Sind MCP-Server sicher? Prüfpunkte vor dem ERP-Anschluss

Wer KI-Assistenten mit dem ERP verbinden will, stößt schnell auf drei Buchstaben: MCP. Dieser Beitrag ist für dich, wenn du vor dem Anschluss an dein ERP prüfen willst, woran du einen guten von einem riskanten MCP-Server erkennst. Er erklärt, was ein MCP-Server für ein ERP leistet und welche Prüfpunkte zählen.

Das Wichtigste in Kürze

• Vorschau und Freigabe stehen vor jeder Änderung. Die Freigabe sollte nur für genau diese eine Änderung gelten und kein zweites Mal verwendbar sein.
• Rechte gelten je Person. Die KI darf nie mehr als die Person, für die sie arbeitet.
• Anmeldung ersetzt den Schlüssel im Klartext. Moderne Server melden Nutzer:innen per OAuth an, kein API-Schlüssel muss in eine Konfigurationsdatei kopiert werden.
• Jede Ausführung wird protokolliert. Wer wann was freigegeben hat, lässt sich ohne Detektivarbeit beantworten.
• Werkzeuge sollten zum Ablauf passen. Wer nur die rohe Schnittstelle durchreicht, lässt die KI raten.

Was ist ein MCP-Server?

MCP steht für Model Context Protocol. Das ist ein offener Standard, den viele KI-Assistenten unterstützen, darunter Claude, ChatGPT und Microsoft Copilot Studio. Ein MCP-Server ist das Bindeglied: Er stellt dem Assistenten Werkzeuge bereit, etwa „Kunden suchen“, „offene Posten auswerten“ oder „Angebot anlegen“, und führt sie im angebundenen System aus.

Für ein ERP heißt das: Du fragst in deinen Worten, und der Assistent holt die Antwort aus deinen echten Daten, statt aus einer Liste, die jemand vorher exportiert hat.

Fazit: Ein MCP-Server verbindet deinen Assistenten mit dem ERP und führt dort Werkzeuge aus.

Wo liegt das Risiko einfacher Lösungen?

Ein MCP-Server für das ERP ist schnell gebaut: ein API-Schlüssel, ein paar Werkzeuge, fertig. Genau darin liegt das Risiko, denn ein ERP ist kein Notizbuch. Darin stehen Preise, Rechnungen, Zahlungen und Kundendaten. Typische Schwachstellen einfacher Lösungen sind:

• Ein gemeinsamer API-Schlüssel für alle. Im ERP sieht jede Änderung aus, als käme sie von derselben Person.
• Schreibzugriff ohne Zwischenschritt. Die KI ändert, sobald sie es für richtig hält.
• Kein Protokoll. Später weiß niemand, welche Änderung aus einem Chat stammte.
• Lokale Installation auf einzelnen Rechnern. Jede Person pflegt ihre eigene Version und ihren eigenen Schlüssel.

Fazit: Ein gemeinsamer Schlüssel, ungeprüftes Schreiben, kein Protokoll und lokale Installationen sind die typischen Schwachstellen.

Woran erkennst du einen sicheren MCP-Server?

Ob ein MCP-Server sicher ist, hängt nicht am Protokoll, sondern daran, wie der Anbieter ihn baut. Achte vor allem darauf, ob er Änderungen nur an die Schnittstelle weitergibt oder sie vorher als Vorschau zeigt und erst nach deiner Freigabe ausführt. Diese Prüfpunkte machen den Unterschied:

Prüfpunkt	Worauf du achtest
Vorschau und Freigabe vor jeder Änderung	Der Server zeigt Änderungen zuerst als Vorschau und führt sie erst nach deiner ausdrücklichen Freigabe aus. Gut ist eine Freigabe, die nur für genau diese eine Änderung gilt und kein zweites Mal verwendet werden kann.
Zusätzliche Freigabe für heikle Änderungen	Besonders sensible Stammdaten sollte jemand mit Adminrechten außerhalb des Chats freigeben, zum Beispiel in einem Dashboard.
Rechte je Person	Die KI darf nie mehr als die Person, für die sie arbeitet. Am saubersten geht das mit Rollen in der Plattform und einem eigenen ERP-Zugang je Person.
Anmeldung statt Schlüssel im Klartext	Moderne Server melden Nutzer:innen per OAuth an, wie bei jeder Business-Software. Kein API-Schlüssel muss in eine Konfigurationsdatei kopiert werden.
Protokoll jeder Ausführung	Wer hat wann was freigegeben? Diese Frage sollte sich ohne Detektivarbeit beantworten lassen.
Gehostet und gepflegt	Ein zentral betriebener Server bekommt Updates für alle zugleich. Achte darauf, wo er betrieben wird, zum Beispiel mit EU-Hosting.
Werkzeuge, die zum Ablauf passen	Besser als die rohe Schnittstelle sind Werkzeuge für echte Abläufe wie Angebot anlegen, Ware versenden oder Zahlung zuordnen, die Pflichtfelder und Fallstricke des ERP kennen.
Freie Wahl des Assistenten	Dein Team sollte den Assistenten nutzen können, den es schon hat, statt einen neuen lernen zu müssen.

Die Kriterien greifen auf, wovor die OWASP Top 10 for LLM Applications 2025 unter LLM06 warnen: KI-Systeme mit mehr Befugnissen als nötig. Auch die MCP-Spezifikation selbst empfiehlt, dass bei Werkzeugaufrufen ein Mensch eingreifen und ablehnen kann.

