KI-Integration (MCP)

Fragen Sie KI-Assistenten wie Claude direkt nach dem Sicherheitsstatus Ihres Mac / Linux-Systems

RoamSwitch enthält einen schreibgeschützten MCP-Server (Model Context Protocol). Verbinden Sie ihn mit einem MCP-Client und fragen Sie einfach in natürlicher Sprache: „Ist mein Mac / Linux gerade sicher?“ oder „Welche Ports sind offen?“ — Sie erhalten Antworten, die auf den eigenen, präzisen Diagnosen von RoamSwitch beruhen, nicht auf Vermutungen. Er kann weder den Sperrmodus umschalten noch Ports isolieren oder andere Aktionen ausführen; die gesamte Kommunikation bleibt vollständig auf dem Gerät über stdio (eine Erweiterung unserer Zero-Telemetry-Richtlinie).

🔒 Warum es sicher ist

  • Nur lesend: Nur Sicherheitsdiagnosen, Port-Überwachung und Guard-Statusabfragen. Es sind keine Aktions-Tools wie das Umschalten des Sperrmodus, das Isolieren von Ports oder das Auswerfen von Geräten implementiert.
  • Vollständig lokal: Die Kommunikation erfolgt ausschließlich über stdio – vollständig zwischen Ihrem KI-Client (Claude Desktop/Code usw.) und dem RoamSwitch-Prozess auf Ihrem Mac / Linux-System. Es wird nichts an einen externen Server gesendet.
  • Schutz vor Fehlbedienung: Da es keine Aktions-Tools gibt, besteht kein Risiko, dass Firewall- oder Netzwerkeinstellungen durch Prompt Injection o. Ä. versehentlich geändert werden.
Einrichtung

In zwei Schritten eingerichtet

1Speicherort der Binärdatei

Ist in RoamSwitch.app enthalten – kein separater Download oder Installation nötig.

/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer

2aFür Claude Desktop

Fügen Sie Folgendes zu "mcpServers" in ~/Library/Application Support/Claude/claude_desktop_config.json hinzu und starten Sie Claude Desktop neu.

{
  "mcpServers": {
    "roamswitch": {
      "command": "/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer"
    }
  }
}

2bFür Claude Code

Führen Sie einfach einmal den folgenden Befehl im Terminal aus.

claude mcp add roamswitch /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer

2cFür die OpenAI Codex CLI

Fügen Sie Folgendes zu ~/.codex/config.toml hinzu oder führen Sie den folgenden Befehl im Terminal aus.

[mcp_servers.roamswitch]
command = "/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer"
codex mcp add roamswitch -- /Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer

2dFür OpenCode

Fügen Sie Folgendes zu opencode.json im Projektstamm (oder global in ~/.config/opencode/opencode.json) hinzu.

{
  "mcp": {
    "roamswitch": {
      "type": "local",
      "command": ["/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer"]
    }
  }
}

💡 Lokale LLM-Unterstützung: Bei Nutzung lokaler Modelle über Ollama oder LM Studio können Sie RoamSwitch auch dann offline befragen, wenn die Netzwerkverbindung zur Gefahrenabwehr notfallmäßig gekappt wurde.

2eFür Antigravity

Fügen Sie Folgendes zu ~/.gemini/config/mcp_config.json (oder .agents/mcp_config.json im Stammverzeichnis Ihres Arbeitsbereichs) hinzu.

{
  "mcpServers": {
    "roamswitch": {
      "command": "/Applications/RoamSwitch.app/Contents/MacOS/RoamSwitchMCPServer"
    }
  }
}

* Hinweis: Wenn in der Antigravity-CLI (agy) Hook-Failure- oder Telemetrie-Fehler auftreten, deaktivieren Sie den Hook, indem Sie in ~/.gemini/config/plugins/.../hooks.json "enabled": false setzen.

1Speicherort der Binärdatei

Im apt-/rpm-/AUR-Paket enthalten und wird bei der Installation automatisch unter /usr/bin/roamswitch-mcp abgelegt. Kein separater Download oder Build nötig (gilt gleichermaßen für Client- und Server Edition).

