Berechtigungsleitfaden für interaktive Claude-Connector (2026)

Anthropics Ankündigung vom 10. November 2026 macht aus den kompakten Widgets interaktiver Claude-Connector 13 vollständige Web-Apps – darunter Adobe, Atlassian, Box und Notion. Die Funktion steht in allen Tarifen bereit. Wird ein Connector auf „Always allow“ gesetzt, dürfen berechtigte Leseaufrufe ohne Rückfrage ausgeführt werden. Im voreingestellten Auto-Modus entscheidet dagegen weiterhin der Klassifikator, ob riskantere Schreibaktionen sofort laufen oder eine Bestätigung benötigen – es sei denn, du legst Berechtigungen pro Tool oder Anbieterscope fest.

Im Claude Marketplace sind 1.108 Connector und 532 Plugins gelistet. Nur verifizierte Integrationen können vollständige eingebettete Oberflächen neben dem Chat darstellen. Die Berechtigungen greifen dabei auf Connector-, Sitzungs- und Administratorebene.

Inline-Karten, Side-by-Side-Panel oder Vollbild: Wo öffnet sich was?

Laut der Dokumentation zu interaktiven Claude-Connectoren stellt Claude externe Anwendungen in drei Ansichtsmodi dar: als Inline-Karte, Side-by-Side-Panel oder Vollbildansicht. Alle drei laufen in sandboxed <iframe>-Elementen und sind in allen 6 Abos verfügbar (Free, Pro, Max, Ultra, Team und Enterprise) – ohne zusätzliche Connector-Gebühr. Inline-Karten funktionieren unter iOS und Android. Side-by-Side-Panels und Vollbild-Editoren laden dagegen nur in Claude Web und Claude Desktop, sobald der Account für die einheitliche Chat-und-Cowork-Oberfläche freigeschaltet wurde.

Mit dem Full-Tool-Release vom 10. November 2026 lassen sich die Anwendungen von 13 Startpartnern vollständig einbetten: Adobe, Asana, Atlassian Confluence, Box, Canva, Carta, Dropbox, HubSpot, monday.com, Notion, Smartsheet, Vercel und Webflow. Drei weitere Partner (Figma, Harvey und Shopify) arbeiten noch an Integrationen für die Vollbildansicht. Bei Figma bleibt es daher vorerst bei Inline-FigJam-Diagrammen und Review-Karten aus dem MCP-Apps-Release vom Januar 2026.

Gemäß Anthropics Sicherheitsvorgaben für interaktive Connectoren läuft jede interaktive Ansicht in einem sandboxed <iframe>. Strikte Content Security Policies (CSP) verhindern den Zugriff auf das übergeordnete DOM, Cookies oder den lokalen Speicher von Claude. Die Kommunikation mit dem Host-Modell erfolgt über prüfbare JSON-RPC-Nachrichten. Connector-Server müssen externe Domains, mit denen sie kommunizieren, vorab deklarieren; Claude prüft das HTML-Payload vor der Darstellung. Interaktive Ansichten nutzen die ursprüngliche OAuth-Freigabe des Connectors und verlangen keine zweite Anmeldung. Finanztransaktionen und Käufe im Chat blockiert Anthropic in allen eingebetteten Ansichten.

IT-Administratoren können Claude auch auf Unternehmensdaten zugreifen lassen, ohne externe Web-Editoren in den Chat-Client einzubetten. Dafür können Team- und Enterprise-Owner die Tool-Aufrufe für die Oberfläche von den Backend-Aufrufen trennen. Unter Organization settings → Connectors deaktivierst du die konkreten Tool-Aufrufe, die interaktive Ansichten rendern. Claude fällt dann auf die normale textbasierte MCP-Ausführung zurück, während der Connector selbst aktiv bleibt.

Berechtigungen im Detail: Connector, Sitzung und Rollenrichtlinien

Claude wertet Berechtigungen für interaktive Connectoren auf drei Ebenen aus. Diese sind im Claude-Cowork-Leitfaden und in der Enterprise-RBAC-Dokumentation beschrieben: die Tool-Einstellung des Connectors (Always allow, Needs approval, Blocked oder im Enterprise-Tarif Custom), der Ausführungsmodus des Gesprächs (Manual, Auto oder Skip) und die Rollenrichtlinien der Organisation. Selbst wenn jemand in einer eingebetteten App klickt, muss jede Aktion von Claude auf der geöffneten Seite, Zeile oder Datei alle drei Schranken passieren.

