Model Context Protocol: Wie MCP aus Chatbots handlungsfähige Unternehmensagenten macht
Generative KI kann formulieren und analysieren. Doch im Geschäftsalltag reicht eine gute Antwort oft nicht aus. Gefragt sind Assistenten, die unternehmenseigene Daten durchforsten, Zusammenhänge erkennen und Geschäftsprozesse anstoßen. Das Model Context Protocol, kurz MCP, schafft dafür die technische Grundlage. Konkrete Anwendungsfälle in Power BI und im ERP zeigen, welches Potenzial darin steckt – und warum Datenqualität, Berechtigungen und Governance wichtiger sind als je zuvor.
Die erste Generation unternehmensinterner KI-Assistenten folgt meist einem vertrauten Muster: Mitarbeitende stellen eine Frage, der Chatbot durchsucht freigegebene Dokumente und formuliert daraus eine Antwort. Das kann die Informationssuche erheblich erleichtern. Die Grenze dieses Ansatzes zeigt sich jedoch immer dann, wenn auf die Antwort manueller Aufwand folgt.
Ein klassischer Chatbot kann beispielsweise erklären, warum eine bestimmte Zahlungsbedingung gilt. Er kann aber nicht ohne Weiteres die zugehörigen offenen Rechnungen prüfen, deren Fälligkeit bewerten, eine Aufgabe für das Forderungsmanagement anlegen oder einen Datensatz im ERP-System aktualisieren. Dafür benötigt er Zugriff auf operative Systeme, deren Datenmodelle und Geschäftslogik. Und er braucht eine kontrollierte Möglichkeit, dort Funktionen auszuführen.
Der Chatbot muss sich in einen Unternehmensagenten verwandeln: ein KI-gestütztes System, das nicht nur Texte erzeugt, sondern seine Umgebung kennt. Ein System, das geeignete Werkzeuge auswählt und innerhalb definierter Grenzen handelt. Genau an dieser Stelle setzt das Model Context Protocol an.
Das erwartet Sie in diesem Beitrag:
Was ist Model Context Protocol (MCP)?
Das Model Context Protocol ist ein offener Standard, über den KI-Anwendungen mit externen Datenquellen, Werkzeugen und Systemen kommunizieren. MCP ist wie ein „USB-C-Anschluss für KI-Anwendungen“: Statt für jede Kombination aus KI-Assistent und Business-Applikation eine eigene API-Verbindung zu entwickeln, lassen sich über die standardisierte Schnittstelle alle Anwendungen anstöpseln. In der MCP-Architektur wirken drei zentrale Komponenten:
- Der MCP-Host ist die KI-Anwendung. Er koordiniert und verwaltet einen oder mehrere MCP-Clients.
- Der MCP-Client stellt die Verbindung zu einem MCP-Server her und übermittelt dessen bereitgestellten Kontext an den Host.
- Der MCP-Server stellt dem Client Daten, Kontext und ausführbare Funktionen zur Verfügung.
Ein Beispiel: Ein Unternehmen betreibt einen MCP-Server für sein ERP-System, einen weiteren für Power BI und einen dritten für sein Dokumentenmanagement. Nach der Konfiguration erkennt ein kompatibler Agent gezielt, welche Daten und Funktionen die verschiedenen MCP-Server anbieten. Er setzt sie bewusst ein – abhängig von seinem Auftrag und seinen Berechtigungen.
Fragt ein Mitarbeitender etwa nach den Ursachen für einen Anstieg überfälliger Forderungen, analysiert der Agent zunächst die Kennzahlen in Power BI, ruft anschließend die zugehörigen Rechnungen und Zahlungsbedingungen aus dem ERP-System ab und berücksichtigt bei Bedarf interne Richtlinien aus dem Dokumentenmanagement. Auf dieser Grundlage formuliert er eine Handlungsempfehlung oder stößt nach Freigabe einen definierten Prozess an.
Die grundlegenden Funktionen und Kontextarten, die Clients und Server einander anbieten können, nennt man Primitives. Dabei kann ein MCP-Server drei zentrale Primitives bereitstellen:
- Tools sind ausführbare Funktionen, die eine KI-Anwendung aufrufen kann. Sie können beispielsweise eine Datenbank abfragen, einen Datensatz aktualisieren, eine Berechnung starten oder eine API aufrufen.
