Verwaltung

Der Verwaltungsbereich ist die Schaltzentrale für alle mandantenweiten Einstellungen Ihres Kelaria-Mandanten: Benutzer, Einladungen, Kunden, Zugriffsgruppen und die Konfiguration der KI-Agenten.

Connectoren liegen im Projekt, nicht in der Verwaltung

Externe Wissensquellen (Confluence, SharePoint) binden Sie je Projekt über den Nav-Punkt Connectoren an - nicht hier in der mandantenweiten Verwaltung. Siehe Connectoren.

Wer die Verwaltung nutzt

Die Verwaltung ist für die Rolle Tenant-Admin gedacht. Der Link erscheint in der oberen Navigationsleiste als Schild-Symbol mit der Beschriftung Verwaltung, wenn Ihr Konto diese Rolle hat. Mit der Rolle Kunden-Admin sehen Sie in der Verwaltung nur die Seiten Benutzer und Einladungen, beschränkt auf die Kunden, die Ihnen zugeordnet sind.

Verwaltung öffnen

Klicken Sie in der Kopfzeile auf Verwaltung (Schild-Symbol). Sie gelangen zur Übersicht des Verwaltungsbereichs.

In der linken Seitenleiste finden Sie alle verfügbaren Bereiche, gegliedert in zwei Gruppen:

• Customer-Verwaltung - Kunden, Benutzer, Einladungen
• Tenant-Konfiguration - Einstellungen, Zugriffsgruppen, API Keys, Single Sign-On, KI-Prompts

---

Benutzer

Unter Benutzer sehen Sie alle registrierten Konten Ihres Mandanten.

Benutzer anlegen:

1. Klicken Sie auf Benutzer anlegen.
2. Füllen Sie E-Mail, Passwort, Anzeigename, Rolle und (optional) Kundenzuordnung aus.
3. Klicken Sie auf Speichern.

Benutzer einladen:

1. Klicken Sie auf Einladen.
2. Geben Sie eine oder mehrere E-Mail-Adressen ein (eine pro Zeile).
3. Wählen Sie Rolle und optional eine Kundenzuordnung. Als Tenant-Admin können Sie außerdem Zugriffsgruppen vorbelegen; mit der Annahme der Einladung wird die Person Mitglied (siehe Zugriffsgruppen).
4. Klicken Sie auf Einladungen senden - jede Adresse erhält eine Einladungs-E-Mail.

Bereits versendete Einladungen erscheinen in der aufklappbaren Liste Einladungen. Dort können Sie Einladungen erneut senden oder löschen. Angenommene Einladungen werden nach 7 Tagen automatisch aus der Liste entfernt.

Welche Rolle vergeben?

Die Auswahl Rolle im Formular kennt fünf Rollen:

Rolle	Was die Person darf	Typisch für
Benutzer	Alles im Projekt ansehen und Fragen stellen, nichts ändern. Kela gibt Auskunft, ändert aber nichts.	Kolleginnen und Kollegen, die das Wissen nutzen
Experte	Projektinhalte bearbeiten und kuratieren: Ontologie, Dokumente, Connectoren, Review-Queue, Explorer, Regeln, Wissen erfassen. Experten-Gespräche führen.	Fachleute, die ihr Wissen einbringen und prüfen
Kurator	Alles, was ein Experte darf, dazu Knowledge-Agents anlegen und die Gespräche und Transkripte anderer Personen sehen.	Die Person, die die Wissensbasis eines Projekts pflegt
Kunden-Admin	Benutzer und Einladungen der zugeordneten Kunden verwalten und dabei jede Rolle außer Tenant-Admin vergeben. In den Projekten nur lesen.	Ansprechpartner eines Kunden, der dessen Konten selbst pflegt
Tenant-Admin	Alles, was ein Kurator darf, dazu die gesamte Verwaltung. Außerdem Projekte anlegen, Projekt-Einstellungen öffnen und frühere Ontologie-Versionen wiederherstellen.	Die verantwortliche Administration des Mandanten

Mehr dazu: Anmeldung & Rollen.

