--- title: Tunnel in der Console verwalten url: https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/console description: Erstelle Tunnel, registriere CA-Zertifikate, rufe das Tunnel-Token ab und hänge getunnelte MCP-Server über die Claude Console an Agenten an. --- „MCP tunnels" (MCP-Tunnel) befinden sich in der „research preview" (Forschungsvorschau). [Fordere Zugang an](https://claude.com/form/mcp-tunnels), um sie auszuprobieren. Diese Seite behandelt die Console-Seite eines MCP-Tunnel-Deployments: das Erstellen eines Tunnels, das Registrieren deines CA-Zertifikats, das Abrufen des Tunnel-Tokens und das Anhängen der [Upstream-MCP-Server](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#components) an einen Agenten. [MCP-Tunnel mit Helm bereitstellen](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/deploy-helm) und [MCP-Tunnel mit Docker Compose bereitstellen](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/deploy-compose) behandeln den Betrieb des [Tunnel-Stacks](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#components) innerhalb deines Netzwerks. ## Voraussetzungen * **Ein oder mehrere MCP-Server**, die in deinem privaten Netzwerk laufen. Der Tunnel leitet Traffic zu ihnen weiter; er hostet sie nicht. Siehe [Remote-MCP-Server](https://platform.claude.com/docs/de/agents-and-tools/remote-mcp-servers) für Beispiele, die du bereitstellen kannst. * **Eine Console-Rolle mit der Berechtigung „Manage tunnels“ (Tunnel verwalten)**, damit du Tunnel erstellen und archivieren, das Token rotieren und Zertifikate verwalten kannst. Organisations-Admins und -Owner haben sie standardmäßig; benutzerdefinierte Rollen und kontobezogene Berechtigungen können sie ebenfalls enthalten. Rollen ohne diese Berechtigung haben nur Lesezugriff auf die Seite **MCP tunnels** und die Tunnel-Details. * **Eine Möglichkeit für deinen Stack, sich bei der Tunnels API zu authentifizieren.** Wähle eine: * **[Programmatischer Zugriff](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) (empfohlen).** Richte während der Tunnel-Erstellung [Workload Identity Federation](https://platform.claude.com/docs/de/manage-claude/workload-identity-federation) ein, damit dein Stack kurzlebige API-Token von deinem Identity Provider ausstellt, das Tunnel-Token abruft und automatisch ein CA-Zertifikat generiert und registriert. Erfordert die Berechtigung zum Verwalten von Federation-Regeln, einen registrierten OIDC-Issuer und eine Federation-Regel mit dem Scope `workspace:manage_tunnels`. * **[Manuell](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#credential-provisioning).** Überspringe den programmatischen Zugriff. Nach dem Erstellen des Tunnels [rufst du das Tunnel-Token ab](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/console#get-the-connection-details), generierst und [registrierst selbst ein CA-Zertifikat](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate) und stellst das Token und dein Server-Zertifikat deinem Tunnel-Stack als Secrets bereit. ## Einen Tunnel erstellen Gehe in der Claude Console zur Seite [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Tunnel sind Workspace-bezogen; der neue Tunnel gehört zu dem Workspace, der aktuell in der Console ausgewählt ist. Wähle den gewünschten Workspace in der Workspace-Auswahl in der Seitenleiste aus. Klicke auf **New tunnel** und gib im Dialog **Create tunnel** einen Namen ein. Der Name ist erforderlich und identifiziert den Tunnel in der Liste, auf der Detailseite und in der MCP-Server-Auswahl des Agenten. Eine Domain der Form `abcd1234.tunnel.anthropic.com` wird automatisch zugewiesen. Wenn deine Rolle Federation-Regeln verwalten kann, erscheint ein Schalter **Set up programmatic access** (standardmäßig aus). Wenn nicht, zeigt die Console an dessen Stelle einen Hinweis an, und dein Tunnel-Stack verwendet stattdessen den manuellen Ablauf. Der Rest des Erstellungsablaufs ist in beiden Fällen gleich. Programmatischer Zugriff basiert auf [Workload Identity Federation](https://platform.claude.com/docs/de/manage-claude/workload-identity-federation); lies zuerst diese Seite, wenn dir Federation-Issuer, -Regeln und Service-Accounts nicht vertraut sind. Um den Schalter zu aktivieren, benötigst du: 1. **Einen registrierten OIDC-Issuer** für den Identity Provider, von dem dein Stack Token vorlegt (etwa ein Kubernetes-Cluster, AWS IAM, Google Cloud oder GitHub Actions). Registriere einen auf dem Tab **Issuers** der Seite [Workload identity](https://platform.claude.com/settings/workload-identity-federation) (`platform.claude.com/settings/workload-identity-federation`) in der Claude Console, falls deine Organisation noch keinen hat. 2. **Eine Federation-Regel mit dem Scope `workspace:manage_tunnels`.