Das ERP im Zeitalter der KI-Agenten: warum das MCP-Protokoll alles verändert

Von APIs zur Konversation: ein neuer Zugangsweg zum ERP

Zwanzig Jahre lang setzte die Integration einer Unternehmenssoftware in ein anderes Werkzeug voraus, Code zu schreiben: eine REST-API aufrufen, die Authentifizierung handhaben, die Antworten parsen, das Ganze bei jeder Weiterentwicklung pflegen. Dieser Ansatz bleibt solide, doch er schließt faktisch all jene Nutzer aus, die keine Entwickler sind.

Das Aufkommen der KI-Agenten – ChatGPT, Claude, Cursor und ihre Pendants – verändert die Lage. Diese Assistenten begnügen sich nicht mehr damit, Fragen zu beantworten: Sie können handeln, das heißt, Vorgänge in einem Drittsystem auslösen. Damit ein Agent ein Angebot erstellt, einen Bestand liest oder einen Einsatz in einem ERP plant, braucht er eine gemeinsame Sprache mit dieser Software. Genau das ist die Aufgabe des MCP-Protokolls.

Das MCP-Protokoll, kurz erklärt

Das MCP (Model Context Protocol) ist ein offenes Protokoll, das die Verbindung zwischen einem Sprachmodell und externen Datenquellen oder Werkzeugen standardisiert. Man vergleicht es oft mit einem „Universalanschluss": Statt für jeden Assistenten eine maßgeschneiderte Integration neu zu erfinden, stellt ein Anbieter seine Fähigkeiten ein einziges Mal über einen MCP-Server bereit, und jeder kompatible Agent kann sich damit verbinden.

Konkret veröffentlicht ein MCP-Server eine Liste von Werkzeugen (Tools). Jedes Werkzeug beschreibt eine mögliche Aktion – „einen Kunden anlegen", „offene Rechnungen auflisten", „das Dashboard einsehen" – mit den erwarteten Parametern. Der KI-Agent entdeckt diese Liste, wählt das passende Werkzeug entsprechend der Anfrage des Nutzers, füllt es aus und erhält das strukturierte Ergebnis.

Wie es konkret funktioniert

Ein Nutzer schreibt in seinen Assistenten: „Erstelle ein Angebot über 1.500 € für den Kunden Durand und versende es." Der Agent:

1. Entdeckt die vom MCP-Server des ERP bereitgestellten Werkzeuge.
2. Wählt das Werkzeug zur Angebotserstellung und leitet die Parameter aus der Nachricht ab.
3. Ruft das Werkzeug über den Server auf, der den Vorgang ausführt, wie es die Weboberfläche täte.
4. Liefert eine lesbare Bestätigung und gegebenenfalls den Link zum Dokument.

Der entscheidende Vorteil: Diese Werkzeuge können automatisch aus der OpenAPI-Spezifikation des ERP erzeugt werden. Jede dokumentierte Route wird zu einem für den Agenten nutzbaren Werkzeug, ohne manuelle Neuprogrammierung. eyeot folgt dieser Logik: Sein MCP-Server leitet seine Werkzeuge aus der bestehenden API ab und schleust jeden Aufruf durch denselben Stack wie die Oberfläche – wodurch Authentifizierung, Datenumfang und Audit-Protokoll erhalten bleiben.

Authentifizierung: das ERP für Agenten öffnen, ohne die Wache zu schwächen

Einer KI die Schlüssel zu einem Verwaltungssystem zu geben wirft sofort eine Sicherheitsfrage auf. Ein ERP enthält Finanz-, HR- und Kundendaten: Der agentische Zugang kann sich nicht auf ein einfaches geteiltes Passwort stützen.

Der sich durchsetzende Standard ist [OAuth](/de/glossaire/oauth) 2.1, mit mehreren an den Kontext angepassten Modi:

• Authorization Code + PKCE: Der Nutzer authentifiziert sich in seinem Browser und autorisiert den Agenten ausdrücklich. Das ausgestellte Token ist kurzlebig und erneuerbar.
• Device Grant: gedacht für Agenten auf der Kommandozeile oder Anwendungen ohne integrierten Browser (etwa ein Desktop-Assistent). Der Nutzer bestätigt den Zugang auf einem anderen Bildschirm.
• API-Schlüssel, von der Organisation ausgestellt, mit beherrschtem Umfang, für Service-Integrationen.

In allen Fällen bleibt das Prinzip dasselbe: Der Agent erbt die Berechtigungen des Nutzers, der ihn autorisiert hat, nie mehr. Ein mit dem Konto eines Vertriebsmitarbeiters verbundener Assistent kann nicht die Lohnabrechnung einsehen. Diese Konsistenz beruht auf einer feingranularen Zugriffskontrolle, die bei jeder Anfrage angewandt wird, und auf der strikten Mandantentrennung der Daten.

