ELSTER MCP Server: Kann eine KI die Steuererklärung abgeben?

Tipp "ELSTER MCP" bei Google ein, und du bekommst ein Repository, sechs Sterne und eine Seite voller Haftungsausschlüsse. Tipp "WISO Steuer MCP" ein, und du bekommst gar keine Antwort. Beide Suchanfragen landen jeden Monat auf unserer Seite und springen wieder ab, weil die Seiten, die sie treffen, von Buchhaltungssoftware handeln. Gesucht wird aber etwas Engeres: Kann ich einen KI-Agenten auf das Finanzamt richten und ihn abgeben lassen?

Kurze Antwort: Alles bis zur Signatur lässt sich heute automatisieren, und die Signatur selbst per Konstruktion nicht. Das ist eine Zeile in einem Prozess mit rund einem Dutzend Schritten, und die übrigen elf sind die eigentliche Arbeit. Unser Produkt ist genau auf dieser Trennung gebaut, deshalb ist alles Folgende das, was wir beim Produktivbetrieb gelernt haben, und keine Theorie darüber, was jemand bauen könnte.

Gibt es einen ELSTER MCP Server?

Es gibt genau ein öffentliches Projekt, und es verdient Respekt dafür, wie ehrlich es beschreibt, was es tut. lukasschwarz/elster-mcp-server steuert das ELSTER-Webportal per Puppeteer, mit einer echten Browser-Sitzung und Zugangsdaten, die du selbst lieferst. Die README nennt es "denselben Weg, den auch ein menschlicher Nutzer geht".

Die Werkzeugliste zeigt, wo die Nähte sitzen: eine UStVA befüllen, das portaleigene Prüfen auslösen, Schluss. Ein separates Werkzeug übermittelt, nur nach ausdrücklicher Bestätigung, und die Werkzeuge für EÜR und Einkommensteuer senden überhaupt nichts.

Das ist keine Abkürzung, die jemand aus Bequemlichkeit genommen hat. Es ist die einzige Tür, die offensteht, wenn man kein registrierter Übermittler ist. Es gibt keinen ELSTER-Endpunkt, an den man eine Erklärung schicken könnte, und deshalb lautet die interessante Frage nicht, wer das Portal umhüllt hat, sondern was sich legitim an einen Agenten anschließen lässt und durch wen.

Warum kann ein MCP Server ELSTER nicht einfach aufrufen?

Weil die Schnittstelle keine Web-API ist. Sie heißt ERiC, ELSTER Rich Client: eine native C-Bibliothek, die die Finanzverwaltung an registrierte Entwickler ausgibt. Du registrierst dich als Softwarehersteller, das Bayerische Landesamt für Steuern prüft, ob du tatsächlich Steuersoftware baust, du bekommst eine Hersteller-ID, und dann bindest du die Bibliothek in deinen eigenen Prozess ein. Sie übernimmt Validierung, Verschlüsselung und Übertragung. Die Lizenzbedingungen sind restriktiv genug, dass freie Software sie historisch nicht ausliefern konnte.

Dazu kommt die Signatur. Eine Übertragung wird mit einem Zertifikat signiert, das einem Steuerpflichtigen gehört und mit einer PIN entsperrt wird. Das ist kein API-Schlüssel, der zufällig sensibel ist. Es ist das, was eine Abgabe einer Person rechtlich zurechenbar macht, und kein Protokolldesign macht das an ein Modell delegierbar.

Darin liegt eine zeitliche Ironie. Die MCP-Spezifikation vom 28.07.2026 hat das Protokoll auf einen zustandslosen Request/Response-Kern umgestellt: keine Sitzungen, kein Handshake, jede Anfrage kann auf jeder Instanz landen. ERiC ist das genaue Gegenteil. Zustandsbehaftet, prozessglobal, und darauf ausgelegt, genau einmal initialisiert und einmal beendet zu werden.

