Model Context Protocol: KI an Ihr ERP anbinden, ohne es zu ersetzen

Ein Geschäftsführer sagt in der Runde: „Ich will einfach fragen können, welche Aufträge diese Woche in Verzug geraten, und eine Antwort bekommen.“ Technisch klingt das nach fünf Minuten. In Wahrheit liegt die Auftragslage im ERP, der Kundenkontext im CRM, die Lieferscheine im DMS, und jedes dieser Systeme spricht seine eigene Sprache. Bis vor Kurzem bedeutete jede KI-Anbindung an eines dieser Systeme eine eigene, handgebaute Schnittstelle. Drei Systeme, zwei KI-Werkzeuge, das sind schon sechs Verbindungen, die jemand baut, testet und pflegt.

Genau dieses Problem adressiert das Model Context Protocol, kurz MCP. Es ist ein offener Standard, über den KI-Anwendungen mit bestehenden Systemen sprechen, ohne dass für jede Kombination eine Speziallösung nötig ist. Anthropic hat MCP im November 2024 veröffentlicht. Interessant für einen Mittelständler ist aber weniger das Datum als das, was seither passiert ist: Im Dezember 2025 wurde der Standard an die Linux Foundation übergeben, und OpenAI, Google und Microsoft tragen ihn mit. Aus dem Feature eines Anbieters ist Infrastruktur geworden.

Dieser Artikel erklärt in klarer Sprache, was MCP ist, was es vom klassischen Schnittstellenbau unterscheidet, wie ein produzierender Betrieb es sinnvoll einsetzt, wo n8n dabei hilft, wo die Grenzen und die Sicherheitsfragen liegen und wie ein realistischer erster Schritt aussieht. Kein Hype, sondern die Einordnung, die Sie für eine Entscheidung brauchen.

Warum das Thema gerade jetzt relevant ist

Kurz gesagt: MCP ist von einem Anbieter-Experiment zum vendor-neutralen Standard geworden, und das verändert die Risikobewertung für Unternehmen.

Solange ein Protokoll einem einzelnen Hersteller gehört, ist die Sorge berechtigt, dass man sich an genau diesen Hersteller bindet. Seit dem 9. Dezember 2025 liegt MCP unter der Governance der Linux Foundation, in der neu gegründeten Agentic AI Foundation. Mitgetragen wird es von Anthropic, Block und OpenAI, unterstützt unter anderem von Google, Microsoft und AWS. Diese Konstellation ist der eigentliche Grund, warum sich die Beschäftigung jetzt lohnt: Ein Standard, den die großen Modellanbieter gemeinsam tragen, verschwindet nicht in einem Jahr wieder.

Die Verbreitung stützt das. Laut Anthropic gab es zum Zeitpunkt der Übergabe über 10.000 aktive öffentliche MCP-Server, und die zugehörigen Entwicklerbausteine werden nach Anthropics Angaben über 97 Millionen Mal pro Monat heruntergeladen. Das sind Herstellerangaben und beziehen sich auf technische Downloads, nicht auf Anwender, aber die Größenordnung zeigt: MCP ist im Werkzeugkasten angekommen, nicht in der Randnotiz.

Was das Model Context Protocol eigentlich ist

Das Model Context Protocol ist ein offener Standard, der eine sichere, beidseitige Verbindung zwischen KI-Anwendungen und externen Datenquellen, Werkzeugen und Abläufen herstellt. Die offizielle Analogie lautet: MCP ist wie ein USB-C-Anschluss für KI-Anwendungen. Statt für jedes Gerät ein eigenes Kabel zu haben, gibt es einen einheitlichen Anschluss.

Technisch funktioniert MCP nach einem Client-Server-Modell. Auf der einen Seite steht die KI-Anwendung, der sogenannte Host, etwa ein Assistent wie Claude oder ein KI-Agent in n8n. Auf der anderen Seite steht ein MCP-Server, der einem konkreten System vorgelagert ist, zum Beispiel dem ERP. Der Server stellt drei Arten von Bausteinen bereit: Werkzeuge, also Aktionen, die die KI ausführen darf, etwa „Auftragsstatus abfragen“, Ressourcen, also Daten, die sie lesen darf, und vordefinierte Abläufe. Die Kommunikation läuft über ein etabliertes Nachrichtenformat auf Basis von JSON-RPC.

Der eigentliche Gewinn liegt in der Mathematik dahinter. Ohne Standard wächst der Aufwand mit dem Produkt aus KI-Werkzeugen und Systemen: Bei drei Systemen und zwei KI-Werkzeugen sind es sechs Einzelverbindungen. Mit einem Standard wird daraus eine Addition: Jedes System bekommt einmal einen MCP-Server, jedes KI-Werkzeug spricht MCP, fertig. Aus „jeder mit jedem“ wird „jeder über denselben Anschluss“.