TIP

Einem Benutzer mit der Rolle Kunden-Admin können Sie über das Bearbeitungsformular mehrere Kunden zuweisen, die dieser Benutzer verwalten darf.

---

Zugriffsgruppen

Eine Zugriffsgruppe legt fest, welche Projekte ihre Mitglieder und Schlüssel sehen und bis zu welcher Vertraulichkeitsstufe. Die Rolle einer Person bestimmt, was sie in einem Projekt tun darf; ihre Zugriffsgruppen bestimmen, welche Projekte sie überhaupt sieht. Zugriffsgruppen verwalten nur Tenant-Admins unter Verwaltung → Zugriffsgruppen; Kunden-Admins sehen sie nicht.

Durchsetzung je Umgebung

Für API-Schlüssel gilt die Gruppe sofort. Für Personen wird die Durchsetzung je Umgebung freigeschaltet. Solange sie nicht aktiv ist, sehen Personen wie bisher alle Projekte, und die Verwaltung zeigt den Hinweis „Durchsetzung für Personen ist in dieser Umgebung noch nicht aktiv". Tenant-Admins sehen unabhängig von Zugriffsgruppen immer alle Projekte.

Was eine Gruppe festlegt

Angabe	Bedeutung
Projekte	Eine Auswahl von Projekten oder Alle Projekte, auch künftig angelegte. Ohne Projekt gibt die Gruppe nichts frei. Projekte außerhalb der Gruppe erscheinen so, als gäbe es sie nicht.
Vertraulichkeitsstufe	Die höchste Stufe, deren Dokumente Mitglieder und Schlüssel der Gruppe sehen: Öffentlich, Intern, Vertraulich oder Streng vertraulich. Dokumente oberhalb der Stufe erscheinen ebenfalls so, als gäbe es sie nicht.
Quellen oberhalb der Stufe	Quellen oberhalb verwerfen (Standard): Dokumente über der Stufe fließen nicht in Antworten ein. nutzen, nicht offenlegen: Wissen aus diesen Dokumenten fließt in Antworten ein, ohne Zitat, Wortlaut oder Quellenangabe; nur bei einer Stufe unter „Streng vertraulich" wählbar.

Ist eine Person Mitglied mehrerer Gruppen, sieht sie jedes Projekt, das eine ihrer Gruppen freigibt, und je Projekt alles bis zur höchsten Stufe dieser Gruppen.

Wissensgraph folgt später

Für Personen gilt eine Gruppe für Projekte, Dokumente und Antworten. Einträge im Wissensgraphen, im Graph-Explorer wie in Kela, schränkt ihre Stufe erst mit einer späteren Ausbaustufe ein. Bis dahin sieht eine Person mit einer Gruppe unter „Streng vertraulich" im Graphen auch Einträge, die aus höher eingestuften Dokumenten stammen.

Gruppe anlegen

1. Öffnen Sie Zugriffsgruppen in der Seitenleiste und klicken Sie auf Gruppe anlegen.
2. Geben Sie einen Namen und optional eine Beschreibung ein.
3. Wählen Sie die Projekte oder Alle Projekte, auch künftig angelegte.
4. Wählen Sie die Vertraulichkeitsstufe und den Umgang mit Quellen oberhalb der Stufe.
5. Klicken Sie auf Anlegen.

Ein Klick auf eine Zeile öffnet den Detailbereich der Gruppe mit Mitgliedern, Schlüsseln und der Verbindung für MCP-Clients. Löschen lässt sich eine Gruppe erst, wenn alle ihre Schlüssel widerrufen sind.

Mitglieder

Unter Mitglieder bearbeiten wählen Sie die Personen der Gruppe aus. Alternativ setzen Sie die Gruppen einer Person unter Benutzer im Bearbeitungsformular (Feld Zugriffsgruppen). Beim Einladen können Sie Gruppen vorbelegen; mit der Annahme der Einladung wird die Person Mitglied. Neben jedem Mitglied steht, woher die Mitgliedschaft kommt: manuell, Einladung oder SSO.

