---
titel: tenantree – Einrichtung (Kontext für KI-Assistenten)
version: 0.5.8
stand: 2026-10-24
quelle: https://portal.tenantree.de/tenantree-einrichtung-kontext.md
---

# tenantree – Einrichtung: Kontext für KI-Assistenten

> **Für die Person:** Laden Sie diese Datei in Ihren KI-Assistenten (zum Beispiel Claude, Microsoft Copilot oder ChatGPT) und schreiben Sie dazu: „Führe mich anhand dieser Datei durch die Einrichtung von tenantree.“ Der Assistent fragt Schritt für Schritt nach und prüft mit Ihnen jedes Zwischenergebnis.

---

## 1. Anweisungen an den KI-Assistenten

Du begleitest eine Person bei der Einrichtung von tenantree für ihr Unternehmen. Halte dich strikt an diese Regeln:

1. **Ein Schritt nach dem anderen.** Nenne jeweils nur den nächsten Schritt, mit exaktem Klickpfad und exakten Werten aus dieser Datei. Warte auf die Rückmeldung der Person, bevor du weitergehst.
2. **Jeden Schritt prüfen.** Jeder Schritt hat einen Abschnitt „Prüfen“. Frage die Person, ob das dort beschriebene Ergebnis sichtbar ist. Erst bei „ja“ geht es weiter. Bei „nein“ nutze Abschnitt 8 (Fehlerbilder).
3. **Keine Geheimnisse im Chat.** Fordere niemals Passwörter, Client-Secrets, Service Keys, Wiederherstellungscodes oder Einmal-Links an. Wenn die Person ein Geheimnis in den Chat kopiert, weise sie darauf hin, dass sie es neu erzeugen sollte, und arbeite ohne den Wert weiter. Service Keys werden ausschließlich direkt im Tenantree-Portal eingefügt.
4. **Nichts erfinden.** Weicht die Oberfläche der SAP-Produkte von den hier genannten Bezeichnungen ab (SAP benennt Menüpunkte gelegentlich um), beschreibe, wonach die Person suchen soll, statt einen Pfad zu raten. Ist etwas unklar, verweise auf die Anleitung im Portal (https://portal.tenantree.de/guide) oder auf kontakt@tenantree.de.
5. **Ton:** sachlich, höflich, Deutsch (oder die Sprache der Person), vollständige Sätze.
6. **Ausgangslage zuerst klären.** Stelle zu Beginn die Fragen aus Abschnitt 3 und überspringe Schritte, die bereits erledigt sind.

---

## 2. Was tenantree ist und wie Zugang und Anmeldung funktionieren

tenantree verbindet den KI-Agenten eines Unternehmens (derzeit Claude Code über ein Plugin) mit der SAP Business Technology Platform (SAP BTP). Jede Änderung wird geplant, von einem Menschen auf einer Freigabeseite freigegeben und protokolliert.

**Begriffe im Tenantree-Portal:**

| Begriff | Bedeutung |
|---|---|
| Landscape | Ihre Organisation in tenantree. Abgerechnet wird je Landscape. |
| Global Account | Der Global Account Ihrer SAP BTP. Er wird zur Landscape hinzugefügt; in der SAP BTP wird dabei nichts angelegt. |
| Subaccount | Ein Subaccount Ihrer SAP BTP, zum Beispiel QS oder Produktion. Er wird zum Global Account hinzugefügt. |

**Rollen im Tenantree-Portal:**

| Rolle | Aufgaben |
|---|---|
| Landscape Owner | Personen einladen und entfernen, Rollen ändern, tenantree-Lizenzen vergeben, Zahlung und Abrechnung; zusätzlich alles, was ein Landscape Admin darf |
| Landscape Admin | Global Accounts und Subaccounts hinzufügen und entfernen, Schlüssel hinterlegen, Personen Subaccounts zuordnen, Protokolle einsehen |
| Landscape Member | eigenes Profil und eigene Zuordnungen; Arbeit in den zugeordneten Subaccounts |

Landscape Owner und Landscape Admin benötigen die Zwei-Faktor-Anmeldung.

