McpConnect-Modul · Benutzeranleitung

Ein Agent, der in FreeScout mitarbeitet

McpConnect bringt einen Agenten in Dein FreeScout. Er ordnet neue Anfragen ein, schreibt Notizen und Entwürfe, beantwortet Fragen selbständig, wenn er sie aus Deinen Quellen belegen kann, antwortet im Live-Chat und erledigt Aufträge Deines Teams im Menü «KI». Was eingreift oder unsicher ist, legt er einem Menschen zur Freigabe vor.

Daneben macht das Modul Dein FreeScout zum MCP-Server: KI-Clients wie Claude Code oder claude.ai arbeiten als der Benutzer, der die Verbindung erlaubt hat, mit dessen Postfach-Rechten und nur mit den Rechten, denen er zugestimmt hat. Dafür braucht es keinen API-Schlüssel. Eine Verbindung gehört genau einer Person, lässt sich auf einzelne Postfächer beschränken, läuft nach einer Stunde ab und ist mit einem Klick widerrufen.

Das Modul geht davon aus, dass eine KI manipuliert werden kann – etwa durch eine E-Mail, die Anweisungen versteckt. Es macht deshalb nicht nur den Zugang sicher, sondern begrenzt auch, was eine manipulierte KI anrichten könnte.

Einrichten in vier Schritten

• Selbstprüfung. Unter «Verwalten → KI-Verbindungen → Selbstprüfung» auf «Jetzt prüfen» klicken. Was rot ist, muss behoben werden – die Seite sagt, wie. Grau heisst: liess sich von innen nicht prüfen.
• Client freigeben. Für Claude Code legst Du unter «Clients» einen Client an. Für claude.ai trägst Du unter «Einstellungen» bei den Client-ID-Metadaten-Dokumenten claude.ai ein.
• Rechte prüfen. Unter «Rechte» siehst Du, was eine KI höchstens darf. Ab Werk: lesen, Notizen, Entwürfe und Status direkt; Spam, Papierkorb, Verschieben und Kundendaten nur nach Freigabe.
• Verbinden. Jeder Benutzer verbindet seinen KI-Client selbst und entscheidet im Zustimmungsdialog, was er erlaubt.

Die Adresse des MCP-Servers steht oben auf der Seite «Clients». Sie lautet immer https://<Deine-FreeScout-Adresse>/mcp.

Claude Code verbinden

Lege unter «Clients» einen öffentlichen Client an und trage als Redirect-URI eine Loopback-Adresse ein, zum Beispiel http://localhost:33418/callback. Bei Loopback-Adressen nimmt das Modul jeden Port an. Die Client-ID wird nach dem Anlegen angezeigt.

Dann im Terminal:

`claude mcp add --transport http --client-id <Client-ID> --callback-port 33418 freescout https://<Deine-FreeScout-Adresse>/mcp`

Claude Code öffnet den Browser, Du meldest Dich in FreeScout an und bestätigst den Zustimmungsdialog. Danach steht die Verbindung.

Nach «Zugriff erlauben» passiert nichts. Das betraf Safari bis McpConnect 0.4.1: Der Browser blieb ohne Meldung auf dem Dialog stehen, ein zweiter Klick endete mit «Diese Anfrage ist abgelaufen». Ab 0.4.2 ist es behoben. Läuft bei Dir noch eine ältere Fassung, aktualisiere das Modul im LaStore, oder kopiere die Anmelde-Adresse aus dem Terminal in Firefox.

«Dieser KI-Client ist nicht registriert». Steht in der Adresszeile des Browsers bei client_id= nicht die ID aus FreeScout, hat Claude Code eine frühere, falsche Angabe gespeichert. Diese behält es pro Servername, auch nach claude mcp remove. Trage den Server dann unter einem neuen Namen ein, zum Beispiel freescout-2.

Unsere Empfehlung: Verwende McpConnect in Claude Code in einem eigenen Projekt ohne Code und sperre dort die Werkzeuge «Bash», «Write» und «WebFetch». Ein Agent, der fremde E-Mails liest und gleichzeitig Befehle auf Deinem Rechner ausführen darf, ist das grösste Risiko – ganz gleich, wie gut der Server geschützt ist.

claude.ai verbinden

Für claude.ai muss Deine FreeScout-Installation öffentlich über HTTPS erreichbar sein.

