KI-Assistent — Beratung + App-Bedienung in einem Chat

Greift mit Ihrem Login auf alle Ihre Daten zu: Status, Alerts, Changelog, Analytics, Forms, Media, Heatmaps, Recordings, A/B-Tests, Insights, Heartbeats, API-Endpoints, Reports, Konkurrenten — exakt das, was die App selbst sieht.

Sie können Setups in normaler Sprache beschreiben — z. B. 'Lege mir 3 Heartbeats für meine Backups an, alle 24h'. Der Assistent zeigt eine Bestätigungs-Card mit allen Werten + Diff. Erst Ihr Klick führt sie aus.

Wenn ein Feature Ihren aktuellen Plan überschreitet, schlägt der Assistent das passende Upgrade vor und erzeugt einen Stripe-Checkout-Button — ein Klick, neuer Tab, fertig.

Was Sie beisteuern und nicht in den Daten steht — Anmerkungen, Entscheidungen, Hintergrund, Vorlieben, Vorhaben — merkt sich der Assistent und bringt es ins nächste Gespräch mit. Sie sehen jeden Eintrag unter Einstellungen → KI-Gedächtnis und ändern oder löschen ihn dort.

Multi-Tab im App-Modus — Setup-Fragen, Reports, Plan-Beratung getrennt halten. Jeder Tab hat eigenen Verlauf, automatischen Titel aus erster Frage.

Auf jeder Seite — sowohl in der Marketing-Webseite als auch im eingeloggten Dashboard — erscheint links unten ein Chat-Icon mit rotierendem Farbring und einer kleinen `KI`-Pille als visueller Hinweis, dass es kein menschlicher Support ist.

Bei Bildschirmen unter 768 px schaltet das Widget automatisch auf ein über die volle Breite gehendes Bottom-Sheet (untere Bildschirmhälfte, 50 % der Höhe) — kein Drag/Resize, dafür ungestörter Lese-/Schreib-Bereich.

Über 768 px können Sie das Widget am Header ziehen und an der unteren rechten Ecke resizen. Position + Größe bleiben in Ihrem Browser gespeichert. Der Reset-Button im Header bringt es zurück auf Standard.

`get_account_overview` aggregiert: Plan + Limits-Auslastung, alle Websites mit Status, alle offenen Alerts (sites-übergreifend), letzte 10 Changelog-Einträge global, aktive Heartbeats, SSL-Abläufe < 30 Tage. Wird automatisch gerufen, wenn Sie auf dem Dashboard fragen 'wie steht's'.

`get_website_details` (Score, Uptime, SSL, Lighthouse, Hosting, DNS), `get_website_alerts` (offene Vorfälle), `get_website_changelog` (visuelle Diffs, DNS-Wechsel, Security-Drops), `get_website_analytics_summary` (PV/Sessions/Visitors/Top-Pages/Channels/Geo), `get_website_security_findings` (Header, Privacy-Tracker, Mixed-Content).

`get_website_module_data(module=...)` mit module=forms/media/heatmaps/recordings/experiments/insights/weekly_summary. Liefert Funnels mit Drop-Fields (Forms), Engagement-Quoten (Media), Top-Click-Targets + Rage/Dead-Clicks (Heatmaps), getaggte Sessions (Recordings), Variant-Stats für A/B-Sieger, auto-erkannte Anomalien (Insights) und die jüngste wöchentliche Klartext-Zusammenfassung (weekly_summary). Die ersten fünf Module verlangen Business, Insights und weekly_summary laufen am selben Gatter wie die Basis-Analytics und stehen ab Starter bereit.