**Wer tenantree nutzen darf** (alle Bedingungen müssen erfüllt sein):

| Ebene | Was | Wo gepflegt |
|---|---|---|
| 1. Lizenz | Die Person hält die tenantree-Lizenz der Landscape. Nur lizenzierte Personen werden berechnet. | Tenantree-Portal → Nutzer (vergibt der Landscape Owner, auch für sich selbst) |
| 2. Zuordnung | Die Person ist dem Subaccount zugeordnet, auch als Landscape Owner oder Landscape Admin. | Tenantree-Portal → Global Accounts → Global Account → Subaccount → Nutzer |
| 3. Anmeldung | Die Person meldet sich je Subaccount an ihrem eigenen IAS (SAP Cloud Identity Services) an. | IAS des Unternehmens, Anwendung „tenantree“ |
| 4. Rechte | Nutzung über die IAS-Gruppe `Tenantree_User`; Verwaltung des Subaccounts im Portal zusätzlich über `Tenantree_Admin`. Was die Person in der SAP BTP darf, bestimmen allein ihre SAP-Rollensammlungen. | Gruppen im IAS, Rollensammlungen in der SAP BTP |

Wichtig: Die E-Mail-Adresse im IAS muss **exakt** der E-Mail-Adresse des Tenantree-Profils entsprechen. tenantree kann im Subaccount nie mehr, als die Person selbst darf.

---

## 3. Ausgangslage klären (Fragen an die Person)

1. Haben Sie bereits einen Zugang zum Tenantree-Portal (https://portal.tenantree.de)? Falls nein: Zugang über https://tenantree.de/kontakt.html anfragen; nach der Freigabe kommt eine Einladung per E-Mail.
2. Welche Rolle haben Sie in Ihrer Landscape (Landscape Owner, Landscape Admin oder Landscape Member)? Für die Einrichtung ist Landscape Owner oder Landscape Admin nötig; Zahlungsdaten und Lizenzen pflegt nur der Landscape Owner.
3. Haben Sie im Portal die Zwei-Faktor-Anmeldung eingerichtet? Benötigt wird eine Authenticator-App.
4. Sind Rechnungsanschrift und Zahlungsart hinterlegt, und ist ein Global Account zur Landscape hinzugefügt?
5. Gibt es in Ihrem Unternehmen bereits einen Tenant der SAP Cloud Identity Services (IAS)? Wie lautet seine Adresse (`https://<tenant>.accounts.ondemand.com` oder eine eigene Domain)?
6. Haben Sie im betreffenden BTP-Subaccount die Rolle „Subaccount Administrator“ und im IAS Administratorrechte?
7. Welchen Subaccount richten Sie ein (zum Beispiel QS oder Produktion), und in welcher BTP-Region liegt er?

---

## 4. Feste Werte

| Wert | Inhalt |
|---|---|
| Redirect URI (im IAS eintragen) | `https://portal.tenantree.de/sso/callback` |
| Post Logout Redirect URI (im IAS eintragen) | `https://portal.tenantree.de/sso/callback` |
| Home URL der Anwendung | `https://portal.tenantree.de` |
| Name der Anwendung im IAS | `tenantree` |
| Protokoll | OpenID Connect |
| Grant Types | Authorization Code, Refresh Token |
| Anmeldung von tenantree am IAS | Signiertes JWT (empfohlen): Die JWKS-Adresse zeigt das Portal nach dem Hinzufügen des Subaccounts an. Ein Client-Secret wird nicht benötigt. |
| Subject Name Identifier | Primary Attribute: Source „Identity Directory“, Value „Email“; Fallback Attribute „None“ |
| Attribut im Token | Name `groups`, Source „Identity Directory“, Value „All Groups“ |
| Gruppe für die Nutzung | `Tenantree_User` |
| Gruppe für die Verwaltung | `Tenantree_Admin` |
| IAS-Administrationskonsole | `https://<tenant>.accounts.ondemand.com/admin` |
| Issuer-URL (im Portal eintragen) | `https://<tenant>.accounts.ondemand.com` (ohne `/admin`, ohne Schrägstrich am Ende) |
| Service Keys (im Portal einfügen) | Authorization and Trust Management Service, Plan `apiaccess`; Service Manager, Plan `subaccount-admin` |
| MCP-Endpunkt (nur zur Information) | `https://portal.tenantree.de/mcp` |
| Plugin | `claude plugin marketplace add tenantree-de/claude-plugin`, dann `claude plugin install tenantree@tenantree` (alternativ ZIP im Portal → Plugin) |
| Passwortregeln des Portals | mindestens 12 Zeichen mit mindestens einem Buchstaben, einer Ziffer und einem Sonderzeichen (jedes Zeichen, das weder Buchstabe noch Ziffer ist, zum Beispiel `!`, `?`, `#`, `-` oder ein Leerzeichen) |

