Unsere Erfahrung in Zahlen
So funktioniert Agent Hub
Wenn interne Werkzeuge auseinanderlaufen
Reporting-Tools, Generatoren, Dashboards und interne Services entstehen oft dort, wo Fachbereiche sie gerade brauchen. Mit der Zeit liegen sie unter getrennten Adressen, verlangen eigene Anmeldungen oder haben gar keinen eigenen Schutz. Für Verantwortliche entsteht ein unangenehmer Blindflug: Niemand sieht sicher, wer worauf zugreifen darf, ungeschützte Werkzeuge bleiben ein Risiko, und Nutzung sowie Änderungen sind schwer nachvollziehbar. Agent Hub führt diese internen Werkzeuge unter einer Domain und einer Microsoft-Entra-ID-SSO-Anmeldung zusammen.
Zentrale Kontrolle im Arbeitsalltag
Ein gemeinsamer Einstieg
Mitarbeitende wechseln nicht mehr zwischen einzelnen Adressen und Anmeldungen, sondern erreichen freigegebene interne Anwendungen nach der Anmeldung an einem Ort.
Verbindliche Zugriffsregeln
Ihre Teams regeln nicht mehr jedes Werkzeug separat, sondern entscheiden zentral, wer eine Anwendung sehen und nutzen darf.
Nachvollziehbare Nutzung
Verantwortliche verlassen sich nicht auf Vermutungen, sondern behalten Nutzung und sicherheitsrelevante Vorgänge über Prüfprotokoll und Nutzungsauswertung im Blick.
Für wen ist Agent Hub geeignet?
- Unternehmen mit mehreren internen Anwendungen: Ihre Teams bringen Reporting-Tools, Generatoren, Dashboards und interne Services unter eine gemeinsame Ordnung.
- Organisationen mit Microsoft-Entra-ID: Ihre IT nutzt den vorhandenen Unternehmenszugang als zentrale Anmeldung für Mitarbeitende.
- Verantwortliche interner Anwendungen: Sie legen fest, welche Gruppen oder Personen eine Anwendung sehen und nutzen dürfen.
- Teams mit Salesforce-bezogener Arbeit: Anwendungen arbeiten personenbezogen mit dem passenden Salesforce-Kontext über mehrere Orgs hinweg.
- Teams mit Agenten-Clients und MCP-Servern: Freigegebene interne Werkzeuge bleiben per OAuth-Bearer an die Entra-Identität der nutzenden Person gebunden.
- Teams mit Demos oder einzelnen externen Beteiligten: Lokale Demo-Anmeldung, Gastlinks und Mailcode-Zugänge werden gezielt zugelassen und wieder gesperrt.
- Nicht passend: getrennte Identitätsanbieter pro Mandant oder reine Weiterleitung ohne gemeinsame Anmeldung stehen nicht im Schwerpunkt.
Funktionen
Anwendungszugriff an einem Ort
Mitarbeitende finden freigegebene Reporting-Tools, Generatoren, Dashboards und interne Services unter einer Domain und melden sich per Microsoft-Entra-ID-SSO an.
Rechte pro Anwendung
Ihre Teams pflegen Sichtbarkeit und Zugriff in einer Regel: für alle, für Entra-/Teams-Gruppen, für einzelne Personen oder nur für den Ersteller.
Identität für bestehende Anwendungen
Bestehende Anwendungen bleiben nutzbar, ohne eine eigene OIDC-Logik aufzubauen; sie übernehmen die vom Hub geprüfte Identität.
Kontrollierte externe Freigaben
Demos und Gastzugänge bleiben begrenzt, weil lokale Demo-Anmeldung, widerrufbare Gastlinks, Mailcode-Zugänge und bewusst bestätigte öffentliche Freigaben gezielt gesteuert werden.
Weitere Funktionsdetails
- Salesforce-Kontext: Anwendungen können nutzergebundenen Salesforce-Zugriff erhalten; der Hub verwaltet OAuth, PKCE und Aktualisierung für mehrere Orgs.
- MCP-Server: Agenten-Clients wie Claude Code sprechen freigegebene interne Werkzeuge per OAuth-Bearer mit der Identität der nutzenden Person an.
- MCP-Protokoll: Der hub-eigene MCP-Zugang versteht zusätzlich das Protokoll 2026-07-28 und hält den bisherigen Legacy-Dialekt unverändert bereit.
- Prüfprotokoll und Nutzungsauswertung: Verantwortliche verfolgen Nutzung, externe Mailcode-Anmeldungen und relevante Vorgänge zentral.
- Externe Mailcode-Zugänge: Kundenadressen werden für einzelne Anwendungen zugelassen, bestätigt, gesperrt oder reaktiviert; eine Sperre beendet laufende Sitzungen sofort.
- Mailcode-Grenzen: Externe Anmeldung und Salesforce-Pflicht schließen sich aus; jede externe Anmeldung schreibt einen Eintrag ins Prüfprotokoll.
