MCP CRM:
KI-Assistenten sicher anbinden.

Was ist MCP und wofür braucht man es im CRM?

MCP (Model Context Protocol) ist ein offenes Protokoll, über das KI-Anwendungen mit externen Datenquellen und Werkzeugen sprechen. Im CRM liest ein Assistent damit Kontakte, Verkaufschancen und Aktivitäten und legt je nach Freigabe Datensätze an. Ein MCP-Server stellt die Funktionen bereit, ein Client im Assistenten ruft sie auf. Der Vorteil: Hersteller und Assistenten müssen nicht paarweise eigene Schnittstellen bauen. Die aktuelle Fassung der Spezifikation trägt das Datum 2026-07-28 und kommt ohne Sitzungen aus. Die Grundlagen der KI-Funktionen erklärt KI im CRM.

Wie verbinde ich ChatGPT oder Claude mit meinem CRM?

Sie verbinden den Assistenten mit dem MCP-Server des CRM-Herstellers und melden sich per OAuth an. Bei Pipedrive geschieht das über den Connector in Claude oder ChatGPT, bei HubSpot über einen MCP-Connector im Entwicklungsbereich, bei Microsoft muss der Admin den Client je Umgebung freischalten. Verwenden Sie ein Unternehmenskonto, nicht das private Konto des Mitarbeitenden. Der Assistent arbeitet danach mit den Rechten des angemeldeten Nutzers, und Sie prüfen sie mit einem Testkonto. Welche Muster es außer dem Hersteller-Server gibt, zeigt die Tabelle zu den Anbindungsmustern.

Welche CRM-Systeme haben einen MCP-Server?

Laut Herstellerangaben vom 06.11.2026 beschreiben HubSpot, Microsoft (Dataverse und Dynamics 365 Sales), Pipedrive, Salesforce, SuperOffice und Zoho einen eigenen MCP-Server. Die Reife unterscheidet sich: Salesforce nennt den Headless 360 MCP Server in offener Beta und den Data 360 MCP Server allgemein verfügbar, SuperOffice beschreibt eine Pilotphase. Weitere Systeme zeigen der CRM-Katalog und das CRM-Matching. Eine fehlende Nennung in der Tabelle heißt nicht, dass es keinen Server gibt, nur dass die Herstellerdoku ihn nicht beschreibt.

Ist die MCP-Anbindung an ein CRM sicher?

Sie ist so sicher wie die Rechte, die Freigabe und das Protokoll, die Sie einrichten. MCP selbst kann die Sicherheitsgrundsätze nicht auf Protokollebene durchsetzen, das hält die Spezifikation ausdrücklich fest. Sie verlangt für Tools, dass immer ein Mensch Aufrufe ablehnen können soll, und Server müssen Eingaben prüfen und Aufrufe begrenzen. Beginnen Sie mit engem Lesezugriff, steigern Sie die Rechte erst nach bestandenen Testfällen und halten Sie Protokolle für Datenschutz und Revision bereit.

Wie funktioniert die Anmeldung bei einem MCP-Server?

Bei HTTP-Servern läuft die Anmeldung nach OAuth 2.1. Der Server antwortet ohne Token mit 401 und verweist auf seinen Autorisierungsserver. Der Client nutzt PKCE, nennt den Zielserver und fordert nur die nötigen Scopes an. Der Nutzer bestätigt beim Hersteller die Freigabe. Der Server akzeptiert nur Tokens, die für ihn ausgestellt wurden, und reicht sie nicht an andere Schnittstellen weiter. Die Autorisierung ist in der Spezifikation zwar optional, bei CRM-Daten aber unverzichtbar. Eine Anmeldung per Zugangsdaten in einer Konfigurationsdatei ersetzt sie nicht.

Kann ein KI-Assistent über MCP Daten im CRM ändern oder löschen?

Ja, wenn der Server entsprechende Werkzeuge anbietet und der Nutzer die Rechte hat. HubSpot und Pipedrive nennen Schreibzugriff, Microsoft erlaubt das Löschen von Datensätzen nur nach ausdrücklicher Nutzerfreigabe, Zoho löscht auch gesammelt und legt Datensätze in den Papierkorb. Bei SuperOffice sind überschriebene Werte über die Werkzeuge nicht wiederherstellbar. Geben Sie Löschen besser nicht frei, lassen Sie Änderungen mit Vorschau bestätigen und begrenzen Sie Massenänderungen. Welche Stufe wann sinnvoll ist, zeigt die Tabelle zum Rechtekonzept oben; für den Pilot genügt zunächst das Lesen.

Was ist Prompt Injection und warum betrifft sie das CRM?