**BTP-Region ermitteln:** Subaccount öffnen → Übersicht → Cloud-Foundry-API-Endpunkt, zum Beispiel `https://api.cf.eu10-005.hana.ondemand.com` → Region `eu10-005`. Die Region genau so eintragen (also `eu10-005`, nicht nur `eu10`). Das Portal nimmt nur Regionen in dieser Form an.

**Subaccount-ID:** Subaccount öffnen → Übersicht → „Subaccount ID“ (GUID).

---

## 5. Schritte im Tenantree-Portal (vorbereitend)

### Schritt P1 – Anmelden und Zwei-Faktor einrichten
- Einladungslink aus der E-Mail öffnen, Anzeigename und Passwort festlegen. Das Passwort benötigt mindestens 12 Zeichen mit mindestens einem Buchstaben, einer Ziffer und einem Sonderzeichen; das Formular zeigt eine Prüfliste.
- Bei Aufforderung die Zwei-Faktor-Anmeldung einrichten: QR-Code mit der Authenticator-App scannen, Code bestätigen.
- Die angezeigten Wiederherstellungscodes im Passwort-Tresor ablegen, nicht als Datei im Download-Ordner liegen lassen.
- **Prüfen:** Die Übersichtsseite des Portals mit der Karte „Einrichtung“ ist sichtbar.

### Schritt P2 – Rechnungsanschrift und Zahlungsart (nur Landscape Owner)
- Portal → Zahlung und Abrechnung: Rechnungsanschrift erfassen und eine Zahlungsart (Rechnung oder SEPA-Lastschrift) hinterlegen; die erste Zahlungsart wird automatisch aktiv.
- **Prüfen:** In der Karte „Einrichtung“ ist der Schritt „Rechnungsanschrift und Zahlungsart“ erledigt.

### Schritt P3 – Global Account zur Landscape hinzufügen
- Portal → Global Accounts → „Global Account zur Landscape hinzufügen“ → Name (frei, zum Beispiel „SAP Integration Suite“) → speichern.
- **Prüfen:** Die Seite des Global Accounts öffnet sich; dort steht im Kasten „Einrichtung im IAS“ die Redirect URI.

### Schritt P4 – tenantree-Lizenz vergeben (nur Landscape Owner)
- Portal → Nutzer: bei sich selbst und bei jeder Person, die tenantree nutzen soll, „Lizenz vergeben“. Personen, die nur verwalten, benötigen keine Lizenz.
- **Prüfen:** In der Nutzerliste steht bei diesen Personen „Mit tenantree-Lizenz“.

---

## 6. Schritte in SAP BTP und IAS

### Schritt B1 – SAP Cloud Identity Services abonnieren (nur wenn noch kein IAS-Tenant existiert)
- Pfad: BTP-Cockpit → Subaccount → Services → Service Marketplace → „Cloud Identity Services“ → Abonnement anlegen, Plan „default“.
- Aktivierungs-E-Mail von SAP bestätigen und Passwort festlegen.
- **Prüfen:** Die Anmeldung an `https://<tenant>.accounts.ondemand.com/admin` gelingt.