Schritt für Schritt mit Bildern: Die Anleitung «Claude mit FreeScout verbinden» erklärt beide Wege – Claude Desktop und claude.ai sowie Claude als Agent in FreeScout – auch für alle ohne technische Vorkenntnisse.

Am bequemsten ist die veröffentlichte Identität von Claude: Trage unter «Einstellungen» bei den Client-ID-Metadaten-Dokumenten claude.ai ein. Dann legst Du in claude.ai unter «Anpassungen → Konnektoren» einen benutzerdefinierten Connector mit der Adresse Deines MCP-Servers an und lässt «Claudes veröffentlichte Identität verwenden» ausgewählt. Das Modul ruft die Angaben zu Claude direkt bei claude.ai ab und zeigt im Zustimmungsdialog, dass die Herkunft bestätigt ist.

Alternativ legst Du einen Client von Hand an, mit https://claude.ai/api/mcp/auth_callback als Redirect-URI, und wählst in claude.ai «Eigenen OAuth-Client verwenden».

Der Zustimmungsdialog

Der Dialog ist der einzige Schritt, in dem ein Mensch entscheidet. Er zeigt:

• welcher Client zugreifen will, wohin er zurückkehrt und – bei claude.ai – wer seine Herkunft bestätigt
• die Berechtigungen zum Ankreuzen; lesende sind vorausgewählt, schreibende nie
• die Postfächer: alle, die Du siehst, oder nur bestimmte
• optional eine IP-Erlaubnisliste: dann gilt die Verbindung nur von diesen Adressen aus

Nach dem Erlauben bekommst Du eine E-Mail über die neue Verbindung. Warst Du es nicht, widerrufst Du sie sofort im Profil.

Ein selbst registrierter Client – das geht nur, wenn der Admin es einschaltet – trägt im Dialog den Hinweis «nicht geprüft».

Was eine KI darf

Aktion	Berechtigung	Ab Werk
Postfächer auflisten	mailboxes:read	direkt
Tickets suchen und lesen	tickets:read	direkt
Interne Notiz	notes:write	direkt
Antwortentwurf	drafts:write	direkt, nie gesendet
Status und Zuweisung	tickets:update	direkt
Als Spam markieren	tickets:spam	Freigabe
In den Papierkorb	tickets:delete	Freigabe
In anderes Postfach verschieben	tickets:move	Freigabe
Kundendaten ändern	customers:write	Freigabe

Was es nicht gibt: Antworten senden, endgültig löschen, Sammelaktionen über mehrere Tickets, Kunden sperren und die E-Mail-Adresse eines Kunden ändern. Die letzte fehlt mit Absicht – FreeScout verschiebt dabei Adressen zwischen Kunden samt ihren Konversationen.

Alles läuft zusätzlich durch die Rechte von FreeScout: Wer ein Postfach nicht sieht, kann es auch über eine KI nicht sehen; wer nicht löschen darf, kann auch keinen Papierkorb freigeben.

Rechte und Freigaben

Unter «Rechte» legst Du je Aktion und Rolle fest, wie weit sie höchstens geht:

• aus – das Werkzeug erscheint gar nicht, und die Berechtigung steht nicht im Dialog
• Freigabe – die Aktion wartet, bis ein Mensch sie freigibt
• direkt – sie wird sofort ausgeführt und protokolliert

Für jede Aktion kannst Du das Vier-Augen-Prinzip einschalten: Dann darf nicht der Inhaber der Verbindung freigeben, sondern nur eine andere Person, die dieselbe Aktion selbst ausführen dürfte. Ausnahmen pro Benutzer oder Postfach können eine Regel nur verschärfen, nie lockern.

Unter «Einstellungen» bestimmst Du ausserdem, welche Rollen überhaupt KI-Verbindungen haben dürfen. Nimmst Du eine Rolle heraus, hören ihre bestehenden Verbindungen sofort auf zu funktionieren.

Eine wartende Aktion erscheint direkt in der Konversation mit «Freigeben» und «Ablehnen», und unter «KI-Freigaben» im Hauptmenü – dieser Menüpunkt zeigt sich nur, wenn etwas wartet. Ausgeführt wird im Namen des Inhabers, nachdem alles noch einmal geprüft ist. Hat sich die Konversation seit dem Antrag verändert, verfällt die Aktion, statt auf einer Lage zu laufen, die niemand freigegeben hat. Offene Aktionen verfallen nach 24 Stunden.

