google-health-mcp: autorisierte Gesundheitsdaten auf diesem Rechner per OAuth lesen

Für wen

Du nutzt bereits Fitbit, Pixel Watch oder einen Google-Health-Partner und willst auf diesem Rechner per OAuth Health-API-v4-Daten lesen, die du autorisiert hast. Offiziell steht local-first: Token verlassen diesen Rechner nicht. Aktuell ist es Beta.

Die empfohlene Installation zielt auf Hermes: Ein Befehl vorkonfiguriert diesen Konnektor plus 8 weitere in eine eigene Hermes-Konfiguration. Der Quelltitel nennt auch Claude und Cursor. Für alle, die akzeptieren, dass Gesundheitsdaten zu Google hinausgehen, Token aber auf diesem Rechner bleiben.

Wenn du OAuth nicht abschließen kannst oder keine gesundheitsbezogenen Anfragen diesen Rechner verlassen sollen, hilft dieser Leitfaden nicht. Die vorhandenen Hinweise nennen keine konkreten MCP-Tools (etwa Schritte oder Herzfrequenz). Toolnamen nicht selbst ergänzen.

Ersten Versuch in 3 Minuten abschließen

Voraussetzungen: Dieser Rechner kann npx ausführen; du planst Hermes (oder verbindest später einen anderen Client). Die offizielle Ein-Befehl-Installation ist:

npx -y delx-wellness-hermes setup

Sie stammt von Delx Wellness for Hermes

https://github.com/davidmosiah/delx-wellness-hermes

und vorkonfiguriert diesen Konnektor plus 8 weitere. Beim ersten Versuch den clinical Scope nicht öffnen.

Der erste Versuch nutzt den namentlich genannten Nur-Lese-Befehl coverage. Die statische Vorprüfung vor OAuth steht als coverage --json; --live nicht anhängen. Das offizielle Beispiel mit vollständigem Paketnamen zeigt nur die Variante mit echtem Konto:

npx -y google-health-mcp-unofficial coverage --live --json

Beim ersten Versuch zuerst coverage --json auf demselben Paket ausführen. Beobachtbares Erfolgssignal: Ein Coverage-Bericht erscheint, und es sollten keine OAuth-Geheimnisse, lokalen Pfade oder rohen Gesundheitsmesswerte auftauchen — offiziell ist der Befehl dafür entworfen. Netzwerkabhängigkeiten können trotzdem erreicht werden; nicht als „kein Netz, keine Privatsphäregrenze“ lesen. Nach bestandener Vorprüfung --live ergänzen, wenn ein echtes Konto getroffen werden soll. Das ist ebenfalls Nur-Lesen, berührt aber ein echtes Konto; vorher bestätigen, dass es dein eigenes autorisiertes Konto ist.

SSH / Container / WSL können auth --manual für kopfloses OAuth nutzen; das ist nicht der Erstversuchspfad.

Anwendungsfälle

Fall 1: vor dem Verdrahten die Abdeckung ansehen. coverage --json als statische Vorprüfung vor OAuth ausführen. Der Auszug listet keine Berichtsfelder, Erfolg ist daher nur „JSON-Abdeckung erhalten und keine Geheimnisse oder Rohmesswerte sehen“. Das Vorprüfungsergebnis nicht als bereits mit Fitbit verbunden behandeln.

Fall 2: Nur-Lese-Abgleich gegen ein echtes Konto. npx -y google-health-mcp-unofficial coverage --live --json ausführen. Offiziell steht Nur-Lesen und bewusstes Auslassen von OAuth-Geheimnissen, lokalen Pfaden und rohen Gesundheitsmesswerten. Der Auszug gibt keine Filterparameter und kein Zeitfenster; diese Ausgabe nicht als klinischen Datensatz behandeln. Der clinical Scope (ECG/IRN) ist optional; im ersten Fall nicht öffnen.

Grenzen der Nutzung

Das ist der inoffizielle npm-Paketname google-health-mcp-unofficial, Status Beta. Token sollen auf diesem Rechner bleiben, Health-API-Anfragen verlassen ihn trotzdem. Coverage ist so entworfen, dass Rohmesswerte entfallen; das heißt nicht, dass Daten nie angefordert wurden. Es gibt keine Schritte zum Widerruf der Autorisierung, Löschen lokaler Token oder Abschalten der Hermes-Konfiguration. Die anderen 8 mitvorkonfigurierten Konnektoren sind nicht namentlich genannt. Offizielles Repository:

https://github.com/davidmosiah/google-health-mcp