Tool einrichten & konfigurieren

Ein neues Tool einrichten

Aus einem Template erstellen (empfohlen)

1. Gehe zu Einstellungen → Integrationen
2. Klicke oben rechts auf „Integration hinzufügen” → „Aus Template”
3. Wähle ein Template

Gibt es im Workspace schon eine Integration aus diesem Template, die du siehst, legt 9brains keine zweite an, sondern fragt nach: „… ist schon eingerichtet“ nennt die vorhandene und wer sie eingerichtet hat, bei mehreren wählst du eine aus. Mit „Mit meinem Konto anmelden“ bzw. „Mein Konto verbinden“ verbindest du dort gleich dein eigenes Konto, was du darüber abrufst, sieht niemand sonst; danach öffnet sich die Übersicht bei dieser Integration. Arbeitest du dort nur über das Konto eines Kollegen, sagt der Dialog, dass der Besitzer oder ein Admin dich freischalten muss, bevor du ein eigenes Konto verbinden kannst. Administratoren sehen auch Integrationen, die ihnen nicht freigegeben sind; für sie nimmt derselbe Knopf sie im selben Klick selbst in die Freigabe auf. Brauchst du wirklich eine zweite Integration, etwa für eine zweite Firma oder einen weiteren Shopify-Shop, legst du sie mit „Andere Umgebung von … anbinden“ bzw. „Anderen Shop anbinden“ an.

Danach führt dich der Einrichtungs-Assistent Schritt für Schritt durch die Einrichtung:

1. Anleitung: was du beim Anbieter vorbereiten musst. Sie steht danach jederzeit im Tab „Anleitung“ der Integration.
2. Einstellungen, nur wenn das Template welche hat: etwa Server und Port einer Datenbank, wie das Ziel erreichbar ist, oder bei Slack die App eurer Firma.
3. Konto verbinden: Du meldest dich beim Anbieter an oder trägst deinen Schlüssel ein, genau wie über „Verbinden“ in der Übersicht. 9brains prüft das Konto dabei gleich und sagt dir, ob es klappt und wenn nicht, warum. Admins und der Besitzer wählen hier, ob das Konto ihnen oder der Firma gehört. Mit „Später verbinden“ schließt du die Einrichtung ohne Konto ab.

Am Ende landest du im Tab „Zugriff“ der neuen Integration. Dort legst du fest, wer sie außer dir nutzen darf. „Abbrechen“ oder Weggehen mitten in der Einrichtung entfernt die halb eingerichtete Integration wieder.

Einen MCP-Server manuell einrichten

Für MCP-Server, die nicht als Template verfügbar sind:

1. Klicke auf „Integration hinzufügen” → „Manueller MCP-Server”. Es öffnet sich derselbe Einrichtungs-Assistent wie bei einem Template
2. Server: Vergib einen Namen, trag die Server-URL ein und wähle, wie der Server erreichbar ist (öffentlich oder über den On-Premise Connector). Mit „Weiter“ prüft 9brains die Adresse und schreibt das Ergebnis unter das Feld. Erst jetzt entsteht die Integration. Antwortet der Server nicht wie erwartet, prüfe die Adresse; ist er nur gerade nicht erreichbar, gehst du mit „Trotzdem fortfahren“ weiter
3. Anmeldung, nur wenn nötig: Verlangt der Server ein Token, legst du fest, in welchem Header es mitgeht. Meldet er Personen per OAuth an, richtest du hier die App ein, über die sich alle anmelden, siehe OAuth bei eigenen MCP-Servern
4. Konto verbinden: wie beim Template oben

Braucht der Server keine Anmeldung, ist die Einrichtung nach dem ersten Schritt fertig. Die verfügbaren Fähigkeiten erkennt 9brains bei der Prüfung der Adresse oder bei der ersten Anmeldung und liest die Tool-Liste des Servers danach jede Nacht neu ein (Änderungsmeldungen des Servers wertet es nicht aus): Neue Tools sind gleich erlaubt, was du abgeschaltet hast, bleibt aus, und was der Server nicht mehr anbietet, schaltet 9brains ab. Auslösen musst du nichts, ein Kontotest oder eine neue Anmeldung frischt eine vorhandene Liste auch nicht auf; sofort geht es mit „MCP-Tools aktualisieren“ im Tab „Fähigkeiten“, wo auch steht, wann die Tools zuletzt aktualisiert wurden. Eigene Parameter definierst du danach im Tab „Allgemein“.

Eigene Skills

Eigene Automatisierungen baust du nicht mehr über die Tool-Verwaltung, sondern direkt im Chat: im Bereich Skills in der Seitenleiste. Dort erstellst du Skills im Gespräch, verbindest sie bei Bedarf mit externen Diensten und teilst sie mit deinem Team. Alle Details unter Skills.