/usr/bin/roamswitch-mcp

Dieselbe Binärdatei und dieselben Einrichtungsschritte funktionieren unverändert auch mit der Server Edition (Headless-Betrieb). Details finden Sie im Kapitel „KI-Agenten / MCP-Integration“ des Betriebshandbuchs für Linux Server.

2aFür Claude Desktop

Für Claude Desktop gibt es keine offizielle Linux-Version. Falls Sie einen inoffiziellen Build verwenden (z. B. claude-desktop-debian), fügen Sie Folgendes zu "mcpServers" in ~/.config/Claude/claude_desktop_config.json hinzu und starten Sie die App neu.

{
  "mcpServers": {
    "roamswitch": {
      "command": "/usr/bin/roamswitch-mcp"
    }
  }
}

2bFür Claude Code

Führen Sie einfach einmal den folgenden Befehl im Terminal aus.

claude mcp add roamswitch /usr/bin/roamswitch-mcp

2cFür die OpenAI Codex CLI

Fügen Sie Folgendes zu ~/.codex/config.toml hinzu oder führen Sie den folgenden Befehl im Terminal aus.

[mcp_servers.roamswitch]
command = "/usr/bin/roamswitch-mcp"
codex mcp add roamswitch -- /usr/bin/roamswitch-mcp

2dFür OpenCode

Fügen Sie Folgendes zu opencode.json im Projektstamm (oder global in ~/.config/opencode/opencode.json) hinzu.

{
  "mcp": {
    "roamswitch": {
      "type": "local",
      "command": ["/usr/bin/roamswitch-mcp"]
    }
  }
}

💡 Lokale LLM-Unterstützung: Bei Nutzung lokaler Modelle über Ollama oder LM Studio können Sie RoamSwitch auch dann offline befragen, wenn die Netzwerkverbindung zur Gefahrenabwehr notfallmäßig gekappt wurde.

2eFür Antigravity

Fügen Sie Folgendes zu ~/.gemini/config/mcp_config.json (oder .agents/mcp_config.json im Stammverzeichnis Ihres Arbeitsbereichs) hinzu.

{
  "mcpServers": {
    "roamswitch": {
      "command": "/usr/bin/roamswitch-mcp"
    }
  }
}

* Hinweis: Wenn in der Antigravity-CLI (agy) Hook-Failure- oder Telemetrie-Fehler auftreten, deaktivieren Sie den Hook, indem Sie in ~/.gemini/config/plugins/.../hooks.json "enabled": false setzen.

Verfügbare Tools

Schreibgeschützte Tools (aktuell 17 auf Mac / 25 auf Linux, wird laufend erweitert)

get_security_report

Führt auf dem Mac eine 18-Punkte-Prüfung durch (FileVault, SIP, Gatekeeper, Firewall, WLAN-Verschlüsselungsstärke, ARP-Spoofing, offene Ports usw.) bzw. unter Linux eine 24-Punkte-Client- / 30-Punkte-Server-Prüfung (Kernel-Härtung, Schutz von Docker-Socket und privilegierten Containern, Container-Runtime-Isolation, bekannte Schwachstellen usw.) und liefert einen Score sowie Verbesserungsvorschläge.

get_exposed_ports

Listet alle derzeit lauschenden Ports auf und liefert für extern exponierte Ports ein detailliertes Audit inklusive Erkennung bekannter riskanter Dienste (Redis, MongoDB usw.).

get_guard_status

Gibt den Status von Port-Guard, ARP-Schutz, USB-Guard, Bluetooth-Guard, Web/Mail-Download-Schutz, DNS-Bedrohungsschutz und die Sicherheitsstufe zurück.

audit_url_safety

Überprüft E-Mail-Links oder Web-URLs vollständig lokal (Zero Telemetry) auf Phishing, Unicode-Homographen-Täuschung, gefälschte Subdomains und riskante TLDs.