Das Zusammenspiel aus Connector-Einstellung und Ausführungsmodus im Nachrichtenfeld ist entscheidend: Die einheitliche Claude-Oberfläche startet in Pro, Max, Ultra und Team standardmäßig im Modus Auto, während Enterprise standardmäßig Manual verwendet. Wie der Sicherheitsklassifikator Hintergrundaktionen bewertet, zeigt unser Leitfaden zum Standardverhalten von Claude Auto Mode.

In Enterprise können Administratoren unter Organization settings → Permissions → Custom roles → Connectors einen vierten Connector-Status (Custom) festlegen (Enterprise-RBAC-Einrichtung). Mit Custom wird die Berechtigung pro Tool steuerbar: Ein Enterprise-Admin kann etwa search_issues in Jira auf Needs approval setzen, während Erstellen-, Aktualisieren- oder Löschen-Tools desselben Connectors auf Blocked stehen. Team-Owner können dagegen organisationsweit die Tool-Status Always allow, Needs approval oder Blocked konfigurieren, jedoch keine eigenen Rollengruppen anlegen. Vier Regeln solltest du dabei im Hinterkopf behalten:

1. Bei Rollenkonflikten gewinnt die großzügigere Berechtigung: Gehört ein Nutzer mehreren Gruppen mit unterschiedlichen Custom-Rollen an, werden die Connector-Berechtigungen gemäß dem Leitfaden für rollenbasierte Enterprise-Berechtigungen additiv zusammengeführt. Es gilt die weitestgehende Freigabe, begrenzt durch die organisationsweite Connector-Richtlinie. Rollenänderungen können bis zu 15 Minuten bis zur Übernahme benötigen.
2. Unterschiede bei alten und neuen Custom-Rollen: Aktiviert ein Enterprise-Admin Connector-Berechtigungen für eine bestehende Custom-Rolle, legt Claude zunächst All connectors: Always allow fest, damit der bestehende Zugriff erhalten bleibt. Neu erstellte Custom-Rollen starten dagegen bei allen Connectoren mit Needs approval.
3. Schreib-Tools in Cowork gesperrt: In Cowork- und einheitlichen Sitzungen ist der Organisationsschalter Allow "Always allow" for connector tools für schreibfähige Tools standardmäßig deaktiviert (Enterprise-RBAC-Dokumentation und Cowork-Dokumentation). Selbst wenn ein Mitarbeiter im Chat „Always allow“ auswählt, benötigen Schreibaktionen eine manuelle Bestätigung – außer ein Owner aktiviert diese Einstellung für die gesamte Organisation.
4. Der Research-Modus überspringt weitere Rückfragen: Laut dem Leitfaden für eigene Remote-MCP-Connectoren recherchiert Claude bei einer Research-Anfrage in Hunderten Quellen und verwendet autorisierte Connector-Tools automatisch, ohne erneut zu fragen. Deaktiviere schreibfähige Tools vor dem Start einer Recherche mit eigenen Connectoren im Menü Search and tools.

Auch die Art, wie ein MCP-Server verpackt ist, beeinflusst offenbar die Speicherung von Berechtigungen. In r/ClaudeCowork berichteten Nutzer, dass „Always allow“ sitzungsübergreifend nicht gespeichert wurde, wenn ein Connector zusammen mit Subagenten in einem Plugin gebündelt war:

„It could be because your connector is packaged as part of a plugin and is not installed as a connector.“ (u/Throwaway_alt_burner auf r/ClaudeCowork)

Vorschaugrenzen und Berechtigungsbereiche bei Adobe, Atlassian, Box und Notion

Wie Anthropics Leitfaden zu Connector-Erweiterungen und der Leitfaden für eigene Remote-MCP-Connectoren erklären, übernehmen verbundene interaktive Apps exakt die Rechte des per OAuth angemeldeten Nutzers – oder bei einem gemeinsamen API-Key dessen globalen Scope. Claude kann ausschließlich Aktionen ausführen, die der jeweilige Anbieter als MCP-App-Tools bereitstellt. Da die Partner in das Release vom 10. November 2026 unterschiedliche Schutzmechanismen eingebaut haben, unterscheiden sich Freigabegranularität und Vorschaugrenzen bei Adobe, Atlassian, Box und Notion.

