Für IT und Sicherheit
Diese Tools entstehen längst. Geben Sie ihnen einen sicheren Ort.
TeamOnly hostet interne Tools, die mit KI gebaut wurden, hinter Ihrem Firmen-Login. Der Login wird erzwungen, bevor App-Code läuft, jede App ist von den anderen isoliert, und jede App hat eine namentlich verantwortliche Person. Wer Apps baut, richtet keine Sicherheit selbst ein und kann dabei also auch nichts falsch machen.
01Heute
Was gerade passiert
Jemand aus der Buchhaltung hat am Wochenende ein Freigabe-Tool gebaut. Es funktioniert. Es läuft aber auch auf einem privaten Konto, ist vielleicht öffentlich, und der Link steht in einem Gruppenchat.
- Private Konten. Apps liegen auf irgendeiner Plattform, bei der sich die Person angemeldet hat, abgerechnet über ihre Karte. Wenn sie geht, ist auch Ihr Überblick weg.
- Standardmäßig öffentlich. Viele KI-App-Baukästen veröffentlichen im offenen Web, solange Sie die private Option nicht bezahlen oder finden.
- Links im Chat. Die Zugriffskontrolle lautet: „Wer hat den Link?“
Das ist kein Gedankenspiel. Im Mai 2026 berichteten Forscher von RedAccess, sie hätten tausende öffentlich erreichbare, mit KI-Tools gebaute Apps gefunden, die Firmen- oder personenbezogene Daten offenlegten, viele davon von Google indexiert. (Bericht von Security Boulevard.)
Vor der Spesen-App steht eine Tür mit dem Schild „Nur für Personal“. Sam, angemeldet als sam@acme.com, wird an der Tür geprüft und geht hinein. Danach werden randomperson@gmail.com und ein Bot an derselben Tür geprüft und abgewiesen. Sie erreichen die App nie, denn die Prüfung findet an der Tür statt, vor der App.
02Zuerst erzwungen
Login, bevor App-Code läuft
Jede Anfrage an jede App läuft zuerst durch unsere Dispatch-Schicht. Sie prüft die Session, und nur angemeldete Personen aus Ihrer Domain werden zur App durchgelassen.
Die Dispatch-Schicht entfernt außerdem alle Identitäts-Header, die eine Anfrage zu fälschen versucht, und setzt dann selbst den verifizierten Namen und die E-Mail. Apps können sich darauf verlassen, wer angemeldet ist, und niemand, der eine App baut, kann den Login abschalten.
Keine App ist ohne Login erreichbar. Es gibt keine öffentliche Einstellung.
03Identität
Anmeldung nur für Ihre Domains
Ihr Identity Provider ist der, den Sie schon betreiben. Google Workspace und Microsoft 365 funktionieren heute, ebenso jede andere Firmen-E-Mail per Einmalcode. Nur Adressen mit Ihren Firmendomains kommen rein.
Die Anmeldung wird auf unserem Server verifiziert, einschließlich des Domain-Claims. Wir verlassen uns nicht auf den hd-Hinweis, den jeder entfernen kann.
Nur Geschäfts- und Schulkonten. Private Microsoft-Konten werden abgelehnt, und die E-Mail-Domain muss eine Ihrer Domains sein.
Bei Zoho, Fastmail, GoDaddy oder auf eigenem Mailserver? Kollegen bekommen einen 6-stelligen Code an ihre geschäftliche Adresse. Er läuft nach 10 Minuten ab, erlaubt 5 Versuche und funktioniert nur in dem Browser, der ihn angefordert hat. Alle Schutzmaßnahmen.
Mehrere Domains, etwa acme.com und acme.co.uk? Fügen Sie alle hinzu. Deaktivieren Sie jemanden in Ihrem Verzeichnis, kann sich diese Person bei keiner App mehr anmelden.
04Isolation
Jede App in ihrem eigenen Raum
Kundencode gilt als nicht vertrauenswürdig. Jede App läuft für sich und hat nur Zugriff auf das, was für sie angelegt wurde.
Ein Grundriss mit drei Räumen: die Apps für Spesen, Bestand und Kundensuche. Jeder Raum hat seine eigenen Daten, Dateien und Secrets. Die Spesen-App versucht, in den Bestandsraum zu greifen, und stößt an die Wand. Die Bestands-App versucht, in den Raum der Kundensuche zu greifen, und stößt ebenfalls an die Wand. Daten, Cookies und Secrets bleiben in ihrem Raum.
- Daten
- Eine eigene Datenbank. Keine App hat Zugangsdaten für die Datenbank einer anderen App.
- Dateien
- Ein eigener Speicherbereich, nur über das eigene Binding der App erreichbar.
- Cookies
- Session-Cookies gelten nur für die exakte Adresse der App, nie für die gemeinsame übergeordnete Domain.
- Secrets
- Außerhalb des Codes gespeichert und nur an die App übergeben, zu der sie gehören.
