---
title: claude.ai- und ChatGPT-Konnektoren
description: Verbinden Sie KI-Web-Apps wie claude.ai und ChatGPT über OAuth 2.1 mit Ihrem Panel.
url: https://nexcmp.com/de/docs/configure-with-ai/oauth-connectors/
applies_to: NexCMP 1.6.1
updated: 2026-11-02
---

# claude.ai- und ChatGPT-Konnektoren {#claude-ai-and-chatgpt-connectors}

> **Im Admin-Bereich:** System › Settings › API & AI agents (`/agent/keys`), Reiter **Connected apps**. Der Einwilligungsbildschirm öffnet sich unter `/agent/consent`, wenn ein Konnektor Zugriff anfordert (nicht im Menü).

## Funktion {#what-it-does}

Web-AI-Apps können keinen Schlüssel von Ihrer Festplatte lesen. Sie verbinden sich über **OAuth**: Sie fügen die MCP-URL des Panels hinzu, die App leitet Sie zur Anmeldung an Ihren eigenen Administratorbereich weiter, Sie wählen aus, was die App tun darf und für wie lange, und die App erhält kurzlebige Token. Es wird kein Schlüssel kopiert oder eingefügt. Sie können die Verbindung zur App jederzeit trennen.

Verwenden Sie dies für benutzerdefinierte claude.ai-Konnektoren, ChatGPT-Entwicklermodus-Konnektoren und andere MCP-Clients, die OAuth mit dynamischer Client-Registrierung unterstützen. Befehlszeilentools können denselben Ablauf verwenden, aber ein [admin API key](https://nexcmp.com/de/docs/configure-with-ai/admin-api-keys/) ist für diese einfacher.

## Anforderungen {#requirements}

| Komponente | Anforderung |
|---|---|
| URL | `https://cloud.example.com/mcp/admin`, aus dem Internet erreichbar (die Server des Anbieters stellen eine Verbindung her). |
| Reverse proxy | Wenn Sie einen eigenen Proxy vor dem Panel einsetzen, muss dieser die Pfade `/mcp/admin`, `/oauth-admin/` und `/.well-known/` an das Panel weiterleiten. |
| You | Angemeldet im NexCMP-Admin-Bereich **im selben Browser**, den Sie für den Einwilligungsbildschirm verwenden. |
| Client | Unterstützt MCP über Streamable HTTP, OAuth 2.1 mit PKCE (S256) und dynamische Client-Registrierung. |

## Connect {#connect}

1. Fügen Sie in der AI-App einen benutzerdefinierten MCP-Konnektor hinzu und fügen Sie `https://cloud.example.com/mcp/admin` ein. In claude.ai finden Sie dies in den Konnektoreinstellungen (Custom-Konnektor hinzufügen); in ChatGPT unter dem Entwicklermodus (MCP-Konnektor hinzufügen, Authentifizierung OAuth).
2. Wählen Sie **Sign in** (oder „Connect“) in der App. Ihr Browser öffnet den NexCMP-Admin-Einwilligungsbildschirm. Wenn Sie nicht angemeldet sind, melden Sie sich zuerst an; der Bildschirm wird danach fortgesetzt.
3. Lesen Sie die Karte: „**Example AI app** möchte diesen NexCMP-Admin verwalten“ (der Name der anfragenden App) mit der Adresse, an die Sie zurückgeleitet werden.
4. Wählen Sie die zu gewährenden Berechtigungen aus. Die von der App angeforderten sind vorab ausgewählt; wurden keine angefordert, ist nur `admin:read` ausgewählt. Siehe [Scopes](https://nexcmp.com/de/docs/configure-with-ai/admin-api-keys/#scopes).
5. Wählen Sie, wie lange die Verbindung dauern soll: **7**, **30** oder **90** Tage (Standard: 30).
6. Klicken Sie auf **Allow**. Der Browser kehrt zur App zurück, die nun verbunden ist. Klicken Sie auf **Deny**, um abzulehnen.

![Einwilligungsbildschirm mit der Anfrage zur Genehmigung einer AI-App, mit Berechtigungs-Kontrollkästchen, einer Dauerauswahl sowie den Schaltflächen „Allow“ und „Deny“](https://nexcmp.com/de/docs/images/configure-with-ai/oauth-connectors-01-consent.webp)

::: important Wählen Sie Bereiche wie bei einem Schlüssel aus
Gewähren Sie den kleinstmöglichen Satz, der die Aufgabe erfüllt. Finanz-, Lösch- und Sicherheitsaktionen halten nach wie vor bei einer Vorschau an und erfordern Ihre Genehmigung, aber eine Verbindung mit `settings:write` kann dennoch Ihr Branding und Ihre E-Mail ändern.
:::

## Manage and revoke {#manage-and-revoke}

Öffnen Sie **System › Settings › API & AI agents › Connected apps**. Die Tabelle listet jede von Ihnen verbundene App auf: Anwendung, Berechtigungen, Zeitpunkt der Verbindung, Ablaufdatum und Zeitpunkt der letzten Verwendung.

Um eine App zu trennen, klicken Sie auf **Revoke** und bestätigen Sie dies. Ihre Token funktionieren sofort nicht mehr; die App muss den Einwilligungsbildschirm erneut durchlaufen, um sich zu verbinden.