Schlüssel je Gruppe

API-Schlüssel verbinden externe Systeme, etwa eine KI-Oberfläche oder ein Kundenportal, über MCP mit Kelaria. Jeder Schlüssel gehört zu genau einer Gruppe und erbt deren Projekte, Stufe und Umgang mit Quellen oberhalb der Stufe.

1. Klicken Sie im Detailbereich der Gruppe auf Schlüssel anlegen.
2. Geben Sie einen Namen ein und wählen Sie die Berechtigungen (Scopes): Wissensbasis (Lesen) und Wissensbasis (Fragen) für Kunden-Oberflächen, Control-Plane (Lesen) und Control-Plane (Schreiben) für Integrationen, die kuratieren. Gruppen unter „Streng vertraulich" erlauben nur die Wissensbasis.
3. Setzen Sie optional ein Ablaufdatum und klicken Sie auf Schlüssel erstellen.
4. Kopieren Sie den Schlüssel sofort. Kelaria zeigt ihn nur dieses eine Mal an und speichert ihn nicht im Klartext.

Der Block Verbindung für MCP-Clients nennt die Adresse des Servers (Wissensbasis …/kb/mcp, Control-Plane …/cp/mcp) und den Header Authorization: Bearer <Schlüssel>, den Sie im externen System eintragen. Jede Schlüsselkarte zeigt, wann der Schlüssel erstellt und wann er zuletzt genutzt wurde.

Rotieren erzeugt einen neuen Schlüssel in derselben Gruppe mit denselben Berechtigungen. Der bisherige Schlüssel bleibt für die Karenzzeit gültig (Vorgabe 7 Tage), damit Sie das externe System umstellen können; danach läuft er ab.

Widerrufen sperrt einen Schlüssel sofort. Das lässt sich nicht rückgängig machen.

Standardgruppe

Personen ohne eigene Gruppe, etwa nach einer Selbstregistrierung oder einer Einladung ohne Gruppe, erhalten die Standardgruppe. Sie stellen sie unter Einstellungen im Abschnitt Zugriff ein (Feld Standardgruppe für neue Personen). Mit Keine sehen Personen ohne eigene Gruppe keine Projekte.

Jeder Mandant hat die Bestandsgruppe Bestand Personen (alle Projekte, Streng vertraulich). Sie ist seit der Einführung der Zugriffsgruppen als Standardgruppe gesetzt, damit sich für bestehende Konten nichts ändert, bis Sie den Standard enger setzen. Bestandsgruppen lassen sich nicht löschen; ihre Projekte, Stufe und Modus sind fest, Name, Beschreibung und die Wahl als Standardgruppe bleiben änderbar.

Zugriffsgruppen aus dem Unternehmens-Login

Unter Single Sign-On ordnet der Reiter Gruppen-Zuordnung Gruppen aus Ihrem Unternehmens-Login einer Zugriffsgruppe zu, und unter Einstellungen → Zugriff gibt es den Schalter SSO-Anmeldung nur mit Gruppen-Zuordnung. Beides können Sie schon pflegen; wirksam wird es mit einer späteren Ausbaustufe, die die Gruppen bei jeder Anmeldung abgleicht.

---

Kunden

Unter Kunden verwalten Sie die Kunden-Einheiten Ihres Mandanten - zum Beispiel Unternehmensabteilungen oder externe Kunden.

• Kunden anlegen: Name, Kurzbezeichnung, Kontakt-E-Mail und optional eine Benutzer-Obergrenze sowie erlaubte E-Mail-Domains für die Selbstregistrierung.
• Kunden bearbeiten: Klick auf eine Zeile öffnet das Formular.
• Kunden löschen: Nur möglich, wenn dem Kunden keine Benutzer mehr zugeordnet sind.

---

KI-Prompts

Unter KI-Prompts passen Sie die Anweisungen an, mit denen Kelarias KI-Agenten Aufgaben durchführen - pro Mandant, ohne Programmierkenntnis.