MCP-Server oder klassische Schnittstelle: Was ist der Unterschied?

Ein MCP-Server ist keine neue Art von Datenbank und ersetzt keine API. Er ist eine standardisierte, für KI lesbare Beschreibung dessen, was ein System kann, gelegt vor eine bestehende Schnittstelle.

Der Unterschied wird an einem Beispiel deutlich. Eine klassische API sagt einem Entwickler: An dieser Adresse, mit diesen Parametern, bekommst du diese Daten. Ein Mensch muss das lesen und den Aufruf programmieren. Ein MCP-Server sagt dem KI-Modell: Ich habe ein Werkzeug namens Auftragsstatus, es erwartet eine Auftragsnummer und gibt Status und Liefertermin zurück. Das Modell kann dieses Werkzeug selbst auswählen und aufrufen, weil die Beschreibung für die KI gedacht ist, nicht nur für den Programmierer.

Drei Punkte fassen den Unterschied zusammen:

• Zielgruppe: Eine API richtet sich an Entwickler. Ein MCP-Server richtet sich an das KI-Modell und an Entwickler.
• Wiederverwendung: Eine API-Anbindung wird pro KI-Werkzeug neu programmiert. Ein MCP-Server wird einmal bereitgestellt und von vielen KI-Werkzeugen genutzt.
• Standardisierung: Klassische Schnittstellen sind je Hersteller unterschiedlich. MCP ist ein offener Standard unter neutraler Governance.

Wichtig für die Einordnung: MCP ersetzt Ihre bestehende IT nicht. Es macht sie für KI-Anwendungen zugänglich. Das passt zum Grundsatz, Prozesse zu verbessern, ohne das ERP auszutauschen.

Die wichtigsten Punkte im Überblick

• Was es ist: ein offener Standard, über den KI mit Ihren Systemen spricht.
• Wer dahintersteht: seit Dezember 2025 die Linux Foundation, getragen von Anthropic, OpenAI, Google und Microsoft.
• Was es löst: den Wildwuchs vieler Einzelschnittstellen zwischen KI und ERP, CRM, DMS.
• Was es nicht ist: kein neues ERP, keine Datenbank, kein Ersatz für Ihre Systeme.
• Wie der Mittelstand einsteigt: über eine kontrollierte Schicht wie n8n, ohne eigene Serverentwicklung.
• Worauf es ankommt: Rechte, Protokollierung und ein erster lesender Anwendungsfall vor jeder schreibenden Aktion.

Ein konkretes Beispiel aus dem Mittelstand

Nehmen wir einen Zulieferer mit rund 120 Beschäftigten. Die Kollegen im Vertriebsinnendienst bekommen täglich Anrufe: Wann kommt meine Bestellung? Um zu antworten, öffnet die Sachbearbeiterin das ERP, sucht den Auftrag, prüft im Warenwirtschaftsteil den Lagerbestand, schaut im Logistiksystem nach dem Versandstatus und formuliert dann eine Antwort. Drei Systeme, ein paar Minuten pro Anfrage, dutzendfach am Tag.

Vorher: Jede Statusauskunft ist Handarbeit über mehrere Fenster. Die Antwortqualität hängt davon ab, wer gerade am Telefon ist und wie gut er die Systeme kennt.

Nachher, mit einer MCP-Anbindung: Vor das ERP und das Logistiksystem wird jeweils eine MCP-Schicht mit klar definierten, ausschließlich lesenden Werkzeugen gelegt: Auftragsstatus abfragen, Lagerbestand prüfen, Versandstatus abrufen. Ein interner KI-Assistent nutzt diese Werkzeuge und beantwortet die Frage nach dem Status eines Auftrags in einem Satz, mit denselben Daten, die die Sachbearbeiterin sonst zusammensucht.

Eine vereinfachte Modellrechnung zeigt die Größenordnung, es handelt sich um eine Annahme, nicht um einen Messwert: Bei 30 Statusanfragen am Tag und rund vier Minuten Recherche je Anfrage sind das etwa zwei Stunden täglich. Fällt davon die Hälfte weg, weil die Routineauskünfte automatisch laufen und nur die echten Sonderfälle beim Menschen landen, ergibt das grob eine gewonnene Stunde pro Tag im Innendienst. Die genaue Zahl hängt von Ihrem Betrieb ab, entscheidend ist die Richtung.

