Die Abrufschicht der KI
über Systemgrenzen hinweg
Was die KI bei einer Entscheidung gesehen hat, kommt über die Konnektorschicht. Microsoft Graph, SharePoint, der MCP-Server, der Zeitplan-Sidecar, eingehende E-Mail, ausgehende Webhooks, die OAuth-Integrationsverwaltung. Je Organisation getrennt, und jeder KI-Werkzeugaufruf wird mit Eingabe, Ergebnis und der Person dahinter protokolliert.
Die Abrufschicht hinter den Entscheidungen der KI
Das Drei-Zonen-Entscheidungsmodell von Onplana (siehe den ganzen Beitrag (auf Englisch)) übernimmt direkt in der Handlungszone und schlägt in der Vorschlagszone vor. Bei jeder Entscheidung arbeitet die KI mit Kontext, und der größte Teil davon liegt nicht in der eigenen Datenbank von Onplana. Über Konnektoren kommt dieser Kontext an.
Jeder KI-Werkzeugaufruf, aus dem Assistenten in der App oder von einem verbundenen Agenten, wird mit Werkzeug, Eingabe, Ergebnis, Person und Zeitpunkt protokolliert. Inhaber und Administratoren der Organisation lesen diese Einträge ab dem Tarif Enterprise auf der Seite Audit Logs unter Agent Activity. Der vollständige Prompt und der Kontext, den das Modell abgerufen hat, werden nicht aufbewahrt; der Eintrag zeigt also, was die KI getan hat, nicht alles, was sie gelesen hat.
Jeder Konnektor folgt derselben Haltung: OAuth, wo das Fremdsystem es verlangt (Microsoft Graph, SharePoint, Datei-Clouds von Drittanbietern), PAT für programmatische Clients (MCP, REST-API, Webhooks), beim Einrichten pro Organisation getrennt, sodass ein Token von Organisation A nicht in Organisation B lesen oder schreiben kann, und jeder KI-Werkzeugaufruf darüber protokolliert.
Sieben Konnektoren, heute verfügbar
Richtung, Anmeldung, Tarif und was jeder tut. Die Liste der Integrationen wächst mit der Nachfrage der Kunden; Anbieter mit großer Überschneidung kommen zuerst.
MCP-Server
Der Werkzeugkatalog von Onplana über das Model Context Protocol. Claude Desktop, Cursor, Goose, Continue und jeder andere MCP-fähige Client kann sich verbinden und 346 typisierte Werkzeuge nutzen (Projekte lesen, Aufgaben anlegen, Zeiten erfassen, Risiken abfragen, Governance-Prüfungen ausführen). Dieselben Freigaben und dasselbe Protokoll wie im Chat in der App.
Anmeldung: OAuth 2.1 mit Dynamic Client Registration (RFC 7591) oder Personal Access Token
Microsoft Graph (M365)
OAuth pro Person zu Microsoft Graph für E-Mail (Mail.ReadWrite), Kalender (Calendars.ReadWrite), Beiträge in Teams-Kanälen (ChannelMessage.Send), Dateien (Files.ReadWrite) und Personen (User.Read). KI-Funktionen nutzen es, um einen Verlauf zusammenzufassen, eine Besprechung mit Beteiligten zu planen, Statusmeldungen in Teams-Kanälen zu posten und SharePoint-Dokumente an Aufgaben anzuhängen.
Anmeldung: OAuth pro Person, Token-Erneuerung über lib/oauthTokens.ts, invalid_grant setzt revokedAt
SharePoint-Websites + Dokumentbibliotheken
SharePoint-Websites durchsuchen, auf die die Person Zugriff hat, und SharePoint-Dokumente an Aufgaben oder Projekte anhängen, ohne sie nach Onplana zu kopieren. Verknüpfter Modus (die Datei bleibt in SharePoint, Onplana verwaltet den Link). Die Integration zeigt außerdem Dokument-Metadaten im Projekt-Arbeitsbereich.