Atlassian (Confluence und Jira): Admin-Rechte für Lesen, Schreiben und Suchen

Wird Confluence über den Atlassian-MCP-Connector in Web oder Desktop geöffnet, erscheint der vollständige authentifizierte Confluence-Editor statt einer vereinfachten Vorschau (Release vom 10. November). Da OAuth sämtliche Jira-Projekte und Confluence-Spaces übernimmt, auf die der Nutzer zugreifen kann, stellt Atlassian eine serverseitige Governance-Ebene bereit. Sie ist unter Atlassian Administration → Connectors → Atlassian MCP server → Permissions in Configure Atlassian MCP Server Permissions dokumentiert. Organisations-Admins können die drei Berechtigungsabsichten Read, Write und Search jeweils auf Allowed, Blocked oder Partially allowed setzen.

Über den Dialog Edit details in der Atlassian Administration kann ein Admin Schreibaktionen in Jira erlauben, aber in Confluence blockieren – oder umgekehrt. Mit Apply to future additions übernehmen neu veröffentlichte Atlassian-MCP-Tools automatisch diese Richtlinie. Änderungen greifen sofort, ohne dass Nutzer Claude neu starten müssen. Wird ein blockiertes Tool aufgerufen, erscheint "Access denied: Your organization admin has not authorized the write permission".

Bei umfangreichen Ticket-Aktionen solltest du außerdem die Rate-Limits im Blick behalten: Nutzer in r/atlassian berichteten von HTTP 429-Fehlern, wenn Agenten über den Atlassian-MCP-Server in kurzer Zeit viele Jira-Tickets erstellten. Einige Teams setzten deshalb einen lokalen Node.js-Throttle-Proxy vor ihre automatisierten Workflows.

Notion: Workspace-weites OAuth und der Workaround mit einem Gastkonto

Notions interaktiver Connector bettet den vollständigen Dokument- und Datenbank-Editor neben dem Chat ein (Release vom 10. November). Du kannst dadurch zwischen der manuellen Bearbeitung von Blöcken und der Aufforderung an Claude wechseln, Datenbankzeilen zu befüllen. Da Claude-Connectoren die Zugriffsrechte des verbundenen Kontos übernehmen, gewährt das Notion-MCP-OAuth-Token Zugriff auf alle Seiten und Datenbanken, die dein Notion-Konto erreichen kann. Eine integrierte Claude-Einstellung, um den Connector auf einen einzelnen Ordner oder Unterbereich zu beschränken, gibt es nicht.

Zusätzlich wies ein Thread auf r/ClaudeAI (~2.289 Punkte) auf das Risiko ungeprüfter Anweisungen von Drittanbieter-MCPs hin. Nutzer berichteten, dass Notions MCP-Connector während laufender Aufgaben Werbe-Prompts einschleuste. In r/Notion fragten Nutzer, wie sie Claude auf bestimmte Seiten beschränken können. Dabei zeigte sich: Prompt-Anweisungen ersetzen keine harte Trennung über Zugangsdaten:

„the mcp token inherits your permissions... connecting it through a guest account that only sees the pages you want...“ (u/redpiapps auf r/Notion)

Bis eine Ressourcensteuerung auf OAuth-Ebene verfügbar ist, bietet ein eigenes Notion-Gastkonto die beste Isolation. Teile nur die gewünschten Seiten oder Datenbanken mit dieser Gastidentität und authentifiziere den Claude-Connector mit dem Gast-Login.

Verzeichnis-Connector oder eigene MCP App: Einrichtung und Grenzen der öffentlichen Vorschau

Ob du einen bestehenden Connector installierst oder mit dem MCP Apps SDK einen eigenen Server bereitstellst, Claude unterscheidet zwischen verifizierten Verzeichnis-Connectoren, Community-Einträgen und eigenen Remote-MCP-URLs. Das SDK befindet sich seit dem 10. November 2026 in der öffentlichen Vorschau.

