Ja, Sie können einen KI-Agenten mit Ihrem ERP und CRM verbinden, auch mit selbst entwickelten Systemen. Der Weg hängt davon ab, was Ihr System bietet: eine offizielle API, einen MCP-Konnektor, eine Datenbank-View mit reinen Leserechten, Dateiexporte oder bei den ältesten Systemen eine streng begrenzte Bildschirmautomatisierung. Die schwierigere Frage ist, was Sie den Agenten tun lassen, sobald er verbunden ist.
Im Folgenden zeigen wir in einfachen Worten, wie Sie KI-Agenten mit ERP verbinden, und danach die Regeln, die wir anwenden, bevor ein Agent ein Live-System berührt. Der Artikel gehört zu unserem Leitfaden zu KI-Agenten für Unternehmen.
Zuerst zwei Begriffe. Ihr ERP (Enterprise Resource Planning, also Ihr Warenwirtschafts- und Unternehmenssystem) ist die Software, mit der Finanzen, Lager und Einkauf laufen: SAP, Microsoft Dynamics, Odoo oder eine Eigenentwicklung. Ihr CRM (Customer Relationship Management) ist das System, in dem der Vertrieb Kontakte und Verkaufschancen pflegt: Salesforce, HubSpot und ähnliche.
KI-Agenten mit ERP verbinden: was das bedeutet
Ein KI-Agent arbeitet eine Aufgabe Schritt für Schritt ab und nutzt dabei Werkzeuge, die Sie ihm geben. Eine Verbindung ist eines dieser Werkzeuge: eine Möglichkeit, in einem anderen System etwas nachzuschlagen oder einzutragen. Drei Beispiele:
- Finanzen. Unser Rechnungs-Agent liest eine Lieferantenrechnung, sagen wir über 8.960 € zur Bestellung 4471, schlägt Bestellung und Wareneingang im ERP nach und prüft, ob sie innerhalb einer Toleranz von 2 % übereinstimmen. (Die Zahlen dienen der Veranschaulichung.) Er braucht Leserechte für Bestellungen und Wareneingänge und die Berechtigung, Buchungsentwürfe anzulegen. Sonst nichts.
- Vertrieb. Nach jedem Kundengespräch schreibt ein Agent eine Zusammenfassung in den Datensatz der Verkaufschance im CRM: was besprochen wurde, den nächsten Schritt, das Datum der Nachfassung. Er muss die Verkaufschance lesen und Notizen hinzufügen können. Preise ändern oder Kontakte löschen muss er nicht.
- Altsystem. Ein Großhändler betreibt eine 15 Jahre alte Eigenentwicklung ohne API und ohne Dokumentation, nur mit der Datenbank darunter.
Weg 1: die offizielle API
Eine API (Application Programming Interface, also Programmierschnittstelle) ist eine dokumentierte Tür, über die eine Software mit einer anderen spricht. Das ist der sauberste Weg, und die meisten modernen Geschäftssysteme haben eine. SAP veröffentlicht seine APIs im SAP Business Accelerator Hub. Laut der Dokumentation von Odoo sind alle Daten von außen zugänglich, über die externe API mit Unterstützung für API-Schlüssel.
Eine API allein ist aber noch kein Stecker für einen Agenten. Jemand muss „Schlag Bestellung 4471 nach“ noch in den richtigen API-Aufruf übersetzen. Hier kommt MCP ins Spiel.
MCP: das Model Context Protocol erklärt
MCP, das Model Context Protocol, ist ein Universalstecker für KI. Ohne MCP braucht jedes KI-Tool eine eigene Verbindung zu jedem System. Fünf Tools und vier Systeme? Zwanzig Verbindungen, die gebaut und gepflegt werden müssen. Mit MCP bauen Sie pro System einen Konnektor, einen sogenannten MCP-Server. Jeder Agent, der MCP spricht, kann ihn dann nutzen, mit den Berechtigungen, die Sie vergeben.