Derselbe Mechanismus trägt weiter: Angebots- und Stücklistenabfragen, Lieferterminprüfungen, der Status eines Fertigungsauftrags. Überall dort, wo heute jemand Daten aus mehreren Systemen zusammensucht, um eine wiederkehrende Frage zu beantworten, ist MCP der Weg, diese Frage direkt an die Systeme zu stellen. Wie so ein Ablauf in der Auftragsabwicklung durchgängig aussieht, zeigt die entsprechende Lösungsseite.

MCP mit n8n: der pragmatische Weg für den Mittelstand

Die häufigste Sorge lautet: Dann müssen wir jetzt für jedes System einen eigenen MCP-Server programmieren. Für den Mittelstand ist das meist nicht der richtige Weg, und er ist auch nicht nötig.

n8n unterstützt MCP nativ. Seit der Version 1.88.0, angekündigt im April 2025, gibt es zwei Bausteine. Der MCP Server Trigger macht einen n8n-Workflow selbst zu einem MCP-Server: Sie definieren in n8n, welche Werkzeuge nach außen sichtbar sind, und legen dahinter Ihre Logik zum ERP, CRM oder DMS. Das MCP Client Tool wiederum lässt einen KI-Agenten in n8n externe MCP-Server als Werkzeuge nutzen. Beide Richtungen sind damit abgedeckt: n8n kann Werkzeuge bereitstellen und Werkzeuge nutzen.

Das ist genau die Schicht, die im Mittelstand fehlt. Ihr Branchen-ERP hat keinen fertigen MCP-Server? Dann bauen Sie in n8n einen Workflow, der die vorhandene Schnittstelle Ihres Systems anspricht, und stellen ihn über den MCP Server Trigger als sauber definiertes Werkzeug bereit. Die KI redet nie direkt mit dem ERP, sondern immer über diese kontrollierte Schicht, in der Sie festlegen, was erlaubt ist, was protokolliert wird und was ausschließlich lesend passiert.

Für die Sicherheit ist das ein Vorteil, nicht nur Bequemlichkeit. In n8n legen Sie fest, welche Werkzeuge ein Agent überhaupt sieht, und Sie sichern den Zugang ab. Ob Sie dafür lieber eine Workflow-Plattform wie n8n oder eine Eigenentwicklung wählen, ist eine eigene Abwägung, die wir im Beitrag No-Code oder Code bei KI-Agenten durchgehen.

Sicherheit: KI an Unternehmensdaten anbinden, ohne Kontrollverlust

Die ehrliche Antwort auf die Frage, ob MCP sicher genug für Unternehmensdaten ist, lautet: Der Standard bringt die nötigen Mechanismen mit, aber Sicherheit entsteht durch die Umsetzung, nicht durch das Protokoll allein.

Die offizielle MCP-Spezifikation benennt in ihren Sicherheitsempfehlungen mehrere konkrete Risiken. Ein Confused Deputy entsteht, wenn ein zwischengeschalteter Server Rechte weiterreicht, die er nicht weiterreichen dürfte. Token Passthrough meint das unerlaubte Durchreichen von Zugangstoken, die gar nicht für diesen Server ausgestellt wurden. SSRF beschreibt manipulierte Serveranfragen an interne Adressen. Und die Scope Minimization fordert das Gegenteil von Bequemlichkeit: so wenig Rechte wie möglich, keine pauschalen Vollzugriffe.

Zwei Risiken kommen aus der KI-Natur der Sache und werden bei OWASP ausführlich behandelt. Prompt Injection bedeutet, dass in Daten oder Nachrichten versteckte Anweisungen die KI zu unerwünschten Aktionen verleiten. Tool Poisoning meint versteckte Instruktionen in der Beschreibung eines Werkzeugs selbst. Beides ist der Grund, warum ein Agent niemals ungeprüft schreibende oder löschende Aktionen ausführen sollte.

Für die Praxis im Mittelstand lässt sich das auf wenige Regeln eindampfen:

• Lesen vor Schreiben. Der erste Anwendungsfall ist immer ausschließlich lesend. Auskünfte richten keinen Schaden an.
• Wenig Rechte. Ein Werkzeug bekommt genau die Berechtigung, die es braucht, nicht den Admin-Zugang.
• Mensch bei kritischen Aktionen. Alles, was Geld, Verträge oder Stammdaten verändert, läuft über eine Freigabe. Das Prinzip beschreiben wir im Beitrag zu sicheren KI-Agenten mit Confidence-Routing.
• Absicherung bei Remote-Zugriff. Sobald ein MCP-Server über das Netz erreichbar ist, verlangt die aktuelle Spezifikation einen ordentlichen Autorisierungsrahmen auf Basis von OAuth 2.1. Ein offen erreichbarer Server ohne diese Absicherung ist nicht standardkonform.
• Protokollieren. Jeder Werkzeugaufruf wird geloggt. Das ist die Grundlage für Nachvollziehbarkeit und für die Fehlersuche.