Tool konfigurieren

Unter Einstellungen → Integrationen öffnet das Zahnrad an einer Zeile den Editor der Integration. Das Zahnrad sehen nur, wer die Integration besitzt, und Administratoren. Die Konfiguration ist in mehrere Tabs unterteilt: Allgemein, Zugriff, Anleitung (wenn das Template eine mitbringt), Fähigkeiten (nur bei MCP-Servern) und Audit. Wer die Integration nicht bearbeiten darf, landet direkt im Tab „Zugriff“ und sieht dort sein eigenes Konto.

Tab: Allgemein

• Integration aktiv: Schaltet die Integration ein oder aus. Ausgeschaltete Integrationen stehen der KI nicht zur Verfügung. Ein MCP-Server lässt sich erst einschalten, wenn eine Prüfung seine Fähigkeiten gefunden hat; was dafür fehlt, steht direkt unter dem Schalter.
• Name: Anzeigename der Integration (max. 100 Zeichen)
• Beschreibung: Kurze Erklärung, wofür die Integration gedacht ist (max. 500 Zeichen)
• Hinweise für die KI: Hier sagst du der KI, wann und wie sie diese Integration nutzen soll (max. 8.000 Zeichen). Beispiel: „Nutze diese Integration nur, wenn ausdrücklich nach Databricks-Daten gefragt wird.“
• Einstellungen des Servers (nur bei MCP-Servern): Server-URL, Erreichbarkeit und Parameter, siehe unten
• Anmelde-App (wo sich die Konten über eine App eurer Firma beim Anbieter anmelden: bei Slack, DocuWare, Meta Ads und Shopify, und bei einer Schnittstelle, die im Chat für einen Dienst ohne vorbereitete Anmeldung entstanden ist, etwa Salesforce): Client-ID und optional Client-Secret der App beim Anbieter, über die sich alle Konten der Integration anmelden, mit der Rückruf-Adresse zum Kopieren. Bei Shopify ist sie freiwillig: Ohne sie läuft die Anmeldung über die App von 9brains, und die gilt nur für Shops, für die 9brains sie eingerichtet hat. Im Normalfall braucht ihr also eine eigene. Eintragen können sie, wem die Integration gehört, und Administratoren. Das Client-Secret ist danach nicht mehr einsehbar; zu sehen bleibt, wer die App wann eingetragen hat. Trägst du eine andere App ein, wird jedes angemeldete Konto der Integration abgemeldet und muss sich neu anmelden, auch deins. Das gilt auch für die erste eigene App, wenn schon jemand über die App von 9brains angemeldet ist. 9brains sagt es dir vor dem Speichern. Ziehen die Anmeldeadressen des Dienstes auf einen anderen Server um, wird die App entfernt und muss neu eingetragen werden.
• Integration löschen: Am Ende der Seite in der Gefahrenzone. Der Bestätigungsdialog nennt, wer die Integration dadurch verliert. Alle Konten der Integration werden mitgelöscht, auch die anderer Personen. Hängen Konten anderer Personen daran, können nur der Besitzer und Administratoren sie löschen, und zwar erst, nachdem sie den Namen der Integration eingetippt haben. Hast du dort selbst ein Konto, bietet der Dialog zuerst an, nur dein eigenes Konto zu trennen. Das Löschen kann nicht rückgängig gemacht werden.

Änderungen werden automatisch gespeichert, ein Speichern-Button ist nicht nötig.

Einstellungen des Servers (MCP-Server)

Bei MCP-Servern stehen die Verbindungseinstellungen im Tab „Allgemein” unter Name und Beschreibung.

Für Template-basierte Tools:

• Die Parameter-Felder sind vom Template vorgegeben
• Trage die erforderlichen Werte ein (z.B. Server-URL)
• Geheime Werte (z.B. API-Keys, Passwörter) werden als Konto gespeichert: einmal eintragen, danach nicht mehr einsehbar, nur ersetzen oder löschen
• Was einzutragen ist, erklärt Schritt für Schritt der Tab „Anleitung“

Für manuell erstellte MCP-Server:

• Server-URL: Die Adresse des MCP-Servers (Pflichtfeld)
• Healthcheck-URL: Optionaler Endpunkt zur Verfügbarkeitsprüfung
• Anmeldung mit Token: Verlangt dein Server ein festes Token, schalte „Der Server verlangt ein Token” ein. Darunter legst du fest, in welchem Header es mitgeht: Header-Name (Standard Authorization) und Präfix (Standard Bearer, leer lassen, wenn der Server nur das Token erwartet). Das Token selbst trägst du nicht hier ein: Jede Person, der die Integration freigegeben ist, hinterlegt ihr eigenes Token als Konto im Tab „Zugriff“. Soll für alle ein gemeinsames Token gelten, legst du es dort als Firmenkonto an.
• Parameter definieren: Füge eigene Parameter hinzu (Text, Zahl oder Ja/Nein). Für jeden Parameter kannst du festlegen, wie er an den Server übermittelt wird (als Argument, HTTP-Header oder Query-Parameter).