get_app_help

Durchsucht die vollständige offizielle RoamSwitch-Wissensdatenbank zu allen Funktionen, Warnmeldungen, Einstellungen und Problembehebungen direkt auf dem Mac und liefert präzise Anweisungen.

audit_security_logs

Wertet aktuelle Sicherheitslogs aus (Mac: fehlgeschlagene Sudo-Authentifizierungen, SSH-Brute-Force-Versuche, Gatekeeper-Blockaden, XProtect-Erkennungen usw. / Linux: fehlgeschlagene Sudo-Authentifizierungen, SSH-Brute-Force, Firewall-Blockaden, AppArmor-Ablehnungen, ClamAV-Erkennungen usw.), maskiert automatisch sensible Daten wie API-Schlüssel und Tokens und liefert zusätzlich Ergebnisse der Log-Template-basierten Erkennung neuer Muster sowie der Häufigkeitsanomalie-Erkennung (statistische Spitzen).

get_notification_history

Gibt den Verlauf der von RoamSwitch gesendeten Benachrichtigungen (Sicherheitslog-Auffälligkeiten, ClickFix-Erkennungen u. a.) der letzten 7 Tage zurück, neueste zuerst.

roamswitch://docs/* (MCP Resources)

Offizielle Dokumentationsressourcen, die KI-Clients direkt in den Kontext einbinden können (Funktionen, Warnmeldungen, Einstellungen, FAQ).