Anthropic hat MCP im November 2024 als offenen Standard veröffentlicht. Im Dezember 2025 wurde es an die Agentic AI Foundation übergeben, einen Fonds unter dem Dach der Linux Foundation, den Anthropic, Block und OpenAI mitgegründet haben. Kein einzelner KI-Anbieter besitzt es also. Wechseln Sie nächstes Jahr das Modell, funktionieren Ihre Konnektoren weiter.
Es gibt zwei Wege zu einem MCP-Server.
MCP-Server der Anbieter
Einige große Anbieter liefern inzwischen eigene:
- Microsoft Dynamics 365. Microsoft dokumentiert einen MCP-Server für Dynamics 365 ERP für seine Finanz- und Betriebsanwendungen. Der Agent sieht nur, was seine Sicherheitsrolle erlaubt. Microsofts eigenes Beispiel: Ein Agent mit der Rolle „Einkäufer“ (Purchasing Agent) erreicht nur die Objekte, die diese Rolle abdeckt.
- Salesforce. Die gehosteten MCP-Server von Salesforce sind seit April 2026 allgemein verfügbar. Laut Salesforce gelten Ihre bestehenden Berechtigungen, Freigaberegeln und Sicherheitseinstellungen auf Feldebene automatisch, und jede Aktion läuft als die angemeldete Person.
- HubSpot. HubSpot bietet einen MCP-Server, der KI-Agenten Lese- und Schreibzugriff auf CRM-Daten gibt, etwa auf Kontakte, Deals und Interaktionen.
Das sind gute Nachrichten für die KI-Integration ins CRM. Unser Vertriebs-Agent kommt oft mit dem Server des Anbieters und einem eigenen Benutzer mit eng gefassten Rechten aus, und mit sehr wenig eigenem Code.
Selbst gebaute MCP-Server
Für alles andere, auch für Ihr individuelles ERP, schreiben wir den MCP-Server selbst. Oft ist das sogar dann die bessere Wahl, wenn es einen Server des Anbieters gibt, weil Sie genau festlegen, welche Aktionen es gibt. Der Server unseres Rechnungs-Agenten könnte nur drei anbieten: „Bestellung abrufen“, „Wareneingang abrufen“ und „Buchungsentwurf anlegen“. Steht „Buchung ausführen“ oder „Bankverbindung ändern“ nicht auf der Liste, kann der Agent es nicht tun, egal wie man ihn darum bittet.
Für technisch Interessierte: So sieht eine dieser Aktionen in einem MCP-Server ungefähr aus. Es ist eine kurze Beschreibung, die der Agent liest, plus die genaue Eingabe, die er liefern muss:
{
"name": "get_purchase_order",
"description": "Ruft eine Bestellung anhand ihrer Nummer ab. Nur lesend.",
"inputSchema": {
"type": "object",
"properties": {
"po_number": { "type": "string", "description": "Zum Beispiel 4471" }
},
"required": ["po_number"]
}
}
Hinter dieser Beschreibung steckt gewöhnlicher Code, der Ihr ERP mit dem eigenen, eingeschränkten Login des Agenten aufruft. Der Agent sieht nie die Datenbank oder das Passwort, nur die Aktionen, die Sie freigeben.
Anbindung individueller ERP-Systeme: Datenbank-Views, Dateien und Bildschirme
Zurück zum 15 Jahre alten System. Keine API, kein MCP-Server. Es bleiben trotzdem drei Wege, in der Reihenfolge unserer Präferenz.
Eine Datenbank-View mit reinen Leserechten. Eine Datenbank-View ist eine gespeicherte Abfrage, die einen ausgewählten Ausschnitt Ihrer Daten zeigt, wie ein Fenster auf einige Spalten einiger Tabellen. Ihr IT-Team erstellt eine View der offenen Bestellungen, gibt dem Konto des Agenten nur Leserechte auf diese View und auf nichts sonst, und der Agent kann nichts verändern. Diese View verpacken wir dann in einen kleinen, selbst gebauten MCP-Server, damit sie wie jeder andere Konnektor aussieht.