Hier finden Sie alle anpassbaren Agenten, jeweils als eigene Karte:

• den Assistenten: Kela (Kurations-Copilot),
• die Ontologie: Ontologie-Bootstrap und Ontologie-Erweiterung (schlägt additiv neue Typen aus Dokumenten vor),
• die Dokument-Verarbeitung: PDF-Bildkorrektur (Vision) und PDF Bild-Transkription (OCR-Fallback für Seiten ohne Textschicht), Chunk-Bereinigung, Dokument-Anreicherung (einschließlich der automatischen Dokumenttyp-Klassifikation) sowie die Schwärzung mit PII-Redaktion (Recall-Pass, Schicht 2) und PII-Redaktion für Gespräche (Personen und Orte, Pflicht),
• den Graph-Bau: Graph-Extraktion und Graph-Modellierungs-Review (Typ + Attribut-Folds),
• den Fragen-Tab: Activation - Seed-Extraktion und Activation - Antwort-Synthese,
• die Experten-Gespräche: fünf Karten Experten-Gespräch - … für Gesprächsführung, Aussagen zerlegen (Graph-Abgleich), Vorschläge extrahieren, Leitfaden erzeugen und Zusammenfassung. Sie wirken nur, wenn die Experten-Gespräche in Ihrer Umgebung freigeschaltet sind.

Jede Karte beschreibt, was der Agent tut; den Prompt können Sie auf Ihre Domäne abstimmen.

Einen Prompt anpassen

1. Öffnen Sie KI-Prompts in der Seitenleiste.
2. Sie sehen eine Karte pro Agent. Die Statuszeile zeigt an, was gerade gilt: Standard aktiv, Tenant-Override aktiv (Ihr eigener Prompt) oder Eigenes Modell, Standard-Prompt (Sie haben nur das Modell geändert).
3. Klicken Sie auf Standard-Prompt anzeigen, um den Ausgangstext einzusehen - inklusive der Pflicht-Platzhalter, die erhalten bleiben müssen.
4. Bearbeiten Sie den Text im Eingabefeld und wählen Sie bei Bedarf unter Modell ein anderes Sprachmodell; das Standardmodell ist mit „(Standard)" markiert.
5. Klicken Sie auf Speichern.

Wollen Sie nur das Modell wechseln, lassen Sie den Text unverändert und speichern. Der Prompt bleibt dann Standard und folgt künftigen Verbesserungen von Kelaria.

WARNING

Bestimmte Platzhalter im Prompttext sind Pflicht und dürfen nicht entfernt werden - zum Beispiel {project_name}, {project_description} und {additional_context_block}. Fehlt einer davon, erscheint eine Fehlermeldung und der Prompt wird nicht gespeichert.

Verfügbare Variablen

Jede Agent-Karte listet unter Verfügbare Variablen alle Platzhalter auf, die der jeweilige Prompt kennt - mit einer kurzen Beschreibung und der Kennzeichnung Pflicht oder optional. So sehen Sie auf einen Blick, welche Platzhalter ein angepasster Prompt verwenden darf und welche zwingend erhalten bleiben müssen.

Bei Activation - Seed-Extraktion ist {graph_vocab_terms} optional. Dort setzt Kelaria die Begriffe aus den Dokument-Fundstellen der Frage ein, kommagetrennt. Die Anweisung, wie das Modell diese Begriffe nutzen soll, steht im Standard-Prompt im selben Absatz direkt davor und lässt sich anpassen. Liegen keine Begriffe vor, lässt Kelaria den ganzen Absatz mit dem Platzhalter weg. Halten Sie Anweisung und Platzhalter deshalb in einem eigenen Absatz: mit einer Leerzeile davor und danach und ohne weitere Platzhalter wie {question} darin. Sonst nimmt Kelaria den Prompt beim Speichern nicht an. Entfernen Sie den Platzhalter, nutzt Kelaria für diesen Prompt keine Begriffe aus den Fundstellen; entfernen Sie dann auch die Anweisung davor.

Auf den Standard zurücksetzen

Wenn Ihre Anpassung nicht mehr passt, klicken Sie auf Auf Standard zurücksetzen. Nach einer Bestätigungsabfrage kehren Prompt und Modell zum Standard zurück.