Weitere schreibgeschützte Tools

Tool Plattform Kurzbeschreibung
audit_secrets Mac / Linux Erkennt offengelegte API-Schlüssel und private Schlüssel in Text, Dateien oder Verzeichnisbäumen (Treffer werden in der Ausgabe maskiert).
run_active_vuln_scan Mac / Linux Nicht-destruktive, ausschließlich auf 127.0.0.1 beschränkte aktive Schwachstellenprüfung. Das einzige Tool, das das Netzwerk nutzt — standardmäßig deaktiviert und nur nach Zustimmung in den Einstellungen.
run_package_cve_scan Mac / Linux Gleicht installierte Pakete (Mac: Homebrew / Linux: dpkg, dnf, zypper, pacman) mit einer lokalen CVE-Zuordnung ab. Es findet überhaupt keine Netzwerkkommunikation statt.
run_package_cve_scan_languages Mac / Linux Gleicht Abhängigkeits-Lockfiles für npm, PyPI, crates.io, RubyGems, Packagist, Go und Maven mit derselben lokalen CVE-Zuordnung ab. Es findet überhaupt keine Netzwerkkommunikation statt.
get_quarantine_status Mac / Linux Liefert den Inhalt des Malware-Quarantäne-Tresors: ursprünglicher Pfad, erkannter Bedrohungsname, Zeitpunkt und Größe.
get_canary_status Mac / Linux Liefert den Zustand der Ransomware-Köderdateien (Canary) sowie bis zu die 50 jüngsten erkannten Vorfälle.
get_port_anomaly_incidents Mac / Linux Liefert den Baseline-Zustand des Port-Anomalie-Schutzes, aktuell automatisch blockierte Ports und bis zu die 50 jüngsten Vorfälle. Die Antwort weist ausdrücklich darauf hin, dass die aktuell blockierten Ports eine zeitstempellose Momentaufnahme sind, die sich von der zeitgestempelten Vorfallshistorie unterscheidet.
get_runtime_threat_status Mac Gibt an, ob dieser Mac wegen eines XProtect-Malwarefunds per Air-Gap isoliert wurde, und nennt den auslösenden Vorfall. Bei aktivem Air-Gap zuerst prüfen.
verify_fim Linux Berechnet die Hashes von rund 150 kritischen Systemdateien neu und vergleicht sie mit der gespeicherten Baseline.
get_file_scan_guard_status Linux (Server) Liefert die Konfiguration des File Scan Guard (ClamAV) und den Zustand des zugehörigen Quarantäne-Tresors.
get_ebpf_incidents Linux (Server) Liefert den aktuellen Isolationsstatus des eBPF-Runtime-Guards und die Vorfallshistorie dahinter.
get_resource_guard_incidents Linux (Server) Liefert die Historie des Ressourcen- und Prozessanomalie-Schutzes (Speicherlecks, Crash-Loops) samt Konfidenzstufe.
get_incident_timeline Mac / Linux Führt die Erkennungen aller Schutzmodule zu einer chronologischen Zeitleiste zusammen — mit Prozessabstammung und MITRE-ATT&CK-Tags (experimentell).
get_network_history Mac Zeichnet für jedes gespeicherte WLAN auf, wie viele verschiedene Gateway-Geräte darauf geantwortet haben und wann es zuletzt gesehen wurde, und markiert andere Netzwerke mit verdächtig ähnlichem Namen (mögliche Evil-Twin-Kandidaten). Beantwortet auch, ob mit einem bestimmten Netzwerk schon einmal eine Verbindung bestand.
get_vpn_status Linux (Client) Gibt zurück, ob VPN in nicht vertrauenswürdigen Netzwerken (WireGuard / Tailscale) aktiviert ist, ob der Tunnel tatsächlich steht und ob der leck-sichere Kill-Switch scharf geschaltet ist.
get_link_guard_status Linux (Client) Gibt den Aktivierungsstatus, den Modus (aus / warnen / blockieren), die Zulassungsliste sowie die Block-/Warn-Ereignisse der letzten 7 Tage von Link Guard zurück (blockiert Phishing / bösartige Websites über DNS-/TLS-SNI-/HTTP-Host-Prüfung).
get_air_gap_status Linux (Client) Gibt zurück, ob die Notfall-Air-Gap-Isolation (gesamter Datenverkehr blockiert) gerade aktiv ist, den Auslösegrund, die Zeit bis zur automatischen Freigabe sowie alle aktuell per SIGSTOP eingefrorenen Prozesse.
get_sharing_services_status Linux (Client) Gibt die Einstellung zurück, mit der SSH, Samba und Bildschirmfreigabe (GNOME Remote Desktop / VNC / xrdp) in nicht vertrauenswürdigen Netzwerken automatisch gestoppt werden, sowie den tatsächlichen Status der davon betroffenen und wiederhergestellten Dienste.
get_bluetooth_guard_status Linux (Client) Gibt die Einstellung des Bluetooth-Guards zurück, der die Sichtbarkeit in nicht vertrauenswürdigen Netzwerken zwangsweise deaktiviert, sowie den tatsächlichen Zustand des Controllers (Betriebsbereitschaft, Sichtbarkeit, verbundene Geräte).
get_usb_guard_status Linux (Client) Gibt die Einstellungen des USB-Speicher-Guards und des BadUSB-Tastatur-Guards zurück (Eingaben werden nur über evdev unterdrückt — Geräte werden niemals auf Kernel-Ebene deautorisiert) sowie verbundene und auf Genehmigung wartende Geräte.

Von den oben genannten Tools funktionieren diejenigen, die nur lokalen Zustand lesen (Quarantäne, Canary, Port-Anomalie, Runtime-Bedrohung, Benachrichtigungsverlauf, Vorfall-Zeitleiste, Netzwerkverlauf, Status von VPN / Link Guard / Air-Gap / Sharing-Diensten / Bluetooth / USB-Guard usw.), auch dann weiter, wenn RoamSwitch wegen einer erkannten Bedrohung die Netzwerkverbindung notfallmäßig gekappt hat. In Kombination mit einem lokalen LLM lässt sich die Ursache dann direkt vor Ort untersuchen, während die Verbindung getrennt ist.

Praxisbeispiele nach Szenarien

Konkrete Prompts für Alltag & Entwicklung

Praxisnahe Prompts und KI-Antworten für Port-Audits bei der lokalen Entwicklung, Sicherheitschecks in öffentlichen WLANs, Phishing-URL-Scans und mehr. Prompts einfach kopieren und an die KI senden.

🛠️

Port-Exposure-Audit für lokale Server & DBs

Web-Entwicklung / Docker

Lassen Sie die KI beim Start von Next.js, Vite, Python, Docker, Redis etc. prüfen, ob Ports versehentlich auf 0.0.0.0 an das gesamte lokale Netzwerk freigegeben sind.