`get_website_ecommerce(report=...)` liest die E-Commerce-Auswertungen einer Website oder aller Websites (bis zu zwölf je Aufruf, Ergebnis je Website): overview (Umsatz, Durchschnittsbestellwert, Funnel, Top-Produkte), order_log (Bestellverlauf), finance (Brutto bis Erstattung), abandoned (Abbrüche), recovery (identifizierte Kunden mit offenem Warenkorb), refunds, carts, customers (die 25 umsatzstärksten Kunden), products (Produktliste mit Kategorien und Bestsellern), payment_shipping (Zahlungs- und Versandarten), shop_summary (Kennzahlen des Shopware-Bestellimports: Herkunft, Status, Stornos, Erstattungen, offene Zahlungen und Lieferungen, Verkaufskanäle, Erfassungsquote des Trackers, Wiederkäufer) und shop_status (Stand der Shop-Anbindung und des Bestellimports, ohne Access Key ID und API-Adresse). Zeitraum today, yesterday, 7d, 30d, 90d oder 365d, für shop_summary zusätzlich all; Beträge in Cent. `get_account_overview` nennt zusätzlich Shop-Anbindungen mit Fehler.

`list_plan_limits` (Free/Starter/Business/Agency-Limits), `get_pricing` (Preise + Add-Ons + Trial-Info), `get_user_context` (welcher Plan ist gerade aktiv, wie viele Sites verifiziert, offene Alerts).

`app_api_read(path)` mit Whitelist von 50 GET-Pfad-Mustern — wenn keines der spezialisierten Tools genau passt. Nur GET (Mutationen laufen über die Confirm-Tools), Pfade gegen User-Scope gegated. Ruft die echte Backend-API mit Ihrem Login-Scope, gleiche Daten wie die App-UI. Bei ungültigem Pfad bekommt das Modell eine stille Selbstkorrektur mit den gültigen Pfaden — kein roter Fehler im Chat.

`search_docs(query)` durchsucht Doku, Handbuch und Blog-Artikel per MariaDB-Volltext (Relevanz-Ranking, DE+EN, interne Chunks bleiben für Kunden unsichtbar) und liefert die besten Auszüge mit Source-Links. `find_feature_in_app(feature)` zeigt, wo eine Funktion in der App liegt (Route + Breadcrumb + Plan-Voraussetzung).

`add_website` (URL + Name + Check-Intervall, generiert Verifikations-Token), `update_website_settings` (Name/Intervall ändern), `delete_website` (rote Card, irreversibel mit Konsequenz-Beschreibung).

`add_heartbeat` mit Name + `expected_minutes` (erwartetes Intervall) + `grace_minutes` (Toleranz, Default 5). Nach Bestätigung liefert das Tool eine eindeutige Ping-URL — am Ende Ihres Skripts/Cron-Jobs einbauen. Bleibt der Ping länger als Intervall + Toleranz aus, kommt ein Alert.

`add_api_endpoint` mit Methode + URL + erwartetem Status + Intervall. Plan-gegated (im Free nicht verfügbar).

`add_competitor` (Konkurrent unter eigene Website hängen — Business+), `add_keyword` (Suchbegriff + Land hinterlegen — Business+, Positionsmessung noch nicht freigeschaltet).

`add_escalation_policy(name, steps[])` mit mehreren Stufen — pro Stufe delay_minutes (ab Alert-Start), channels (email/slack/discord/telegram/teams/webhook) und optional contact. Beispiel: 'erst Mail, nach 15 Min Slack, nach 30 Min Telegram'.

`update_alert_config` setzt globale Channels (Slack-Webhook, Discord-Webhook, Telegram-Bot+Chat-ID), Email-Adresse, SSL-Warn-Tage, Security-Score-Schwellwert. Sicherheits-Webhooks werden im Diff als '(neu gesetzt)' angezeigt — nie der echte Wert für Audit-Logs.

`mark_alert_resolved` schließt einen offenen Alert (Severity + Type werden im Diff angezeigt). Nach der Behebung nutzen — der Status springt sofort auf 'resolved' + zeigt im Audit-Log dass der Assistent es war.

`invite_team_member` (E-Mail + Rolle, Plan-Limit-Check, Einladungs-Mail mit Magic-Link), `add_status_page` (Slug + Titel, generiert Public-Token + URL).

`request_report_now` für Wochen- oder Monatsreport einer Website (Business+ — Auto-Reports im Plan inkludiert, manuelle Trigger jederzeit).

