# Rechte und Einwilligung

Jedes Werkzeug braucht die Rechte der API-Operationen, die es aufruft, genau diese und keine weiteren. Diese Seite listet sie, zeigt, wie die Einwilligungsseite sie zu Bereichen bündelt, und erklärt, was hilft, wenn eines fehlt.

> **Typ:** nachschlagen
> **Für wen:** Alle, die einen Assistenten anbinden oder den Schlüssel dafür ausstellen
> **Voraussetzung:** keine

## Worum der Client bittet

Der Server nennt die Rechte seiner Werkzeuge an zwei Stellen: unter `scopes_supported` in der Ressourcen-Beschreibung (`GET https://mcp.<domain>/.well-known/oauth-protected-resource`, RFC 9728) und als `scope` in der Kopfzeile `WWW-Authenticate` seiner Antwort `401`. Ein Client reicht sie unverändert in seine Anmeldung weiter. Ohne `scope` weist der Autorisierungsserver die Anfrage ab.

Alle 22 Rechte sind delegierbar und können auch von einem API-Schlüssel getragen werden. Jedes Werkzeug ist deshalb auf beiden Wegen erreichbar.

## Die Bereiche der Einwilligungsseite

Auf der Seite **Zugriff erlauben?** erscheinen die Rechte zu Bereichen gebündelt, jeder mit einem Satz und einem Schalter. Alle erbetenen Bereiche sind zu Beginn eingeschaltet, und die Person darf einzelne abschalten. Das Zugriffstoken trägt danach nur die erteilten Rechte.

| Bereich | Rechte | Werkzeuge, die sie brauchen |
|---|---|---|
| **Szenen** | `scene.list`, `scene.read`, `scene.create`, `scene.update`, `scene.publish` | Jedes Werkzeug rund um Szenen, von `list_scenes` bis `publish_scene` |
| **Playlisten und Zeitpläne** | `playlist.list`, `playlist.read`, `playlist.create`, `playlist.update`, `schedule.list`, `schedule.update` | Die Werkzeuge für Playlisten, `list_schedules`, das Zuweisen von Programmen und das Übersteuern |
| **Medien** | `asset.list` | `list_assets` |
| **Displays und Standorte** | `fleet.player.list`, `fleet.player.read`, `fleet.player.update`, `fleet.player.command.issue`, `location.list`, `location.read`, `location.create`, `location.update` | Die Werkzeuge für Displays, Videowände und Standorte, Fernbefehle und Aufnahmen |
| **Web-Displays verwalten** | `fleet.web-display.manage` | `create_web_display`, `issue_web_display_link`, `delete_web_display` |
| **Berichte** | `analytics.query.run` | `get_hygiene` |

Vier Werkzeuge brauchen kein Recht, nur einen gültigen Ausweis: `whoami`, `list_widgets`, `get_widget_schema` und `list_graphics`. Der Widget-Katalog und die Bibliothek der Motive sind für jede Organisation dieselben. Welches Werkzeug genau welches Recht braucht, steht unter [Alle Werkzeuge](/de/mcp/tools).

## Mit einem API-Schlüssel

Ein Schlüssel der Klasse **Vollzugriff** trägt jedes Recht, das Sie selbst halten und das ein Schlüssel tragen kann, und damit jedes Werkzeug. Für weniger legen Sie einen Schlüssel der Klasse **Individuell** mit den Rechten der Bereiche an, die Sie erlauben wollen, siehe [Einen API-Schlüssel erzeugen](/de/getting-started/create-api-key). Für einen Assistenten, der nur lesen soll, genügt die Klasse **Nur Lesen** für jedes lesende Werkzeug außer `get_hygiene`, das `analytics.query.run` braucht.

## Wenn ein Recht fehlt

Ein Werkzeug ohne sein Recht antwortet `permission_denied` und nennt den Bereich, den die Einwilligung enthalten müsste, mit den Worten der englischen Einwilligungsseite:

```json
{
  "error": "permission_denied",
  "hint": "The credential lacks the permission for this action. This tool works in the area \"Displays & locations\". The consent of this connection must include it.",
  "correlationId": "0198f2c1-…"
}
```

Eine Einwilligung lässt sich nachträglich nicht erweitern. Widerrufen Sie die Verbindung unter **Einstellungen › Mein Konto › Sicherheit** und erlauben Sie sie mit eingeschaltetem Bereich neu.

`whoami` sagt das, bevor jemand ein Werkzeug ausprobiert. Es vergleicht die Rechte Ihres Ausweises mit denen, die die Werkzeuge brauchen, und nennt die fehlenden:

```json
{
  "account": { "…": "…" },
  "permissionCount": 14,
  "missingPermissions": ["location.create"],
  "hint": "These tools need a new consent: disconnect the connection in the client and connect again, new permissions only appear then. If a permission is still missing afterwards, the account itself does not carry it."
}
```

Fehlt ein Recht auch nach dem neuen Erlauben noch, enthält Ihre Rolle es nicht. Ein delegierter Zugang bekommt nie mehr als das Konto dahinter, und helfen kann nur, wer Rollen vergibt. Mit einem API-Schlüssel stellen Sie einen neuen mit dem Recht aus.

## Neue Werkzeuge, neue Einwilligung

Kommt ein Werkzeug hinzu, das ein Recht braucht, das bisher kein Werkzeug brauchte, wächst die Liste, und ein bestehendes Zugriffstoken wächst nicht mit. Es behält die Rechte seiner Einwilligung. Die Werkzeuge hinter dem neuen Recht antworten `permission_denied`, bis Sie sich neu verbinden, und `whoami` nennt die Lücke vorher.

## Weiterführendes

- [Einen KI-Assistenten verbinden](/de/mcp/connect-assistant)
- [Alle Werkzeuge](/de/mcp/tools)
- [Delegierter Zugang mit OAuth 2.1](/de/api/oauth-delegated-access)