Zwei Dinge heben eine Aktion automatisch auf «Freigabe», auch wenn sie «direkt» erlaubt ist: verdächtiger Inhalt in der Konversation, und mehr als 20 eingreifende Aktionen pro Stunde und Verbindung.

Schutz vor manipulierten E-Mails

Eine E-Mail kann Anweisungen an eine KI enthalten, die ein Mensch beim Lesen nicht sieht: weisser Text, Schriftgrösse null, versteckte Elemente, unsichtbare Unicode-Zeichen. McpConnect begegnet dem in mehreren Schichten:

• Bereinigen. Die KI bekommt nur den sichtbaren Text einer E-Mail. Versteckte Elemente, Kommentare, Bilder und unsichtbare Zeichen fallen weg, lange Nachrichten werden gekürzt.
• Kennzeichnen. Alles, was von Kunden stammt – auch Betreff, Name und Dateinamen –, steht in einem Block mit einer Grenze, die eine E-Mail nicht kennen und deshalb nicht fälschen kann. Verdächtige Muster wie «ignoriere alle Anweisungen» oder Shell-Befehle werden als Warnung vorangestellt und protokolliert.
• Anhänge zurückhalten. Die KI sieht nur Name, Grösse, den echten Dateityp und Warnungen wie «ausführbar» oder «doppelte Endung» – nie den Inhalt und nie eine Download-Adresse.
• Folgen begrenzen. Eingriffe brauchen eine Freigabe, Entwürfe werden nie gesendet, und Schreibaktionen sind pro Stunde begrenzt.

Kein Filter erkennt Manipulation zuverlässig. Diese Schichten machen sie aber sichtbar und begrenzen, was sie anrichten kann.

Personendaten pseudonymisieren

Ab McpConnect 0.5.0 verlassen Namen, Adressen, Telefonnummern, E-Mail-Adressen, Kontonummern und ähnliche Daten Deinen Server nur als Platzhalter wie Vorname.482913. Das gilt für jeden KI-Anbieter, weil die Ersetzung in McpConnect selbst passiert, bevor etwas den Server verlässt.

• Was ersetzt wird: zuerst alles, was FreeScout über den Kunden schon weiss – Name, Firma, E-Mail-Adressen, Telefonnummern, Adresse, Ort. Danach erkennt das Modul Muster wie IBAN, AHV-Nummer, Kreditkarte, Telefon, Datum, Strasse, PLZ und Ort, Firmen mit Rechtsform, Kontrollschilder und Vornamen aus einem Verzeichnis.
• Zurückschreiben: Schreibt die KI eine Notiz oder einen Entwurf mit Platzhaltern, setzt McpConnect vor dem Speichern die echten Werte ein. In FreeScout siehst Du immer Klartext. Erfindet die KI einen Platzhalter, wird nichts gespeichert.
• Gleicher Wert, gleicher Platzhalter: Innerhalb einer Verbindung bekommt dieselbe Person immer denselben Platzhalter. So kann die KI Personen auseinanderhalten.
• Datenschutz: Unter «KI-Verbindungen → Datenschutz» wählst Du aus, an oder erzwungen. Bei «an» kann jede Verbindung die Pseudonymisierung im Zustimmungsdialog abwählen, bei «erzwungen» nicht. Ab Werk ist sie an. Kategorien lassen sich einzeln abwählen.
• Listen: Auf derselben Seite ergänzt Du, was FreeScout nicht kennt: weitere Vornamen, Nachnamen, Firmen, Strassen, Orte, Telefonnummern, E-Mail-Adressen und eigene Begriffe wie Projektnamen. Dazu kommt eine Liste «nie ersetzen» für die eigene Firma und eigene Produkte. FreeScout, der Name der Installation und die Postfachnamen werden ohnehin nie ersetzt.
• Hochladen: Eine CSV mit Spaltenköpfen wie Vorname, Nachname, Firma, Strasse, PLZ, Ort, Telefon und E-Mail verteilt McpConnect selbst auf die Listen, etwa ein Export aus dem Adressbuch oder aus Excel. Ohne Spaltenköpfe oder bei einer JSON-Liste wählst Du die Liste aus. Jede Liste lässt sich als CSV herunterladen und leeren.
• Wichtig: Es ist eine Pseudonymisierung, keine Anonymisierung. Namen Dritter, die weder in FreeScout noch im Verzeichnis stehen, können durchrutschen. Die Einstellung senkt das Risiko deutlich, ersetzt aber den Vertrag zur Auftragsverarbeitung mit dem KI-Anbieter nicht.

