MCP oder API: Wie KI-Agenten ins ERP kommen

Das Model Context Protocol (MCP) ist ein offener Standard, über den ein KI-Agent Werkzeuge und Daten anderer Systeme nutzt: Er fragt einen MCP-Server, welche Tools es gibt, und ruft sie auf. Für ein ERP heißt das: Datensätze suchen, Berichte abrufen und, wo erlaubt, Belege anlegen, ohne dass für jeden Agenten eine eigene Schnittstelle gebaut wird.

Anthropic hat MCP im November 2024 vorgestellt und im Dezember 2025 an die Agentic AI Foundation unter dem Dach der Linux Foundation übergeben. OpenAI, Google und Microsoft unterstützen den Standard. Seit 2026 bringen die ERP-Hersteller eigene MCP-Server mit.

MCP ersetzt die API nicht, es sitzt darauf

Eine API ist die Schnittstelle eines Systems: feste Endpunkte, feste Felder, dokumentiert für Entwickler. Ein MCP-Server beschreibt dieselben Funktionen so, dass ein Sprachmodell sie findet und richtig aufruft: mit Namen, Beschreibung und Parametern, die das Modell zur Laufzeit liest.

	API-Integration	MCP-Server
Wer ruft auf	Code, den ein Entwickler geschrieben hat	Ein Agent, der zur Laufzeit entscheidet
Ablauf	Fest: dieselben Schritte bei jedem Lauf	Offen: der Agent wählt Tools nach Aufgabe
Anbindung	Pro System und pro Anwendung neu	Einmal pro System, für jeden MCP-fähigen Agenten
Stärke	Vorhersehbar, günstig, gut testbar	Flexible Abfragen, neue Fragen ohne neuen Code
Freigaben	Im eigenen Code	Nicht im Protokoll, sie gehören ins Harness

Die meisten ERP-MCP-Server sind auf der API des Herstellers gebaut. MCP fügt einen einheitlichen Weg hinzu, über den jeder Agent sie erreicht. Wer schon eine saubere API-Integration hat, verliert also nichts. Er kann dieselben Funktionen zusätzlich einem Agenten geben.

Welche ERPs einen MCP-Server haben

Stand 29. Oktober 2026 boten sechs ERP-Hersteller einen eigenen MCP-Server an (Übersicht von Loopfour):

ERP	MCP-Server	Schreibrechte
Microsoft Dynamics 365 Finance und Supply Chain	Dynamics 365 ERP MCP	Folgen der Rolle des Nutzers
Microsoft Dynamics 365 Business Central	vom Hersteller	Ein Admin muss Änderungen freischalten
Oracle NetSuite	AI Connector Service	Folgen der Rolle des Nutzers
QuickBooks Online	vom Hersteller	Standardmäßig an
Xero	vom Hersteller	keine Angabe
Sage Intacct	über das AI Gateway	keine Angabe

SAP S/4HANA hat keinen eigenen Server in dieser Liste. Die Daten erreicht man über den MCP-Server von AWS für SAP oder über Server, die in SAP Joule Studio entstehen. Die SAP Integration Suite stellt zudem ein MCP-Gateway bereit, das vorhandene APIs und Integrationsflüsse als MCP-Tools anbietet.

Was ein ERP-MCP-Server konkret kann: Dynamics 365

Microsoft dokumentiert seinen Server für Finance und Supply Chain Management genau (Microsoft Learn). Er bietet drei Arten von Tools:

Daten-Tools: Datensätze über Datenentitäten lesen, anlegen, ändern und löschen.
Formular-Tools: Formulare öffnen, Felder setzen, Schaltflächen auslösen, so wie ein Mensch in der Oberfläche, aber über Server-APIs.
Aktions-Tools: eigene Geschäftslogik aufrufen, die Entwickler als KI-Tool freigegeben haben.