TIP

Nutzen Sie den Standard-Prompt als Vorlage: Klappen Sie ihn auf, kopieren Sie ihn in das Eingabefeld und nehmen Sie nur die Anpassungen vor, die Ihrer Domäne nutzen - zum Beispiel Fachbegriffe, Branchenkonventionen oder ein gewünschtes Detailniveau.

Kela einstellen

Die Karte Kela (Kurations-Copilot) steuert den Assistenten Kela für Ihren Mandanten:

• Prompt: Der Standard beschreibt, wie Kela auftritt und arbeitet. Ein eigener Text ersetzt ihn, zum Beispiel für Ihre Fachsprache oder einen bestimmten Ton. Platzhalter gibt es hier nicht.
• Modell: Standard ist Claude Opus 5, wählbar ist auch Claude Sonnet 5 (schneller und günstiger, bei komplexen Aufgaben weniger gründlich).
• Was Sie nicht einstellen müssen: Rolle der Person, Nur-lesend-Modus, Datum und die Freigaberegel hängt Kelaria automatisch an. Rechte, Freigabe-Karte und Vier-Augen-Prinzip setzt Kelaria unabhängig vom Prompt durch.

Änderungen wirken ab dem nächsten Kela-Gespräch. Probieren Sie sie direkt im Kela-Panel aus, am besten mit Neuer Chat.

Hintergrundinformationen für KI-Agenten

Neben den Prompts können Sie den KI-Agenten einen freien Domänen-Kontext mitgeben, der ihnen hilft, Ihre Branche und Ihren Anwendungsfall zu verstehen:

• Mandanten-Kontext - Tragen Sie unter Verwaltung → Einstellungen (Allgemein-Tab) im Feld Hintergrundinformationen für KI-Agenten eine kurze Beschreibung Ihres Mandanten ein, z. B. „Wir sind Maschinenbauer für industrielle Heiztechnik und vertreiben Wärmepumpen sowie Brennwertkessel." oder „Wir produzieren Lebensmittel für den europäischen Einzelhandel."
• Projekt-Kontext - Ergänzend dazu können Sie in den Projekt-Einstellungen ein Feld Projekt-Kontext für KI-Agenten befüllen, das auf ein einzelnes Projekt zugeschnitten ist.

Beide Felder wirken additiv: Kelaria fügt zuerst den Mandanten-Kontext ein, dann den Projekt-Kontext. Ist nur eines der Felder befüllt, wird nur dieses verwendet.

Der kombinierte Kontext fließt als optionaler Platzhalter {background_block} in alle Agenten ein, die mit Inhalten Ihrer Domäne arbeiten: Ontologie-Bootstrap und Ontologie-Erweiterung, Chunk-Bereinigung, Dokument-Anreicherung, Graph-Extraktion und Graph-Modellierungs-Review, die Antwort-Synthese im Fragen-Tab sowie alle fünf Agenten der Experten-Gespräche. Die Bild-Texterkennung, die Schwärzung, die Seed-Extraktion und Kela erhalten ihn nicht.

Der Mandanten-Kontext gilt für alle Projekte

Was im Mandanten-Kontext steht, prägt jedes Projekt Ihres Mandanten: den Graph-Bau ebenso wie die Gesprächsführung der Knowledge-Agents. Arbeiten Sie in einem Mandanten mit mehreren Fachgebieten (zum Beispiel Heizungstechnik in einem Projekt und Photovoltaik in einem anderen), schreiben Sie in den Mandanten-Kontext nur, was für alle gilt, und legen Sie das Fachgebiet in den Projekt-Kontext des jeweiligen Projekts. Sonst beginnt etwa ein Knowledge-Agent im Photovoltaik-Projekt sein Gespräch mit Fragen zu Wärmepumpen.

Eine Änderung am Kontext wirkt ab dem nächsten Verarbeitungsschritt und im nächsten Gesprächsbeitrag. Bereits gebaute Wissensgraphen ändern sich dadurch nicht; dafür müssten die Dokumente neu verarbeitet werden („Nur Graph neu bauen").

