403 Forbidden: MCP-Berechtigungsfehler beheben

MCP-403-Forbidden-Fehler beheben – unzureichende Rechte, falscher API-Key-Scope oder Workspace-Zugriff. API-Key-Scopes und erforderliche Berechtigungen pro Tool.

Was bedeutet 403 Forbidden?

403 Verboten heißt: Die Anfrage wurde authentifiziert (API-Key gültig), aber Sie haben keine Berechtigung für die Aktion. Anders als bei 401 Nicht autorisiert.

403 vs. 401

401 Nicht autorisiert: API-Key fehlt, ist ungültig oder widerrufen (Authentifizierung fehlgeschlagen)
403 Forbidden: API-Key gültig, aber keine Berechtigung für die Aktion (Autorisierung fehlgeschlagen)

Siehe 401-Anleitung, wenn Sie Authentifizierungsfehler erhalten.

Häufige Ursachen

1. API-Key-Scope passt nicht

Ihr API-Key hat nicht den nötigen Scope für die Aktion:

Scope-Beispiele

Nur-Lesen-Key: list_tasks und get_task möglich, NICHT create_task oder update_task
Keine Zeiterfassung: Aufgaben verwalten ja, NICHT start_time_tracking oder stop_time_tracking
Begrenzte Projekte: Nur Aufgaben in bestimmten Projekten zugreifbar

So prüfen Sie

In der Corcava-Web-App anmelden
Einstellungen → API-Keys öffnen
API-Key suchen und Berechtigungen/Scopes prüfen
Prüfen, ob der nötige Scope für Ihre Aktion gesetzt ist

2. Workspace-Zugriff

Zugriff auf Ressourcen in einem Workspace, zu dem Sie keinen Zugang haben:

Typische Fälle

Task-ID aus Workspace A, API-Key gehört zu Workspace B
Zugriff auf archivierten oder gelöschten Workspace
API-Key von anderem Nutzer mit anderem Workspace-Zugriff

Lösung

API-Key und genutzte Ressourcen müssen zum selben Workspace gehören. Workspace-ID in der Corcava-App prüfen.

3. Projekt-Berechtigungen

Workspace-Zugriff vorhanden, aber keine Berechtigung für bestimmte Projekte:

Projekt-Zugriffsstufen

Owner/Admin: Voller Zugriff auf alle Projekt-Aufgaben
Member: Aufgaben anzeigen und bearbeiten, die ihnen zugewiesen sind
Viewer: Nur anzeigen, nicht bearbeiten
Kein Zugriff: Projekt weder sichtbar noch nutzbar

Abhilfe

Workspace-Admin um Projektzugriff bitten oder anderen API-Key mit passenden Rechten verwenden.

4. Ressourcen-spezifische Einschränkungen

Manche Aktionen haben zusätzliche Einschränkungen:

Typische Einschränkungen

Lösch-Aktionen: Oft Admin-/Owner-Rechte nötig
Zeiterfassung: Feature muss aktiviert sein
Geschlossene Aufgaben: Als erledigt/archiviert markierte Aufgaben nicht bearbeitbar
Gesperrte Projekte: Aufgaben in gesperrten Projekten nicht änderbar

Erforderliche Berechtigungen pro Tool

Tool	Erforderliche Berechtigung	Häufige Probleme
list_tasks	Lesezugriff	Projekt-Sichtbarkeit
get_task	Lesezugriff	Aufgabe in nicht zugreifbarem Projekt
create_task	Schreibzugriff + Projekt-Mitglied	Nur-Lesen-Key oder Projekt-Viewer
update_task	Schreibzugriff + Aufgaben-Zugriff	Fremde Aufgaben nicht bearbeitbar
delete_task	Admin-/Owner-Zugriff	Member können nicht löschen
start_time_tracking	Zeiterfassung aktiviert	Feature nicht aktiviert

Diagnose-Schritte

Systematische Fehlerbehebung

API-Key-Scope prüfen: Einstellungen → API-Keys, Berechtigungen des Keys prüfen
Zuerst nur lesen testen: list_tasks ausführen – schlägt das fehl, ist es ein Workspace-Zugriff
Projektzugriff prüfen: Zugriff auf das konkrete Projekt bestätigen
Mit anderer Aufgabe testen: Von Ihnen erstellte vs. von anderen erstellte Aufgabe
Fehlermeldung prüfen: Hinweise, welche Berechtigung fehlt
Feature-Flags prüfen: Nötige Features (z. B. Zeiterfassung) aktiviert