- Resources sind Datenquellen, die der KI-Anwendung Kontext liefern. Dazu gehören beispielsweise Dokumente, Datenbankeinträge, Schemainformationen, Metadaten oder API-Antworten.
- Prompts sind wiederverwendbare Vorlagen, die Interaktionen mit einem Sprachmodell strukturieren. Sie können beispielsweise festlegen, wie eine Abweichungsanalyse aufgebaut wird oder welche Informationen vor einer bestimmten Aktion geprüft werden sollen.
Da der Agent vorab nicht jede einzelne Funktion kennen muss, sind neue Datenquellen und Werkzeuge schnell verfügbar. Denn die Primitives lassen sich dynamisch auflisten und abrufen: Zunächst ermittelt der Agent, welche Tools, Resources und Prompts ein Server anbietet. Dann wählt er die für die jeweilige Aufgabe geeignete Funktion selbstständig aus.
Bestehende APIs oder Integrationsplattformen ersetzt MCP dabei allerdings nicht. Vielmehr greifen MCP-Server häufig auf vorhandene Schnittstellen, Datenmodelle und Berechtigungssysteme zurück. Sie ergänzen sie aber um standardisierte Beschreibungen, anhand derer KI-Anwendungen erkennen können, welche Funktionen verfügbar sind, welche Parameter sie benötigen und welche Ergebnisse sie liefern.
Warum ist MCP für Unternehmen relevant?
Der offensichtlichste Mehrwert von Model Context Protocol für Unternehmen besteht darin, dass KI nicht länger nur antworten, sondern auch handeln kann. Über einen MCP-Server kann ein Agent Daten abfragen, Analysen ausführen, Datensätze anlegen oder verändern und definierte Geschäftsprozesse anstoßen. Damit verschiebt sich die zentrale Frage von „Was ist passiert?“ hin zu „Was sollten wir jetzt tun?“.
Gleichzeitig verspricht MCP, den Aufwand für individuelle Punkt-zu-Punkt-Integrationen zu reduzieren. Ohne gemeinsamen Standard benötigt jede Verbindung zwischen KI-Plattform und Geschäftssystem eine eigene Schnittstellenlogik. Über einen MCP-Server hingegen können unterschiedliche kompatible Clients dieselben Unternehmensfunktionen verwenden. Das erleichtert die Wiederverwendung und verringert die Abhängigkeit von einem einzelnen Modell- oder Plattformanbieter.
Ein weiterer Aspekt: Model Context Protocol kann nicht nur technische Zugriffe, sondern auch fachliche Semantik verfügbar machen. Ein Agent, der direkt auf Datenbanktabellen zugreift, weiß noch nicht, was „Umsatz“, „Deckungsbeitrag“ oder „überfällige Forderung“ in einem konkreten Unternehmen bedeutet. Er kennt weder freigegebene Kennzahlen noch Konsolidierungsregeln, Gesellschaftsstrukturen oder fachliche Ausnahmen. Im schlimmsten Fall liefert er eine formal korrekte, aber geschäftlich falsche Antwort.
Besonders wertvoll wird MCP daher, wenn ein Server nicht nur Rohdaten zugänglich macht, sondern auch deren fachliche Bedeutung und die zugehörigen Regeln vermittelt. Dazu gehören beispielsweise freigegebene Kennzahlen und Beziehungen in einem Datenmodell, Beschreibungen von Tabellen und Funktionen, rollenbasierte Zugriffsrechte sowie im ERP hinterlegte Prüf- und Prozessregeln. Der MCP-Server erzeugt diese Semantik nicht selbst. Er macht vorhandene Definitionen und Funktionen für den Agenten auffindbar und kontrolliert nutzbar.
Generative KI ersetzt deshalb weder einheitliche Kennzahlen noch verlässliche Stammdaten und sauber definierte Geschäftsprozesse. Sind Daten oder Begriffe uneindeutig, kann ein Agent diese Fehler in seine Analysen übernehmen – und bei schreibenden Zugriffen sogar in nachfolgende Prozesse weitertragen. Daher sind Agentic AI und Agentic ERP auch ein Reifetest für die bestehende Daten- und Prozesslandschaft.