Server im eigenen Netz:

Spricht die Integration eine Datenbank oder einen Server in deinem Firmennetz an, fragt 9brains zuerst, wie das Ziel erreichbar ist:

• Öffentlich erreichbar: Für Server, die direkt aus dem Internet erreichbar sind. Du trägst Adresse und Port wie gewohnt selbst ein.
• Über den On-Premise Connector: Du wählst einen der im On-Premise Connector angelegten Services aus. Adresse und Port kommen dann von dort. Neben jedem Service steht, ob der Connector ihn gerade erreicht.

Verfügbar für Microsoft SQL Server, PostgreSQL, Oracle, E-Mail (IMAP/SMTP) und Integrationen mit Server-Adresse wie DATEV, FileMaker, Odoo oder Umami. Wählst du einen Service aus, verschwinden die Felder für Server und Port, weil beides von dort kommt; alles andere gibst du weiterhin selbst an.

Dasselbe gilt für einen selbst angelegten MCP-Server. Die Auswahl steht dort über der Server-URL. Wählst du einen Service, trägst du als Server-URL weiterhin die interne Adresse ein, so wie sie in deinem Netz lautet (z.B. http://mcp.intern.firma.de:8080/mcp): Adresse und Port ersetzen wir durch den Service, der Pfad dahinter bleibt stehen. Dein MCP-Server muss dafür nicht aus dem Internet erreichbar sein. Weil eine Server-URL kein Protokoll verrät, stehen hier alle Services deines Workspaces zur Wahl.

Ebenso bei einem eigenen Skill: Im Reiter Einstellungen steht die Auswahl über dem Host. Mit einem Service trägst du nur noch den Pfad auf dem Server ein, wenn die API unter einem liegt; Host und Port kommen vom Service, und an genau diese Adresse gehen die Anmeldedaten der Konten. Baut die KI im Chat eine Anbindung an ein System in deinem Firmennetz, nimmt sie dafür selbst einen der Services deines Workspaces.

Bei PostgreSQL verlangt 9brains standardmäßig eine verschlüsselte Verbindung. Dafür steht im Formular der Haken Verschlüsselte Verbindung verlangen. Spricht der Server im eigenen Netz kein TLS, nimm ihn heraus; der Weg durch den Connector ist ohnehin verschlüsselt. Bei Oracle ist derselbe Haken standardmäßig leer und schaltet die Verbindung auf TLS um, der Port ist dann meist 2484 statt 1521.

Bei den Datenbanken zeigt die Liste nur Services mit passendem Protokoll. Gibt es noch keinen, erscheint ein Hinweis mit einem Link zum Connector. Anlegen darf Services nur ein Administrator, auswählen kann sie jeder, der die Integration einrichtet.

Adresse, Connector oder Anmeldung ändern:

Änderst du die Server-URL, den Service des On-Premise Connectors oder die App für die Anmeldung beim Anbieter, werden die Konten anderer Personen an diesem Tool angehalten. In „Wer hat Zugriff“ steht ihre Zeile dann auf „Konto wartet auf Bestätigung“, und das Konto wird nicht mehr genutzt, bis seine Besitzer die neue Adresse bestätigen oder sich neu anmelden; die neue Adresse sehen sie dabei. Zieht das Tool auf einen anderen Server um (anderer Host oder anderer Service des Connectors, nicht nur ein anderer Pfad), werden außerdem alle Anmeldungen beim Anbieter, auch deine eigene, und alle Firmenkonten angehalten, bis sie neu angemeldet oder von einem Administrator oder dem Besitzer der Integration bestätigt sind. Anmelden kann sich dann erst wieder jemand, wenn 9brains die neue Adresse geprüft hat; gehört die Anmeldung dort zu einem anderen Anbieter, entfernt 9brains die bisherige App. Vor dem Speichern sagt dir 9brains, was davon passiert und wie viele Konten es betrifft. Deine eigenen Schlüssel laufen weiter.

Prüfung der Adresse:

Einen eigenen Knopf zum Testen gibt es hier nicht. Bei einem selbst angelegten MCP-Server prüft 9brains die Adresse, sobald eine geänderte Server-URL, Healthcheck-URL oder Erreichbarkeit gespeichert ist, und schreibt das Ergebnis direkt unter die Server-URL:

• Erfolg (grünes Häkchen): Die Verbindung steht, das Zielsystem hat uns angenommen und die verfügbaren Fähigkeiten wurden erkannt. Die Antwortzeit wird in Millisekunden angezeigt.
• Erreichbar, aber ungeprüft (gelbes Ausrufezeichen): Der Server antwortet, aber die Prüfung konnte nicht feststellen, ob das dahinterliegende System uns wirklich annimmt. Das betrifft Server, für die keine Prüfabfrage hinterlegt ist.
• Fehlgeschlagen (rotes X): Die Verbindung konnte nicht hergestellt werden, oder das Zielsystem hat den Zugriff abgelehnt. Darunter steht, was das Zielsystem selbst geantwortet hat, vollständig und im Wortlaut. Lange Meldungen klappst du mit „Alles anzeigen” auf, mit „Details kopieren” übernimmst du sie samt der Fehler-ID für eine Support-Anfrage.