Wo die Grenzen liegen

MCP ist ein Anschluss, kein Allheilmittel. Es gibt Situationen, in denen es nicht die richtige Antwort ist, und die sollten Sie kennen, bevor Sie investieren.

Nicht jeder Prozess braucht einen Agenten. Wenn ein Ablauf klar definiert ist und immer gleich läuft, etwa Bestellung kommt rein, Positionen werden erfasst, Auftrag wird angelegt, ist ein fester, deterministischer Workflow oft die bessere Wahl als eine KI, die per MCP Werkzeuge auswählt. MCP entfaltet seinen Wert dort, wo Fragen variabel sind und die KI selbst entscheiden muss, welches Werkzeug sie braucht.

Nicht jedes System hat einen MCP-Server. Bei den großen Anbietern geht es voran: Microsoft hat 2026 einen offiziellen MCP-Server für Dynamics 365 Business Central veröffentlicht, und auch für Dynamics 365 Finance und Operations gibt es einen. SAP stellt MCP bislang vor allem für Entwickler-Werkzeuge bereit. Für viele klassische Branchen-ERP, ältere SAP-Business-One-Installationen, Sage-Systeme oder DATEV-Anbindungen gibt es dagegen keinen fertigen Server. Dann bauen Sie die Schicht selbst, in der Regel über n8n. Das ist machbar, aber es ist Projektarbeit, kein Knopfdruck.

Die Datenqualität entscheidet mit. Eine KI, die über MCP auf schlecht gepflegte Stammdaten zugreift, gibt schlecht gepflegte Antworten. MCP macht Daten zugänglich, es macht sie nicht besser.

Der Betrieb kostet Aufmerksamkeit. Ein remote erreichbarer MCP-Server über eine dauerhafte Verbindung braucht ein Auge auf Verfügbarkeit und Last. Für einen kleinen internen Anwendungsfall ist das überschaubar, für einen breiten Rollout gehört es geplant.

Kurz: MCP lohnt sich, wenn Sie wiederkehrende, variable Fragen an Ihre Systeme haben und die Anbindung kontrolliert aufsetzen. Es lohnt sich nicht als Selbstzweck.

EU AI Act: was MCP mit Compliance zu tun hat

Ein Punkt, der bei rein technischen MCP-Artikeln fehlt: Wer KI an Unternehmenssysteme anbindet, bewegt sich im Rahmen des EU AI Act. Ab dem 2. August 2026 greifen die Transparenzpflichten nach Artikel 50, unter anderem müssen KI-Systeme, die mit Menschen interagieren, als solche erkennbar sein, und KI-generierte Inhalte sind zu kennzeichnen. Das betrifft auch einen internen Assistenten, der über MCP an ERP oder CRM hängt, sobald er nach außen kommuniziert.

Der Zusammenhang ist praktisch: Eine kontrollierte MCP-Architektur mit klar definierten Werkzeugen, festgelegten Rechten und einem vollständigen Protokoll jedes Aufrufs erzeugt genau die Nachvollziehbarkeit, die der EU AI Act an mehreren Stellen verlangt. Sie bauen die Transparenz nicht nachträglich ein, sie ist Teil der Architektur. Die genaue Einordnung der Fristen und Pflichten haben wir im Beitrag zum EU AI Act für den Mittelstand zusammengefasst, die Details zum Zeitplan sind zuletzt in Bewegung geraten und dort im Überblick.

Wie Unternehmen jetzt konkret vorgehen sollten

Der bewährte Weg ist nicht die große Plattform-Entscheidung, sondern ein kleiner, sauberer erster Fall.

• Klein anfangen. Suchen Sie eine wiederkehrende, rein lesende Frage, die heute Handarbeit über mehrere Systeme ist. Auftragsstatus, Lagerbestand, Lieferterminauskunft sind typische Kandidaten.
• Ein System, wenige Werkzeuge. Legen Sie eine MCP-Schicht vor genau ein System, mit zwei oder drei klar umrissenen, ausschließlich lesenden Werkzeugen, in der Regel über n8n, ohne eigene Serverentwicklung.
• Messen. Prüfen Sie an echten Anfragen, ob die Antworten korrekt und schneller sind als der manuelle Weg. Das Protokoll zeigt Ihnen, was funktioniert und was nicht.
• Stabilisieren. Erst wenn der lesende Fall zuverlässig läuft, klären Sie Rechte, Absicherung und Betrieb sauber durch.
• Erweitern. Danach kommen weitere Systeme dazu, und erst am Ende, mit menschlicher Freigabe, schreibende Aktionen.