MCP-Server für Power BI: mit dem semantischen Modell sprechen
Power BI zeigt anschaulich, was dieser semantische Zugang bedeutet. Microsoft unterscheidet derzeit zwischen einem Remote- und einem lokalen Power-BI-MCP-Server. Beide Angebote befinden sich aktuell in der Public Preview.
Der Remote-Power-BI-MCP-Server dient vor allem der Analyse bestehender semantischer Modelle. Ein Agent kann die Struktur eines Modells untersuchen, passende DAX-Abfragen erzeugen und diese gegen das Modell ausführen. Dabei gelten die Zugriffsrechte des angemeldeten Anwenders. Ein Fachanwender könnte beispielsweise fragen:
„Warum ist die Marge in der Region Süd im vergangenen Quartal zurückgegangen?“
Um diese Frage zu beantworten, muss der Agent mehr leisten als eine Stichwortsuche. Er muss zunächst verstehen, welche Tabellen, Beziehungen und Measures für die Marge relevant sind. Anschließend kann er eine geeignete DAX-Abfrage erzeugen, die Ergebnisse analysieren und mögliche Ursachen erläutern – etwa veränderte Produktmixe, gestiegene Einstandspreise oder überdurchschnittliche Rabatte.
Der entscheidende Punkt ist: Der Agent arbeitet mit dem kuratierten semantischen Modell. Er greift auf definierte Measures, Beziehungen und fachliche Begriffe zurück, statt ausschließlich ungeprüfte Rohdaten zu interpretieren.
Der lokale Power-BI-MCP-Server adressiert dagegen Modellierungs- und Entwicklungsaufgaben. Er kann unter anderem Tabellen, Spalten, Measures und Beziehungen erstellen oder verändern, DAX-Abfragen validieren, Modellierungsstandards prüfen und Massenänderungen an Modellobjekten durchführen. Auch Power-BI-Projektdateien und TMDL-basierte Entwicklungsabläufe lassen sich damit in automatisierte Entwicklungs- und Review-Prozesse einbinden. Für Data-&-Analytics-Teams ergeben sich daraus Szenarien wie:
- Measures erstellen und automatisiert testen
- Namens- und Modellierungsstandards überprüfen
- Beschreibungen und Metadaten vervollständigen
- Änderungen über zahlreiche Modellobjekte hinweg durchführen
- Modelle im Rahmen von Entwicklungsprozessen analysieren und dokumentieren
Der Mehrwert geht somit weit über „Chatten mit einem Dashboard“ hinaus. MCP kann eine Verbindungsschicht zwischen natürlicher Sprache, fachlicher Semantik und professioneller Data-&-Analytics-Entwicklung bilden.
MCP-Server für ERP: vom Erkenntnisgewinn zur Aktion
Während Power BI vor allem analytische Erkenntnisse liefert, bringt MCP KI in Business Central zum Handeln: Ein Agent beantwortet nicht nur Fragen zu Kunden, Artikeln, Rechnungen oder Aufträgen. Vielmehr legt er innerhalb festgelegter Grenzen Datensätze an, bearbeitet sie und stößt Geschäftsprozesse an.
Erstellen lässt sich ein solcher Agent beispielsweise in Microsoft Copilot Studio. Dort definieren Unternehmen seine Aufgaben und Verhaltensregeln. Über den MCP-Server für das ERP greift der Agent auf ausgewählte Daten und Funktionen von Business Central zu. Diese stehen ihm als Tools zur Verfügung, aus denen er passend zum Nutzerauftrag auswählt.
Business Central macht die Funktionen über Standard- und benutzerdefinierte API-Seiten zugänglich. Standardmäßig darf der Agent die freigegebenen Daten nur lesen. So kann er etwa Kunden suchen, Artikelinformationen abrufen oder offene Verkaufsaufträge zusammenstellen. Soll er Datensätze anlegen, verändern oder löschen, muss ein Administrator die entsprechenden Operationen gezielt freigeben. Das gilt auch für Geschäftsaktionen wie das Buchen eines Belegs oder das Ändern eines Status.
