Zum Hauptinhalt springen
Mein Konto & Einstellungen7 Min Lesezeit

Mein Konto: Profil, Team und API-Schlüssel

Wie du dein Profil pflegst, dein Team und deinen Steuerberater-Zugang verwaltest und API-Schlüssel für externe Tools erstellst und sicher verwaltest.

Überblick

Die Seite Mein Konto (/mein-konto) ist deine persönliche Schaltzentrale in epago. Hier pflegst du deinen Namen und deine Kontaktdaten, verwaltest dein Team samt Steuerberater-Zugang und erstellst API-Schlüssel, mit denen externe Programme auf deine Buchhaltungsdaten zugreifen dürfen. Die Seite ist in sechs Tabs gegliedert: Profil, Sicherheit, Benachrichtigungen, Team, API-Schlüssel und Daten & Export.

Plan und Abrechnung stehen nicht mehr auf dieser Seite, sondern auf einer eigenen Seite Plan (Kopfaktion „Plan und Abrechnung” bzw. Menü System → Plan).

Profil bearbeiten

Im Tab Profil siehst du deine persönlichen Daten auf einen Blick: Vor- und Nachname, E-Mail-Adresse, Telefonnummer sowie Einstellungen für Sprache, Zeitzone und Datumsformat.

So änderst du deine Angaben:

  1. Klicke oben rechts in der Karte auf Bearbeiten.
  2. Trage die gewünschten Werte ein. Die E-Mail-Adresse ist ausgegraut, weil sie über den Anmeldedienst (Auth0) verwaltet wird und dort geändert werden muss.
  3. Klicke auf Speichern — die Änderungen werden sofort übernommen.

Das Passwort kannst du im unteren Bereich des Profil-Tabs über Passwort ändern zurücksetzen. Du erhältst dann eine E-Mail mit einem Link zum Festlegen eines neuen Passworts.

Team und Steuerberater-Zugang

Der Tab Team ist in zwei Bereiche unterteilt:

  • Team-Mitglieder — für die eigene Firma. Echter gemeinsamer Mehrbenutzer-Zugriff (mehrere eigene Nutzerkonten mit Rollen auf derselben Buchhaltung) ist noch nicht gebaut.
  • Steuerberater — ein eigener, bereits voll funktionierender Zugang für deine Kanzlei, kostenlos und unabhängig von deinem Plan. Wie du deine Kanzlei einlädst, welche Rechte du vergeben kannst und wie der Zugang technisch funktioniert, steht ausführlich im eigenen Artikel Steuerberater-Zugang einrichten.

API-Schlüssel erstellen und verwalten

API-Schlüssel erlauben externen Programmen — zum Beispiel eigenen Skripten, DATEV-Schnittstellen oder Automatisierungstools — den Zugriff auf deine epago-Daten ohne Anmeldung über den Browser. Jeder Schlüssel bekommt einen eigenen Namen, klar definierte Berechtigungen und gehört zu einer von zwei Umgebungen: Live (deine echte Buchhaltung) oder Sandbox (ein Testmandant).

Erst in der Sandbox testen

Bevor du einen Schlüssel gegen deine echte Buchhaltung laufen lässt, kannst du ihn gegen einen Testmandanten ausprobieren. Der Testmandant ist eine zweite, leere Buchhaltung neben deiner echten, die epago dir auf Wunsch anlegt:

  1. Wechsle in den Tab API-Schlüssel. Oben findest du die Karte Testmandant (Sandbox).
  2. Klicke auf Sandbox anlegen. epago richtet dabei einen Kontenrahmen, ein Geschäftsjahr, ein paar Kontakte, zwei Beispielrechnungen und drei Buchungen ein — genug, um Abfragen und einfache Buchungen auszuprobieren, ohne dass echte Zahlen dahinterstehen.
  3. Lege anschließend einen Schlüssel an (siehe unten) und wähle dabei die Umgebung Sandbox. Der Schlüssel bekommt das Präfix epago_test_ statt epago_.

Ein Sandbox-Schlüssel erreicht ausschließlich den Testmandanten und niemals deine echten Daten — die Trennung hängt am Schlüssel selbst, nicht an einer Einstellung. Aus dem Testmandanten geht außerdem nichts nach außen: keine E-Mail, kein ELSTER-Versand, keine Bankverbindung, keine Zahlung. Ein Konto hat genau einen Testmandanten; alle deine Sandbox-Schlüssel arbeiten auf demselben.

Reicht dir der Beispielbestand nicht mehr, findest du in derselben Karte den Knopf Zurücksetzen. Der bisherige Testmandant wird dabei nicht gelöscht (auch dort sind gebuchte Sätze unveränderlich), sondern bleibt als Historie stehen — du bekommst einen neuen, frisch gefüllten Testmandanten, und deine Sandbox-Schlüssel zeigen automatisch auf ihn.

Neuen Schlüssel anlegen

  1. Wechsle in den Tab API-Schlüssel.
  2. Klicke auf Neuer Schlüssel.
  3. Vergib einen aussagekräftigen Namen, zum Beispiel „DATEV Integration” oder „Monatsreport-Skript”.
  4. Wähle die Berechtigungen:
    • Lesen (read): Das externe Tool darf Daten abrufen, aber nichts ändern.
    • Schreiben (write): Das Tool darf auch Daten anlegen oder ändern.
    • Löschen (delete): Das Tool darf Daten entfernen.
  5. Wähle die Umgebung: Live (deine echte Buchhaltung) oder Sandbox (der Testmandant, siehe oben).
  6. Nur bei Live optional: Passe das Rate Limit (Anfragen pro Minute) an. Der Standardwert beträgt 60 Anfragen/Minute. Ein Sandbox-Schlüssel ist fest auf 30 Anfragen/Minute begrenzt und lässt sich nicht ändern.
  7. Klicke auf Erstellen.