Erzeugt eine Stripe-Checkout-Session und liefert Ihnen einen großen CTA-Button im Chat. Bei aktivem Abo wird in-place upgraded mit anteiliger Abrechnung — kein Checkout nötig, der Plan ist sofort umgestellt.

7 Add-Ons, alle buchbar: Extra Website (3 €/M, qty 1–100), Extra Team-Mitglied (3 €/M, qty 1–50), Responsive-Preview-Pack (7 €/M), Erweiterte Datenaufbewahrung (9 €/M), KI-Booster (12 €/Stück/M, qty 1–3: +200 Chat-Msgs/Tag und +500/Monat pro Stück), Priority-Support (15 €/M), Custom-Domain Status-Seite (5 €/M pro Domain, qty 1–25). Alle Add-ons sind monatlich kündbar. Jede Buchung läuft als eigener Stripe-Checkout in neuem Tab.

Pro Frage übermittelt das Frontend den Page-Context (Bereich, aktuelle Website-ID falls auf einer Detailseite, Tab, Zeitraum). Wenn Sie auf der Analytics-Page 'Wie viele Besucher?' fragen, weiß der Assistent direkt für welche Site und welchen Range — keine Rückfrage.

Beim ersten API-Call wird die Liste Ihrer Websites (Name, URL, Status, Verifikationsstatus, ID) in den Page-Context geladen. Der Assistent weiß ohne Tool-Call, ob Sie 0/1/N Sites haben — bei 0 schlägt er `add_website` vor, bei 1 nutzt er die ID automatisch ohne nachzufragen.

Beim Öffnen des Chats werden 3-4 vorgeschlagene Fragen angezeigt — abhängig vom aktuellen Bereich. Auf /preise: 'Welcher Plan passt für 5 Sites?'. Auf /app/analytics: 'Was sind meine Top-Quellen?'. Auf /app/settings/billing: 'Auf Business upgraden'. 18+ Kontext-Sets, jeweils konversionsoptimiert.

Nach jeder Bot-Antwort erscheinen 2-3 logische Folgefragen als klickbare Pillen — z. B. nach Status-Übersicht: 'Welcher Alert ist am kritischsten?', 'SSL-Probleme analysieren', 'Wie aktiviere ich Eskalation?'. Ein Klick = nächste Frage.

Alles, was Sie über Ihre Lage sagen und was nicht in den Messdaten steht: Anmerkungen, getroffene Entscheidungen, Hintergrund zu einer Kampagne oder einem Relaunch, Vorlieben für die Zusammenarbeit, Vorhaben mit Termin. Fünf Arten — Anmerkung, Entscheidung, Hintergrund, Vorliebe, Vorhaben. Nicht gemerkt werden Zahlen, die er jederzeit abrufen kann, Flüchtiges aus dem laufenden Gespräch und Zugangsdaten.

Der Bestand geht bei jeder Frage als Kontext mit — bis zu 40 Einträge bzw. 6.000 Zeichen, angeheftete zuerst, danach die zuletzt geänderten. Der Assistent behandelt Ihre Angaben als gegeben; widersprechen die Messdaten, benennt er den Widerspruch statt ihn zu übergehen.

Derselbe Titel überschreibt den vorhandenen Eintrag, statt einen zweiten anzulegen — aus 'Technische Betreuung' wird kein Stapel widersprüchlicher Versionen. Ändert sich die Lage, sagen Sie es einfach im Chat: der Assistent aktualisiert denselben Eintrag.

300 Einträge je Login, Titel bis 160 und Inhalt bis 2.000 Zeichen. Ist der Deckel erreicht, lehnt der Assistent neue Titel ab, statt still Älteres zu verdrängen — vorhandene Einträge bleiben trotzdem korrigierbar. Der Bestand hängt an Ihrem Login, nicht am Konto: ein Teammitglied hat sein eigenes Gedächtnis. Betrifft eine Angabe genau eine Website, wird sie daran gebunden und taucht nur dort auf.