** Das Aktivieren des Schalters blendet eine Auswahl **Federation rule** ein. Wähle eine bestehende Regel mit diesem Scope oder klicke auf **Create federation rule**, um inline eine zu erstellen. 3. **Den Service-Account der Regel, hinzugefügt zu diesem Workspace.** Die Tunnels API autorisiert anhand der Workspace-Mitgliedschaften des Service-Accounts. Wenn du den Tunnel in einem anderen Workspace als dem Standard-Workspace der Organisation erstellst, [füge den Service-Account zu diesem Workspace hinzu](https://platform.claude.com/docs/de/manage-claude/workspaces#role-inheritance) und übergib die Workspace-ID bei der Bereitstellung (`api.wif.workspaceId` für Helm, `ANTHROPIC_WORKSPACE_ID` für Compose). Das Überspringen dieses Schritts wird vollständig unterstützt; beide Deployment-Leitfäden haben einen Tab **Without programmatic access** (Ohne programmatischen Zugriff). Klicke auf **Create tunnel**. Die Console stellt den Tunnel bereit und öffnet die Detailseite. Beide Deployment-Wege benötigen: * Die **Tunnel-ID** (`tnl_...`), angezeigt auf der Tunnel-Detailseite. * Die **Tunnel-Domain** (`abcd1234.tunnel.anthropic.com`), angezeigt auf der Tunnel-Detailseite. Wird als `tunnel_domain` des Proxys und im SAN des Server-Zertifikats verwendet. Was du sonst noch benötigst, hängt vom [Modus der Credential-Bereitstellung](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) ab: | Mit programmatischem Zugriff | Ohne programmatischen Zugriff | | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Die **Federation-Regel-ID** (`fdrl_...`) der von dir ausgewählten Regel. Die Regel gilt auf Organisationsebene und wird nicht am Tunnel gespeichert; du findest sie auf dem Tab **Rules** der Seite [Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules) (`platform.claude.com/settings/workload-identity-federation?tab=rules`) in der Claude Console. | Das **Tunnel-Token**, das du mit dem Augen-Symbol neben **Token** auf der Detailseite einblendest. Behandle es als Secret. Siehe [Die Verbindungsdetails abrufen](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/console#get-the-connection-details). | | Die **Organisations-ID** (eine UUID), die auf der Seite [Organization](https://platform.claude.com/settings/organization) (`platform.claude.com/settings/organization`) in der Claude Console angezeigt wird. | Ein **CA-Zertifikat**, das du generierst und [am Tunnel registrierst](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate). | Mit programmatischem Zugriff ruft dein Stack das Tunnel-Token über die Tunnels API ab, generiert die CA und das Server-Zertifikat lokal (der private Schlüssel verlässt deine Umgebung nie) und registriert nur das öffentliche Zertifikat der CA bei Anthropic. Du bist weiterhin dafür verantwortlich, die privaten Schlüssel zu sichern und das Server-Zertifikat zu erneuern, bevor es abläuft. Deine Organisation kann bis zu 10 aktive Tunnel haben. Das Erstellen eines Tunnels stellt keine Konnektivität her; das geschieht erst, wenn sich dein Stack mit dem Tunnel-Token einwählt und ein CA-Zertifikat registriert ist. ## Die Verbindungsdetails abrufen Öffne den Tunnel. Die Detailseite zeigt einen Abschnitt **Connection** mit der Domain und dem Token sowie einen Abschnitt **Certificates**. | Feld | Beschreibung | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Domain** | Kopiere den zugewiesenen Wert `abcd1234.tunnel.anthropic.com`. Die Routen deines Proxys sind Subdomains dieser Domain. | | **Token** | Klicke auf das Augen-Symbol (**Show token**), um das Tunnel-Token abzurufen, und verwende dann das Kopier-Symbol, um es in den Secret-Store deines Tunnel-Stacks zu kopieren. Klicke auf **Rotate token**, um das aktuelle Token ungültig zu machen und ein neues auszustellen. | Jedes Einblenden und jede Rotation wird im Aktivitätsprotokoll der [Compliance API](https://platform.claude.com/docs/de/manage-claude/compliance-api) deiner Organisation aufgezeichnet. Eine Rotation trennt keine bereits bestehenden cloudflared-Verbindungen, sodass