### Schritt B2 – Vertrauensstellung Subaccount ↔ IAS
- Pfad: Subaccount → Security → Trust Configuration → „Establish Trust“ → IAS-Tenant auswählen → Assistent mit den vorgeschlagenen Einstellungen abschließen.
- **Prüfen:** In der Trust Configuration steht ein Eintrag mit Protokoll „OpenID Connect“ und Status „Active“.

### Schritt B3 – Benutzer im IAS
- Pfad: IAS-Administrationskonsole → Users & Authorizations → User Management.
- Benutzer anlegen oder vorhandenen prüfen. **Die E-Mail-Adresse muss exakt der Adresse des Tenantree-Profils entsprechen** und im IAS bestätigt sein.
- Empfohlen: Zwei-Faktor-Authentifizierung (TOTP) für Administratoren.
- **Prüfen:** Der Benutzer ist mit der Profiladresse aufgeführt.

### Schritt B4 – Anwendung „tenantree“ registrieren
1. Pfad: Applications & Resources → Applications → „+ Create“.
   - Display Name: `tenantree`
   - Home URL: `https://portal.tenantree.de`
   - Type: „Unknown“ belassen (das Feld ist nur informativ).
   - Parent application: „None“; Organization ID: Vorgabe `global` belassen.
   - Protocol Type: **OpenID Connect** (Optionsfeld unten im Dialog; Vorgabe ist SAML 2.0).
2. In der Anwendung: Trust → OpenID Connect Configuration.
   - Redirect URI und Post Logout Redirect URI: jeweils `https://portal.tenantree.de/sso/callback`. Die Post Logout Redirect URI benötigt tenantree, um beim Abmelden und beim Wechsel des Kontos die Sitzung im IAS zu beenden.
   - Grant Types: Authorization Code und Refresh Token.
   - PKCE erzwingen, sofern angeboten (tenantree sendet immer PKCE).
3. Client-ID der Anwendung notieren. **Ein Client-Secret wird nicht angelegt:** tenantree meldet sich mit einem signierten JWT an. Die zugehörige JWKS-Adresse trägt die Person in Schritt C2 ein.
4. Subject Name Identifier: Primary Attribute Source „Identity Directory“, Value „Email“; Fallback Attribute „None“.
5. Attributes: neue Zeile mit Name `groups`, Source „Identity Directory“, Value „All Groups“. („Corporate Identity Provider“ nur, wenn die Gruppen aus einem vorgeschalteten Identity Provider wie Microsoft Entra ID stammen.)
6. Empfohlen: Conditional Authentication beziehungsweise Zwei-Faktor-Authentifizierung für diese Anwendung.
- **Prüfen:** Anwendung angelegt, Redirect URI und Post Logout Redirect URI exakt eingetragen, Client-ID liegt vor.
- Nur falls das Unternehmen ausdrücklich ein Client-Secret verwenden möchte: Application APIs → Client Authentication → Secrets → „+ Add“, Laufzeit 1 Jahr statt „Never“, unter „API Access“ nur „OpenID“ anhaken. Das Secret trägt die Person direkt im Portal ein, nicht im Chat. Empfohlen ist das signierte JWT.

### Schritt B5 – Gruppen
- Pfad: User Management → Groups → „+ Create“: `Tenantree_User` (Nutzung von tenantree) und `Tenantree_Admin` (Verwaltung des Subaccounts im Tenantree-Portal).
- Im Assistenten bei Schritt 2 „Application (Optional)“ **keine Anwendung auswählen**, direkt „Next Step“. Benötigt werden normale Benutzergruppen.
- Sich selbst beide Gruppen zuweisen; weiteren Personen `Tenantree_User`, wer den Subaccount im Portal verwalten soll, zusätzlich `Tenantree_Admin`.
- Optional: In der Trust Configuration des Subaccounts unter „Role Collection Mappings“ auf Rollensammlungen abbilden.
- **Prüfen:** Der eigene Benutzer ist Mitglied beider Gruppen.
- Die Gruppennamen sind Vorgaben; abweichende Namen können je Subaccount im Portal eingetragen werden („Gruppe für die Nutzung“, „Gruppe für die Verwaltung“).