💬 Beispiel-KI-Prompt
Führe ein Audit der offenen Ports für alle aktuell laufenden lokalen Entwicklungsserver und Container auf meinem Mac durch. Sind gefährliche Ports an 0.0.0.0 gebunden und im LAN exponiert?
⚡ Tool: get_exposed_ports
Ergebnis des Port-Audits:
• 🚨 Port 3000 (node / Next.js): Exponiert auf 0.0.0.0:3000
• 🚨 Port 6379 (redis-server): Exponiert auf 0.0.0.0:6379 (ohne Authentifizierung; für andere Geräte im selben WLAN erreichbar)
• ✅ Port 5432 (postgres): Gebunden an 127.0.0.1:5432 (nur localhost / sicher)
💡 Empfehlung: In der Redis-Konfiguration auf bind 127.0.0.1 umstellen und Next.js mit npm run dev -- -H 127.0.0.1 starten.

Sicherheitscheck bei Verbindung mit öffentlichem WLAN

Remote Work / Öffentliches WLAN

Lassen Sie die KI direkt nach dem Verbinden mit einem Café- oder Hotel-WLAN prüfen, ob Firewall, Stealth-Modus und ARP-Schutz aktiv sind.

💬 Beispiel-KI-Prompt
Ich habe mich gerade mit einem öffentlichen Café-WLAN verbunden. Führe eine vollständige Sicherheitsdiagnose durch. Wie ist der Status von Firewall und ARP-Spoofing-Schutz?
⚡ Tools: get_security_report, get_guard_status
Mac-Sicherheitsdiagnose:
• 🛡️ Gesamtbewertung: 88 / 100 (Grade: A-)
• 📡 Netzwerkstatus: Nicht vertrauenswürdiges Netzwerk (Unterwegs-Modus / Paketfilter aktiv)
• ✅ Firewall / Stealth-Modus: Aktiviert (blockiert externe Sondierungspakete)
• ✅ Automatischer ARP-Schutz: Aktiviert (automatische Isolation bei Abfangversuchen)
• ⚠️ Empfehlung: FileVault-Festplattenverschlüsselung ist deaktiviert. Aktivierung in den Systemeinstellungen empfohlen.
✉️

Prüfung verdächtiger Links aus E-Mails & Chats

Phishing-Schutz / URL-Audit

Prüfen Sie verdächtige Links aus E-Mails oder Slack/Discord-Nachrichten direkt lokal auf dem Mac, ohne die URL an externe Server zu senden (Zero Telemetry).

💬 Beispiel-KI-Prompt
Ich habe eine E-Mail mit dem Link 'https://apple.com.login-auth-verify.xyz/account' erhalten. Überprüfe die Sicherheit dieser URL, bevor ich darauf klicke.
⚡ Tool: audit_url_safety
URL-Sicherheitsbericht (Vollständig lokale Analyse):
• 🚨 Risikostufe: Dangerous (Gefahr / Sicherheits-Score: 8/100)
• ❌ Marken-Täuschung (Subdomain): Gibt vor, apple.com zu sein, die tatsächliche Domain lautet jedoch login-auth-verify.xyz.
• ❌ Hochrisiko-TLD: .xyz wird häufig für kurzlebige Phishing-Kampagnen verwendet.
• 🔒 Zero Telemetry: Vollständig lokal auf dem Mac geprüft, keine externen Daten übertragen.
• 🛑 Empfohlene Maßnahme: Link keinesfalls öffnen, E-Mail sofort löschen und melden.
🤖

Autonome Sicherheitsüberwachung beim Coden

KI-Agenten-Workflows

Lassen Sie Claude Code oder Antigravity beim Einrichten von Diensten und Tests MCP-Tools autonom als Schutzgeländer nutzen, um versehentliche Port-Freigaben zu verhindern.