Ob ein Konto funktioniert, prüfst du mit „Testen“ an diesem Konto im Tab „Zugriff“. Das ist der einzige Testknopf der Seite; findet der Test die Fähigkeiten eines MCP-Servers zum ersten Mal, lässt sich die Integration danach einschalten. Ausnahme sind MCP-Server mit Anmeldung beim Anbieter: Dort genügt die eingerichtete Anmeldung, die Fähigkeiten erkennt 9brains bei der ersten Anmeldung, siehe OAuth bei eigenen MCP-Servern.

Integrationen zusammenführen

Gibt es im Workspace mehrere Integrationen für dasselbe System, etwa weil früher jede Person Microsoft 365 für sich eingerichtet hat, führen Administratoren sie zu einer zusammen. Unter Einstellungen → Integrationen weist dich dann der Hinweis „Doppelte Integrationen“ darauf hin, mit einem Knopf „Zusammenführen“ je System.

1. Klicke im Hinweis beim System auf „Zusammenführen“
2. Wähle, welche Integration bleibt. Vorausgewählt ist die, in die du die anderen am besten zusammenführst: die für alle Mitglieder freigegebene, sonst die älteste
3. Darunter steht jede andere mit ihrem Besitzer und dem, was mit ihr umzieht, etwa „3 Konten · 1 Agent“. Vorausgewählt sind die eingeschalteten ohne eigene Einstellungen. Hat eine eigene Einstellungen, zum Beispiel eigene Hinweise für die KI, oder ist sie ausgeschaltet, steht das darunter; was sich nicht zusammenführen lässt, steht mit Grund da
4. Klicke auf „Zusammenführen“. Danach lädt die Übersicht neu. Der Hinweis verschwindet, sobald es zu dem System keine weitere Integration mehr gibt. Bleibt eine übrig, die sich nicht zusammenführen lässt, steht das System weiter im Hinweis, und der Dialog nennt beim nächsten Öffnen für sie den Grund

Was dabei passiert:

• Konten ziehen mit, samt allen, mit denen sie geteilt sind, und den Agenten, die sie nutzen. Niemand muss sich neu anmelden. Hat jemand bei der Integration, die bleibt, schon ein Standard-Konto, bleibt es sein Standard.
• Freigaben kommen dazu, der bisherige Besitzer eingeschlossen. Niemand verliert den Zugang.
• Agenten und Apps, die eine der zusammengeführten Integrationen nutzen, nutzen danach diese.
• Fähigkeiten (nur bei MCP-Servern): Stehen sie verschieden, gilt die strengere Stufe: „Niemals“ vor „Vorher nachfragen“ vor „Immer erlaubt“. Kennt die Integration, die bleibt, eine Fähigkeit noch nicht, nennt die Meldung nach dem Zusammenführen sie; ihre Berechtigung legst du dann im Tab „Fähigkeiten“ fest.
• Einstellungen wie die Hinweise für die KI kommen von der Integration, die bleibt. Was die anderen anders eingestellt hatten, entfällt.
• Nicht zusammenführen lassen sich Integrationen mit anderer Adresse, anderer Anmeldung, anderen Feldern oder anderem Connector. Ihre Konten gingen sonst an eine andere Stelle als die, für die sie eingerichtet wurden. Solche Integrationen stehen in der Liste, lassen sich aber nicht auswählen.
• Anmelde-App: Gilt die Anmelde-App beider Integrationen für denselben Client, bleibt die der Integration, die bleibt. Hat nur die andere eine, zieht sie mit um. Nicht zusammenführen lassen sich zwei verschiedene Apps, und auch nicht der Fall, dass Konten auf der Seite ohne App über eine andere App angemeldet sind: Ihre Anmeldung ließe sich sonst nicht mehr verlängern. Die Liste nennt dann, bei welcher Integration du was eintragen musst.
• Die zusammengeführten Integrationen werden danach gelöscht.

Mehrere Integrationen für dasselbe System bleiben erlaubt, etwa für zwei Abteilungen mit verschiedenen Umgebungen oder Rechten. Zusammenführen ist ein Angebot, kein Muss.