Bei der indirekten Prompt Injection nimmt ein Modell Anweisungen aus externen Inhalten wie E-Mails, Webseiten oder Dateien als Auftrag an, so beschreibt es OWASP. Im CRM stehen solche Inhalte in Notizen, Kontaktfeldern und eingehenden E-Mails, die ein Assistent beim Abruf liest. Mit Schreib- und Leserechten könnte er die Anweisung ausführen. Als Maßnahmen nennt OWASP minimale Rechte, die Freigabe privilegierter Vorgänge durch einen Menschen und die Trennung fremder Inhalte. Prüfen Sie das mit einem Testdatensatz.

Wie verhindere ich, dass der Assistent zu viele Daten sieht?

Begrenzen Sie die Rechte an drei Stellen: bei der Rolle des Nutzers im CRM, bei den freigeschalteten Werkzeugen und bei den Feldern, die Sie ausnehmen. Alle sechs Hersteller aus der Tabelle binden den Zugriff an Nutzerrechte oder Rollen. HubSpot sperrt bei aktivierten sensiblen Daten Aktivitäten und Konversationen für MCP. Prüfen Sie das Rollenmodell vor der Anbindung und testen Sie es mit einem Konto mit enger Rolle, statt dem Hersteller zu glauben.

Was kostet die MCP-Nutzung mit dem CRM?

Das hängt vom Hersteller. Microsoft berechnet seit 15.12.2025 Dataverse-Werkzeuge für Agenten außerhalb von Copilot Studio, ausgenommen bei Dynamics-365-Premium oder Microsoft-365-Copilot-Lizenz für Dynamics-Daten. Zoho zählt MCP-Aufrufe gegen die API-Credits, Pipedrive nennt Token-Limits nach Tarif. HubSpot nennt in der Doku keine Kosten für den MCP-Zugriff. Lassen Sie sich Preis je Aufruf, Kontingent und Verhalten bei Überschreitung schriftlich geben und rechnen Sie die Grenzen vorab durch. Beispiele für API-Grenzen und ein Rechenbeispiel nennt CRM ERP Integration, die Lizenzkosten erklärt CRM Kosten.

Was ist der Unterschied zwischen MCP und einer API?

Eine API ist die Schnittstelle eines Systems, MCP ist ein einheitliches Protokoll, mit dem ein Modell Werkzeuge entdeckt und aufruft. Ein MCP-Server kann vor einer API sitzen und gibt dann nur ausgewählte Funktionen mit Beschreibung und Eingabeschema weiter. Bei den Werkzeugen entscheidet das Modell selbst, ob und wann es sie aufruft. Deshalb brauchen Sie bei MCP zusätzlich Freigabe und Protokoll. Die Grenzen der API des CRM gelten dahinter weiter, ebenso die Rechte der Nutzerrolle. Ein MCP-Server ersetzt also weder die API noch das Rollenmodell, er macht beides für Assistenten nutzbar.

Brauche ich einen eigenen MCP-Server für mein CRM?

Meist nicht. Wenn der Hersteller einen Server anbietet, ist er der kürzeste Weg, weil Rechte und Betrieb beim Hersteller liegen. Ein eigener Server lohnt, wenn Sie nur wenige Funktionen freigeben wollen, etwa zwei Leseabfragen, oder ein System ohne Hersteller-Server anbinden. Dann betreiben Sie Anmeldung, Eingabeprüfung und Ratenbegrenzung selbst, so wie es die Spezifikation für Server verlangt, und prüfen Sie Änderungen der Spezifikation bei jeder neuen Fassung. Das gilt auch für Werkzeuge, die der Server später ergänzt oder umbenennt.

Müssen Datenschutzbeauftragter und Betriebsrat beteiligt werden?

Sehr wahrscheinlich ja. Ruft ein externer Assistent personenbezogene CRM-Daten ab, ist dessen Anbieter häufig Auftragsverarbeiter, dann ist ein Vertrag nach Art. 28 DSGVO nötig, und bei KI-Anwendungen ist oft eine Folgenabschätzung nach Art. 35 DSGVO erforderlich. Der Betriebsrat hat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen, wenn technische Einrichtungen Verhalten oder Leistung überwachen können. Keine Rechtsberatung. Details ordnet KI im CRM: AI Act, DSGVO und Betriebsrat ein. Beziehen Sie beide Stellen vor dem Pilot ein, nicht erst vor dem Echtbetrieb.

Wie teste ich die Anbindung vor dem Start?

Mit einem Testkonto in einer Testumgebung und zehn festen Testfällen: fremde Daten, reine Lesefreigabe, Anlegen mit Vorschau, Ablehnen, Löschen, Massenänderung, Anweisung in einem Datensatz, sensible Felder, Protokoll und Entzug. Ein Fall gilt erst als bestanden, wenn der Nachweis vorliegt, etwa ein Bildschirmfoto oder ein Protokolleintrag. Die Fälle stehen oben als CSV bereit und lassen sich in ein Demo-Drehbuch übernehmen, das Sie mit jedem Hersteller identisch durchlaufen. So vergleichen Sie Angebote auf derselben Grundlage und sehen, welche Funktion nur in der Präsentation existiert.