Was der zertifizierte Weg tatsächlich kostet

Wir geben deutsche Erklärungen produktiv über ERiC ab, in einer Größenordnung von tausend Stück bisher, verteilt auf UStVA, Umsatzsteuerjahreserklärung, EÜR, Einkommensteuer, Gewerbesteuer und Zusammenfassende Meldung. Drei Dinge, die dabei klar wurden und in keinem Protokolldiagramm stehen.

Die Bibliothek gehört dem Prozess, nicht dem Request. Initialisierung und Beendigung von ERiC sind prozessglobal. Ein vernünftig aussehender Handler, der pro Anfrage eine frische Bindung erzeugt, funktioniert in der Entwicklung und läuft in Produktion irgendwann in ein "bereits initialisiert", weil ein früheres Objekt noch auf die Garbage Collection wartet. Ab diesem Moment fällt jeder Erklärungs-Endpunkt im Prozess aus, bis der Container neu startet. Die Lösung ist kein cleverer Code, sondern die Einsicht, dass der Request-Handler nur Gast ist:

# sieht richtig aus, ist es nicht
def handle(request):
    eric = Eric(home_dir)        # prozessglobale Initialisierung, jedes Mal
    return eric.submit(payload)  # Abbau hängt an der Garbage Collection

Wer darauf einen MCP Server baut, muss allein wegen dieser Tatsache das Deployment umbauen: ein einzelner langlebiger Worker besitzt die Bibliothek, alles andere redet mit ihm. Das ist eine Queue, kein Request-Pfad.

Der Kanal spricht in Codes, nicht in Sätzen. ELSTER weist mit Kennungen wie E6000026 zurück. Damit ein Mensch stattdessen "deine Steuernummer fehlt" liest, pflegen wir eine handgeschriebene Zuordnung von Fehlercode zu Formularfeld: rund neunzig Einträge allein für die EÜR, dazu knapp zweihundert benannte ERiC-Fehlerkonstanten in unserer Anbindung. Jeder einzelne Eintrag entstand, weil eine echte Übertragung fehlschlug und jemand herausfinden musste, was die Nummer bedeutet. Ein Agent, der den Rohcode durchreicht, hat nichts geleistet.

Die Sperre muss eine Änderung überleben. Unsere Freigabe hängt an einem Hash genau der Zahlen, die ein Mensch gesehen hat, eine danach geänderte Erklärung wird schlicht nicht übertragen. Zum Design: der Agent, der deine Umsatzsteuervoranmeldung abgibt.

Was kann eine KI bei einer deutschen Steuerabgabe wirklich tun?

Das ist ein Design-Auftrag, keine Mängelliste. Eine Zeile ist zu, die anderen sieben sind offen, und in diesen sieben stecken die zwanzig Minuten.

Das ist das Produkt, das wir verkaufen, also sage ich es direkt statt verschämt. Norman ist registrierter Übermittler: ERiC läuft in unserer Infrastruktur, unser Agent erledigt die Zeilen oberhalb der Signatur, und unser MCP Server stellt diese Arbeit dem Assistenten zur Verfügung, den du ohnehin benutzt. Er ist im Claude-Connector-Verzeichnis und im ChatGPT-Plugin-Verzeichnis gelistet, Verbinden ist also ein Klick und kein Integrationsprojekt. Der Agent baut die Erklärung, erklärt die Plausibilitätsfehler auf Deutsch und legt dir einen Bildschirm hin. Du gibst frei, und übertragen wird über den zertifizierten Weg mit deinem Zertifikat. Niemand muss einem Browser-Roboter seine PIN geben.

Was sollte ein ELSTER MCP Server also anbieten?

Kein file_my_taxes. Der MCP-Sicherheitsleitfaden der NSA vom Mai 2026 formuliert es weniger freundlich: Werkzeuge an Datenklassifizierungszonen ausrichten und diejenigen, die regulierte Informationen berühren, ausdrücklich kontrollieren und abtrennen. Ein Werkzeug, das eine rechtsverbindliche Erklärung übertragen kann, gehört in eine eigene Zone, mit einem Menschen darin.