Nach dem Erstellen erscheint der vollständige Schlüssel genau einmal in einem gesonderten Fenster. Kopiere ihn sofort und speichere ihn sicher — zum Beispiel in einem Passwort-Manager. epago speichert den Schlüssel intern nur als Prüfsumme (Hash) und kann ihn dir danach nicht mehr anzeigen.

Vorhandene Schlüssel einsehen

In der Tabelle siehst du für jeden Schlüssel:

Spalte Bedeutung
Name Dein vergebener Name
Umgebung Badge „Live” oder „Sandbox”
Schlüssel Die ersten Zeichen als Erkennungshilfe (z. B. epago_ab12cd34... bzw. epago_test_ab12cd...)
Berechtigungen Badges für read / write / delete
Zuletzt verwendet Datum und Uhrzeit des letzten API-Aufrufs
Aufrufe Gesamtanzahl der Anfragen mit diesem Schlüssel
Status Aktiv oder Widerrufen

Schlüssel testen

Mit jedem neuen Schlüssel — Live oder Sandbox — kannst du sofort prüfen, ob die Verbindung steht. Der Smoke-Test-Endpunkt GET /api/v1/me beantwortet dir, wer du bist und in welcher Umgebung du unterwegs bist:

curl -H "Authorization: Bearer DEIN_SCHLUESSEL" \
  https://app.epago.de/api/v1/me

Die Antwort enthält unter apiKey.umgebung entweder "live" oder "sandbox" — so siehst du auf einen Blick, gegen welchen Mandanten der Schlüssel tatsächlich arbeitet, bevor du ihn in eine Automatisierung einbaust.

Schlüssel widerrufen

Wenn du einen Schlüssel nicht mehr benötigst oder er in falsche Hände geraten sein könnte, widerrufe ihn sofort:

  1. Klicke in der Tabelle rechts auf Widerrufen.
  2. Bestätige den Dialog — der Schlüssel wird sofort und dauerhaft deaktiviert.
  3. Alle Integrationen, die diesen Schlüssel verwenden, verlieren umgehend den Zugang.

Ein widerrufener Schlüssel kann nicht reaktiviert werden. Lege in diesem Fall einfach einen neuen Schlüssel an.

Grenzen

  • Rate-Limit: 60 Anfragen/Minute je Live-Schlüssel (anpassbar), fest 30 Anfragen/Minute je Sandbox-Schlüssel, dazu ein Limit je IP-Adresse. Bei Überschreitung antwortet die API mit Status 429 und einem Retry-After-Header, der dir sagt, wie viele Sekunden du warten musst.
  • Scopes: Ein Schlüssel darf nur das, wofür er angelegt wurde (Lesen, Schreiben, Löschen). Gib ihm nicht mehr Rechte, als das jeweilige Tool braucht.
  • Widerruf wirkt sofort: Es gibt keine Verzögerung und keinen Cache — der nächste Aufruf mit einem widerrufenen Schlüssel scheitert.

Sicherheitshinweise für API-Schlüssel

Behandle API-Schlüssel wie Passwörter:

  • Nicht per E-Mail oder Chat versenden. Wer den Schlüssel kennt, kann im Rahmen der zugewiesenen Berechtigungen auf deine Buchhaltungsdaten zugreifen.
  • Minimale Berechtigungen vergeben. Wenn ein Tool nur Daten lesen muss, aktiviere ausschließlich „Lesen”.
  • Separate Schlüssel pro Integration. So kannst du einzelne Verbindungen gezielt sperren, ohne alle anderen zu unterbrechen.
  • Bei Verdacht sofort widerrufen. Ein gestohlener oder geleakter Schlüssel kann in Sekunden gesperrt werden — handle lieber zu früh als zu spät.

Weiter mit der API

Mit API-Schlüsseln kannst du epago an andere Programme anbinden — etwa um Buchungsdaten automatisiert abzurufen, Belege zu übertragen oder Berichte in eigene Dashboards einzubinden. Die vollständige, frei zugängliche Referenz findest du unter epago.de/entwickler:

  • API-Referenz mit allen Endpunkten, Parametern und Antwortformaten (Scalar, aus derselben Spezifikation wie diese Hilfe-Seite).
  • Spezifikation als Datei unter app.epago.de/api/openapi.json (OpenAPI 3.1).
  • Postman-Sammlung zum direkten Import: epago-api.postman_collection.json und die passende Environment-Datei (trage dort deinen Schlüssel in apiKey ein).
  • MCP-Server für KI-Assistenten, die das Model Context Protocol unterstützen: Einrichtung, Konfiguration und alle Werkzeuge stehen unter epago.de/entwickler/mcp, der Quelltext auf github.com/epago-GmbH/epago-mcp. Der Server spricht dieselbe API und dieselben Schlüssel — zum Ausprobieren empfiehlt sich ein Sandbox-Schlüssel.

In der App selbst steht dieselbe Endpunkt-Tabelle im Profi-Modus unter Entwickler (sichtbar nach Aktivieren des Profi-Umschalters oben rechts in der Topbar).

Siehe auch

Verwandte Begriffe im Glossar

datevgobdrevisionssicherheitdokumentationordnungsmaessigkeit