Entwürfe und Notizen der KI

Ein Entwurf der KI landet wie jeder andere im Ordner «Entwürfe» und öffnet sich normal im Editor. Er geht an den Kunden und die bisherigen CC-Empfänger der Konversation – die KI kann keine Empfänger hinzufügen, auch kein BCC. Weitere ergänzt ein Mensch beim Prüfen.

Über jedem Entwurf und jeder Notiz einer KI steht ein Hinweis, von welchem Client er stammt. Bei Entwürfen nennt er zusätzlich, worauf Du besonders achten sollst: einen Link auf eine fremde Domain oder eine Konversation mit verdächtigem Inhalt. Unter «Einstellungen» gibst Du Domains frei, auf die Entwürfe verlinken dürfen, ohne markiert zu werden.

Die KI schreibt reinen Text. HTML, das sie liefert, erscheint als Text – damit gelangen weder versteckte Links noch Tracking-Bilder unter Deinem Namen in eine Antwort.

Der KI-Agent

Ein KI-Agent bearbeitet jede neue Kundennachricht selbständig, ohne dass jemand einen Chat öffnet. Er ordnet ein, schreibt eine interne Notiz, bereitet Antworten vor, weist nach Deinen Hausregeln zu und schlägt Spam vor. Er arbeitet als eigener FreeScout-Benutzer, dem Dienstkonto, mit dessen Rechten und Postfächern.

• Einrichten: einen eigenen Benutzer anlegen, zum Beispiel «James (KI)», mit der Rolle Benutzer und nur den Postfächern, die der Agent bearbeiten soll. Unter «KI-Verbindungen → Agent» einen Dienst-Client für dieses Konto anlegen, dann unter «Läufer» den Dienst-Client wählen, den Anthropic-API-Schlüssel eintragen und einschalten.
• Probebetrieb: Ab Werk schreibt der Agent nichts, sondern zeigt unter «Letzte Durchläufe», was er getan hätte – mit dem vollen Text von Notiz und Entwurf und den Kosten. Erst wenn Dir das gefällt, schaltest Du den Probebetrieb aus.
• Anrede: ab Werk duzt der Agent das Team in Notizen und siezt Kunden, ausser sie schreiben selbst in der Du-Form. Einstellbar unter «Läufer».
• Hausregeln: Wer was übernimmt, wie Ihr Kunden ansprecht, was nie zugesagt wird. Daran richtet der Agent Zuweisungen und Entwürfe aus.
• Leitplanken: Der Agent schliesst nie ein Ticket und weist sich nie selbst zu. Bei verdächtigen Mails schreibt er nur eine Notiz und darf Spam vorschlagen. Spam, Papierkorb und Verschieben gehen immer über eine Freigabe, die die Administratoren per Mail erreicht.
• Per Notiz ansprechen: Beginnt eine interne Notiz mit dem Namen des Agenten («James, prüfe die Beträge noch einmal») oder enthält sie «@James», erledigt er den Auftrag und antwortet mit einer Notiz. Seinen eigenen Entwurf ersetzt er dabei nur, solange ihn niemand bearbeitet hat. Schreibst Du «@James versende das», sendet er seinen unveränderten Entwurf auf Deinen Wunsch, mit der üblichen Verzögerung. Kann er gerade nicht, sagt er es Dir in einer Notiz. Gibst Du ihm einen Fakt («Alle Module laufen ab PHP 8.0»), schlägt er dazu einen Wissenseintrag vor; Du gibst ihn unter «Wissen» frei.
• Grenzen und Notaus: Durchläufe pro Stunde, Kosten pro Tag, Durchläufe pro Ticket und Werkzeugaufrufe pro Durchlauf. «Agent stoppen» sperrt alle Dienst-Clients sofort.
• Dashboard: Ist das Dashboard-Modul installiert, gibt es die Kachel «KI-Agent» (nur für Admins): Gespräche heute, diese Woche und diesen Monat, Ø Kosten pro Antwort und pro Chat, Verbrauch heute gegen das Tagesbudget und im Monat.
• Kosten: Du zahlst Anthropic direkt über Deinen eigenen Schlüssel; ein Durchlauf kostet typischerweise einige Rappen. Ein eigener Workspace mit Ausgabenlimit bei Anthropic ist eine gute zweite Sicherung.