INFO

Beide Felder sind optional. Sind sie leer, ändert sich am Verhalten der Agenten nichts. Es empfiehlt sich, den Mandanten-Kontext so knapp und präzise wie möglich zu halten - zwei bis vier Sätze genügen.

---

Eigene Subdomain je Mandant

Jeder Mandant ist unter einer eigenen Subdomain erreichbar - <kunde>.kelaria.com (die Kurzbezeichnung Ihres Mandanten als Präfix). Sie können Kelaria also unter Ihrer mandanteneigenen Adresse aufrufen statt nur über app.kelaria.com; melden Sie sich auf einer fremden Mandanten-Subdomain an, werden Sie automatisch auf Ihre eigene geleitet. Die Datentrennung bleibt davon unberührt - sie hängt strikt an Ihrer Anmeldung, nicht an der Adresse.

Die eigene Subdomain ist zugleich die Grundlage für SSO pro Mandant: Erst über die mandantenspezifische Adresse lässt sich ein kundeneigener Identity Provider (siehe Single Sign-On) sauber anbinden. Für die Subdomain ist kein Einrichtungsschritt nötig - sie steht mit dem Mandanten automatisch zur Verfügung.

---

Weitere Einstellungen

Die Seitenleiste enthält zusätzlich:

• Einstellungen - allgemeine Mandanteneinstellungen, im Abschnitt Zugriff die Standardgruppe für neue Personen
• API Keys - die Gesamtliste aller Schlüssel für die programmatische Anbindung externer Systeme, mit Gruppe, Stufe und Projekten je Schlüssel. Jeder neue Schlüssel gehört zu einer Zugriffsgruppe, die Sie beim Anlegen wählen müssen; Projekte und Vertraulichkeitsstufe kommen aus der Gruppe, nicht vom Schlüssel. Schlüssel aus der Zeit vor den Zugriffsgruppen sehen weiter alle Projekte mit ihrer eigenen Stufe, bis Sie ihnen hier eine Gruppe zuordnen. Rotieren und Widerrufen funktionieren wie unter Schlüssel je Gruppe.
• Single Sign-On - Verbindung zu einem externen Identity Provider (z. B. Unternehmens-SSO)

Diese Bereiche sind ebenfalls auf Tenant-Admins beschränkt.

Rollen-Mapping bei SSO

Unter Single Sign-On ordnen Sie im Reiter Rollen-Mapping Gruppen aus Ihrem Unternehmens-Login einer Kelaria-Rolle zu. Als Claim-Wert tragen Sie den Gruppennamen ein, den Ihr Identity Provider liefert (zum Beispiel kelaria-admins). Damit Kelaria die Gruppen liest, braucht der Reiter OIDC-Konfiguration zwei Angaben: unter Scopes den Eintrag groups und im aufklappbaren Bereich Erweitert im Feld Groups-Claim den Namen des Claims, der die Gruppen enthält (meist groups). Bleibt Groups-Claim leer, greift das Mapping nicht und jede neue Person erhält die Rolle Benutzer.

• Zur Auswahl stehen Benutzer, Kunden-Admin und Tenant-Admin. Passen mehrere Gruppen, gilt die höchste dieser Rollen; passt keine, erhält die Person die Rolle Benutzer.
• Die Rolle wird nur gesetzt, wenn Kelaria das Konto bei der ersten SSO-Anmeldung neu anlegt. Gibt es zur E-Mail-Adresse schon ein bestätigtes Konto, verknüpft Kelaria es und die bisherige Rolle bleibt. Spätere Änderungen am Mapping betreffen nur neue Konten.
• Kurator und Experte lassen sich nicht per Mapping vergeben. Diese Rollen und jede Änderung an bestehenden Konten setzen Sie unter Benutzer.

---

Nächste Schritte

• Projekte anlegen und verwalten - Projekte sind der Ausgangspunkt für jede Wissensstruktur.
• Ontologie-Editor - das Wissensschema eines Projekts bearbeiten.
• KI-Bootstrap für die Ontologie - wie der Ontologie-Bootstrap-Agent einen Schema-Vorschlag erstellt.