Integrations Article

Verbindung über den MCP-Server

Last updated: August 22, 2026 10 min read Intermediate

Der ISO Mate MCP-Server ermöglicht KI-Assistenten und Entwicklerwerkzeugen, Ihren Arbeitsbereich über einen einzigen Endpunkt zu verwalten, mit einem berechtigungsbegrenzten API-Token zur Authentifizierung. Sie verbinden Ihren Client mit dem Endpunkt /api/mcp Ihrer ISO Mate API und authentifizieren sich mit einem Token, das Sie unter Profile > API Tokens erstellen. Jede Anfrage durchläuft dieselben Berechtigungen und dieselbe Kontozuordnung wie die REST-API.

Schritt 1: Ein API-Token erstellen

Öffnen Sie das Profilmenü in der oberen Leiste und wählen Sie API Tokens.
Klicken Sie auf Create Token.
Geben Sie dem Token einen aussagekräftigen Token Name, zum Beispiel “Kiro Integration”.
Wählen Sie das Account, dem das Token zugeordnet ist, und legen Sie optional eine Expiry Date fest. Lassen Sie das Datum leer für ein Token ohne Ablauf.
Wählen Sie unter Permissions die Berechtigungen aus, die Ihr Werkzeug benötigt. Die Berechtigungen sind nach Modul gruppiert, und Sie können nach Namen suchen oder mit den Schnellauswahl-Schaltflächen eine Aktion wie Ansehen gruppenübergreifend auf einmal umschalten.
Klicken Sie auf Create Token und kopieren Sie das Token sofort. Es wird nur einmal angezeigt.

Sie können nur Berechtigungen erteilen, die Sie selbst besitzen. Wählen Sie eine Berechtigung aus, die Ihre eigenen Rollen Ihnen nicht geben, wird die Erstellung des Tokens abgelehnt und die fehlenden Berechtigungen werden aufgeführt.

Diese Tokens sind für MCP-Verbindungen mit KI-Werkzeugen wie Kiro, Claude Desktop und Cursor gedacht.

Schritt 2: Ihren MCP-Client konfigurieren

Fügen Sie den ISO Mate Server zur Konfiguration Ihres Clients hinzu. Das genaue Format hängt von Ihrem Werkzeug ab, aber Sie benötigen immer zwei Angaben:

Server-Endpunkt: der Pfad /api/mcp Ihrer ISO Mate API, der JSON-RPC 2.0-Anfragen per POST annimmt
API-Token: das in Schritt 1 erstellte Token, gesendet als Bearer-Token

Wie Authentifizierung und Zuordnung funktionieren

Der Server spricht JSON-RPC 2.0. Wenn Ihr Client tools/list aufruft, erhält er nur die Werkzeuge, die die Berechtigungen Ihres Tokens erlauben, und ein tools/call wird vor der Ausführung gegen dieselbe Berechtigung geprüft. Jedes Token ist an ein einziges Konto gebunden, sodass ein Werkzeug niemals auf Daten eines anderen Kontos zugreift.

Ein Token geht nie über den Zugriff der Person hinaus, die es erstellt hat, und es behält auch keinen Zugriff, den diese Person später verliert. Seine Berechtigungen werden gegen Ihre Rechte geprüft, wie sie zum Zeitpunkt jeder Anfrage gelten, nicht wie sie bei der Erstellung des Tokens galten. Wird Ihnen eine Ihrer Rollen entzogen, verlieren alle von Ihnen erstellten Tokens sofort, was diese Rolle beigetragen hat, ohne dass etwas widerrufen oder neu ausgestellt werden muss. Praktisch bedeutet das: Die Rollen einer Person anzupassen genügt, um anzupassen, was ihre Werkzeuge tun können.

Token- und Anfragelimits

Ein Konto kann nur eine begrenzte Anzahl aktiver Tokens gleichzeitig halten. Das Kontingent ist für ein Konto mit einem aktiven Abonnement großzügig und für ein Konto ohne Abonnement deutlich kleiner, da ein Konto ohne Abonnement weniger Anlass hat, viele Integrationen zu betreiben. Wenn Sie es erreichen, widerrufen Sie ein nicht mehr genutztes Token, um Platz für ein neues zu schaffen. Abgelaufene und widerrufene Tokens zählen nicht mit.

Anfragen sind auf zwei Ebenen gleichzeitig begrenzt. Jedes Token hat sein eigenes Kontingent pro Minute, und das Konto insgesamt hat ein größeres, aus dem alle seine Tokens gemeinsam schöpfen. Mehr Tokens zu erstellen erhöht daher nicht die Gesamtmenge, die Ihr Konto senden kann. Ein Werkzeug mit hoher Last kann jedes der beiden Limits erreichen, und die Antwort nennt die Wartezeit.

Normale Nutzung kommt diesen Limits nie nahe. Sie bestehen, damit eine außer Kontrolle geratene Integration nicht den übrigen Arbeitsbereich verdrängt. Benötigt eine legitime Last mehr Spielraum, wenden Sie sich an den Support.