Andere Rechtsräume sind anders herausgekommen. Avalara hat im Mai 2026 eine ganze Familie von MCP Servern veröffentlicht, inklusive Abgabe, weil die US-Sales-Tax üblicherweise über einen Dienstleister mit übertragener Vollmacht läuft. Deutschland hat die Signatur beim Steuerpflichtigen gelassen. Das ist keine Rückständigkeit, sondern eine Entscheidung darüber, wer haftet, wenn die Zahl falsch ist. Wer auf dieser Basis ein deutsches Tool aussucht, sollte nicht fragen, ob es einen MCP Server hat, sondern ob dieselbe Firma auch zur Übermittlung berechtigt ist. Ein Wrapper um fremde APIs kann diesen Kreis nicht schließen.

Häufige Fragen

Gibt es einen offiziellen ELSTER MCP Server?

Nein. Die Finanzverwaltung veröffentlicht ERiC für registrierte Softwarehersteller und stellt weder einen MCP Server noch eine agentenfähige API bereit. Der einzige öffentliche MCP Server für ELSTER ist ein Community-Projekt, das das Webportal im Browser automatisiert. Sei skeptisch bei allem, was sich als "offizieller ELSTER MCP" bewirbt, und prüfe, wer es pflegt, bevor du Zugangsdaten herausgibst.

Hat WISO Steuer einen MCP Server?

Stand August 2026 nicht. Weder WISO noch der Großteil der deutschen Steuer- und Buchhaltungssoftware veröffentlicht einen, weshalb die Suche Alternativenseiten statt einer Antwort liefert. Welche Anbieter einen haben, steht in MCP Server für Buchhaltungssoftware. Für die Abgabe selbst würde ein Hersteller-MCP nichts ändern: Übertragen wird weiterhin aus zertifizierter Software.

Kann ChatGPT oder Claude meine Umsatzsteuervoranmeldung abgeben?

Allein nicht, weil die Abgabe mit deinem Zertifikat aus zertifizierter Software signiert wird. An ein Buchhaltungstool angebunden, das registrierter Übermittler ist, können sie alles andere: Umsätze holen, kategorisieren, die Erklärung berechnen, die Plausibilitätsprüfung laufen lassen und erklären, was fehlgeschlagen ist. Genau dafür ist unser MCP Server da. Der Agent baut, du gibst die konkreten Zahlen frei, übertragen wird über den zertifizierten Weg.

Ist es sicher, einer KI mein ELSTER-Zertifikat zu geben?

Ich würde es nicht tun. Zertifikatsdatei plus PIN ist die Fähigkeit, in deinem Namen abzugeben, und ein Browser-Automatisierungsserver braucht beides im Klartext. Wenn überhaupt, dann in einer Wegwerfumgebung, nie auf einem geteilten Rechner, und im Wissen, dass Portalautomatisierung ein Konto auffällig machen kann. Genau dafür gibt es abgestufte, widerrufbare Sitzungstoken bei Erstanbieter-Servern.

Ist ein MCP Server für Buchhaltung etwas anderes als einer für die Steuerabgabe?

Ja, und der Unterschied heißt Umkehrbarkeit. Buchhaltungswerkzeuge lesen überwiegend, und ihre Schreibvorgänge lassen sich hinterher korrigieren. Ein Abgabewerkzeug erzeugt einen Rechtsakt mit Frist. Gleiches Protokoll, völlig anderes Risikoprofil, und das zweite verdient eine menschliche Sperre, die das erste nicht braucht. Die praktische Variante davon steht in was ein MCP Server für die Steuerarbeit einer GmbH bedeutet.

Wo das hinführt

Die interessanten agentischen Steuerprodukte in Deutschland werden nicht die sein, die einen cleveren Weg finden, den Knopf zu drücken. Es werden die sein, die die zwanzig Minuten vor dem Knopf fast wertlos machen: Daten gesammelt, Erklärung berechnet, Plausibilitätsfehler auf Deutsch erklärt statt als E6000026, ein Bildschirm zum Prüfen. Dieser Teil steht nicht auf einer Roadmap, den gibt es heute, und du kannst deinen eigenen Assistenten darauf richten.

Dass die Signatur menschlich bleibt, ist nicht der Engpass. Es ist der einzige Teil, der nie das Problem war.