Fazit: Sicher ist ein MCP-Server durch Vorschau, Freigabe, Rechte je Person, Anmeldung und Protokoll, nicht durch das Protokoll MCP.

Beispiel: wals.pro AI 4 weclapp

Für weclapp ist wals.pro AI 4 weclapp eine KI-Plattform mit Vorschau und Freigabe, die diese Punkte abdeckt. Technisch ist sie ein gehosteter MCP-Server für dein weclapp, mit Anmeldung, Rollen und Protokoll drumherum. Du verbindest deinen eigenen Assistenten, etwa Claude, ChatGPT oder Microsoft Copilot Studio, mit deinem Mandanten. wals.pro AI 4 weclapp ist ein Produkt von wals.pro als weclapp-Partner, nicht von weclapp selbst.

• Die KI schreibt nie ungefragt: Vorschau, Freigabe, Protokoll. Jede Änderung siehst du vorher Feld für Feld, und jede Freigabe ist eine payload-gebundene Einmal-Freigabe per SHA-256.
• Heikle Stammdaten, etwa Steuerfelder von Lieferanten, gibt zusätzlich jemand mit Adminrechten im Dashboard frei, sofern im Mandanten aktiviert. Adminrechte vergibt die KI nie.
• Rollen mit sieben Vorlagen nach Arbeitsbereich und höchstens 20 eigenen Rollen. Dazu der persönliche weclapp-API-Schlüssel je Person.
• Werkzeuge für ganze weclapp-Abläufe, von Vertrieb über Einkauf und Lager bis zu Tickets und Zeiten, ergänzt um Anleitungen nach Aufgabe, die dem Assistenten zeigen, wie er in weclapp arbeitet.
• EU-Hosting und ein Protokoll jeder Ausführung.

Wie das im Alltag aussieht, zeigt der Überblick KI in weclapp schreiben lassen – sicher.

Fazit: wals.pro AI 4 weclapp deckt die Prüfpunkte als gehosteter MCP-Server für weclapp ab.

Was dir das im Alltag bringt

Mit den richtigen Kriterien ist ein MCP-Server für das ERP kein Experiment, sondern ein Arbeitswerkzeug. Dein Team fragt in eigenen Worten und bekommt Antworten aus echten Daten. Jede Änderung ist vorher sichtbar und nachher nachvollziehbar. Und die Rechte im ERP gelten weiter, auch wenn eine KI die Arbeit vorbereitet.

Fazit: Sichtbar vorher, nachvollziehbar nachher, und die Rechte im ERP gelten weiter.

Was es nicht ist

• Kein eigenes Sprachmodell. Er verbindet einen Assistenten mit einem System.
• Kein Ersatz für Menschen. Er kürzt den Weg zwischen Frage und Antwort.
• Keine Regelung deiner Datenverarbeitung. Welche Daten dein KI-Anbieter verarbeitet, regelt dein Vertrag mit ihm, nicht der MCP-Server.

Der nächste Schritt

Nutzt du weclapp? Dann probier es aus: Bis 31.12.2026 sind alle Funktionen kostenlos. Registrieren kannst du dich unter ai.wals.pro.

Mehr zum Produkt findest du auf der Seite wals.pro AI 4 weclapp, die technischen Details im Überblick zum MCP-Server für weclapp und die Sicherheitsregeln im Trust Center. Lieber erst sprechen? Buch dir einen Termin.

Quellen und Grenzen

• OWASP Top 10 for LLM Applications 2025, Eintrag LLM06, ohne Link im Artikel genannt (Stand der Veröffentlichung, 01.11.2026).
• MCP-Spezifikation, ohne Link im Artikel genannt (Stand der Veröffentlichung, 01.11.2026): Bei Werkzeugaufrufen kann ein Mensch eingreifen und ablehnen.

Der Artikel beruht im Übrigen auf unserer Projekterfahrung mit weclapp. Die Prüfpunkte sind eine Checkliste und keine Sicherheitszertifizierung. Welche Daten dein KI-Anbieter verarbeitet, regelt dein Vertrag mit ihm.

Häufige Fragen

Sind MCP-Server sicher?

Das hängt nicht am Protokoll, sondern an der Bauart des Anbieters. Sicher ist ein Server, der Änderungen zuerst als Vorschau zeigt, sie erst nach deiner Freigabe ausführt und nie mehr darf als die Person, für die er arbeitet.

Was ist ein MCP-Server?

MCP steht für Model Context Protocol, einen offenen Standard, den viele KI-Assistenten unterstützen. Der MCP-Server stellt dem Assistenten Werkzeuge bereit und führt sie im angebundenen System aus.

Warum reicht ein einfacher MCP-Server mit API-Schlüssel nicht?

Mit einem gemeinsamen Schlüssel sieht im ERP jede Änderung aus, als käme sie von derselben Person. Ohne Zwischenschritt ändert die KI, sobald sie es für richtig hält, und ohne Protokoll weiß später niemand, welche Änderung aus einem Chat stammte.

Wie schützt wals.pro AI 4 weclapp mein weclapp?

Mit Vorschau, einer payload-gebundenen Einmal-Freigabe per SHA-256, Rollen und persönlichem weclapp-API-Schlüssel je Person, einer zusätzlichen Adminfreigabe für heikle Stammdaten, EU-Hosting und einem Protokoll jeder Ausführung.

Kann ich meinen eigenen KI-Assistenten nutzen?

Ja. Du verbindest den Assistenten, den dein Team schon hat, etwa Claude, ChatGPT oder Microsoft Copilot Studio, mit deinem Mandanten.