Antworten senden

Senden ist ab Werk aus und eng begrenzt. Unter «KI-Verbindungen → Selbst antworten → Vorlagen» legst Du Antwortarten an, zum Beispiel eine Eingangsbestätigung, mit Platzhaltern wie {anrede}. Ein KI-Client mit dem Recht replies:send darf nur diese senden und füllt nur die Platzhalter, ohne Links.

• Jede Antwort ist zuerst ein gekennzeichneter Entwurf in der Konversation und geht erst nach einer Verzögerung hinaus, ab Werk 15 Minuten. Oben in der Konversation steht ein Hinweis mit «Senden stoppen».
• Wer den Entwurf bearbeitet, übernimmt: dann geht nichts automatisch hinaus.
• Empfänger ist immer nur der Kunde – ohne CC, BCC und Anhänge.
• Nicht gesendet wird, wenn seit der letzten Kundennachricht schon jemand geantwortet hat, inzwischen eine neue Nachricht kam, das Ticket geschlossen ist, das Tageslimit erreicht ist oder der Notaus greift.

Fragen selbst beantworten

Der Agent kann Fragen auch in eigenen Worten beantworten, zum Beispiel zu Deinen Produkten – aber nur aus Quellen, die Du freigibst. Unter «KI-Verbindungen → Wissen»:

• Quellen: eine Adresse je Eintrag, nur https. Sie gibt sich selbst und alles darunter frei: https://shop.example.ch/shop/produkt/ nur die Produktseiten, https://shop.example.ch/ die ganze Website. Je Quelle stellst Du ein, wie Beträge zu lesen sind (viele Datenquellen führen sie in Rappen: 900 heisst CHF 9.00), ob Kunden einen Link darauf bekommen dürfen, und einen Hinweis für die KI, zum Beispiel «Preise exkl. MWST».
• Eigene Einträge: Fakten in Deinen Worten, etwa eine vollständige Liste oder einen Preis. Der Agent liest sie zuerst, und sie gehen anderen Quellen vor. Mit einer Seite darf eine Antwort darauf verlinken.
• Wissensdatenbank: auf Wunsch die öffentlichen Artikel der FreeScout-Wissensdatenbank.
• Quelle testen zeigt, was der Agent unter einer Adresse sieht und wie er Beträge und Links behandelt. Seiten, die ihren Inhalt erst mit JavaScript aufbauen, wirken leer – gib dann ihre Datenadresse (JSON) frei.

Der Agent gibt zu jeder Antwort an, wie sicher er ist, und was ihn unsicher macht. Selbst hinaus geht eine Antwort nur, wenn alles passt: die Sicherheit erreicht Deine Schwelle (ab Werk 90 %), jede genannte Quelle wurde wirklich gelesen, jeder Link führt auf eine freigegebene Seite für Menschen, jeder Preis steht so in einer Quelle und ist verlinkt, und es geht nicht um ein heikles Thema wie Kündigung, Rückerstattung, Rechnung, Vertrag oder Beschwerde. Dann gilt dasselbe wie bei Antwortarten: Verzögerung, «Senden stoppen», wer den Entwurf bearbeitet, übernimmt.

Alles andere wird ein Entwurf, und der Hinweis darüber sagt Dir, warum – zum Beispiel «KI ist unsicher: Die Quelle nennt 16 Sprachen, zählt aber nur 11 auf» oder «Preis nicht in den Quellen gefunden». Du sendest den Entwurf selbst und korrigierst die Ursache unter «Wissen», mit einem eigenen Eintrag oder einem Hinweis zur Quelle. Beim nächsten Mal antwortet der Agent richtig, ohne dass am Modul etwas geändert werden muss.