Die unverzichtbaren Schutzmechanismen eines agentischen ERP

Ein KI-Agent ist mächtig, aber fehlbar: Er kann eine Anweisung falsch interpretieren, eine Aktion wiederholen oder zu schnell handeln. Ein KI-fähiges ERP muss daher Sicherheitsmechanismen integrieren, die für diesen neuen Nutzungsmodus konzipiert sind.

Idempotency: nicht zweimal dieselbe Rechnung erstellen

Wenn ein Agent eine Anfrage nach einer Netzverzögerung erneut sendet, riskiert er, einen Vorgang zu verdoppeln – zwei Rechnungen, zwei Bestellungen. Das Gegenmittel ist die Idempotency: Der Agent fügt jeder sensiblen Anfrage einen eindeutigen Bezeichner (Idempotency-Key) bei. Empfängt der Server zweimal denselben Schlüssel, gibt er das ursprüngliche Ergebnis zurück, ohne die Aktion erneut auszuführen. Es wird nur eine einzige Rechnung erstellt, was auch geschieht.

Dry-Run: simulieren, bevor geschrieben wird

Bevor ein Vorgang mit großer Wirkung freigegeben wird, ist es wertvoll, seine Effekte vorab anzeigen zu können, ohne etwas zu verändern. Der Dry-Run-Modus (oft ein Header X-Dry-Run) führt die Geschäftslogik aus, erfasst, was sich geändert hätte – Mutationen, Benachrichtigungen, Auslösungen –, und macht dann alles rückgängig. So kann der Agent ankündigen „hier ist, was diese Aktion bewirken wird", bevor er eine endgültige Bestätigung verlangt.

Audit und RBAC: Nachvollziehbarkeit und Berechtigungen

Jede von einem Agenten ausgelöste Aktion muss wie jede menschliche Aktion protokolliert werden: wer, was, wann, von welchem Token aus. Ein zeitgestempeltes Audit-Protokoll – idealerweise kryptografisch verkettet – stellt sicher, dass kein automatisierter Vorgang der Kontrolle entgeht. Auf der Rechteseite filtert das [RBAC](/de/glossaire/multi-tenant) vorab, was der Agent tun darf. Für automatisierte Entscheidungen, die Personen betreffen, schreibt der Rahmen der DSGVO (insbesondere Artikel 22) im Übrigen vor, einen Menschen in der Schleife zu behalten.

Zu diesen Schutzmechanismen kommt eine Logik der standardmäßigen Lesezugriffe hinzu: Ein Agent kann frei einsehen und informieren, während Schreibvorgänge an eine aktive Autorisierung gebunden bleiben. Eine klare Grenze zwischen „lesen" und „handeln".

Konkrete Anwendungsfälle

Sobald das ERP per KI steuerbar gemacht ist, vervielfachen sich die Anwendungen:

• Konversationelles Reporting: „Wie hoch ist mein Monatsumsatz und meine offenen Posten?", ohne auch nur ein Dashboard zu öffnen.
• Assistierte Erfassung: eine Opportunität, einen Kunden oder ein Ticket mündlich diktieren, wobei der Agent die Information strukturiert.
• Modulübergreifende Orchestrierung: Angebot, Bestand und Fakturierung in einer einzigen Anweisung verbinden, gestützt auf die modulübergreifende Intelligenz des ERP.
• Anbindung an das Ökosystem: das ERP über vom Agenten ausgelöste Integrationen mit anderen Werkzeugen kombinieren.

Das Ziel ist nicht, die Oberfläche zu ersetzen, sondern einen zusätzlichen Kanal anzubieten, der für bestimmte wiederkehrende oder explorative Aufgaben schneller ist.

eyeot entdecken

eyeot ist ein französisches ERP, das für diese neue Nutzungsgeneration konzipiert ist: Sein MCP-Server stellt die fachlichen Vorgänge kompatiblen Agenten bereit, mit integrierter OAuth-Authentifizierung, Idempotency, Dry-Run-Modus und Audit-Protokoll. Der agentische Zugang respektiert dieselben Berechtigungen und dieselbe Isolation wie die Weboberfläche.

Wenn Sie die Steuerung eines ERP aus Ihrem bevorzugten Assistenten heraus erproben möchten, öffnet das kostenlose Einzelnutzer-Konto den Zugang zu allen Modulen für einen Nutzer — ohne Kreditkarte, um das Werkzeug unter realen Bedingungen zu prüfen.