💬 Beispiel-KI-Prompt
Baue die Backend-API und Tests für das Projekt auf. Nutze RoamSwitch MCP, um sicherzustellen, dass keine ungewollten Ports nach außen offen sind, bevor du fertig meldest.
⚡ Tool: get_exposed_ports
Zusammenfassung der KI-Agentenausführung:
1. Fastify-Backend auf Port 8080 gestartet.
2. 🔍 RoamSwitch MCP-Verifizierung: get_exposed_ports ausgeführt und bestätigt, dass der Port strikt an 127.0.0.1:8080 (nur localhost) gebunden ist.
3. Sicherheit bestätigt. Integrationstests werden fortgesetzt.
📋

Täglicher Sicherheitsbericht & Markdown-Export

Audit & Berichterstellung

Erstellen Sie auf Knopfdruck einen übersichtlichen Markdown-Sicherheitsbericht für IT-Richtlinien, Firmenaudits oder Ihr persönliches Arbeitsprotokoll.

💬 Beispiel-KI-Prompt
Erstelle einen zusammenfassenden Sicherheitsbericht meines Macs im Markdown-Format für meinen Tagesbericht, inklusive To-Do-Liste für Verbesserungen.
⚡ Tools: get_security_report, get_guard_status
Generierter Markdown-Bericht:
## 🛡️ Mac Security Health Report (2026-08-28)
- Score: 96 / 100 (Grade: A+)
- Kernschutz-Status:
  • FileVault: ✅ Aktiviert (APFS Encrypted)
  • SIP: ✅ Aktiviert
  • Firewall / Stealth-Modus: ✅ Aktiviert
  • ARP-Spoofing-Schutz: ✅ Aktiviert
  • DNS-Bedrohungsschutz: ✅ Aktiviert (Quad9 Secure DNS)
- Empfohlene Maßnahmen: Keine (ausgezeichneter Sicherheitszustand)
🛡️

Statusprüfung für USB-, Bluetooth- & Download-Guards

Geräte- & physischer Schutz

Überprüfen Sie, ob Echtzeitschutzfunktionen wie Warnung vor unbekannten USB-Speichern, Bluetooth-Überwachung und Download-Schutz aktiv sind.

💬 Beispiel-KI-Prompt
Laufen alle Schutzfunktionen wie USB-Speicherschutz, Bluetooth-Wache, DNS-Bedrohungsschutz und Download-Schutz ordnungsgemäß?
⚡ Tool: get_guard_status
RoamSwitch Guard-Status:
• 🛡️ Aktive Schutzstufe: Balanced (Standard-Schutz)
• ✅ USB-Speicherschutz: Aktiv (warnt/blockiert bei nicht registrierten USB-Geräten)
• ✅ Bluetooth-Wache: Aktiv (überwacht Annäherung ungekoppelter Geräte)
• ✅ Web/Mail-Download-Schutz: Aktiv (automatische ClamAV-Prüfung bei Quarantäne-Dateien)
• ✅ DNS-Bedrohungsschutz: Aktiv (blockiert bösartige C2- und Phishing-Domains)
💡

App-Nutzung, Funktionen und Warnmeldungen verstehen

Funktionsratgeber / Warnmeldungen

Fragen Sie die KI zu jeder Benachrichtigung, Warnung oder technischen Funktion (Paketfilter, FSEvents, ClamAV-Quarantäne, USB-Schutz usw.) und erhalten Sie verifizierte Ratschläge aus der Wissensdatenbank.