Für Schreibzugriffe ist ein aktives Abonnement erforderlich

Ist die Testphase Ihres Kontos abgelaufen oder sein Abonnement beendet, können MCP-Werkzeuge weiterhin lesen, aber nicht mehr schreiben. Auflisten, Abrufen und Berichtsoperationen funktionieren weiter, sodass eine Integration, die Daten für ein Dashboard zieht, unberührt bleibt. Alles, was einen Datensatz erstellt oder ändert, wird mit dem Hinweis abgelehnt, dass ein Abonnement erforderlich ist.

Verbindungsaufbau und Erkennung bleiben bewusst unangetastet, sodass Ihr Client seinen Handshake abschließt und tools/list weiterhin antwortet. So kann ein Werkzeug den Grund nennen, aus dem es nicht handeln kann, statt ohne Erklärung zu scheitern.

Ein Abonnement stellt Schreibzugriffe sofort wieder her, ohne Neukonfiguration und ohne das Token neu ausstellen zu müssen. Ein Konto, dessen Zahlung gerade erneut versucht wird, behält durchgehend vollen Zugriff, sodass eine lediglich abgelaufene Karte eine Integration nie unterbricht.

Verfügbare Werkzeuganbieter

Nach der Verbindung steht Ihnen eine breite Palette von Werkzeuganbietern zur Verfügung. Die meisten nutzen ein Muster aus Ressource und Operation, zum Beispiel die Ressource “issues” mit der Operation “create”. Welche Werkzeuge Ihr Token sieht, hängt von den erteilten Berechtigungen ab.

DevOps: Vorgänge, Sprints, Releases, User Storys mit ihren Abnahmekriterien und Funktionen, einschließlich Kommentaren und Lebenszyklusaktionen wie Starten, Schließen, Veröffentlichen und Archivieren
Qualitätssicherung: Testfälle mit ihren Schritten, Testzyklen, die Ordner, die beide organisieren, Testausführungen mit Ergebnissen je Schritt und Fehlerverweisen sowie Testumgebungen
Aufgabenverwaltung: Aufgaben und wiederkehrende Aufgaben mit Prioritäten, Fälligkeitsdaten und Zuständigen
Vorfallverwaltung: Vorfälle über ihren Lebenszyklus, Statusübergänge, rollenbasierte Zuweisung, verknüpfte Aufgaben und Notizen sowie Prüfprotokolle
Compliance: Rahmenwerke, Anforderungen, Kontrollen, Richtlinien, Verfahren, Nachweise, Bestätigungen, Risiken und die Compliance-AI-Werkzeuge
Helpdesk: Tickets mit Antworten, Notizen, Beobachtern, Entitätsverknüpfungen und Tags sowie vorgefertigte Antworten
Notizen: Notizen, Notizordner und Notiz-Tags
Benutzerdefinierte Objekte: Objekttypen und ihre Einträge, mit Schemavalidierung
Diagramme: strukturierte Diagramme auf der Zeichenfläche erstellen
Workflow-Automatisierung: Workflows, Ausführungen, Kennzahlen, Vorlagen, Versionen, Import und Export sowie Konfigurationserkennung
Editor AI: Rich-Text für unterstützte Editor-Kontexte generieren und verfeinern
Kalender: Kalenderereignisse, einschließlich wiederkehrender Ereignisse
Vertrieb: Leads, Opportunities und Deals
Kontakte: Ihr Kontaktverzeichnis mit Suche nach E-Mail, Name oder Unternehmen
Berichte: diagrammfertige Verteilungs- und Trenddaten für Compliance, Vertrieb, Feedback und Kalender
Abrechnung: schreibgeschützter Zugriff auf Abonnementstatus, Tarif, Testphase und Rechnungen
Plattformanalyse: plattformweite Kennzahlen zur Funktionsnutzung, verfügbar für Superadministratoren

Die Benutzer- und Rollenverwaltung ist über MCP bewusst nicht verfügbar. Personen zu einem Konto hinzuzufügen, ihre Rollen zu ändern und Organisationen anzulegen sind ausschließlich Aktionen in der Konsole, sodass ein verbundenes Werkzeug niemals ändern kann, wer Zugriff auf Ihren Arbeitsbereich hat.

Einen nachverfolgbaren QS-Datensatz über MCP aufbauen

Ein verbundenes Werkzeug kann einen vollständigen, verknüpften Satz von QS-Datensätzen aufbauen, ohne dass jemand die Konsole öffnet. Die Abdeckung in der Nachverfolgbarkeitsmatrix entsteht aus den Verknüpfungen, deshalb ist die Reihenfolge wichtig:

Erstellen Sie eine Funktion und darunter die User Storys, mit einem Array von Abnahmekriterien, sodass jede Story ihre Kriterien als strukturierte Datensätze trägt und nicht als Fließtext in der Beschreibung.
Erstellen Sie die Testfälle mit einem Array von Schritten, sodass jeder Fall von Anfang an echte Handlungen und erwartete Ergebnisse hat. Schritte lassen sich auch nachträglich hinzufügen, bearbeiten, neu ordnen, duplizieren und löschen.
Verknüpfen Sie jeden Fall mit dem Abnahmekriterium, das er prüft. Die Verknüpfung auf Ebene des Kriteriums statt der Story macht die teilweise Abdeckung sichtbar, sodass eine Story mit drei Kriterien und einem Test als teilweise abgedeckt gilt und nicht als abgedeckt.
Erstellen Sie einen Testzyklus und fügen Sie die Fälle hinzu. Das Hinzufügen eines Falls erzeugt seine Testausführung, und Sie können im selben Aufruf eine Umgebung angeben, die für jede dabei erzeugte Ausführung gilt.
Führen Sie sie aus. Starten Sie eine Ausführung, erfassen Sie für jeden Schritt ein Ergebnis von Bestanden, Fehlgeschlagen oder Blockiert, und schließen Sie sie dann ab. Das Gesamtergebnis wird aus den Ergebnissen der Schritte abgeleitet, ein einziger fehlgeschlagener Schritt lässt die Ausführung also fehlschlagen. Verknüpfen Sie jeden erfassten Fehler mit der Ausführung, die ihn gefunden hat.
Rufen Sie anschließend den Fortschritt des Zyklus ab, damit Ihr Werkzeug bestätigt, was es aufgebaut hat, statt es anzunehmen.

Testfälle und Testzyklen lassen sich über MCP auch in Ordner ablegen. Lesen Sie den Ordnerbaum, um einen Ordner zu ermitteln, und geben Sie ihn beim Erstellen des Datensatzes an. Das Löschen eines Ordners, der noch Datensätze oder Unterordner enthält, wird abgelehnt, sofern Sie es nicht ausdrücklich verlangen. Verlangen Sie es, wandern die Datensätze auf die oberste Ebene, statt mit dem Ordner gelöscht zu werden.

Eines ist zu beachten: Beim Aktualisieren der Abnahmekriterien einer Story wird der gesamte Satz ersetzt, geben Sie also jedes Kriterium mit an, das Sie behalten möchten. Ein Kriterium, das im Array fehlt, wird gelöscht, samt der Testverknüpfungen, die es trug.

Vorgänge über den Projektschlüssel referenzieren

Mit den DevOps-Werkzeugen können Sie einen Vorgang über seinen Projektschlüssel statt über seine UUID referenzieren. Übergeben Sie zum Beispiel BUG-7 an die Get-Operation, um diesen Vorgang direkt abzurufen, oder nutzen Sie den Projektschlüsselfilter, um alle Vorgänge mit einem bestimmten Präfix aufzulisten.

Parameter werden geprüft und nie ignoriert

Wo ein Werkzeug einen Parameter dokumentiert, verwendet es ihn entweder oder es sagt Ihnen, dass es das nicht kann. Ein Name, den das Werkzeug nicht kennt, wird abgelehnt, und der Fehler nennt die zulässigen Namen. Ein Schreibfehler schlägt damit sofort fehl, statt einen Erfolg für einen Datensatz zu melden, der einen Teil Ihrer Angaben stillschweigend verworfen hat. Wenn ein Aufruf erfolgreich ist, wurde alles verwendet, was Sie gesendet haben.

Sicherheitshinweise

Jedes Token ist einem einzigen Konto zugeordnet, sodass Daten anderer Konten nie zugänglich sind.
Erteilen Sie nur die Berechtigungen, die Ihr Werkzeug benötigt, nach dem Prinzip der geringsten Rechte.
Ein Token kann nicht mehr Zugriff tragen, als die Person besitzt, die es erstellt hat, weder bei der Erstellung noch danach. Wird ihr eine Rolle entzogen, verringert das sofort jedes von ihr erstellte Token.
Die Abrechnung ist über MCP schreibgeschützt. Die Abrechnungsverwaltung wird bereits bei der Erstellung des Tokens abgelehnt, sodass sie auch von Personen mit dieser Berechtigung nicht angehängt werden kann.
Ein Konto kann nur eine begrenzte Anzahl aktiver Tokens halten, und alle teilen ein einziges kontoweites Anfragekontingent, sodass zusätzliche Tokens den Durchsatz nicht erhöhen können.
Schreibzugriffe erfordern ein aktives Abonnement oder eine aktive Testphase. Lesen und die Werkzeugerkennung funktionieren weiter, sodass ein abgelaufenes Konto weiterhin gelesen werden kann, während die Lage geklärt wird.
Widerrufen Sie ein Token sofort auf der Seite API Tokens, falls es kompromittiert wird. Ein Widerruf bleibt der richtige Schritt, wenn das Token selbst nach außen gelangt ist, denn eingeschränkte Berechtigungen begrenzen nur, worauf es zugreifen kann, sie machen das Token nicht ungültig.

Funktion

MCP-Server-Integration

Möchten Sie ISO Mate direkt aus Ihren KI-Werkzeugen steuern? Starten Sie Ihre kostenlose 14-tägige Testphase.