API-Zugänge (Tokens)

Mit einem Token greift ein anderes Programm auf die Daten Deiner Praxis zu – etwa eine Terminanzeige im Wartezimmer, die Buchhaltung oder ein KI-Assistent. Ein Token hat kein Passwort, keinen zweiten Faktor und keine Sitzung, die abläuft: Es gilt, bis Du es widerrufst oder sein Ablaufdatum erreicht ist.

Wer Tokens ausstellen darf

Die Seite Verwaltung → Sicherheit → API braucht das Recht „API-Zugänge verwalten“. Ab Werk hat es nur die Inhaber:in, nicht einmal die Praxisleitung. Wer einen Zugang ausstellt, entscheidet, dass ab jetzt eine Maschine mitliest. In der Rechteübersicht lässt sich das Recht weitergeben, siehe Rollen und Rechte.

Die Seite zeigt unter Ausgestellte Zugänge alle Tokens der Praxis, auch die von Kolleginnen und Kollegen – mit Konto, Umfang, letzter Benutzung und Ablauf. Was hier nicht steht, kommt auch nicht herein.

Ein Token ausstellen

1. Wähle Token ausstellen.
2. Beantworte Wofür ist das Token? so, dass Du es in einem halben Jahr wiedererkennst, etwa „Terminanzeige Wartezimmer“.
3. Trage unter Gerät oder Programm ein, wo das Token liegt. Im Ernstfall weißt Du dann, welches Gerät abzuschalten ist.
4. Kreuze unter Was darf dieses Token? nur an, was das Programm wirklich braucht. Nichts ist vorbelegt.
5. Setze bei Gültig bis ein Datum, wenn das Token nur für einen Test oder eine einmalige Übernahme gedacht ist. Leer heißt: läuft nicht von selbst ab.
6. Bestätige mit Token ausstellen.
7. Kopiere das Token sofort und trage es im anderen Programm ein. Wähle dann Ich habe das Token notiert.

Was ein Token darf

Ein Token kann nie mehr als das Konto, das es ausgestellt hat. Innerhalb dieser Grenze legst Du den Umfang fest:

Rechnungen stellt die Schnittstelle grundsätzlich nicht aus.

KI-Assistent über MCP

Ist die MCP-Schnittstelle auf Deiner Installation eingerichtet, fragt das Formular zusätzlich KI-Assistent (MCP): Nur lesen oder Lesen und schreiben. Ein KI-Assistent darf über das Token nur dann Termine anlegen, verschieben und absagen, wenn

• das Token auf Lesen und schreiben steht,
• „Termine anlegen und ändern“ angekreuzt ist und
• die Praxis unter Verwaltung → Praxis → Einstellungen die MCP-Schnittstelle freigeben und das Schreiben eigens erlaubt hat.

Ohne die Freigabe in den Einstellungen gibt es den Zugang für KI-Assistenten gar nicht. Behandlungsdaten und Kontaktdaten gibt die MCP-Schnittstelle nicht heraus.

Ein Token widerrufen

1. Suche das Token unter Ausgestellte Zugänge.
2. Wähle Widerrufen und bestätige.

Das Programm kommt ab der nächsten Anfrage nicht mehr herein. Ein widerrufenes Token wird nicht wieder gültig. Widerrufe auch die Tokens von Personen, die die Praxis verlassen haben – das geht hier, ohne an deren Konto zu müssen.

Für Entwickler

Wie ein Programm das Token benutzt, steht in der API-Referenz. Du erreichst sie mit API-Referenz öffnen auf der Seite; dort lassen sich einzelne Aufrufe mit einem Token direkt ausprobieren. Im aufrufenden Programm gehört das Token in den Kopfeintrag „Authorization: Bearer …“.

Jeder Aufruf über ein Token steht im Zugriffsprotokoll mit dem Zugangsweg „API“ bzw. „MCP-Schnittstelle“.