Ein Auftrag per natürlicher Sprache
Ein Mitarbeitender im Vertrieb könnte den Agenten in Microsoft Teams auffordern:
„Prüfe, ob wir dem Kunden Nordwind 50 Stück des Artikels A100 anbieten können, und bereite einen Verkaufsauftrag vor.“
Der Agent ruft daraufhin die erforderlichen Kunden- und Artikeldaten ab und berücksichtigt die in Business Central hinterlegten Preis-, Rabatt- und Validierungsregeln. Fehlen Angaben, fragt er beim Mitarbeitenden nach. Anschließend fasst er das Ergebnis zusammen und zeigt die geplante Aktion an. Sind der Schreibzugriff freigegeben und der Vorgang bestätigt, legt der Agent den Verkaufsauftrag in Business Central an. Die Aktion erfolgt mit den Berechtigungen des Nutzers und lässt sich ihm zuordnen.
Der Agent ersetzt weder das ERP-System noch dessen Geschäftslogik. Er schafft vielmehr einen neuen Zugang dazu: Der Nutzer formuliert sein Ziel in natürlicher Sprache. Der in Copilot Studio erstellte Agent bearbeitet den Auftrag und wählt die benötigten Tools aus. Der Business-Central-MCP-Server stellt diese Tools bereit, während das ERP die erlaubten Operationen nach den dort hinterlegten Regeln ausführt.
Nach demselben Prinzip kann ein Agent offene Rechnungen zusammenstellen, Kunden- oder Artikeldaten aktualisieren, Verkaufsaufträge anlegen, Belege buchen oder Genehmigungsprozesse anstoßen. Welche Aufgaben er übernehmen darf, bestimmen die MCP-Konfiguration und die Berechtigungen des jeweiligen Nutzers.
Governance und Sicherheit: Handlungsfähigkeit braucht Grenzen
Je mehr ein Agent tun kann, desto wichtiger wird die Frage, was er tun darf: MCP ist kein Sicherheitskonzept, das automatisch jede angeschlossene Anwendung absichert. Die Spezifikation schafft einen Kommunikationsstandard; die konkrete Absicherung bleibt Aufgabe der beteiligten Clients, Server und Unternehmen. Die MCP-Spezifikation betont daher ausdrücklich Benutzerkontrolle, Zustimmung, Datenschutz und den vorsichtigen Umgang mit ausführbaren Tools.
Least Privilege: das Prinzip der geringsten Berechtigung
Ein Agent sollte nur diejenigen Daten und Funktionen sehen, die er für seinen klar definierten Zweck benötigt. Schreibende oder löschende Aktionen verlangen besonders eng zugeschnittene Rollen. Microsoft beispielsweise warnt in seiner Power-BI-Dokumentation ausdrücklich davor, dass autonome oder falsch konfigurierte Clients destruktive Aktionen ausführen können. Das Unternehmen empfiehlt deshalb, rollenbasierte Berechtigungen nach dem Least-Privilege-Prinzip anzuwenden und vor dem produktiven Einsatz zusätzliche Schutzmaßnahmen einzurichten.
Auch im ERP-System bestimmt die Sicherheitsrolle des authentifizierten Nutzers oder der Agentenidentität, welche Daten, Formulare und Aktionen verfügbar sind. Ein Agent zur Klärung offener Forderungen benötigt beispielsweise keinen Zugriff auf Lieferantenstammdaten und keine Berechtigung, Zahlungen freizugeben.
Human in the Loop: der Mensch als Entscheidungsinstanz
Agenten sollten sensible Vorgänge nicht allein auf Grundlage einer Modellentscheidung ausführen dürfen. Dazu gehören etwa Buchungen, Zahlungen, Bestellungen, Änderungen an Stammdaten, Löschvorgänge oder die Veröffentlichung eines BI-Modells.
Vor einer solchen Aktion sollte die KI-Anwendung dem Anwender den geplanten Tool-Aufruf einschließlich der verwendeten Parameter anzeigen und seine Bestätigung einholen. Die MCP-Spezifikation empfiehlt außerdem, die ausgeführten Aufrufe zu protokollieren.