Anmeldung: Übernimmt den OAuth-Umfang der Person aus Microsoft Graph
Webhook für eingehende E-Mail (Projektpostfach)
Jedes Projekt erhält eine eingehende E-Mail-Adresse. Leiten Sie eine E-Mail dorthin weiter, und sie wird zu einer neuen Aufgabe, mit dem Betreff als Titel und dem Text als Beschreibung. Eine Antwort auf die E-Mail einer Aufgabe landet als Kommentar an dieser Aufgabe, und ein Statuswort in der ersten Zeile kann die Aufgabe weiterschieben. Anhänge werden nicht aufbewahrt. Anfragen von Beteiligten bleiben nicht in Postfächern liegen, bis jemand sie von Hand sortiert.
Anmeldung: Öffentlicher Webhook unter /api/inbound-email, über die eingehende Adresse dem Projekt zugeordnet
Zeitplan-Sidecar (Import von .mpp / .xml / .xer)
Laden Sie eine Microsoft-Project-Datei hoch (.mpp, .mpx, MSPDI-.xml, Primavera-.xer), und der auf MPXJ basierende Sidecar überführt sie in den Aufgabenbaum von Onplana: Aufgaben, Abhängigkeiten (FS/SS/FF/SF + Verzug), ExtendedAttributes als benutzerdefinierte Felder, Baseline + geplante Kosten (aus MSPDI). Danach läuft die KI-Risikoerkennung über den importierten Zeitplan.
Anmeldung: Upload in der App (multer, höchstens 50 MB) oder die kostenlose öffentliche Version unter /tools/schedule-health-check
Ausgehende Webhooks
Ereignisse zu Projekten, Aufgaben, Kommentaren, Mitgliedern und Migrationen (project.created, task.status_changed, comment.created, migration.completed und weitere). Mit HMAC-SHA256 signierte Nutzdaten, Wiederholung mit Wartezeit, Zustellverlauf pro Endpunkt. Binden Sie Onplana an Zapier, n8n, Ihre eigene ETL-Pipeline oder Ihr Runbook für Störungen an.
Anmeldung: Geheimnis pro Webhook, signierter Header der Nutzdaten (X-Webhook-Signature)
OAuth-Integrationsverwaltung
Die Admin-Oberfläche der Organisation zum Verbinden von Diensten Dritter (Google Drive, Microsoft 365 mit OneDrive und SharePoint, Box und Dropbox). Der Lebenszyklus der Token läuft über lib/oauthTokens.ts: erneuern, wenn veraltet, widerrufen beim Trennen, als tot markieren bei invalid_grant. Trennen ist weich (die Zeile bleibt, ihre Token werden geleert), kein hartes Löschen.
Anmeldung: Berechtigung auf Organisationsebene (org.integration.manage, standardmäßig ab ADMIN)
Microsoft Planner: Planner behalten, das Portfolio dazunehmen
Business+Die Teams arbeiten weiter in Planner. Verknüpfen Sie ihre Pläne in einem Schritt zu einem Onplana-Portfolio, und jeder Plan wird zu einem Projekt, das ein Microsoft-Graph-Abonnement aktuell hält: Eine Änderung in Planner lässt Onplana den Plan neu lesen und Fortschritt und Termine des Projekts neu berechnen.
- Ein Status für jeden Plan, aus den eigenen Terminen und dem Fertigstellungsgrad in Planner. Ein Plan ohne Termine gilt als nicht bewertet.
- Abhängigkeiten zwischen Aufgaben in verschiedenen Plänen, aus dem Portfolio ausgewählt und auf seiner Zeitachse gezeichnet.
- Verspätete Meilensteine, gefährdete Abhängigkeiten sowie offene Probleme und Risiken über alle Pläne, jede Zeile mit Link zum Eintrag.
- Unter Integrationen stehen die verknüpften Pläne mit der letzten Synchronisierung, mit „Jetzt synchronisieren“ und „Trennen“. Planner verwaltet die Aufgabenfelder; Onplana schreibt nicht zurück.
Anmeldung: die Microsoft-Verbindung der verknüpfenden Person mit den Berechtigungen Tasks und Groups; jede Änderungsbenachrichtigung wird gegen ein pro Abonnement gespeichertes Geheimnis geprüft.