Tab: Zugriff

Hier siehst du an einer Stelle, wer die Integration nutzt und mit welchem Konto. Von oben nach unten:

• Admin-Zustimmung (nur bei Microsoft 365): ob die Admin-Zustimmung erteilt ist, sonst der Knopf „Admin-Zustimmung erteilen“.
• „Wer hat Zugriff“: eine Liste, in der jede Person und Gruppe genau einmal steht. Rechts in jeder Zeile steht als Abzeichen, mit welchem Konto sie arbeitet, etwa „Konto verbunden“ (in deiner eigenen Zeile „Eigenes Konto verbunden“), „Über Konto von Anna Maier“, „Über Firmenkonto“, „Noch kein Konto“, „Konto verbunden · letzte Prüfung fehlgeschlagen“ oder „Freigabe beendet, eigenes Konto wird nicht genutzt“; am Handy steht es unter dem Namen. Darüber ein Satz „Sichtbar für“, wer die Integration überhaupt sieht, etwa „dich, Admins und 4 weitere Personen“ oder „alle Mitglieder“: ihr Besitzer, die Administratoren, alle aus der Freigabe und alle, mit denen ein Konto daran geteilt ist.
• Der Besitzer steht immer als erste Zeile in der Liste, mit dem Zusatz „Besitzer“, und lässt sich nicht entfernen. Jede Integration gehört einer Person. Sie und Administratoren übergeben die Integration an dieser Zeile mit „Besitzer wechseln“ an jemand anderen im Workspace, wie bei einem Agenten. Eine Firma lässt sich nicht als Besitzer wählen: Der Besitzer pflegt Einstellungen und Freigabe; ein Konto gibst du der Firma am Konto mit „Übergeben“. Freigaben, Fähigkeiten und Konten bleiben beim Besitzerwechsel, wie sie sind; die Firmenkonten pflegt danach der neue Besitzer mit.
• Deine eigene Zeile zeigt deinen Stand und die eine Aktion, die du brauchst: „Konto verbinden“, bei einem Fehler „Neu anmelden“. Aufgeklappt zeigt sie deine Konten an dieser Integration und die mit dir geteilten. Hast du mehrere eigene Konten, zeigt die Zeile den Stand deines Standard-Kontos.
• „Firmenkonten“: unter der Liste, weil sie keiner Person gehören.

Wer die Integration nicht bearbeiten darf, sieht in der Liste nur den Besitzer und sich selbst.

Freigabe

Unter „Wer hat Zugriff“ im Tab „Zugriff“ legst du fest, wer an dieser Integration ein eigenes Konto verbinden darf: Wer dort eingetragen ist, darf das. Mehr regelt die Freigabe nicht: Wer ein Konto dieser Integration geteilt bekommt, hat damit Zugriff auf die Integration, auch ohne Freigabe. Ein Firmenkonto nutzt, mit wem es geteilt ist; die Freigabe allein reicht dafür nicht. Solange du niemanden einträgst und kein Konto teilst, sehen die Integration nur ihr Besitzer und die Administratoren. So kann ein Administrator eine neue Integration in Ruhe einrichten und testen, bevor jemand anderes sie zu Gesicht bekommt.

1. Klicke auf „Gruppe oder Person hinzufügen …“: Die Auswahl zeigt dir sofort alle vorhandenen Gruppen und Personen, nach Art gruppiert. Tippen musst du nur, wenn du die Liste eingrenzen willst
2. Wähle den Eintrag aus. Wer die Integration schon hat, ist ausgegraut und mit „Bereits vergeben” markiert
3. Zum Entfernen klicke auf den Papierkorb neben dem Namen

Freigeben dürfen der Besitzer und Administratoren. Alle Mitglieder des Workspaces auf einmal geben nur Administratoren frei, und nur sie nehmen diese Freigabe wieder zurück.

Administratoren können einen Eintrag zusätzlich mit dem Häkchen „Zuweisen“ zuweisen: Dann soll die Person ein eigenes Konto verbinden und wird beim Anmelden daran erinnert. Das Häkchen steht deshalb nur bei Gruppen und bei Personen, die noch kein eigenes Konto verbunden haben. Bevor die Zuweisung gilt, fragt 9brains nach und sagt, wer erinnert wird; bei einer Gruppe mit der Zahl der Mitglieder. Das Häkchen wieder entfernen geht ohne Rückfrage. Mehr dazu unter Zugewiesene Integrationen.

Der Stand jedes Eintrags steht als Abzeichen rechts in der Zeile, bei einer Zuweisung ohne Konto „Zugewiesen · noch kein Konto“. Bei Gruppen steht unter dem Namen etwa „3 von 5 verbunden“. Ein Klick darauf klappt die Gruppe auf und zeigt jedes Mitglied mit E-Mail-Adresse und seinem eigenen Stand, also auch, wer über wessen Konto arbeitet. Wer oben schon eine eigene Zeile hat, etwa du oder der Besitzer, steht dort nicht noch einmal, und die Zahl zählt nur die übrigen. Den Stand sehen nur der Besitzer und Administratoren.