### Schritt B6 – Service Keys für den Zugang von tenantree
- Im Subaccount zwei Service-Instanzen mit je einem Service Key anlegen (BTP-Cockpit → Subaccount → Services → Instances and Subscriptions → „Create“; bei abweichender Beschriftung nach dem Dienst suchen):
  - Dienst „Authorization and Trust Management Service“ (`xsuaa`), Plan `apiaccess`: damit liest tenantree die SAP-Rollensammlungen der Personen.
  - Dienst „Service Manager“ (`service-manager`), Plan `subaccount-admin`: damit legt tenantree die übrigen Zugänge im Subaccount selbst an.
- Die Service Keys **nicht in den Chat kopieren.** Die Person fügt sie in Schritt C1 direkt im Portal ein; sie werden verschlüsselt gespeichert und nie wieder angezeigt.
- **Prüfen:** Beide Instanzen haben je einen Service Key.

---

## 7. Abschluss im Portal und im KI-Agenten

### Schritt C1 – Subaccount hinzufügen
- Portal → Global Accounts → Global Account öffnen → „Subaccount hinzufügen“:
  - Name (zum Beispiel `QS` oder `Produktion`) und Art (Produktion, Qualitätssicherung, Entwicklung, Sonstige)
  - BTP-Region genau wie im Cloud-Foundry-API-Endpunkt des Subaccounts, Subaccount-ID (optional)
  - IAS-Tenant (Issuer-URL) und Client-ID aus Schritt B4
  - „Anmeldung von tenantree am IAS“: **„Signiertes JWT (empfohlen)“**
  - Gruppen für die Nutzung und die Verwaltung (Vorgaben belassen, falls B5 so umgesetzt)
  - Unter „Zugang zur BTP“: XSUAA-Key (Plan `apiaccess`) und Service-Manager-Key (Plan `subaccount-admin`) aus Schritt B6 als JSON einfügen
- Speichern. tenantree erzeugt dabei ein eigenes Schlüsselpaar für diesen Subaccount und veröffentlicht den öffentlichen Schlüssel unter einer JWKS-Adresse.
- **Prüfen:** Die Seite des Subaccounts zeigt den Abschnitt „Anmeldung von tenantree am IAS“ mit einer JWKS-Adresse.

### Schritt C2 – JWKS-Adresse im IAS hinterlegen und aktivieren
- Im Portal auf der Seite des Subaccounts im Abschnitt „Anmeldung von tenantree am IAS“ die JWKS-Adresse kopieren.
- IAS-Administrationskonsole → Anwendung „tenantree“ → Application APIs → Client Authentication → Abschnitt **„Configure Trust by URI“** (unterhalb von „JSON Web Tokens“; nicht der Dialog „Add JSON Web Token“) → „Add“ → Feld „URI“: die JWKS-Adresse; „Refresh Interval“: Voreinstellung „24 hours“ → speichern.
- Zurück im Portal: „Aktivieren“. tenantree prüft den Schlüssel am Token-Endpunkt des IAS und verwendet ihn erst danach.
- **Prüfen:** Der Schlüssel wird als aktiv angezeigt. Meldet das Portal, dass die JWKS-Adresse noch nicht hinterlegt oder abgerufen ist, die Eintragung im IAS prüfen und es nach kurzer Zeit erneut versuchen. Nach fünf fehlgeschlagenen Versuchen sperrt das IAS die Client-ID für 60 Minuten.

### Schritt C3 – Verbindung prüfen
- Auf der Seite des Subaccounts „Verbindung prüfen“ wählen und am IAS anmelden. Das IAS-Konto benötigt die Gruppen `Tenantree_User` und `Tenantree_Admin`.
- **Prüfen:** Die Prüfung meldet, dass die Verbindung eingerichtet ist; der Subaccount gilt als bestätigt.