Dateiexporte und -importe. Viele alte Systeme können jede Nacht eine CSV-Datei (eine einfache Datei im Tabellenformat) exportieren oder eine importieren. Der Agent liest den Export, erledigt seine Arbeit und schreibt eine Datei mit vorgeschlagenen Buchungen. Ein Mensch oder eine bestehende Importroutine lädt sie ein. Die Daten können einen Tag alt sein. Für die meiste Arbeit im Backoffice ist das in Ordnung, und es ist einfach und sicher.
Bildschirmautomatisierung, als letzter Ausweg. Software kann sich wie ein Mensch durch die Bildschirme des Systems klicken und tippen. Sie bricht jedes Mal, wenn sich eine Maske ändert. Deshalb setzen wir sie nur für eng begrenzte, überwiegend lesende Aufgaben ein, während wir eine richtige Verbindung planen.
Alle Wege im Vergleich:
| Weg | Am besten für | Aktualität der Daten | Aufwand | Risiko |
|---|---|---|---|---|
| Offizielle API | Moderne ERP- und CRM-Systeme | Live | Gering bis mittel | Gering, mit einem eng gefassten Konto |
| MCP-Server | Einen Konnektor für mehrere Agenten wiederverwenden | Live | Gering, wenn der Anbieter einen liefert | Gering, wenn die Aktionen eng gefasst sind |
| Datenbank-View mit reinen Leserechten | Individuelle und ältere Systeme | Live | Mittel | Gering, sie kann nicht schreiben |
| Dateiexport und -import | Systeme ohne andere Möglichkeit | Meist einen Tag alt | Gering | Gering |
| Bildschirmautomatisierung | Nur als letzter Ausweg | Live | Hoch in der Pflege | Hoch, bricht bei Änderungen |
Regeln für jede Verbindung
Egal welcher Weg, es gelten dieselben Regeln. OWASP, eine gemeinnützige Organisation, die weit verbreitete Sicherheitsstandards veröffentlicht, nennt das Hauptrisiko Excessive Agency, also übermäßige Handlungsfreiheit: ein Agent mit zu vielen Funktionen, zu vielen Berechtigungen oder zu viel Autonomie. OWASP empfiehlt eine menschliche Freigabe für Aktionen mit großer Tragweite.
- Ein Dienstkonto mit minimalen Rechten. Ein Dienstkonto ist ein Login für Software, nicht für einen Menschen. Geben Sie dem Agenten ein eigenes, mit den engsten Rechten, die funktionieren. Niemals das Login eines Administrators, und niemals Ihres.
- Erst lesen, später schreiben. Starten Sie jeden Agenten nur mit Leserechten. Fügen Sie Schreibrechte Aktion für Aktion hinzu, sobald er sie sich verdient hat.
- Entwurf, dann Freigabe. Wo der Agent schreibt, schreibt er Entwürfe. Der Rechnungs-Agent legt einen Buchungsentwurf an, und ein Mensch bucht ihn. Der Vertriebs-Agent darf Notizen hinzufügen, aber eine Änderung am Wert der Verkaufschance geht an die zuständige Kundenbetreuung.
- Zuerst die Sandbox. Eine Sandbox ist eine Kopie Ihres Systems mit Test- oder anonymisierten Daten. Der Agent bleibt dort, bis er realistische Fälle gut bewältigt, die kniffligen eingeschlossen.
- Alles protokollieren. Halten Sie jede Abfrage, jeden Entwurf und jede Ablehnung fest.
- Ratenbegrenzungen setzen. Eine Ratenbegrenzung deckelt die Anfragen pro Minute. So wird ein Agent, der in einer Schleife feststeckt, zu einer Warnmeldung statt zu einem Ausfall.
- Das führende System behält das Sagen. Ihr ERP und Ihr CRM bleiben die maßgebliche Datenquelle. Der Agent liest und schlägt vor. Eine eigene Kopie der Zahlen führt er nie.