In derselben Liste stehen auch alle, die die Integration ohne Eintrag erreichen: wer über ein mit ihm geteiltes Konto arbeitet, eine Gruppe, mit der ein Konto geteilt ist, und wer noch ein eigenes Konto hat, obwohl seine Freigabe beendet ist („Freigabe beendet, eigenes Konto wird nicht genutzt“). Diese Zeilen haben weder Papierkorb noch Häkchen; eintragen kannst du sie mit „Gruppe oder Person hinzufügen …“ wie alle anderen.

Wer die Integration freigegeben bekommt, findet sie unter Einstellungen → Integrationen und verbindet dort sein eigenes Konto, sofern der Dienst eines verlangt. Dein eigenes Konto gibst du mit der Freigabe nicht weiter. Sollen Kollegen mit deinem Konto arbeiten, teilst du dein Konto; eine Freigabe brauchen sie dafür nicht. Die Integration steht dann bei ihnen mit „Über Konto von …“ oder „Über Firmenkonto“ in der Übersicht; ein eigenes Konto verbinden können sie dort erst mit Freigabe.

Endet eine Freigabe, verschwindet die Integration für diese Person aus der Übersicht und aus dem Chat, außer jemand teilt ein Konto dieser Integration mit ihr. Ihr eigenes Konto dort wird dann nicht mehr genutzt.

Konten an der Integration

Klappst du deine eigene Zeile in „Wer hat Zugriff“ auf, siehst du deine eigenen Konten dieser Integration und die Konten von Kollegen, mit denen du hier arbeitest. Unter der Liste stehen die „Firmenkonten“ mit ihrer Teilen-Liste und den Rollen „Nutzen“ oder „Nutzen und weitergeben“. Hier testest du ein Konto, ersetzt die Anmeldedaten, meldest dich bei Diensten mit Anmeldung beim Anbieter mit „Neu anmelden” erneut an, teilst, übergibst oder löschst es. Funktioniert ein Konto nicht, steht am Konto, warum und was zu tun ist, etwa „Noch nicht angemeldet“ oder nach einer fehlgeschlagenen Prüfung „Anmeldung abgelaufen“ mit dem Hinweis auf „Neu anmelden”, auch wenn die tägliche Prüfung den Fehler gefunden hat. Passt keiner der bekannten Gründe, nennt der Test des Kontos den genauen Grund. Deine eigenen Konten findest du auch unter Einstellungen → Integrationen in der aufgeklappten Zeile.

Administratoren klappen in der Liste „Wer hat Zugriff“ eine Person auf und sehen deren Konten an dieser Integration. Sie können sie dort testen und widerrufen, aber nicht ändern oder teilen; das kann nur, wem das Konto gehört.

Firmenkonto: Administratoren und der Besitzer der Integration legen es unter „Firmenkonten“ mit „Firmenkonto anlegen“ an. Dabei entsteht ein Konto, das dem Unternehmen gehört: ein Schlüssel, der für alle gilt, oder eine Anmeldung beim Anbieter, etwa für ein Team-Postfach. Bei einer Anmeldung meldest du dich im Fenster des Anbieters mit dem Konto an, das alle nutzen sollen, nicht mit deinem eigenen. Ein neues Firmenkonto ist zuerst mit allen Mitgliedern geteilt; direkt danach legst du fest, mit wem genau und in welcher Rolle. Die Freigabe der Integration entscheidet darüber nicht, sie regelt nur, wer ein eigenes Konto verbinden darf. Das Firmenkonto bleibt, wenn du das Unternehmen verlässt. Schlüssel ersetzen, neu anmelden, teilen und löschen können es Administratoren und der Besitzer der Integration. Mehr unter Persönliches Konto und Firmenkonto.

Ein persönliches Konto für eine Kollegin richtest du als dein eigenes ein, testest es und übergibst es ihr danach.

Bei MCP-Servern mit Anmeldung beim Anbieter meldest du dich hier mit „Konto verbinden” in deiner Zeile mit deinem eigenen Konto an und löschst es wieder. Wer das Tool nur nutzt, macht das einfacher direkt in seiner Zeile unter Einstellungen → Integrationen. Dein Konto gilt nur für diese Integration, auch wenn eine zweite Integration dieselbe Adresse hat. Mit „Weiteres Konto hinzufügen” meldest du dich mit einem zweiten Konto an; die KI nimmt dein Standard-Konto, ein anderes machst du mit „Als Standard verwenden” dazu. Wie jedes Konto kannst du es mit Personen und Gruppen teilen: Sie arbeiten dann mit deinem Konto, solange sie bei dieser Integration kein eigenes Konto haben. Die Integration steht dann auch ohne Freigabe in ihrer Übersicht. Löschst du es, verlieren auch diese Personen den Zugang. Die Anmeldung beim Anbieter einrichten, also App registrieren oder Client-ID und Client-Secret hinterlegen, kann nur, wer das Tool bearbeiten darf; bis dahin steht bei allen anderen „Anmeldung noch nicht eingerichtet”. Bei einem Template ohne App von 9brains, etwa Meta Ads, tragen der Besitzer der Integration und Administratoren die App des Unternehmens unter „Allgemein“ → „Anmelde-App“ ein.