• Den Schalter, die Schwelle und heikle Themen findest Du unter «KI-Verbindungen → Selbst antworten → Eigene Worte»; die Verzögerung für alle Sendungen unter «Allgemein». Der Dienst-Client braucht dafür das Recht answers:send; der Schalter ist ab Werk aus.
• James lernt aus Deinen Klicks: Sendest Du seine Entwürfe unverändert, zeigt die Seite «Selbst antworten», ab welcher Sicherheit das fast immer so war, und schlägt eine tiefere Schwelle vor.
• Stimmt die Schwelle? Auf derselben Seite siehst Du für die letzten 30 Tage, wie oft sichere Antworten trotzdem gestoppt oder umgeschrieben wurden. Kommt das oft vor, erhöhe die Schwelle; wird fast alles ein Entwurf, obwohl es gepasst hätte, senke sie etwas.

Im Live-Chat antworten

Ist FreeScouts Modul «Live Chat» aktiv, beantwortet der Agent auch Chat-Fragen – mit denselben Prüfungen wie beim E-Mail. Besucher brauchen dafür keine E-Mail-Adresse.

• Ohne Wartezeit: ab Werk ohne Verzögerung, die Antwort erscheint innert einer Minute im Chatfenster.
• Eigene Werte für den Chat unter «Selbst antworten → Eigene Worte»: Schwelle, Verzögerung und Durchläufe pro Chat und Tag.
• KI-Hinweis: Die erste Antwort in jedem Chat beginnt mit einem Satz, der sagt, dass hier eine KI schreibt. Das verlangt der EU AI Act (Art. 50) für KI, die mit Menschen spricht. Den Text passt Du an; :name wird zum Namen des Agenten.
• Chat beenden: Stellt ein Besucher nach einem freundlichen Hinweis weiter private oder ungebührliche Fragen, beendet der Agent den Chat mit einer Schlussnachricht und antwortet ihm eine Weile nicht mehr (ab Werk 24 Stunden). Seine Nachrichten erreichen weiterhin Dein Team. Abschaltbar.
• Übergabe: Kann der Agent nicht antworten, schickt er eine Vorlage für die Übergabe, wenn Du eine anlegst, zum Beispiel «Gerne kümmert sich jemand aus unserem Team darum.».

FAQ-Artikel pflegen

Ist FreeScouts Modul «Knowledge Base» aktiv, korrigiert und ergänzt der Agent öffentliche FAQ-Artikel und legt neue an – etwa wenn Du ihm per Notiz schreibst «Ergänze im Artikel zum Backup, dass …». Der Dienst-Client braucht dafür das Recht kb:write.

• Ab Werk mit Freigabe: Du siehst Vorher und Nachher und gibst unter «KI-Freigaben» frei. Unter «Rechte» stellst Du kb_update_article und kb_create_article auf «direkt».
• Aus einer Kundenmail heraus immer mit Freigabe, auch wenn «direkt» eingestellt ist. Direkt geht es nur, wenn Du James per Notiz darum bittest.
• Jede Fassung bleibt erhalten. Unter «KI-Verbindungen → Wissen» siehst Du alle Änderungen mit Vorher und Nachher und setzt sie zurück, Schritt für Schritt. Ein neuer Artikel wird dabei auf Entwurf gesetzt, nicht gelöscht.
• Nur einfacher Inhalt: Absätze, Zwischentitel, Listen, Fett und Links auf freigegebene Adressen. Artikel mit Bildern, Tabellen, Videos oder Code fasst die KI nicht an, und Kundendaten kommen nie in einen Artikel.

Aufträge im Menü «KI»

Unter «KI» gibst Du Deinem Agenten Aufträge in einem Chat, ohne Ticket – etwa «Wie viele Tickets zu Bexio kamen diese Woche?» oder «Welche Kunden warten seit über 5 Tagen auf uns?». Nachfragen gehen im selben Verlauf, Ticketnummern in den Antworten sind verlinkt. Der Menüpunkt heisst immer «KI», egal wie Du Deinen Agenten nennst.