Noch ein Hinweis zur Vorsicht. Der Sicherheitsforscher Simon Willison warnt vor dem „tödlichen Dreiklang“ (Lethal Trifecta): ein Agent mit Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und einem Weg, Informationen nach außen zu senden. Willison weist darauf hin, dass MCP es leicht macht, Werkzeuge aus verschiedenen Quellen zu kombinieren, wodurch versehentlich alle drei in einem Agenten landen können. Prüfen Sie jeden Konnektor, den Sie hinzufügen, nicht nur den ersten. Mehr dazu in Sicherheitsrisiken von KI-Agenten.
Wo Sie anfangen sollten
Wählen Sie einen Workflow, listen Sie die genauen Abfragen und Schreibvorgänge auf, die er braucht, und prüfen Sie, welchen Weg jedes System unterstützt. Diese Liste ist meist kurz. Bei unserem Rechnungs-Agenten sind es zwei Lesezugriffe und ein Entwurf.
Verbindungen wirken sich auch auf Kosten und Compliance aus. Ein Agent, der ganze Tabellen abruft statt der einen Bestellung, die er braucht, liest viel mehr Text, und das zeigt sich in den Token-Kosten von KI-Agenten. Und wenn die Daten personenbezogene Angaben enthalten, hilft derselbe eng gefasste Zugriff bei DSGVO und dem AI Act der EU. Verträge und Richtlinien sind mit einem Suchindex besser bedient als mit einer Live-Verbindung, wie unser Leitfaden zur Wissensdatenbank für KI-Agenten erklärt.
Das ist der Kern unseres Integrationsangebots: Wir erfassen Ihre Systeme, bauen die Konnektoren und setzen die Berechtigungen, bevor ein KI-Agent live geht. Wenn Sie noch nicht wissen, mit welchem Workflow Sie beginnen sollen, setzt unsere KI-Beratung genau dort an.
FAQ
Kann sich ein KI-Agent mit einem individuellen oder veralteten ERP verbinden?
Meistens ja. Wenn das System keine API hat, kann der Agent oft aus einer Datenbank-View mit reinen Leserechten lesen, mit regelmäßigen Dateiexporten arbeiten oder einen kleinen Konnektor nutzen, der für dieses System geschrieben wurde. Die Bedienoberfläche selbst zu automatisieren ist möglich, aber fehleranfällig und daher der letzte Ausweg.
Was ist MCP, einfach erklärt?
MCP, das Model Context Protocol, ist ein offener Standard, um KI-Agenten mit anderer Software zu verbinden. Stellen Sie es sich als Universalstecker vor: Sie bauen einen MCP-Konnektor pro System, und jeder kompatible Agent kann ihn nutzen, nur mit den Berechtigungen, die Sie vergeben. Betreut wird es heute von der Agentic AI Foundation unter dem Dach der Linux Foundation.
Sollte ein KI-Agent Schreibrechte in unserem ERP haben?
Nur für das Allernötigste, und meist nur für Entwürfe. Unser Rechnungs-Agent liest Bestellungen und Wareneingänge und legt Buchungsentwürfe an. Ein Mensch bucht sie. Zahlungen, Stammdaten und Bankverbindungen bleiben außerhalb seiner Reichweite.
Brauchen wir eine Testumgebung, bevor wir einen Agenten anbinden?
Ja. Lassen Sie den Agenten in einer Sandbox laufen, einer Kopie Ihres Systems mit Test- oder anonymisierten Daten, bis er sich bei realistischen Fällen gut verhält. Erst dann erhält er Zugriff auf das Produktivsystem, zunächst nur mit Leserechten.
Welche Systeme haben offizielle MCP-Server?
Mehrere große Anbieter veröffentlichen inzwischen eigene, darunter Microsoft für die Finanz- und Betriebsanwendungen von Dynamics 365, Salesforce und HubSpot. Prüfen Sie, was Ihr Tarif enthält.
Sie sind nicht sicher, wie sich Ihre Systeme anbinden lassen? Buchen Sie ein Gespräch, und wir zeigen Ihnen die Wege für Ihr ERP und CRM, auch für Eigenentwicklungen.