Planner behalten. Das Portfolio dazunehmen.Anmeldung + Sicherheit
Drei Bausteine, die für jeden Konnektor gleich gelten.
Zugangsdaten in Key Vault
Die Client-Geheimnisse von Onplana für Dritte (Microsoft, Google, hCaptcha, Stripe usw.) liegen in Azure Key Vault und werden vom Betrieb separat rotiert. OAuth-Token pro Person liegen verschlüsselt in OauthConnection-Zeilen.
Token pro Organisation getrennt
Jedes PAT und jedes OAuth-Token gehört ab dem Einrichten zu genau einer Organisation. Konnektoraufrufe können die Grenzen einer Organisation nicht überschreiten, weil die organizationId an der Token-Zeile hängt und nie aus einem Request-Header gelesen wird.
Ein Eintrag für jeden KI-Werkzeugaufruf
Jeder KI-Werkzeugaufruf über einen Konnektor schreibt seinen Eintrag: Werkzeug, Eingabe, Ergebnis, Person und Zeitpunkt. Ausgehende Webhooks schreiben zusätzlich eine WebhookDelivery-Zeile mit vollständigem Request/Response-Body + Laufzeit. Eingehende E-Mail läuft über die normale Historie von Aufgaben und Kommentaren.
Was Konnektoren nicht tun
Die ehrliche Liste für diese Schicht.
In Ihrem Namen E-Mails senden
Outlook-E-Mail gibt es nur als Entwurf: Eine KI schreibt den Entwurf in Ihr eigenes Postfach, und Sie prüfen und senden ihn. Ein Beitrag in einem Teams-Kanal hat keinen Entwurf, darum postet das Werkzeug nicht ohne ausdrückliche Bestätigung, und der In-App-Agent kann gar nicht posten. Ausgehende Webhooks lösen bei den Ereignissen aus, die Sie abonniert haben.
Die Grenzen einer Organisation überschreiten
Ein PAT oder OAuth-Token, das in Organisation A eingerichtet wurde, erreicht die Daten von Organisation B nicht. Wer in mehreren Organisationen ist, verbindet jede einzeln. Das wird auf dem Server an der Token-Zeile durchgesetzt, nicht am Request-Header.
Die Tarifgrenzen umgehen
Der Zugang zu Konnektoren folgt dem Tarif der Organisation: Der MCP-Server, eingehende E-Mail sowie E-Mail, Kalender und Teams über Microsoft Graph gibt es in jedem Tarif, auch im kostenlosen, Dateilinks zu SharePoint und OneDrive ab dem Tarif Professional und ausgehende Webhooks ab dem Tarif Business. Die Grenze sitzt auf dem Server; ein MCP-Client kann sich anmelden, aber Werkzeugaufrufe über den Tarif hinaus erhalten 402 mit dem Weg zum Upgrade.
Selbstständig mehrstufige Arbeit über Systeme hinweg ausführen
Konnektoren stellen Schnittstellen bereit; der Chat in der App und externe Agenten bedienen sie Aufruf für Aufruf. Mehrstufige Abläufe von Agenten, die über viele Konnektoraufrufe planen und ausführen, gehören zur Schicht der Agenten.
Häufige Fragen
Wie werden die Zugangsdaten der Konnektoren gespeichert?
In zwei Schichten. Die eigenen Geheimnisse von Onplana (Anthropic-API-Schlüssel, Azure-OpenAI-Endpunkte, OAuth-Client-Geheimnisse von Drittanbietern, SMTP-Zugangsdaten, hCaptcha, Stripe usw.) liegen in Azure Key Vault und werden vom Betrieb separat rotiert. OAuth-Token pro Person (die Zugriffs- und Erneuerungstoken jeder Person für Microsoft Graph) liegen in OauthConnection-Zeilen mit dem Kennzeichen der Organisation, verschlüsselt gespeichert und automatisch erneuert, wenn sie veraltet sind. Trennen ist ein weicher Widerruf: Die Zeile bleibt, ihre Token werden geleert.
Kann ein Konnektor die Grenzen zwischen Mandanten überschreiten?