• Wer darf: unter «KI-Verbindungen → Agent» niemand, Administratoren (ab Werk) oder alle Benutzer. Jede Person sieht nur ihre eigenen Aufträge.
• Gleiche Rechte wie Du: Der Agent sieht nur, was er und Du beide sehen dürfen.
• Sammelaktionen mit Freigabe: Pro Nachricht führt er nur wenige Änderungen direkt aus (ab Werk 3). Alles darüber wartet unter «KI-Freigaben».
• Unabhängig vom Schalter für Kundennachrichten: Notaus, Probebetrieb und Tagesbudget gelten trotzdem.
• Wiederkehrend: Unter «Diesen Auftrag wiederholen …» lässt Du einen Auftrag täglich, werktags, wöchentlich oder monatlich zu einer Uhrzeit laufen, etwa als Wochenbericht. Das Ergebnis kommt in den Verlauf und auf Wunsch per E-Mail; Administratoren können es im Feed veröffentlichen. Bei geplanten Läufen wartet jede Änderung auf Deine Freigabe.
• Verschlüsselt und befristet: Aufträge liegen verschlüsselt in der Datenbank und werden 90 Tage nach der letzten Nachricht gelöscht (einstellbar, 0 = nie).

Werkzeuge anderer Module

Andere Module von let's automate geben Deinem Agenten eigene Werkzeuge. Jedes bringt eine eigene Berechtigung mit, die Du beim Dienst-Client (oder im Zustimmungsdialog eines KI-Clients) setzt.

• Backup (backup:read): Stand der Sicherungen, letzte Läufe, Fehler, Warnung bei überfälligen Sicherungen.
• Bexio (bexio:read): Kontakte nachschlagen, samt Firma und verknüpften Kontakten.
• Abonnemente (subscriptions:read): Abos einer Kundin oder eines Kunden, und was demnächst fällig ist.
• Verrechnung (invoicing:read, invoicing:write): nicht verrechnete Zeit und offene oder überfällige Rechnungen; auf Deine Bitte bucht der Agent Zeit für Dich auf ein Ticket.
• Aufgaben und Projekte (tasks:read, tasks:write, projects:write): Aufgaben und Projekte suchen und lesen, samt Kommentaren. Auf Deine Bitte legt der Agent Aufgaben an – auch aus einem Ticket heraus, mit Link darauf –, ändert Status, Zuständige, Priorität und Fälligkeit und schreibt Kommentare; ab Werk direkt. Projekte anlegen, ändern und kommentieren braucht ab Werk eine Freigabe. Auf eine Kundennachricht hin schreibt er nichts, und gelöscht wird nichts.
• Zeiterfassung (timesheets:read, timesheets:write, timesheets:approve): Zeiteinträge lesen – Deine eigenen, als Admin alle – und eine Woche kontrollieren: Stunden je Tag gegen die Präsenzzeit, Einträge ohne Beschreibung, Kunde oder Leistung, Tage über 10 Stunden, Wochenendarbeit, laufende Stoppuhren. Auf Deine Bitte erstellt und ändert der Agent Zeiteinträge (direkt) und löscht sie (ab Werk mit Freigabe). Es gelten dieselben Regeln wie im Formular: Verrechnete Einträge bleiben gesperrt, eine eingereichte oder genehmigte Woche ändern nur Admins. Wochenrapporte genehmigen oder mit Begründung ablehnen kann er nur, wenn ein Admin ihn darum bittet; entschieden hat dann dieser Admin.
• Kalender (calendar:read, calendar:write): Deine eigenen Termine, nur was Du selbst siehst; auf Deine Bitte trägt der Agent einen Termin in Deinen Kalender ein, ohne Einladungen zu verschicken.
• Terminbuchung (booking:read): freie Termine einer Buchungsart, auch in Antworten an Kunden.
• Feed (feed:read, feed:write): den Feed durchsuchen, so wie Du ihn siehst, samt Kommentaren und Umfrageergebnissen; Beiträge und Umfragen in Deinem Namen, auf Wunsch nur für bestimmte Gruppen. Ein Entwurf entsteht direkt, Du veröffentlichst ihn selbst. Soll der Agent gleich veröffentlichen, braucht das ab Werk eine Freigabe.
• Nur mit Admin dahinter: Werkzeuge für Admin-Daten (Backup, Abos) stehen nur bereit, wenn ein Administrator hinter der Anfrage steht, nie auf eine Kundennachricht hin. Daten aus anderen Modulen werden wie Tickets pseudonymisiert.

Verbindungen im Profil

Jeder Benutzer findet in seinem Profil den Bereich «KI-Verbindungen»: alle seine Verbindungen mit Berechtigungen, Postfächern und letzter Nutzung, die IP-Erlaubnisliste zum Bearbeiten, den Knopf zum Widerrufen und die letzten Aktivitäten.