Dieser Weg hält das Risiko gering und liefert früh einen sichtbaren Nutzen. Er ist der Gegenentwurf zur großen Transformations-Roadmap, die selten überlebt.

Häufige Fragen aus der Praxis

Was ist der Unterschied zwischen einem MCP-Server und einer normalen API? Eine API richtet sich an Entwickler und wird pro Anwendung neu programmiert. Ein MCP-Server legt eine maschinenlesbare Beschreibung vor Ihre bestehende Schnittstelle, sodass KI-Werkzeuge selbst erkennen, welche Aktionen es gibt und wie sie aufzurufen sind. MCP ersetzt die API nicht, es macht sie für KI nutzbar.

Brauche ich einen eigenen MCP-Server oder reicht ein Tool wie n8n? Für die meisten mittelständischen Betriebe reicht n8n als kontrollierte MCP-Schicht. Über den MCP Server Trigger stellen Sie eigene Werkzeuge bereit, über das MCP Client Tool nutzt ein Agent externe Server. Eine Eigenentwicklung lohnt sich erst bei sehr spezifischen Anforderungen.

Ist MCP sicher genug für Unternehmensdaten? Der Standard bringt die nötigen Sicherheitsmechanismen mit, darunter einen Autorisierungsrahmen auf Basis von OAuth 2.1 für Remote-Zugriffe. Sicher wird es durch die Umsetzung: wenige Rechte, ausschließlich lesende erste Anwendungsfälle, menschliche Freigabe bei kritischen Aktionen und vollständige Protokollierung. Prompt Injection und Tool Poisoning sind reale Risiken, die man durch diese Regeln beherrscht.

Welche Systeme haben schon einen MCP-Server, und was mache ich, wenn meins keinen hat? Für viele gängige Cloud-Anwendungen gibt es fertige Server. Bei den ERP-Systemen ist Microsoft am weitesten: Für Dynamics 365 Business Central gibt es seit 2026 einen offiziellen, von Microsoft gebauten MCP-Server, ebenso für Dynamics 365 Finance und Operations. SAP bietet MCP-Server bisher vor allem für Entwickler-Werkzeuge. Für viele Branchen-ERP, ältere SAP-Business-One-Systeme, Sage oder DATEV existiert dagegen keiner. In diesem Fall bauen Sie die Anbindung über n8n selbst, indem Sie die vorhandene Schnittstelle Ihres Systems in ein sauber definiertes MCP-Werkzeug verpacken.

Was bringt MCP konkret in der Produktion? Überall dort, wo heute jemand Daten aus mehreren Systemen zusammensucht: Fertigungsauftragsstatus, Lagerbestand und Nachbestellbedarf, Lieferterminprüfung, Stücklisten- und Angebotsabfragen. MCP ist der Weg, diese wiederkehrenden Fragen direkt an die Systeme zu stellen, statt sie manuell zu recherchieren.

Ist MCP nur ein Hype oder bleibt es? Seit Dezember 2025 liegt MCP unter der Governance der Linux Foundation und wird von Anthropic, OpenAI, Google und Microsoft gemeinsam getragen. Ein Standard, den die großen Modellanbieter zusammen tragen, hat gute Chancen, Bestand zu haben. Das ist ein Unterschied zu einem einzelnen Anbieter-Feature.

Muss ich für MCP mein ERP wechseln? Nein. MCP legt sich vor Ihre bestehenden Systeme und ersetzt keines davon. Das ist der Kern: Sie machen Ihre vorhandene IT für KI zugänglich, ohne sie auszutauschen.

Fazit

Das Model Context Protocol ist die Antwort auf eine Frage, die im Mittelstand seit Langem im Raum steht: Wie kommt KI an die Daten, die in ERP, CRM und DMS stecken, ohne dass man für jede Verbindung eine Speziallösung baut oder gleich die Systeme austauscht. Seit MCP unter neutraler Governance steht und von den großen Anbietern getragen wird, ist es eine belastbare Grundlage, kein Wagnis. Entscheidend ist nicht, ob Sie MCP einsetzen, sondern wie: klein, lesend, mit wenigen Rechten und einem Protokoll, das jeden Schritt nachvollziehbar macht.

Wenn Sie prüfen möchten, ob eine MCP-Anbindung für einen konkreten Prozess in Ihrem Betrieb sinnvoll ist, schauen wir uns im kostenfreien Prozess-Check den tatsächlichen Ablauf an und finden den einen ersten Anwendungsfall, der sich lohnt.