Tab: Fähigkeiten (nur bei MCP-Servern)

Wird nach einem erfolgreichen Verbindungstest angezeigt. Listet alle Fähigkeiten (Tools) auf, die der MCP-Server bereitstellt.

Für jede Fähigkeit legen der Besitzer der Integration und Administratoren die Berechtigung fest. Sie gehört zur Integration und gilt für alle, die sie nutzen, egal mit welchem Konto. Brauchen zwei Gruppen unterschiedliche Rechte, legst du zwei Integrationen an und gibst jede einer Gruppe frei.

Berechtigung	Bedeutung
Immer erlaubt	Die KI darf diese Fähigkeit jederzeit einsetzen
Vorher nachfragen	Vor jedem Aufruf zeigt der Chat eine Karte, und erst wenn die Person, die gefragt hat, auf „Ausführen“ tippt, geht er ab. Wo niemand im Chat ist (autonome Agentenläufe, Apps), läuft die Fähigkeit nicht
Niemals	Die KI darf diese Fähigkeit nicht verwenden
Gesperrt	Von 9brains gesperrt, kann im Workspace nicht geändert werden

Beispiel: Du möchtest, dass die KI E-Mails lesen, aber keine ohne dein Okay versenden darf. Dann setzt du „E-Mail lesen” auf Immer erlaubt und „E-Mail senden” auf Vorher nachfragen, oder auf Niemals, wenn sie gar keine versenden soll.

Tab: Audit

Zeigt, wann die KI dieses Tool aufgerufen hat, mit Suche und Filtermöglichkeiten. Du siehst deine eigenen Aufrufe; wer die Integration besitzt, und Administratoren sehen die Aufrufe aller. Anmeldedaten, die 9brains für einen Aufruf einsetzt, ersetzt das Audit durch ***.

Microsoft 365 verbinden

Die Microsoft-365-Integration gibt der KI Zugriff auf E-Mails, Kalender, OneDrive, Teams, Kontakte, Aufgaben und weitere Microsoft-Dienste. Jeder Benutzer verbindet sein eigenes, persönliches Konto.

Voraussetzung: Admin-Zustimmung

Bevor sich jemand mit Microsoft 365 anmelden kann, muss ein Administrator eurer Microsoft-Organisation einmalig die Admin-Zustimmung erteilen. Das geht direkt in der Integration: Im Tab „Zugriff“ ganz oben (bei der Einrichtung gleich im ersten Schritt „Anleitung”) klickt ein Admin des Workspaces auf „Admin-Zustimmung erteilen” und meldet sich bei Microsoft als Global Administrator oder Application Administrator an. Danach steht dort „Erteilt am … von …“, und die Integration kann freigegeben werden. Mehr unter Microsoft-Freigabe für Administratoren.

Integration einrichten

1. Gehe zu Einstellungen → Integrationen
2. Steht Microsoft 365 schon in der Liste, klicke in seiner Zeile auf „Verbinden”. Sonst klicke auf „Integration hinzufügen” → „Aus Template” → „Microsoft 365”
3. Es öffnet sich ein Anmeldefenster: Melde dich mit deinem Microsoft-365-Konto an und erlaube den Zugriff

Dein Konto ist sofort aktiv. Die KI kann jetzt auf deine E-Mails, Kalender, Dateien und weitere Microsoft-Dienste zugreifen. Die Zeile zeigt danach „Verbunden als” mit deinem Microsoft-Konto. Aufgeklappt kannst du das Konto dort testen, neu anmelden oder löschen.

Probleme mit Microsoft 365 beheben

Wenn die KI nicht mehr auf E-Mails, Kalender oder andere Microsoft-Dienste zugreifen kann:

1. Prüfe dein Konto: Gehe zu Einstellungen → Integrationen, klappe die Zeile „Microsoft 365” auf und klicke bei deinem Konto auf „Testen”. Steht dort „Nicht angemeldet”, verbinde dich neu (siehe oben).
2. Neu anmelden: Schlägt der Test fehl oder zeigt die Zeile „Letzte Prüfung fehlgeschlagen”, klicke auf „Neu anmelden” und melde dich erneut bei Microsoft an.
3. Admin-Zustimmung prüfen: Nur wenn bei der Anmeldung die Meldung „Administratorgenehmigung erforderlich” erscheint, fehlt die Admin-Zustimmung. Ein Admin deines Workspaces erteilt sie in der Integration.

Authentifizierung bei externen Diensten

Je nach Integration gibt es verschiedene Anmeldemethoden:

Vorlagen und Connected Skills: Konten

Anmeldedaten für Integrationen aus Vorlagen und Connected Skills werden als Konten gespeichert: Du gibst sie einmal in einem sicheren Dialog ein, danach sind sie verschlüsselt abgelegt und lassen sich von niemandem mehr anzeigen, nur ersetzen oder löschen. Testen, Erneuern und den Verlauf findest du unter Einstellungen → Integrationen in der aufgeklappten Zeile.