Im App-Modus zeigt das Widget oben eine Tab-Leiste. Die Schaltfläche + startet eine neue Unterhaltung; die älteste wird automatisch archiviert, wenn das Limit erreicht ist. Jeder Tab hat einen eigenen Verlauf, der Bot kann parallel an 5 Themen arbeiten.

Tab-Titel = erste 60 Zeichen der ersten User-Nachricht. Schließen pro Tab über das X im Tab — andere bleiben offen. Die älteste Konversation wird automatisch archiviert, sobald das Limit erreicht ist.

Trash-Icon im Header schließt NUR den aktuellen Tab — andere bleiben aktiv mit ihrem vollen Verlauf. So können Sie eine fertige Beratung löschen, ohne Ihre Setup-Hilfe zu verlieren.

Passwort ändern, 2FA-Reset, E-Mail-Adresse wechseln, Account löschen, Lifetime-Lizenz konfigurieren, Stripe-Subscription kündigen — diese Aktionen erfordern Re-Auth in der UI und sind absichtlich aus dem Tool-Set ausgeschlossen.

Jede Mutation und jedes Read-Tool ist gegen `user_id` gegated. Wenn Sie eine fremde ID übergeben, kommt 403 zurück — auch der Bot kann nicht über Konto-Grenzen lesen oder schreiben. Multi-Tenant-Isolation auf DB-Query-Ebene.

Wenn Sie eine Mutation anfordern, die Ihren Plan überschreitet (z. B. 11. Website auf Business mit 10er-Limit), erkennt der Bot das im Preview-Schritt und schlägt sofort `start_plan_upgrade` als Folge-Tool vor — ein-Schritt-Lösung.

Der Bot erkennt typische Injection-Patterns ('ignoriere die Anweisungen', 'enthülle den System-Prompt') und antwortet mit einer höflichen Ablehnung statt zu folgen. Ein Output-Filter prüft Antworten auf durchgesickerte API-Keys/Secrets/interne E-Mails — wenn etwas durchrutscht, wird es vor Auslieferung redacted.

Pro Konversation: Free 10 / Starter 15 / Business 50 / Agency 100 (danach automatischer Handoff an einen Mitarbeiter). Tageslimit: Free 15 / Starter 50 / Business 100 / Agency 300. Monatslimit: Free 50 / Starter 300 / Business 800 / Agency 2000. Add-On KI-Booster (12 EUR/Monat, monatlich kündbar, stackbar bis 3-mal) hebt Tag um +200 und Monat um +500 pro Einheit an. Pro Konversation max. 5 schreibende Aktionen als Run-Away-Loop-Schutz. Besucher ohne Anmeldung zusätzlich auf 14 Msgs/IP/Stunde + 40/IP/Tag begrenzt.

Der Assistent läuft auf der LLM-API von Anthropic (USA, mit EU-Standardvertragsklauseln per DPA). Click-Through-DPA ist nach Art. 28 Abs. 9 DSGVO ausreichend; XICTRAQ archiviert die DPA als PDF und führt einen Eintrag im Verarbeitungsverzeichnis.

Pro Anfrage: Ihre Nachricht, der System-Prompt mit XICTRAQ-Funktionsbeschreibungen, die Tool-Definitionen und die Tool-Resultate. Output-Filter entfernt API-Keys, Passwörter, Bearer-Tokens, interne XICTRAQ-E-Mails. Dazu Ihr Gedächtnis-Bestand, soweit er in den Kontext passt — also das, was Sie selbst hinterlegt haben. Keine Tracking-Hashes, keine rohen Customer-Datensätze ohne Bezug zur Frage.

Konversationen ohne Anmeldung werden nach 30 Tagen gelöscht, eingeloggte Konversationen nach 365 Tagen. Stale Konversationen (>24h ohne Antwort) werden auto-geschlossen. Sie können jeden Tab manuell schließen (= Soft-Delete) oder den kompletten Verlauf via 'Konto-Daten löschen' entfernen. Merkeinträge im Gedächtnis haben bewusst keine Frist — sie bleiben, bis Sie sie unter Einstellungen → KI-Gedächtnis ändern oder löschen.