# Zugang von außen

Damit sich ein Assistent von außerhalb des Firmennetzes verbinden kann, bekommt der Zugang
eine eigene, über HTTPS erreichbare Adresse und eine Anmeldeseite. Das ist der Weg für den
Connector in Claude.

![Einrichtung Anmeldeseite](https://wiki.dako-it.com/uploads/images/gallery/2026-09/ghostdocs-finnai-mcp-fur-selectline-mcp-connector-bd923eae-einrichtung-anmeldeseite.png)

## Was vorher stehen muss

<p class="callout warning">Dieser Schritt braucht Zutun der IT: eine Adresse, ein Zertifikat und einen vorgeschalteten Webserver. Ohne diese Vorarbeit kommt keine Verbindung zustande, und die Fehlermeldungen der Assistenten sind dabei wenig hilfreich.</p>

Erforderlich sind:

1. Eine **Adresse**, etwa `mcp.kunde.de`, die auf Ihren Server zeigt.
2. Ein **Zertifikat** für diese Adresse. Der vorgeschaltete Webserver beendet die
   Verschlüsselung.
3. Der Webserver leitet die **gesamte Adresse** an den Port des Zugangs weiter — nicht nur
   den Teil `/mcp`.
4. Die Adresse muss aus dem Internet erreichbar sein, damit der Assistent sie erreicht.

<p class="callout danger">Punkt 3 ist der häufigste Fehler bei der Einrichtung. Wird nur <code>/mcp</code> weitergeleitet, scheitert der Verbindungsaufbau, weil die Schritte der Anmeldung über eigene Adressen laufen. Der Assistent meldet dann lediglich, dass die Verbindung nicht möglich ist.</p>

## Einrichten

1. In den [Einstellungen](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/einstellungen) die **öffentliche Adresse** eintragen, etwa
   `https://mcp.kunde.de`, und speichern. Die Anwendung startet neu.
2. Im Protokoll steht danach eine Zeile, dass der Zugang von außen aktiv ist, samt der
   Adresse, die einzutragen ist.
3. Im Assistenten die Adresse als Verbindung hinterlegen — sie endet auf `/mcp`, also
   `https://mcp.kunde.de/mcp`.
4. Felder für eine Kennung oder ein Geheimnis der Anwendung bleiben **leer**. Der Assistent
   meldet sich selbst an.
5. Es öffnet sich die Seite **Zugriff auf SelectLine erlauben**. Dort den **API-Schlüssel**
   aus den Einstellungen eingeben und bestätigen.

Danach steht die Verbindung, und der Assistent kennt die verfügbaren Funktionen.

## Wie lange die Verbindung hält

| | |
| ------------------------------ | ---------------------------------------------- |
| Laufende Verbindung | wird automatisch erneuert |
| Ohne Nutzung | nach 90 Tagen muss im Assistenten erneut bestätigt werden |
| Nach einem Neustart der Anwendung | der Assistent verbindet sich selbst neu |
| Ohne Aktivität | nach 30 Minuten wird die Sitzung geschlossen und beim nächsten Aufruf neu geöffnet |

<p class="callout info">Ein Neustart von FINN.ghost — etwa nach einem Update — unterbricht die Verbindung also nicht dauerhaft. Wer mitten in einem Gespräch ist, merkt höchstens eine Verzögerung.</p>

Gleichzeitig sind bis zu 50 Verbindungen möglich. Das reicht für jede Belegschaft; der Wert
ist eine Schranke gegen Fehlkonfiguration, nicht eine Lizenzgrenze.

## Schutz gegen Ausprobieren

Vor dem Zugang steht ein einzelnes Kennwort. Deshalb bremst die Anmeldeseite Fehlversuche:

- **fünf** Fehlversuche je Anmeldevorgang, danach bricht er ab
- **zehn** Fehlversuche innerhalb von 15 Minuten, danach ist die Anmeldeseite für
  15 Minuten geschlossen

<p class="callout info">Ist die Seite gesperrt, hilft nur warten — auch für den, der das Kennwort kennt. Das ist gewollt: Ohne die zweite Schranke ließe sich die erste mit immer neuen Anmeldevorgängen umgehen.</p>

## Nachvollziehbar, wer verbunden ist

Bei diesem Weg hängt der **Name des Assistenten** am Zugang, etwa *Claude*. Er steht in jeder
Protokollzeile des Aufrufs. In gemischtem Betrieb ist damit erkennbar, welche Verbindung eine
Abfrage ausgelöst hat.

## Zugang wieder entziehen

Drei Möglichkeiten, je nach Anlass:

| Anlass | Vorgehen |
| ---------------------------------- | -------------------------------------- |
| eine Verbindung soll enden | im Assistenten die Verbindung trennen |
| **alle** Verbindungen sollen enden | öffentliche Adresse leeren und speichern |
| der Schlüssel ist in falsche Hände geraten | Support ansprechen; ein neuer Schlüssel entwertet alle bestehenden Verbindungen |

Siehe [Sicherheit und Verantwortung](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/sicherheit-und-verantwortung).

## Weiter

[Erstinbetriebnahme](https://wiki.dako-it.com/books/finnai-mcp-fur-selectline/page/erstinbetriebnahme)