Der Agent sieht dabei nur, was seine Sicherheitsrolle erlaubt. Hat er die Rolle eines Einkäufers, findet er nur dessen Menüs, Daten und Aktionen. Die ältere Version mit 13 festen Tools hat Microsoft zum 1. Oktober 2026 abgekündigt. Tool-Aufrufe aus Agenten außerhalb von Copilot Studio kosten 0,1 Copilot Credits pro Aufruf, zusätzlich zu den Kosten des Modells.

Wann die API der bessere Weg ist

MCP klingt nach dem neuen Standard für alles. Für viele Abläufe ist es das nicht.

Feste Abläufe: Eine Bestellung kommt rein, wird geprüft und im ERP angelegt, jedes Mal gleich. Das ist eine Integration mit festen Schritten. Ein Agent, der jedes Mal neu überlegt, welches Tool er nimmt, ist hier langsamer, teurer und schwerer zu testen.
Große Mengen: Zehntausend Artikel nachts abgleichen ist ein Job für eine API oder einen Import, nicht für zehntausend Agenten-Entscheidungen.
Strenge Freigaben: MCP selbst kennt keinen Freigabeschritt. Wer ins Hauptbuch schreibt, braucht die Freigabe außerhalb des Chats, im eigenen Code oder im Workflow.

In der Praxis verbinden wir beides: Der feste Teil des Ablaufs läuft über die API. Der Agent übernimmt den Teil, der Urteil braucht, etwa eine unklare Bestellung lesen, einen fehlenden Wert nachschlagen oder eine Abweichung erklären. Dafür nutzt er MCP-Tools mit Leserechten, und die schreibenden Schritte gehen durch eine Prüfung. Wie so ein Ablauf aussieht, steht in KI-Agent, RPA oder Workflow.

Wie sicher MCP für ERP-Daten ist

MCP ist jung, und das merkt man. 2025 wurden Angriffe über manipulierte Tool-Beschreibungen bekannt (Tool Poisoning), dazu Lücken in verbreiteten Hilfsprogrammen. Die Spezifikation verlangt inzwischen OAuth 2.1 und verbietet das Durchreichen von Tokens. Die Revision vom 28. Juli 2026 hat das Protokoll zustandslos gemacht. Die NSA schrieb im Mai 2026, die Verbreitung sei schneller gewachsen als das Sicherheitsmodell.

Für ein ERP heißt das:

Nur MCP-Server vom Hersteller oder aus eigenem Code, keine beliebigen Server aus dem Netz.
Eine eigene Identität für den Agenten, mit der kleinsten Rolle, die für die Aufgabe reicht.
Schreibende Tools nur dort, wo eine Prüfung danach kommt.
Jeder Tool-Aufruf wird protokolliert.

Das sind die Regeln, die in das Harness des Agenten gehören, nicht in den Prompt.

FAQ

Brauchen wir MCP, um KI-Agenten zu nutzen? Nein. Ein Agent kann jede API über eigene Tools aufrufen. MCP spart den Aufwand, wenn mehrere Agenten oder Anwendungen dieselben Systeme nutzen sollen, und es ist der Weg, den die ERP-Hersteller jetzt selbst anbieten.

Hat unser ERP einen MCP-Server? Bei Dynamics 365, Business Central, NetSuite, QuickBooks Online, Xero und Sage Intacct ja (Stand Oktober 2026). Bei SAP über die Integration Suite oder AWS. Für andere Systeme lässt sich ein schlanker Server auf der vorhandenen API bauen.

Kann ein Agent über MCP Daten im ERP ändern? Ja, wenn der Server schreibende Tools anbietet und die Rolle des Agenten es erlaubt. Ob er es ohne Prüfung darf, entscheidet Ihr Harness, nicht der Server.

Was kostet ein eigener MCP-Server? Für ein System mit dokumentierter API und wenigen, klar geschnittenen Tools ist das ein Projekt von Tagen, nicht Monaten. Der größere Teil ist meist die Frage, welche Daten der Agent sehen darf.

Ob Ihre Website schon für Agenten gebaut ist, zeigt der kostenlose AI Agent Readiness Check. Einen KI-Agenten, der über API und MCP in Ihrem ERP mitarbeitet, bauen wir zum Festpreis.