Nein. Jeder Konnektoraufruf ist an genau eine Organisation gebunden. Aufrufe aus der App laufen durch dieselbe withOrganization-Middleware wie die REST-API, sodass jede Abfrage die organizationId trägt. Ein PAT oder OAuth-Token gehört ab dem Einrichten zu einer Organisation, also nehmen die Aufrufe eines verbundenen Agenten ihre Organisation aus dem Token, nie aus einem Header der Anfrage. Wer in mehreren Organisationen ist, verbindet jede einzeln.
Was steht im Protokoll eines Konnektoraufrufs?
Jeder KI-Werkzeugaufruf über einen Konnektor wird mit Werkzeug, Eingabe, Ergebnis, Person und Zeitpunkt protokolliert und ist auf der Seite Audit Logs unter Agent Activity zu lesen. Ausgehende Webhooks schreiben zusätzlich in WebhookDelivery, mit vollständigem Request/Response-Body und Laufzeit. Eingehende E-Mail schreibt über die normale Historie von Aufgaben und Kommentaren. Eine prüfende Person liest das Protokoll ohne zusätzliche Anbindung.
Worin unterscheidet sich der MCP-Server von der REST-API?
Dieselben Funktionen, ein anderes Protokoll. Der MCP-Server spricht Streamable HTTP (den Transportstandard von MCP) und beantwortet den MCP-Aufruf tools/list mit einem typisierten Werkzeugkatalog, sodass MCP-fähige Agenten-Clients die Aktionen von Onplana automatisch finden. Die REST-API spricht HTTP+JSON und ist unter /api/openapi.json dokumentiert. Nutzen Sie MCP aus einer Sitzung in Claude Desktop oder Cursor und REST aus einem Backend-Skript. Beide rufen dieselben Handler auf, mit denselben Freigaben und demselben Protokoll.
Kann ich einen neuen Konnektor bekommen, den Onplana mitliefert?
Derzeit besteht das Angebot aus der Liste oben. Die Integrationsverwaltung + die OAuth-Erneuerung sind wiederverwendbar; der Engpass ist die OAuth-Einrichtung pro Anbieter + die Werkzeugdefinitionen. Das Onplana-Team nimmt Wünsche nach Integrationen unter hi@onplana.com entgegen; Anbieter mit großer Kundenüberschneidung (z. B. Atlassian, ServiceNow, Salesforce) kommen zuerst.
Warum steht der Zeitplan-Sidecar unter Konnektoren?
Weil er über das eigene Datenmodell von Onplana HINAUS greift, um ein fremdes Dateiformat einzulesen. Der MPXJ-Sidecar in Java (eine eigene Container-App) liest .mpp / .xml / .xer, gibt die gelesene Struktur per HTTP zurück, und die Import-Pipeline von Onplana schreibt sie in den Projektbaum. Er ist ein Konnektor zur Welt der Microsoft-Project-Dateien, so wie die SharePoint-Integration ein Konnektor zur Welt der Dokument-Clouds ist.
Weiter durch den KI-Bereich
Konnektoren sind eine von drei Schichten. Die anderen beiden behandeln die KI-Funktionen im Produkt und mehrstufige Arbeit von Agenten.
Sie sind hier: Konnektoren
Die Abrufschicht der KI über Systemgrenzen hinweg.
Zusammenarbeit
Menschen + KI-Agenten in einem Team: Arbeit an die KI vergeben, in Aufgabenkommentaren zusammenarbeiten, die Entwürfe freigeben.
WeiterlesenNative KI
Die Handlungszone: Die KI übernimmt direkt. Planentwurf, Aufgaben aus Text, Statusentwurf, Fragen ans Portfolio, Empfehlungen.
WeiterlesenAgenten
Das Modell der Vorschlagszone, vorschlagen und freigeben: Risikohinweise, Ressourcenverschiebungen, vorgeschlagene Zeitpläne.
WeiterlesenSehen Sie die Konnektoren in Ihrer Organisation
Registrieren Sie sich kostenlos, verbinden Sie Microsoft Graph oder laden Sie in zwei Minuten eine .mpp-Datei hoch, und sehen Sie zu, wie die KI-Funktionen Kontext aus Ihren Werkzeugen ziehen.