb, wenn es diese Belegart bei Ihnen gibt.
Warum ist eine Liste unvollständig?
Große Ergebnisse werden begrenzt; darauf wird hingewiesen. Dann die Frage eingrenzen — Zeitraum, Belegart, Standort. Siehe Fragen stellen.
Kann ich dem Assistenten eigene Auswertungen beibringen?
Die hinterlegten Auswertungsregeln sind Teil der Anwendung. Wenn in Ihrem Haus eine Kennzahl regelmäßig anders gerechnet wird, lohnt das Gespräch mit der DAKO-IT GmbH — solche Regeln lassen sich ergänzen.
Was kostet der Zugang?
FINN.AI MCP ist ein eigenes, lizenzpflichtiges Modul. Auskunft dazu gibt der Vertrieb.
Wie schalte ich ihn wieder ab?
Öffentliche Adresse leeren und speichern — dann ist der Zugang von außen zu. Vollständig abgeschaltet wird er über die Lizenz.
Womit fange ich an?
Testmandant, Zugang im eigenen Netz, drei Fragen, deren Antwort Sie schon kennen. Siehe Erstinbetriebnahme.