Prompt Injection und Datenabfluss
Agenten verarbeiten Inhalte aus Dokumenten, Datenbanken, E-Mails oder externen Quellen. Diese Inhalte sind nicht automatisch vertrauenswürdig. Eine eingeschleuste Anweisung könnte beispielsweise versuchen, den Agenten von seiner eigentlichen Aufgabe abzubringen, zusätzliche Daten abzurufen oder ein unerwünschtes Tool aufzurufen.
Unternehmen müssen deshalb kontrollieren, welche Eingaben der Agent verarbeitet, auf welche Daten und Tools er zugreifen darf und welche Ergebnisse er an andere Systeme weitergibt. Zu einem sicheren MCP-Betrieb gehören außerdem eine zuverlässige Authentifizierung, begrenzte Tool-Aufrufe sowie eine konsequente Protokollierung und Überwachung. Die MCP-Sicherheitsempfehlungen behandeln dazu konkrete Angriffsszenarien wie Prompt Injection, unzulässige Tokenweitergabe und die Übernahme von Sitzungen.
Auditierbarkeit: MCP-Prozesse transparent machen
Für geschäftskritische Prozesse muss nachvollziehbar bleiben, wer den Agenten beauftragt hat, welche Daten er gelesen und welche Tools er mit welchen Parametern aufgerufen hat. Ebenso muss dokumentiert sein, was der Agent verändert und wer die jeweilige Aktion freigegeben hat.
Eine vollständige Protokollierung dient nicht nur der technischen Fehlersuche. Sie unterstützt auch interne Kontrollen, Datenschutzanforderungen, die Nachvollziehbarkeit von Finanzprozessen und regulatorische Nachweise.
Wie Unternehmen starten sollten
Der Einstieg sollte nicht mit dem unternehmensweiten Universalagenten beginnen. Erfolgversprechender ist ein eng abgegrenzter Prozess mit messbarem Nutzen und beherrschbaren Risiken. B.i.Team unterstützt Sie bei der Auswahl und begleitet Sie bei der Umsetzung.
Jetzt Kontakt aufnehmen1. Einen konkreten Anwendungsfall auswählen
Geeignet sind Prozesse mit hohem manuellem Rechercheaufwand, klaren Datenquellen und eindeutig definierbaren nächsten Schritten. Ein Beispiel wäre die Analyse und Vorbereitung der Bearbeitung überfälliger Forderungen – nicht die vollautonome Steuerung des gesamten Betriebskapitals.
Tipp: Buchen Sie unseren Workshop, um Use-Cases zu identifizieren und zu bewerten.
2. Semantik und Datenqualität prüfen
Vor der technischen Umsetzung müssen Kennzahlen, Stammdaten, Rollen und Geschäftsregeln eindeutig definiert sein. Ein Agent löst bestehende Unklarheiten nicht auf. Er übernimmt sie in seine Analysen und kann dadurch fehlerhafte oder widersprüchliche Ergebnisse in nachgelagerte Prozesse tragen.
Tipp: Bei unserem Quality Boost stellen wir Ihre Daten auf den Prüfstand.
3. Lesend beginnen
In der ersten Stufe sollte der Agent Daten abrufen, Zusammenhänge analysieren und Handlungsvorschläge erstellen. Erst wenn die Ergebnisse stabil und nachvollziehbar sind, sollte man den Agenten um schreibende Funktionen ergänzen.
Tipp: Erweitern Sie Ihr KI-Wissen in unseren Schulungen. Diese reichen von Grundlagen über Promptathons bis zu Copilot Studio.
4. MCP-Tools eindeutig beschreiben
Jedes über einen MCP-Server bereitgestellte Tool benötigt einen klaren Zweck, verständliche Parameter, definierte Rückgabewerte und bekannte Nebenwirkungen. Wenn mehrere Tools ähnliche Aufgaben erfüllen oder nicht klar voneinander abgegrenzt sind, kann der Agent das falsche Werkzeug auswählen und dadurch unbeabsichtigt Daten verändern oder Prozesse auslösen.
5. Freigaben und Kontrollen einbauen
Schreibende, finanzielle oder irreversible Vorgänge benötigen Bestätigungsstufen. Rollen, Limits und technische Schutzmaßnahmen sollte man nicht erst nach dem Pilotprojekt ergänzen: Sie müssen Bestandteil des Designs sein.
