Auth & Scopes

Sicherheitsmodell

Scope-gesteuert. Auditiert. Sicher.

Jeder Zugriff — ob via REST API oder MCP — läuft durch dieselbe Scope-Prüfung. Kein Scope, kein Zugriff. Jede Aktion landet im Audit-Log.

API-KeyBearer TokenScope-gesteuertAudit-Log403 on mismatch

Authentifizierung

REST APIZugriff über Bearer-basierte Authentifizierung. Der API-Key wird als Authorization: Bearer <key> Header mitgeschickt. Jede Route ist einem Modul zugeordnet und prüft den passenden Scope.

MCPDer API-Key wird über den jeweiligen Transport oder MCP-Client übergeben. Jedes Tool hat feste Modul-Scopes und wird nur ausgeführt, wenn der Key den passenden Scope trägt.

Scopes

Scopes folgen dem Format modul:aktion. Ein Key trägt nur die Scopes, die er explizit benötigt — kein Default-Zugriff auf alles. Die review-Aktion existiert nur für Module, in denen Buchungsvorschläge erzeugt werden können, die vor der Verbuchung freigegeben werden müssen.

ModulReadWriteReview

journaljournal:readjournal:writejournal:review

bankbank:readbank:writebank:review

debitorendebitoren:readdebitoren:writedebitoren:review

kreditorenkreditoren:readkreditoren:writekreditoren:review

anlagenanlagen:readanlagen:writeanlagen:review

periodenperioden:readperioden:write—

auswertungenauswertungen:readauswertungen:write—

configconfig:readconfig:write—

adminGlobaler Scope — umfasst alle Modul-/Aktionskombinationen.

Kontenplan

GET /v1/accounts und verwandte Lesezugriffe auf den Kontenplan sind ohne Scope zugänglich — jeder authentifizierte Key kann den Kontenrahmen lesen.

Empfehlungen für den Betrieb

Ein Key pro IntegrationVerwende pro Integration einen eigenen Schlüssel mit minimal notwendigen Scopes. So lässt sich jede Integration gezielt sperren, ohne andere zu beeinflussen.

Schlüssel regelmäßig rotierenRotiere Keys in regelmäßigen Abständen. Kompromittierte oder nicht mehr benötigte Keys sofort deaktivieren.

Keine Scope-InflationWenn eine Integration mehr Rechte benötigt, neuen Key ausstellen — nicht bestehende Scopes aufblähen. Minimalprinzip konsequent einhalten.

Audit-Log auswertenJede Aktion wird mit Key-ID, Zeitstempel und Scope dokumentiert. Unerwartete Zugriffsmuster im Log erkennen und reagieren.

Weiterführend

Schnellstart Erste Integration in wenigen Schritten — API-Key, Request, fertig.

REST Endpoints Welche Route welchen Scope benötigt — vollständige Referenz.

MCP Tool-Katalog Scope-Anforderungen pro MCP-Tool auf einen Blick.