![Reiter „Connected apps“ mit einer aufgelisteten AI-App, ihren Berechtigungen, dem Ablaufdatum und einer „Revoke“-Schaltfläche](https://nexcmp.com/de/docs/images/configure-with-ai/oauth-connectors-02-connected-apps.webp)

## So funktioniert der Ablauf {#how-the-flow-works}

| Schritt | Detail |
|---|---|
| Discovery | Die App liest `/.well-known/oauth-protected-resource/mcp/admin` und danach `/.well-known/oauth-authorization-server/oauth-admin`. Der Aussteller ist `https://cloud.example.com/oauth-admin`. |
| Registration | Die App registriert sich selbst (`POST /oauth-admin/register`, RFC 7591). Es werden nur öffentliche Clients unterstützt (kein Client-Geheimnis). Die Weiterleitungsadresse muss `https` sein oder `http` auf demselben Computer (Loopback). |
| Authorization | `GET /oauth-admin/authorize` mit PKCE-Methode `S256`. Ein gesendeter `resource`-Parameter muss die `/mcp/admin`-URL dieses Panels sein. Die Anfrage ist 10 Minuten gültig und an den Browser gebunden, der sie gestartet hat. |
| Zustimmung | Sie wählen Scopes und Dauer (oben). Der Autorisierungscode ist 60 Sekunden gültig und funktioniert einmal. |
| Tokens | `POST /oauth-admin/token` gibt ein **Access Token** (ein `ak_o...` Schlüssel, gültig 1 Stunde oder bis zum Ende der Verbindung, je nachdem, was zuerst eintritt) und ein **Refresh Token** (`akr_...`) zurück. Jede Aktualisierung liefert ein neues Refresh Token; das alte funktioniert nicht mehr. Die Verbindung endet nach der von Ihnen gewählten Anzahl an Tagen. |
| Widerruf | **Revoke** in Connected apps, oder die App ruft `POST /oauth-admin/revoke` auf (RFC 7009). |

Das Access Token verhält sich wie ein Admin-Schlüssel mit den von Ihnen gewährten Scopes: dieselben Scope-Regeln, Bestätigungen, Rate Limits und Aktivitätsprotokolle. Seine Aufrufe werden auf der Registerkarte **Activity** angezeigt.

## Verifizierung {#verify}

1. Fragen Sie in der App „run system_health“ (oder „what tools do you have?“). Die App listet die Tools auf, die Ihre Scopes erlauben ([die Tool-Liste](https://nexcmp.com/de/docs/configure-with-ai/mcp-admin/#tools)).
2. Öffnen Sie **Connected apps**: **Last used** ändert sich.
3. Öffnen Sie **Activity**: Die Aufrufe werden mit dem Namen der App und `mcp` aufgelistet.

## Limits & Hinweise {#limits-notes}

- Wenn die App nach einer Stunde erneut zur Anmeldung auffordert, ist das normal, wenn ein Client keine Aktualisierung durchführt; verbinden Sie sich erneut.
- Ein Refresh Token, das zweimal verwendet wird, wird als gestohlen behandelt: Die gesamte Verbindung wird widerrufen. Verbinden Sie sich über die App neu.
- Ein zweimal verwendeter Autorisierungscode wird abgelehnt (`invalid_grant`) und die bereits dafür ausgegebenen Tokens werden widerrufen.
- OAuth-Zugriff gewährt niemals mehr, als die Scope-Regeln erlauben: [Was ein Schlüssel niemals tun kann](https://nexcmp.com/de/docs/configure-with-ai/admin-api-keys/#what-a-key-can-never-do) gilt auch für verbundene Apps.
- Anbieter ändern ihre Menüs und das, was sie unterstützen. Wenn die App eines Anbieters in Ihrem Tarif keine benutzerdefinierten Konnektoren anbietet, verwenden Sie stattdessen einen [Admin-API-Schlüssel](https://nexcmp.com/de/docs/configure-with-ai/admin-api-keys/) mit einem Desktop- oder Befehlszeilen-Client.

## Fehlerbehebung {#troubleshooting}

| Symptom | Ursache | Behebung |
|---|---|---|
| Der Einwilligungsbildschirm zeigt „Wrong browser“ | Die Anfrage wurde in einem anderen Browser gestartet als dem, in dem Sie angemeldet sind | Starten Sie die Verbindung von der KI-App aus im selben Browser neu. |
| Der Einwilligungsbildschirm besagt, dass die Anfrage abgelaufen ist oder fehlt | Es sind mehr als 10 Minuten vergangen oder der Link wurde zweimal geöffnet | Starten Sie die Verbindung von der KI-App aus neu. |
| Seite „Unknown client“ oder „redirect address does not match“ | Die App-Registrierung ist veraltet oder verwendet eine Weiterleitungsadresse, die nicht registriert wurde | Entfernen Sie den Konnektor in der App und fügen Sie ihn erneut hinzu. |
| `invalid_target` | Das gesendete `resource` ist nicht die `/mcp/admin`-URL dieses Panels | Verwenden Sie die genaue URL, die auf der Registerkarte **Connect an AI** angezeigt wird. |
| `invalid_request` zu PKCE | Der Client sendet kein `code_challenge_method=S256` | Verwenden Sie einen Client, der OAuth 2.1 mit PKCE unterstützt. |
| Die App verbindet sich, aber ein Aufruf gibt `insufficient_scope` zurück | Sie haben diesen Scope nicht ausgewählt | Widerrufen Sie die Verbindung und verbinden Sie sich erneut mit ausgewähltem Scope. |
| Die App kann die URL nicht erreichen | DNS, TLS oder der Reverse Proxy blockiert `/mcp/admin`, `/oauth-admin/` oder `/.well-known/` | Überprüfen Sie die Proxy-Regeln. |