6. Nutzen und Betriebskosten messen
Neben den Kosten für Sprachmodelle entstehen Aufwände durch Tool-Aufrufe, Infrastruktur, Tests, Monitoring und Governance. Ein Pilot sollte deshalb konkrete Kennzahlen betrachten: verkürzte Bearbeitungszeiten, weniger manuelle Systemwechsel, höhere Datenqualität oder eine geringere Fehlerquote.
MCP ist eine Integrationsfrage – und eine Organisationsfrage
MCP kann dazu beitragen, die Lücke zwischen generativer KI und operativen Unternehmenssystemen zu schließen. Es bietet eine gemeinsame Sprache, über die Agenten verfügbare Daten und Funktionen erkennen und nutzen können. Im Zusammenspiel von Power BI und ERP entsteht daraus eine durchgängige Kette: vom kuratierten semantischen Modell über die Analyse bis zur kontrollierten Geschäftsaktion.
Der technische Standard allein entscheidet jedoch nicht über den Erfolg. Ausschlaggebend bleibt, ob Kennzahlen eindeutig definiert, Prozesse nachvollziehbar, Berechtigungen gepflegt und Verantwortlichkeiten geklärt sind. MCP macht Unternehmens-KI damit nicht automatisch intelligent oder sicher. Aber es schafft eine wichtige Grundlage dafür, dass aus isolierten Chatbots verlässliche Unternehmensagenten werden können.
Ihre Ansprechpartnerin für MCP
Galina Kaminski
Inside Sales & Partner Managerin
Galina Kaminski ist seit 2019 Teil von B.i.Team und Ihre zentrale Ansprechpartnerin für den Bereich Data & AI. Gemeinsam mit unserem Operations-Team unterstützt sie Unternehmen bei der Umsetzung von Data-Analytics-Projekten, der Einführung intelligenter Automatisierungslösungen – unter anderem auf Basis der Microsoft Power Platform – sowie bei strategischen Fragestellungen rund um Künstliche Intelligenz. Ein besonderer Fokus liegt dabei auf die digitalen Herausforderungen in mittelständischen Unternehmen im Groß- und Versandhandel, im Fruchtgroßhandel sowie in der Fertigungsindustrie.
FAQ zum Model Context Protocol
Was ist das Model Context Protocol?
Das Model Context Protocol, kurz MCP, ist ein offener Standard, über den KI-Anwendungen mit externen Datenquellen, Werkzeugen und Geschäftssystemen kommunizieren. Dadurch können KI-Agenten nicht nur Informationen abrufen, sondern innerhalb festgelegter Berechtigungen auch Aktionen ausführen.
Wie funktioniert MCP?
Ein MCP-Server macht ausgewählte Daten und Funktionen eines Systems für KI-Anwendungen zugänglich. Der Agent kann ermitteln, welche Tools, Resources und Prompts verfügbar sind, und passend zum Nutzerauftrag darauf zugreifen. So lässt sich beispielsweise eine Analyse in Power BI mit einer anschließenden Aktion in Business Central verbinden.
Ist MCP eine API?
MCP ist keine einzelne API und ersetzt bestehende Schnittstellen nicht. Ein MCP-Server greift häufig auf vorhandene APIs, Datenmodelle und Berechtigungssysteme zurück. Er beschreibt deren Funktionen jedoch standardisiert, damit unterschiedliche KI-Anwendungen sie erkennen und verwenden können.
Verbessert MCP automatisch die Datenqualität?
Nein. MCP macht vorhandene Datenmodelle, Kennzahlen, Stammdaten und Geschäftsregeln für KI-Agenten zugänglich, verbessert sie aber nicht automatisch. Sind Definitionen uneinheitlich oder Daten fehlerhaft, kann der Agent diese Schwächen in seine Analysen übernehmen und bei schreibenden Zugriffen sogar in nachgelagerte Prozesse weitertragen.
Wie sicher ist MCP?
MCP sichert angeschlossene Systeme nicht automatisch ab. Unternehmen benötigen klar begrenzte Berechtigungen, zuverlässige Authentifizierung, menschliche Freigaben für sensible Aktionen sowie eine vollständige Protokollierung der Tool-Aufrufe. Auch der Schutz vor Prompt Injection und ungewolltem Datenabfluss gehört zu einem sicheren MCP-Betrieb.