OAuth 2.0 (z.B. Microsoft 365, Google Workspace)

OAuth ermöglicht eine sichere Anmeldung, ohne dass du dein Passwort in 9brains eingeben musst: Du meldest dich in einem Popup direkt beim Anbieter an und erlaubst den Zugriff. Die Anmeldung wird automatisch erneuert, solange das Konto besteht. Zum Widerrufen löschst du das Konto unter Einstellungen → Integrationen.

OAuth bei eigenen MCP-Servern

Auch ein selbst betriebener MCP-Server kann OAuth verwenden, ein Template braucht es dafür nicht. Jeder Nutzer meldet sich dann mit seinem eigenen Konto an und sieht genau das, was er auch im Ausgangssystem sehen darf. So gehst du vor:

1. Richte den Server wie oben beschrieben manuell ein. Bei der Prüfung der Adresse liest 9brains die Anmeldeeinstellungen selbst beim Server aus
2. Im Schritt „Anmeldung“ registrierst du die App automatisch, wenn der Server das unterstützt. Sonst trägst du Client-ID und Client-Secret ein, die du beim Betreiber des Servers registriert hast
3. Im Schritt „Konto verbinden“ meldest du dich beim Anbieter an. Danach macht das jeder Nutzer einmal für sich in seiner Zeile unter Einstellungen → Integrationen, auch wer das Tool nur geteilt bekommen hat

Ein eigenes Konto beim Anbieter brauchst du als Einrichtender nicht: Mit „Später verbinden“ schließt du die Einrichtung ohne Anmeldung ab, die Integration ist dann eingeschaltet. Die Fähigkeiten erkennt 9brains, sobald sich die erste Person anmeldet; bis dahin bietet die KI keine Fähigkeiten dieses Servers an.

Musst du die App wechseln, etwa weil das Client-Secret erneuert wurde oder die falsche App eingetragen ist, findest du im Tab „Zugriff“ unter „Anmelde-App” die Schaltflächen „Neu registrieren” und „Andere App eintragen”. Bekommt die Integration dabei eine andere App, müssen sich alle anderen danach neu anmelden, ihre Konten sind bis dahin angehalten. Ein neues Client-Secret derselben App ändert an ihren Konten nichts.

Damit die Erkennung gelingt, muss der Server seine Anmeldeeinstellungen dort veröffentlichen, wo der Standard es vorsieht: unter /.well-known/oauth-protected-resource mitsamt dem Pfad des Servers, für einen Server unter https://beispiel.de/api/mcp also unter https://beispiel.de/.well-known/oauth-protected-resource/api/mcp. Findet 9brains dort nichts, bleibt nur die Anmeldung per API-Key.

API-Key bei MCP-Servern

Manuell eingerichtete MCP-Server, die keine OAuth-Anmeldung anbieten, verwenden Parameter im Tool-Editor:

1. Erstelle den API-Schlüssel im jeweiligen Dienst (bei einem Template erklärt der Tab „Anleitung“ wie)
2. Trage den Schlüssel im letzten Schritt der Einrichtung oder später im Tab „Zugriff“ über „Konto verbinden“ in deiner Zeile ein
3. Prüfe ihn mit „Testen“ am Konto

Auch diese Schlüssel werden als Konto gespeichert: verschlüsselt und nach dem Speichern nicht mehr einsehbar. Testen und Ersetzen geht im Tab „Zugriff“ des Tools oder unter Einstellungen → Integrationen.

Sicherheit & Datenschutz

Anmeldedaten

• Alle Anmeldedaten (API-Schlüssel, Anmeldungen beim Anbieter) werden verschlüsselt gespeichert
• Anmeldedaten werden in der Oberfläche niemals im Klartext angezeigt
• Anmeldungen beim Anbieter werden automatisch erneuert, solange das Konto besteht

Skills und Code-Ausführung

• Skill-Code läuft in einer vollständig isolierten Sandbox-Umgebung
• Die Sandbox hat keinen Zugriff auf andere Nutzerdaten oder interne Systeme
• Jede Chat-Sitzung hat einen eigenen, abgeschotteten Arbeitsbereich
• Nach Beendigung der Sitzung wird die Sandbox-Umgebung zerstört

Connected Skills (Skills mit externem Zugriff)

• Wenn ein Skill auf externe Dienste zugreift (z.B. euer CRM), werden die Anmeldedaten aus deinem Konto erst beim Netzwerkaufruf automatisch eingefügt
• Der Code in der Sandbox sieht die Anmeldedaten nie direkt, und sie werden ausschließlich an den Dienst gesendet, für den sie hinterlegt wurden
• Auch die KI selbst kennt deine Anmeldedaten nicht: Die Eingabe läuft an ihr vorbei direkt in den verschlüsselten Speicher