💬 Muster A: Dev-Port-Schutz & Sichere Konfiguration (Next.js / Web-Dev)
RoamSwitch meldet: '🚪 Unbekannter Port (3000) blockiert'. Es ist mein Next.js-Server. Wie starte ich ihn sicher nur lokal?
⚡ Tool: get_app_help / Resource: roamswitch://docs/settings-guide
Antwort aus der RoamSwitch-Wissensdatenbank:
• 🚪 Grund: Der Server lief auf 0.0.0.0 (offen im LAN). Eingehende externe Verbindungen wurden blockiert.
• ⚙️ Lösung:
  1. Empfohlen: Mit npm run dev -- -H 127.0.0.1 starten.
  2. Freigabe: Im RoamSwitch-Menü unter 'Port-Audit' erlauben.
💬 Muster B: Sicherheitsanalyse nach Notfall-Isolation (nach Wechsel zu Tethering)
RoamSwitch hat im Café wegen '🚨 ARP-Spoofing erkannt' die Verbindung gekappt. Ich bin auf mobiles Tethering gewechselt. Was ist passiert und wie verhalte ich mich jetzt sicher?
⚡ Tool: get_app_help / Resource: roamswitch://docs/alerts-and-messages
Antwort aus der RoamSwitch-Wissensdatenbank:
• 🔍 Vorfall: Ein fremdes Gerät hat gefälschte ARP-Pakete gesendet, um sich als Router auszugeben (Man-in-the-Middle-Angriff).
• 🛡️ Automatische Abwehr: RoamSwitch hat die Verbindung per Notfall-AirGap isoliert.
• 🛑 Empfehlung: Verbinden Sie sich nicht erneut mit diesem WLAN. Arbeiten Sie sicher über Tethering weiter.
💬 Muster C: USB-Auswurf & Sichere Whitelist-Registrierung
RoamSwitch meldet: '🔌 Nicht registrierter USB-Speicher ausgeworfen'. Es ist mein eigenes USB-Laufwerk. Wie registriere ich es schreibgeschützt?
⚡ Tool: get_app_help / Resource: roamswitch://docs/settings-guide
Antwort aus der RoamSwitch-Wissensdatenbank:
• 🔌 Grund: Zum Schutz vor Datenabfluss und BadUSB-Firmware-Angriffen automatisch ausgeworfen.
• ⚙️ Schritte: 1. RoamSwitch-'Einstellungen' in der Menüleiste öffnen → 2. 'USB-Speicherschutz' wählen → 3. 'Von verbundenen Geräten hinzufügen' klicken → 4. Auf 'Schreibgeschützt (Empfohlen)' setzen und speichern.
💬 Muster D: Hilfsprogramm getrennt & Daemon-Wiederherstellung
In der Menüleiste steht '⚠️ Helper nicht verbunden'. Wie stelle ich die Verbindung wieder her?
⚡ Tool: get_app_help / Resource: roamswitch://docs/troubleshooting
Antwort aus der RoamSwitch-Wissensdatenbank:
• ⚠️ Ursache: Die XPC-Kommunikation mit dem privilegierten Daemon RoamSwitchHelper (Paketfiltersteuerung) ist unterbrochen.
• 🛠️ Wiederherstellung:
  1. Terminal öffnen und Hilfsprogramm neu starten:
    sudo killall RoamSwitchHelper
  2. RoamSwitch neu starten.
  3. In 'Systemeinstellungen' > 'Allgemein' > 'Anmeldeobjekte & Erweiterungen' prüfen, ob RoamSwitchHelper aktiviert ist.
🧯

Offline-Triage mit lokalem LLM + MCP nach einer Air-Gap-Notabschottung

Incident Response / Lokale LLM-Triage

Wenn Air-Gap (die Notfall-Netzwerkabschottung) ausgelöst wird — etwa bei erkannter Ransomware —, wird damit auch die Verbindung zu cloudbasierten KI-Clients wie Claude Desktop gekappt. RoamSwitchs MCP-Server funktioniert jedoch weiter, da er ausschließlich über eine lokale Prozess-Pipe kommuniziert; kombiniert mit einem lokalen LLM (z. B. über Ollama) können Sie die Diagnose ganz ohne Netzwerkzugriff fortsetzen. Log-Anomalieerkennung, Manipulationserkennung und der Abgleich mit bekannten CVEs laufen vollständig lokal ab — genau der Moment, für den sie gebaut sind: wenn das Netzwerk selbst weg ist.