- Öffentliche Freigaben: Anwendungen werden erst nach Bestätigung des exakten öffentlichen Hostnamens erreichbar; Pfade und Nutzungslimits begrenzen den Zugriff.
- Kurzlebige Mailcode-Daten: Anmeldecodes und Kontingentdaten werden regelmäßig gelöscht; für Codes gilt eine Karenz von 24 Stunden.
So läuft die Einführung
Unternehmenszugang vorbereiten
Ihre IT stellt einen Microsoft-Entra-ID-Tenant und eine App-Registrierung bereit; danach kann die gemeinsame Anmeldung greifen.
Ersten Zugriff festlegen
Eine Admin-E-Mail wird hinterlegt, damit Ihr Unternehmen die ersten Anwendungen in die zentrale Ordnung aufnehmen kann.
Zugriffe je Anwendung regeln
Anwendungsverantwortliche legen fest, welche Gruppen oder Personen die jeweilige Anwendung sehen und nutzen dürfen.
Aus der Praxis
„Die mindsquare war eine echte Stütze. Wenn wir sie nicht gehabt hätten, hätten wir echte Probleme gehabt. Bei den neuen Modulen, die noch kommen, ist es ohne einen vertrauensvollen Implementierungspartner sehr schwierig, die Systeme sinnvoll einzuführen.“
Melanie KäsTeamleiterin HR-Systeme & -Prozesse bei WITRON
Interne Werkzeuge zentral ordnen
Besprechen Sie, welche Anwendungen zuerst unter eine Domain, hinter Microsoft-Entra-ID-SSO und zentrale Zugriffsregeln kommen.
FAQ
- Was ändert sich gegenüber unserer heutigen Sammlung einzelner interner Tools?
- Mitarbeitende wechseln nicht mehr zwischen getrennten Adressen und Anmeldungen. Sie melden sich einmal per Microsoft-Entra-ID-SSO an und sehen die Anwendungen, für die sie freigeschaltet sind. Verantwortliche pflegen Zugriffe zentral statt in jedem Tool einzeln.
- Wie viel müssen bestehende Anwendungen dafür können?
- Bestehende Anwendungen brauchen keine eigene OIDC-Umsetzung. Sie müssen die vom Hub geprüfte Identität übernehmen können. Der Hub passt vor allem dann, wenn mehrere interne Anwendungen unter einer Domain und hinter einer gemeinsamen Anmeldung laufen sollen.
- Wer muss bei der Einführung mitwirken?
- Die IT stellt einen Microsoft-Entra-ID-Tenant und eine App-Registrierung bereit. Für den ersten Zugriff wird eine Admin-E-Mail hinterlegt. Verantwortliche der Anwendungen legen fest, wer die jeweilige Anwendung sehen und nutzen darf.
- Wie werden Zugriffe festgelegt?
- Pro Anwendung wird entschieden, wer sie sehen und nutzen darf. Möglich sind Freigaben für alle, für ausgewählte Entra-/Teams-Gruppen, für einzelne Personen oder nur für den Ersteller. Dieselbe Regel steuert Sichtbarkeit und tatsächlichen Zugriff.
- Wie funktionieren Demos und externe Zugänge?
- Für Entra-freie Demos gibt es einen lokalen Anmeldeweg. Einzelne Anwendungen können über widerrufbare Gastlinks geteilt werden. Externe Personen können außerdem per Mailcode für einzelne Anwendungen zugelassen, protokolliert und später wieder gesperrt werden.
- Welches Risiko bleibt bei externem Mailcode-Zugang?
- Der Mailcode-Zugang ist so stark wie das Mailkonto der externen Person. Für Anwendungen, deren Offenlegung über ein kompromittiertes Kundenpostfach hinaus Schaden anrichtet, reicht Mailcode als alleiniger Faktor nicht aus. Zugänge können jedoch gezielt zugelassen, protokolliert und wieder gesperrt werden.
- Können Anwendungen ohne Login öffentlich erreichbar gemacht werden?
- Ja, aber nur bewusst: Die öffentliche Freigabe verlangt die Bestätigung des exakten öffentlichen Hostnamens. Pfade und Nutzungslimits werden festgelegt. Das ist eine bewusste Hürde gegen versehentliche Aktivierung, aber keine Zwei-Personen-Garantie.
- Wo passt Agent Hub nicht?
- Agent Hub ist nicht für getrennte Identitätsanbieter pro Mandant ausgelegt; eine Installation gehört zu einem Entra-Tenant. Wenn lediglich Weiterleitung ohne gemeinsame Anmeldung gebraucht wird, ist Agent Hub ebenfalls nicht der passende Schwerpunkt.
Sie haben Interesse an diesem Angebot?
Kontaktieren Sie uns noch heute um Ihren konkreten Use Case zu besprechen. Einer unserer Experten wird sich zeitnah bei Ihnen melden.