05Inventar
Eine Liste: jede App, verantwortlich, Zugriff, letzte Veröffentlichung
Jede App in Ihrer Organisation hat eine namentlich verantwortliche Person und eine Zugriffsregel: die ganze Firma oder eine Namensliste. Das Dashboard unter dashboard.teamonly.dev zeigt jede App, wer verantwortlich ist, wer sie öffnen darf und jede Veröffentlichung, und Admins können dort ändern, wer eine App öffnen darf, oder sie an eine neue verantwortliche Person übergeben. npx teamonly whoami zeigt dieselbe Liste im Terminal. Auf Anfrage schicken wir der IT auch die vollständige Liste per E-Mail.
Wer Apps baut, meldet sich selbst an, mit einer kostenlosen Testphase oder einer Karte, also können Apps auftauchen, bevor die IT beteiligt ist. Genau darum geht es: Wenn Sie so weit sind, übernimmt die IT die Organisation, und alles liegt schon an einem Ort.
Die Seite jeder App zeigt auch die Rollen darin, etwa Freigebende oder Buchhaltung, und wer sie hat. Admins können sie dort ändern. Apps können nur Personen in Ihrer Firma E-Mails schicken, und dieselbe Seite zeigt, wie viele E-Mails jede App in den letzten 30 Tagen gesendet hat und wann ihre geplanten Jobs zuletzt gelaufen sind.
Ein App-Verzeichnis für acme.com füllt sich Zeile für Zeile. expenses, verantwortlich dana@acme.com, offen für alle bei acme.com, zuletzt veröffentlicht heute um 9:41. inventory, verantwortlich marco@acme.com, offen für 6 Personen, gestern veröffentlicht. lookup, verantwortlich priya@acme.com, offen für priya, marco und 3 weitere, veröffentlicht am 21. Oktober. requests, verantwortlich lee@acme.com, offen für alle bei acme.com, veröffentlicht am 18. Oktober. Dann scheidet marco@acme.com aus, und jede Zeile, die ihm Zugriff gab, wird durchgestrichen.
06Offboarding
Wenn jemand geht
Deaktivieren Sie das Firmenkonto, und die Person kann sich weder bei TeamOnly noch bei einer App anmelden. Wer ihre Apps genutzt hat, hat kein separates Konto, es gibt also nichts weiter zu entfernen.
Ihre Apps laufen für alle anderen weiter. Ein Admin übergibt jede davon im Dashboard an eine neue verantwortliche Person, damit keine App ohne Verantwortliche bleibt.
07Umfang
Bewusst nur interne Apps
TeamOnly hostet keine öffentlichen Websites und keine Apps für Kunden. Es gibt keine Einstellung, um eine App öffentlich zu machen, also kann das auch niemand versehentlich tun.
Jede Antwort einer App, auch die Anmeldeseite, bittet Suchmaschinen, sie nicht zu indexieren.
08Business-Tarif
Im Business-Tarif
Für den Moment, in dem die IT übernimmt. All das ist enthalten, und wir richten es beim Start mit Ihrer IT ein.
- Okta, OneLogin und anderes SSOIhr eigener Identity Provider, über OpenID Connect oder SAML. Eingerichtet mit Ihrer IT.
- Audit-LogsWer was veröffentlicht, Zugriffe geändert oder geöffnet hat, und wann. Gemeinsam mit Ihnen konfiguriert.
- DatenregionWählen Sie, wo App-Daten gespeichert werden. Das richten wir beim Start mit Ihnen ein.
- RechnungZahlung per Rechnung statt per Karte. Beim Start mit Ihnen vereinbart.
$899 im Monat, jetzt buchbar. Business abonnieren.
09Richtlinie
Warum das besser ist als ein Verbot
Leute bauen diese Tools, weil sie echte Probleme lösen. Ein Verbot beseitigt das Problem nicht. Es verschiebt das Tool nur an einen Ort, den Sie nicht sehen.
Wer Apps baut, bekommt einen freigegebenen Ort zum Veröffentlichen. So landen die Tools hinter Ihrem Login, mit Ihren Domain-Regeln, in einer Liste, die Sie lesen können. Sie können Ja sagen und wissen trotzdem, was läuft.