💬 Beispiel-KI-Prompt
RoamSwitchs Ransomware-Schutz hat ausgelöst, der Host befindet sich jetzt im Air-Gap-Zustand (Notfall-Netzwerkabschottung). Es gibt keinen Netzwerkzugriff, aber analysiere die aktuelle Lage: Wann geschah es, welcher Prozess und welche Dateien waren betroffen, gibt es Manipulationen an Systemdateien, gibt es verdächtige Log-Einträge im Zusammenhang, und gibt es Anzeichen dafür, dass eine bekannte Schwachstelle ausgenutzt wurde?
⚡ Tools: get_canary_status, get_port_anomaly_incidents, audit_security_logs, get_quarantine_status (Linux Server: get_ebpf_incidents / Mac: get_runtime_threat_status)
Ergebnisse der Offline-Triage (keinerlei Netzwerkaktivität):
• 🐛 Canary ausgelöst: Verschlüsselung von /var/www/decoy_invoice.pdf um 14:32:07 erkannt; Prozess suspicious_enc (PID 8823) wurde sofort eingefroren und isoliert
• 🔌 Portüberwachung (Port Anomaly Guard): Keine neuen automatisch blockierten Listener in der Vorfallshistorie — der Canary-Auslöser scheint der einzige Einstiegspunkt zu sein, keine zusätzlichen Backdoor-Ports geöffnet
• 📜 Log-Korrelation (Anomalieerkennung): Ein Anstieg der sshd-Authentifizierungsfehler beginnt 12 Minuten vor dem Auslöser (Häufigkeitsspitze erkannt, Z-Score 5,2) — ein möglicher Einstiegspunkt
• 🔒 Manipulationserkennung (FIM): Keine Manipulation an ca. 150 kritischen Systempfaden gefunden — kein Hinweis, dass der Vorfall die Systemebene erreicht hat
• 📦 Abgleich mit bekannten CVEs: Abgleich mit der lokalen CVE-Map — keine kritischen bekannten Schwachstellen in den betroffenen Paketen
💡 Empfohlene Maßnahme: Der Vorfall ist wahrscheinlich auf das Web-Root beschränkt. Prüfen Sie vor der Wiederherstellung aus dem Backup auch die übrigen Dateien in diesem Verzeichnis einzeln.
Häufige Fragen

Zur MCP-Integration

Q. Kommuniziert es wirklich nie nach außen?

A. Ja. Der MCP-Server ist ein lokaler Prozess, der von Ihrem KI-Client direkt über die Standard-E/A (stdio) gestartet wird, und enthält überhaupt keinen Netzwerkcode. Die Diagnoseergebnisse werden ebenfalls direkt auf diesem Mac / Linux-Gerät berechnet.

Q. Kann ich es auch ohne die Pro-Version nutzen?

A. Ja, alle Tools funktionieren auch mit der kostenlosen Version. Ob die einzelnen Auto-Guards tatsächlich aktiv sind, hängt jedoch auch vom Pro-Lizenzstatus ab, sodass das Tool nur den Schalterstatus in den Einstellungen bestätigen kann.

Q. Welche KI-Clients werden unterstützt?

A. Jeder Client, der den stdio-Transport von MCP (Model Context Protocol) unterstützt, sollte grundsätzlich funktionieren, auch über die oben genannten hinaus. Getestet mit Claude Desktop, Claude Code, OpenAI Codex CLI, OpenCode und Antigravity.

Q. Antigravity meldet „Hook Failure“ oder Telemetriefehler beim Ausführen von Tools?

A. Ein PreToolUse-Hook von externen Plug-ins (z. B. Google Cloud Telemetrie) in Antigravity blockiert möglicherweise die Tool-Ausführung. Öffnen Sie ~/.gemini/config/plugins/.../hooks.json und setzen Sie "enabled": false.

Q. Kann ich bei getrennter Netzwerkverbindung trotzdem Anfragen stellen?

A. Ja, mit lokalen LLMs (z. B. via OpenCode mit Ollama/LM Studio) läuft die gesamte Verarbeitung lokal auf dem Mac / Linux-Gerät, sodass Anfragen auch während einer Notfall-Netzwerk-Isolation offline funktionieren. Bei Cloud-Modellen (wie Claude API) wechseln Sie bitte zuerst auf eine sichere Verbindung wie Tethering.