du rotieren, mit dem neuen Wert neu deployen und die alten Verbindungen auslaufen lassen kannst. ## Ein CA-Zertifikat hinzufügen Anthropic verifiziert das [innere TLS](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#components) zu deinem [Proxy](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/concepts#components) anhand der CA-Zertifikate, die du am Tunnel registrierst. Ein Tunnel ohne aktive Zertifikate kann keine Verbindungen annehmen und erscheint nicht in der MCP-Server-Auswahl des Agenten, bis eines registriert ist. Scrolle auf der Detailseite des Tunnels zum Abschnitt **Certificates** und klicke auf **Add certificate**. Klicke auf **Choose file**, um eine `.pem`-, `.crt`- oder `.cer`-Datei auszuwählen, ziehe die Datei auf das Textfeld oder füge den PEM-Block direkt ein. Das Modal lehnt Private-Key-Material und Inhalte ab, die kein `-----BEGIN CERTIFICATE-----`-Block sind. Die Datei darf höchstens 8 kB groß sein. Klicke auf **Add certificate**. Der Fingerprint und das Ablaufdatum erscheinen in der Zertifikatsliste, und der Slot-Zähler in der Abschnittsüberschrift erhöht sich. Ein Tunnel hält bis zu zwei aktive Zertifikate, damit du ohne Ausfallzeit rotieren kannst: Registriere das neue Zertifikat neben dem alten, deploye deinen Proxy mit dem neuen Schlüsselpaar neu, bestätige, dass Traffic fließt, und klicke dann in der Zeile des alten Zertifikats auf **Revoke**. Widerrufene Zertifikate bleiben in der Liste mit einem Badge **Revoked** sichtbar. ## Den Tunnel-Stack bereitstellen Der Tunnel existiert in der Console, aber es fließt kein Traffic, bis der Tunnel-Stack innerhalb deines Netzwerks läuft und sich mit dem Tunnel-Token eingewählt hat. Folge einem der Deployment-Leitfäden: Betreibe den Tunnel-Stack auf einem einzelnen Host. Sowohl der Ablauf mit programmatischem Zugriff als auch der manuelle Ablauf. Betreibe den Tunnel-Stack auf einem Kubernetes-Cluster. Sowohl der Ablauf mit programmatischem Zugriff als auch der manuelle Ablauf. ## Den Tunnel in einem Agenten verwenden Sobald dein Stack läuft und einen oder mehrere MCP-Server konfiguriert hat, hänge einen Upstream-MCP-Server an eine Managed-Agent-Session an. Um dieselben Server stattdessen über die Messages API aufzurufen, siehe [Die getunnelten MCP-Server verwenden](https://platform.claude.com/docs/de/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers). Die Auswahl zeigt nur Tunnel mit mindestens einem aktiven Zertifikat. Ein Tunnel, der in der Liste **MCP tunnels** noch **Needs certificate** anzeigt, erscheint nicht im Dropdown; registriere zuerst ein CA-Zertifikat. Die Auswahl ist außerdem Workspace-bezogen: Sie listet Tunnel im selben Workspace wie die Session auf, nicht aus anderen Workspaces. Gehe in der Claude Console zur Seite [Sessions](https://platform.claude.com/sessions) (`platform.claude.com/sessions`) und klicke auf **Create session**. Wähle in der Agenten-Auswahl **Create new agent**, damit du die MCP-Server-Liste direkt bearbeiten kannst. Klicke auf **+ MCP Server** und öffne das Dropdown. Im aktuellen Workspace erstellte Tunnel erscheinen oben in der Liste, über dem öffentlichen Connector-Katalog. Wähle den Tunnel aus, der dem Server vorgeschaltet ist, den du erreichen möchtest. Die Karte zeigt zwei optionale Felder: **Subdomain** (der Tunnel-Domain vorangestellt) und **Path** (dahinter angehängt). Fülle eines oder beide aus, je nachdem, wie die Routen deines Proxys konfiguriert sind. Die Zeile **Resolves to** zeigt die vollständige MCP-Server-URL, mit der sich der Agent verbindet. Der Tunnel transportiert Traffic; er authentifiziert sich nicht beim Upstream-MCP-Server. Konfiguriere OAuth oder Bearer-Authentifizierung auf dem MCP-Server genauso wie bei jedem anderen MCP-Server. ## Einen Tunnel archivieren Das Archivieren stoppt sofort die Annahme von Verbindungen durch den Tunnel und ist dauerhaft. Gehe in der Claude Console zur Seite [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Wähle in der Workspace-Auswahl in der Seitenleiste den Workspace aus, der den Tunnel enthält. Öffne das Zeilenmenü des Tunnels und wähle **Archive**. Archivierte Tunnel bleiben sichtbar, wenn du die Liste nach **Archived** oder **All** filterst. ## Nächste Schritte Installiere auf einem Kubernetes-Cluster mit dem Anthropic-Helm-Chart. Hinweise zur Härtung, Credential-Rotation und Reaktion auf Sicherheitsvorfälle.