10Freigaben
Was Sie in Ihrem Netzwerk freigeben
Wenn Ihre Firewall oder Ihr Webfilter neue Seiten blockiert, sind das die einzigen Adressen, die TeamOnly braucht. Das dauert ein paar Minuten, einmal.
| Adresse | Wer sie braucht | Wofür |
|---|---|---|
*.<yourcompany>.teamonly.app | Alle, die Ihre Apps öffnen | Die Apps Ihrer Firma. Setzen Sie den Namen Ihrer Firma bei TeamOnly ein, er steht im Dashboard. Apps anderer Firmen bleiben blockiert. |
auth.teamonly.app | Alle, die Ihre Apps öffnen | Die Anmeldung. Sie prüft das Firmenkonto, bevor eine App lädt. |
accounts.google.comlogin.microsoftonline.com | Wer sich mit Google oder Microsoft anmeldet | Die Anmeldeseite Ihres eigenen Identitätsanbieters. Meist schon freigegeben. |
challenges.cloudflare.com | Wer sich mit einem Code per E-Mail anmeldet | Die Prüfung, dass ein Mensch und kein Bot das Code-Formular nutzt. |
teamonly.devdashboard.teamonly.dev | Admins und Ersteller | Das Dashboard: jede App, wer verantwortlich ist und wer sie öffnen darf. |
api.teamonly.devregistry.npmjs.org | Ersteller | Veröffentlichen aus dem Terminal mit npx teamonly. |
Anmeldecodes kommen von signin@teamonly.app, Einladungen von hello@teamonly.app und E-Mails von Apps von notify@teamonly.app. Wenn Ihr Mailfilter neue Absender zurückhält, geben Sie Mail von teamonly.app frei.
Die öffentlichen App-Baukästen können Sie weiter blockieren, wenn Sie wollen. Apps, die hier veröffentlicht werden, laufen unter der eigenen Adresse Ihrer Firma oben, hinter Ihrem Login.
Wie finden wir die KI-gebauten Apps, die es schon gibt?
Fangen Sie mit den Anmeldelogs Ihres SSO oder von Google Workspace für App-Plattformen an (Replit, Lovable, Vercel, Netlify) und mit Spesenabrechnungen für deren Abos. Dann fragen Sie nach, ohne Vorwürfe. Sobald Sie wissen, wer solche Apps baut, bieten Sie TeamOnly als freigegebenen Ort an, um diese Apps dorthin umzuziehen.
Brauchen wir Okta?
Nein. Kollegen melden sich mit Google Workspace, Microsoft 365 oder einem Code an ihre geschäftliche E-Mail an, und nur Ihre Domains sind zugelassen. Wenn Sie Okta, OneLogin oder einen anderen SSO-Anbieter möchten, gehört das zum Business-Tarif, und wir richten es mit Ihrer IT ein.
Können Apps gegenseitig auf ihre Daten zugreifen?
Nein. Jede App hat ihre eigene Datenbank, ihren eigenen Dateispeicher und ihre eigenen Secrets. Eine App hat keine Zugangsdaten für irgendetwas anderes, und ihr Session-Cookie gilt nur für ihre eigene Adresse. Details auf der Sicherheitsseite.
Was passiert, wenn die Person, die die App gebaut hat, geht?
Ihr Firmenkonto wird deaktiviert, also kann sie sich weder bei TeamOnly noch bei einer App anmelden. Die Apps laufen für alle anderen weiter. Ein Admin kann jede ihrer Apps im Dashboard an eine neue verantwortliche Person übergeben. Im Business-Tarif richten wir beim Start außerdem das Offboarding mit Ihnen ein.
Unterstützen Sie Okta oder SAML?
Im Business-Tarif ja. Wir richten Okta, OneLogin oder einen anderen SSO-Anbieter über OpenID Connect oder SAML beim Start mit Ihrer IT ein, zusammen mit Audit-Logs. Die Anmeldung über Google Workspace, Microsoft 365 und E-Mail-Code funktioniert in jedem Tarif.
Können Apps E-Mails nach außerhalb der Firma senden?
Nein. Eine App kann nur Adressen auf den eigenen E-Mail-Domains Ihrer Firma anschreiben, also dieselben Personen, die sich anmelden können. Jede E-Mail sagt, welche App sie gesendet hat, pro App gelten Grenzen von 100 Empfängern pro Stunde und 500 pro Tag, und das Dashboard zeigt, wie viele E-Mails jede App in den letzten 30 Tagen gesendet hat.
Für die Sicherheitsprüfung
- Details zur SicherheitAnmeldung, Isolation, Cookies und Secrets im Detail.
- Login nur für die FirmaWas Nutzer und Außenstehende sehen, und die Fallstricke beim Selbstbau.
- PreiseBuilder, Team und Business sind alle buchbar, auf Wunsch nach einer 14-tägigen kostenlosen Testphase.
- Alle FragenAuch zu Daten, Abrechnung und Support.
- DokuCLI, SDK und die Skill-Datei für alle, die Apps bauen.
Early Access
Ein sicherer Ort zum Veröffentlichen für alle, die bauen.
TeamOnly ist im Early Access, und alle Tarife sind jetzt buchbar. Wer Apps baut, kann 14 Tage kostenlos ohne Karte testen oder ein Abo abschließen. Ihre Firma ist sofort bereit, und wer Apps baut, kann noch am selben Tag veröffentlichen.
Keine Karte für die Testphase. Danach ab $19 im Monat, jederzeit kündbar.
Noch nicht so weit? Neuigkeiten erhalten
Fragen an hello@teamonly.dev. Ein Mensch antwortet.