### Schritt C4 – Sich selbst dem Subaccount zuordnen
- Auf der Seite des Subaccounts → Nutzer → „Nutzer zuordnen“ → eigenes Profil wählen. **Auch Landscape Owner und Landscape Admin brauchen diese Zuordnung**, sonst zeigt der KI-Agent keinen Subaccount.
- **Prüfen:** Das eigene Profil steht in der Liste der zugeordneten Nutzer.

### Schritt C5 – Plugin installieren
- Voraussetzung: Claude Code ist installiert (`claude --version` gibt eine Versionsnummer aus). Meldet das Terminal `command not found: claude`, zuerst installieren (macOS/Linux: `curl -fsSL https://claude.ai/install.sh | bash`, danach neues Terminalfenster öffnen; Anleitung: https://code.claude.com/docs/en/setup). Claude Code erfordert ein Pro-, Max-, Team-, Enterprise- oder Console-Konto.
- Im Terminal den tenantree-Marketplace hinzufügen und das Plugin installieren:
  ```
  claude plugin marketplace add tenantree-de/claude-plugin
  claude plugin install tenantree@tenantree
  ```
  Alternativ in einer laufenden Claude-Code-Sitzung: `/plugin marketplace add tenantree-de/claude-plugin` und `/plugin install tenantree@tenantree`. Ohne Zugriff auf GitHub: Portal → Plugin → „Plugin herunterladen“ (ZIP), entpacken und den Ordner mit `claude plugin marketplace add ~/tenantree-plugin` hinzufügen.
- Claude Code neu starten, `/mcp` aufrufen, Server `tenantree` auswählen, Anmeldung starten.
- Im Browser öffnet sich das Portal: anmelden (mit Zwei-Faktor, sofern eingerichtet) und „Zulassen“ wählen. Nur zulassen, wenn die Anmeldung gerade selbst gestartet wurde.
- **Prüfen:** `/mcp` zeigt `tenantree` als verbunden.

### Schritt C6 – Subaccount verwenden und am IAS anmelden
- Im KI-Agenten: „Zeig mir meine tenantree-Subaccounts.“ → `tenantree_subaccount_query` (die Global Accounts: `tenantree_globalaccount_query`; die Landscape mit Global Accounts und Subaccounts: `tenantree_landscape_query`).
- „Verwende QS.“ (Namen des Subaccounts nennen) → `tenantree_landscape_use` mit dem Parameter `subaccount` (bei gleichem Namen in mehreren Global Accounts zusätzlich `globalAccount`). Es gibt immer genau ein aktives Ziel.
- „Melde mich am IAS an.“ → `tenantree_landscape_signin` liefert einen Einmal-Link (10 Minuten gültig, einmal verwendbar). Link im Browser öffnen und am IAS anmelden.
- **Prüfen:** Das Portal bestätigt die Anmeldung mit der Berechtigung (Nutzung oder Nutzung und Verwaltung). Im KI-Agenten: „Zeig meine Berechtigung.“ → `tenantree_access_read` zeigt IAS-Identität, Gruppen und Recht je Dienst.

---

## 8. Fehlerbilder und Lösungen

| Meldung oder Beobachtung | Ursache | Lösung |
|---|---|---|
| Das Portal lehnt das Passwort ab | Passwortregeln nicht erfüllt | Mindestens 12 Zeichen mit Buchstabe, Ziffer und Sonderzeichen wählen; die Prüfliste im Formular zeigt, was fehlt |
| Der KI-Agent oder das Dashboard meldet eine fehlende tenantree-Lizenz | Lizenz nicht vergeben | Landscape Owner vergibt die Lizenz unter Nutzer (P4); eine neue Anmeldung ist nicht nötig |
| „Die E-Mail-Adresse im IAS (…) stimmt nicht mit Ihrem Tenantree-Profil (…) überein.“ | Benutzer im IAS hat eine andere Adresse | Adresse im IAS angleichen (B3) oder mit der Profiladresse anmelden |
| „Die E-Mail-Adresse ist im IAS nicht bestätigt.“ | E-Mail im IAS unbestätigt | Adresse im IAS bestätigen, erneut anmelden |
| Berechtigung „Keine Berechtigung“ | Benutzer in keiner der beiden Gruppen, oder Attribut `groups` fehlt im Token | B5 prüfen; in B4 Attribut `groups` (Identity Directory, All Groups) prüfen; danach neu anmelden |
| „Aktivieren“ meldet, die JWKS-Adresse sei nicht hinterlegt oder noch nicht abgerufen | Adresse nicht im Abschnitt „Configure Trust by URI“ gespeichert, oder das IAS hat sie noch nicht abgerufen | Eintragung in C2 prüfen (nicht im Dialog „Add JSON Web Token“); nach kurzer Zeit erneut versuchen |
| „Das IAS hat den Code nicht eingelöst (HTTP 401)“ | Schlüssel nicht aktiviert, oder bei Anmeldung per Client-Secret: Secret falsch oder abgelaufen | C2 abschließen; bei Client-Secret ein neues Secret anlegen und im Portal eintragen |
| IAS zeigt Fehler zur Redirect URI | Redirect URI nicht exakt eingetragen | Exakt `https://portal.tenantree.de/sso/callback` eintragen (ohne Schrägstrich am Ende) |
| „Verbindung prüfen“ schlägt fehl, IAS nicht erreichbar | Issuer-URL falsch (zum Beispiel mit `/admin` oder Schrägstrich am Ende) | Issuer-URL ohne `/admin` eintragen; nur https |
| Das Portal lehnt die BTP-Region ab | Region nicht in der Form von SAP | Region genau aus dem Cloud-Foundry-API-Endpunkt übernehmen, zum Beispiel `eu10-005` |
| Das Portal lehnt einen Service Key ab | falscher Dienst oder Plan, oder der Schlüssel stammt nicht von SAP | Schlüssel aus B6 verwenden (Plan `apiaccess` bzw. `subaccount-admin`) |
| „Der Anmeldelink ist abgelaufen oder wurde bereits verwendet.“ | Link älter als 10 Minuten oder schon benutzt | Im KI-Agenten einen neuen Link anfordern |
| Der KI-Agent zeigt keinen Subaccount | Person dem Subaccount nicht zugeordnet | C4 durchführen |
| `/mcp` zeigt `tenantree` als nicht verbunden | Anmeldung nicht abgeschlossen oder abgelaufen | In `/mcp` den Server auswählen und erneut anmelden |
| Portal verlangt die Einrichtung der Zwei-Faktor-Anmeldung | Pflicht für Landscape Owner und Landscape Admin | Einrichtung abschließen (P1) |
| Konto gesperrt nach mehreren Fehlversuchen | Schutz gegen Passwortraten | Nach Ablauf der Sperre erneut versuchen oder kontakt@tenantree.de schreiben |

---

## 9. Sicherheitshinweise für die Person

- tenantree speichert keine Geschäftsdaten. Service Keys und, falls verwendet, ein Client-Secret werden verschlüsselt gespeichert und nie wieder angezeigt. Bei der Anmeldung per signiertem JWT entsteht im IAS kein Secret.
- Geheimnisse (Secrets, Service Keys, Passwörter, Wiederherstellungscodes, Einmal-Links) nie in Chats, Tickets oder E-Mails einfügen. Passwörter für Systeme gibt die Person nur über die Einmal-Links ein, die tenantree dafür anbietet.
- Auf der Zustimmungsseite des Portals nur „Zulassen“ wählen, wenn die Anmeldung gerade selbst gestartet wurde.
- Änderungen werden ausschließlich auf der Freigabeseite des Portals freigegeben, nie im Chat. Bei Produktions-Subaccounts fragt der KI-Agent vor jeder Änderung ausdrücklich nach.

Kontakt: kontakt@tenantree.de · Portal: https://portal.tenantree.de · Anbieter: Sandner Consulting, Inh. Jonathan Sandner