Wird eine Verbindung von einer Adresse ausserhalb ihrer Erlaubnisliste benutzt, blockiert das Modul den Zugriff und schickt dem Inhaber eine E-Mail. Auf Wunsch des Admins wird die Verbindung dann sofort widerrufen.

Protokoll und Alarm

Unter «Protokoll» steht jedes Ereignis: Anmeldungen, Zustimmungen, ausgegebene und abgewiesene Tokens, jeder Werkzeugaufruf mit Ticket und Dauer, Freigaben, Fehler. Filtern lässt es sich nach Stufe, Ereignis, Benutzer, IP und Zeitraum, exportieren als CSV.

Was nie im Protokoll steht: Tokens, Codes, Passwörter, Ticket-Inhalte, Notiz- und Entwurfstexte und Empfängeradressen.

Bei kritischen Ereignissen – ein Token taucht nach seiner Verwendung wieder auf, ein Zugriff kommt von einer nicht erlaubten Adresse, ein Limit ist erreicht – erhalten alle Administratoren eine E-Mail, höchstens eine je Ereignisart und zehn Minuten. Die Aufbewahrung stellst Du unter «Einstellungen» ein; ab Werk 90 Tage, kritische Ereignisse 365.

Shared Hosting

McpConnect läuft auch auf Shared Hosting und braucht dort keinen eigenen Dienst. Die Selbstprüfung zeigt, ob die Umgebung passt:

Prüfung	Was sie feststellt
HTTPS	Ohne HTTPS sind Dialog und MCP-Endpunkt gesperrt.
Authorization-Kopf	Kommt er bei PHP an? Unter Apache mit CGI wird er oft verworfen.
.env und storage/	Sind sie aus dem Web erreichbar? Dann ist das Web-Stammverzeichnis falsch gesetzt.
Metadaten	Liefert /.well-known/ die Angaben des Moduls?
Client-IP	Sieht PHP die echte Adresse oder die eines Proxys?
Ausgehende Anfragen	Nötig für die Metadaten-Dokumente von claude.ai.
Cron	Ohne ihn greifen Aufbewahrung und Aufräumen nicht. Direkt nach der Installation ist er gelb, bis die stündliche Pflege einmal gelaufen ist.

Metadaten rot, obwohl alles stimmt

Liegt FreeScout ohne eigenen public/-Ordner als Web-Stammverzeichnis – auf Shared Hosting häufig –, leitet das mitgelieferte .htaccess im FreeScout-Ordner alles nach public/ weiter, nur /.well-known/ nicht. Damit erreichen die OAuth-Metadaten FreeScout nie, und kein Client findet den Anmeldeweg. Die Selbstprüfung erkennt das und zeigt die fehlende Zeile. Sie gehört in dieses .htaccess, vor die Zeile mit RewriteCond:

RewriteRule ^(\.well-known/oauth-(authorization-server|protected-resource)(/.*)?)$ public/$1 [L]

Weitergeleitet werden nur die zwei OAuth-Pfade; Zertifikatsprüfungen von Let's Encrypt unter /.well-known/ bleiben, wie sie sind. Ein FreeScout-Update kann die Datei überschreiben – dann wird die Prüfung wieder rot, und die Zeile muss erneut hinein.

Gut zu wissen

Die Verbindung läuft nach einer Stunde ab

Ein Zugriffstoken gilt eine Stunde; der Client holt sich mit dem Refresh-Token selbst ein neues. Taucht ein schon verbrauchtes Refresh-Token noch einmal auf, ist es abgeflossen – dann sperrt das Modul alle Tokens dieser Verbindung, und der Client muss sich neu verbinden.

Ein Passwortwechsel beendet alle Tokens

Ändert ein Benutzer sein Passwort, gilt kein vorher ausgestelltes Token mehr. Wird er deaktiviert, enden seine Verbindungen sofort.

Senden nur mit Verzögerung

Eine KI sendet nur Antwortarten, die Du freigegeben hast, oder sichere Antworten aus Deinen Quellen – und immer mit einer Verzögerung, in der jeder stoppen kann. Siehe «Der KI-Agent → Antworten senden» und «Fragen selbst beantworten».