Wer eine MCP App mit registerAppTool(), registerAppResource() und App.connect() entwickelt oder bereitstellt, muss laut Get Started with MCP Apps und dem Leitfaden zur Verwaltung des Tool-Zugriffs von Claude vier technische Grenzen beachten:

• Community-Einträge blockieren eingebettete Websites und Entry points: Jeder MCP-Server kann einfache Ansichten im Chat darstellen. Embedded websites (Laden von Websites per <iframe>) und Entry points (Öffnen über die Artefaktseite oder Anheften in der Seitenleiste) setzen jedoch einen Verified-Eintrag im Verzeichnis voraus (MCP-Apps-Fähigkeitstabelle). Funktioniert eine eingebettete Website beim persönlichen Custom-Connector, sind beide Funktionen für Nutzer eines Community-Marketplace-Eintrags trotzdem deaktiviert.
• Lokale npx --stdio-Server können vollständige App-Funktionen nicht testen: Beispielserver wie @modelcontextprotocol/[email protected] lassen sich lokal über claude_desktop_config.json ausführen. App tools, Entry points und Embedded websites benötigen jedoch einen Remote-MCP-Server, der über HTTPS aus Anthropics Cloud-IP-Bereichen erreichbar ist (MCP-Apps-Dokumentation und Netzwerkregeln für Remote MCP). Auch die Migration von OpenAI-Apps-SDK-Projekten mit openai/ui-Entry-Points erfordert eine Claude-spezifische Konfiguration.
• Verbindlicher 32-stelliger SHA-256-Hash für ui.domain: Laut ui.domain-Spezifikation muss das Feld Resource._meta.ui.domain deines Servers aus den ersten 32 Hexadezimalzeichen des SHA-256-Hashes der MCP-Server-URL bestehen, gefolgt von .claudemcpcontent.com. Beispiel: https://example.com/mcp wird zu c3d80a4ed901ee05b21755a88273b4a4.claudemcpcontent.com. Jede Abweichung löst den Fehler Invalid ui.domain format oder ui.domain mismatch aus.
• Mehr Kontextverbrauch ab 10+ Connectoren oder 30+ Tools: Aktive Connectoren belegen Gesprächskontext. Sobald du 10 oder mehr Connectoren oder 30+ einzelne Tools verbunden hast, empfiehlt Anthropics Leitfaden zum Tool-Zugriff, im Chat das Menü + → Connectors → Tool access zu öffnen und von Auto oder Always available auf On demand umzuschalten. On demand fügt vor dem Aufruf eines Connectors 1 zusätzliche Suchinteraktion ein und hält so Kontext für lange Dokumente und Code frei.

Häufig gestellte Fragen

Wo speichert Claude Dateien, wenn es sie in Adobe, Box oder Notion bearbeitet?

In authentifizierten Notion- und Confluence-Sitzungen schreibt Claude freigegebene Änderungen direkt in deinen Cloud-Workspace. Bei Box sowie bei Webflow, das Änderungen in isolierten Seitenzweigen vorbereitet, werden Revisionen zunächst zur Prüfung nebeneinander dargestellt. Nicht authentifizierte Adobe-Sitzungen bleiben temporär, sofern du dich nicht bei einem Adobe-Konto anmeldest.

Wie wirkt sich die Authentifizierung über einen gemeinsamen API-Key auf Team- und Enterprise-Connectoren aus?

Dem Leitfaden für eigene Remote-MCP-Connectoren zufolge beschränken Standard-OAuth-Connectoren Claude auf die externen Rechte des jeweiligen Mitglieds. Ein fester Request-Header mit gemeinsamen Zugangsdaten, etwa einem API-Key oder Bearer-Token, gibt dagegen jedem Organisationsmitglied, das den Connector nutzt, den vollständigen Zugriff dieses gemeinsamen Zugangsdaten-Satzes. Beschränke gemeinsame Schlüssel daher auf die minimal nötigen Lese- und Schreibrechte, bevor du sie unter Organization settings → Connectors hinterlegst.

Was passiert, wenn sich die URL eines eigenen Connectors oder sein OAuth-Scope ändert?

Laut der Dokumentation zu eigenen Remote-MCP-Connectoren lassen sich bestehende Konfigurationen nicht direkt bearbeiten. Entferne den Connector unter Customize → Connectors – bei Team- und Enterprise-Ownern unter Organization settings → Connectors – und füge ihn anschließend mit der aktualisierten URL, den neuen Headern oder den geänderten OAuth-Einstellungen erneut hinzu.

Berechtigungen vor dem Produktiveinsatz interaktiver Apps absichern

Bevor du interaktive Connectoren im Workspace aktivierst, wählst du den Konfigurationsweg passend zu Rolle und Tarif: