MCP-Server für Buchhaltung: wer einen hat

Schau, was Leute neben dem Namen ihres Buchhaltungstools bei Google eintippen: sevDesk MCP. DATEV MCP. Lexoffice MCP. WISO Steuer MCP. ELSTER MCP. Wir sehen dieses Cluster jeden Monat in unserer eigenen Search Console, und es hat die Form einer Frage, deren Antwort die Nutzer längst beschlossen haben. Sie fragen nicht, ob KI-Agenten in die Buchhaltung kommen. Sie prüfen, ob ihr Anbieter bereit ist.

Meistens ist er es nicht. Die Kurzfassung von 2026: eine Handvoll Finanztools veröffentlicht einen eigenen Model-Context-Protocol-Server, eine viel längere Liste hat ein Community-Projekt um ihre öffentliche API, und die meisten deutschen Buchhaltungs- und Bankprodukte haben gar nichts.

Warum das 2026 eine echte Frage wurde

MCP ist nicht mehr die Idee eines Anbieters. Es ging im Dezember 2025 an die Linux Foundation, mit OpenAI, Google und Microsoft als Co-Sponsoren, und lag im März 2026 in der Größenordnung von hundert Millionen SDK-Downloads pro Monat. Das ist Infrastruktur-Adoption, nicht Hype-Adoption.

Die Nachfrageseite zog mit. Gartner erwartet, dass Ende 2026 rund 40 % der Unternehmensanwendungen aufgabenspezifische KI-Agenten eingebettet haben, gegenüber unter 5 % im Jahr 2025. Forrester rechnet damit, dass etwa 30 % der Anbieter im selben Zeitraum einen MCP-Server ausliefern. Xero hat im März 2026 einen offiziellen Server veröffentlicht und eine mehrjährige Partnerschaft mit Anthropic angekündigt. Spendesk ist im Juni auf der Money20/20 Europe mit einer MCP-Integration live gegangen.

Die praktische Folge für jeden, der Finanzsoftware baut: der Assistent wird der erste Bildschirm. Leute fragen ihren Agenten, was sie letzten Monat ausgegeben haben, bevor sie die App öffnen, die die Antwort kennt. Wenn dein Produkt über diesen Kanal nicht antworten kann, antwortet irgendein Wrapper an deiner Stelle, mit deinen Daten, unter deiner Marke, und du siehst die Anfrage nicht.

Welche Buchhaltungs- und Steuertools haben einen MCP-Server?

Hier der deutsche Stack, um den es in diesen Suchanfragen tatsächlich geht, Stand August 2026, aus öffentlichen Verzeichnissen und Anbieterdokumentation. "Community" heißt: ein Projekt Dritter auf der öffentlichen API des Anbieters, nichts, was der Anbieter ausliefert oder unterstützt.

Zwei Dinge fallen auf. Erstens wird der deutsche Buchhaltungs-Mittelstand fast vollständig von Freiwilligen versorgt: nur zwei Zeilen oben werden von dem Anbieter betreut, dessen Daten sie freigeben. Zweitens zeigen genau die Suchanfragen mit der höchsten Kaufabsicht, die zum Einreichen und zu Banken, auf Systeme, an die man einen MCP-Server nicht einfach anschraubt: eine deutsche Steuererklärung zu übermitteln heißt, durch zertifizierte Software zu gehen, nicht durch einen HTTP-Endpunkt, den jemand am Wochenende umwickelt hat.

Die Bankzeile lohnt einen zweiten Blick, denn der erste Server auf Bankseite ist überhaupt keine Daten-API. Der von Vivid eröffnet ein Geschäftskonto aus dem Chat heraus, Salden und Umsätze sind als später angekündigt. Lies das als Signal, wofür dieser Kanal derzeit dient: die frühen Bewegten nutzen ihn, um Kunden zu gewinnen, nicht um sie zu bedienen.

Gefunden zu werden zählt so viel wie zu existieren. Unserer ist im Connector-Verzeichnis von Anthropic und im Plugin-Verzeichnis von ChatGPT gelistet, und das entscheidet, ob ein Nutzer ihn erreicht, indem er seinen Assistenten fragt, oder indem er eine URL einfügt, von der er erst wissen muss.

Erstanbieter oder Community: macht das einen Unterschied?

Für lesendes Erkunden ist ein Community-Wrapper oft völlig in Ordnung, und ich hätte ihn lieber als nichts. Der Unterschied zeigt sich in dem Moment, in dem ein Agent schreibt.

• Auth-Scope. Ein Wrapper verlangt meist einen langlebigen API-Key mit allen Rechten, die dieser Key ohnehin hat. Ein Erstanbieter-Server kann ein Token ausgeben, das auf eine Firma und eine Session begrenzt und pro Anfrage aufgelöst wird, sodass ein Tool-Aufruf keine Daten außerhalb der eigenen Bücher erreicht.
• Welche Tools es überhaupt gibt. Der Anbieter entscheidet, was aufrufbar ist. Wir stellen bewusst kein Tool bereit, das ein eingereichtes Dokument hart löschen kann, weil es keine Prompt-Formulierung geben sollte, die das darf. Ein Wrapper über eine großzügige API erbt jeden gefährlichen Endpunkt, ob er will oder nicht.
• Unumkehrbare Aktionen. Alles, was das Haus verlässt, eine Rechnung senden, eine Erklärung übermitteln, eine Rechnung bezahlen, braucht ein ausdrückliches menschliches Tor. Dieses Tor muss im Produkt liegen, nicht in den guten Absichten des Modells.
• Haltbarkeit. Ein Community-Server verfolgt eine API, die er nicht kontrolliert. Ändert der Anbieter ein Feld, bricht der Wrapper still, mitten im Gespräch, und der Agent meldet stattdessen etwas Plausibles.

Nichts davon behauptet, Anbieter seien tugendhafter. Es geht darum, wer eine Invariante durchsetzen kann.

Was sich ändert, wenn ein Agent in deine Bücher schreiben darf

Wir betreiben seit einer Weile einen eigenen MCP-Server in Produktion, jenseits von hundert Tools für Buchhaltung, Rechnungen, Dokumente und Steuerberichte. Drei Dinge haben mich überrascht.

Agenten fragen nach Dingen, die die Oberfläche nie angeboten hat. Unsere Dashboards waren um die Fragen gebaut, die wir vermutet haben. Über einen Agenten fragen Nutzer Kombinationen, zu denen sich niemand durchklicken würde: die Summe dieses Lieferanten über zwei Jahre, nach Quartal, ohne Gutschriften. Tool-Design wurde zu Produktforschung.

Tool-Beschreibungen sind Benutzeroberfläche. Das Modell liest die Beschreibung und entscheidet. Eine vage Beschreibung wird für den falschen Job aufgerufen, und der Fehler ist kein Stacktrace, sondern eine selbstbewusst falsche Antwort mit einem Beleg im falschen Monat. Wir prüfen Tool-Texte inzwischen wie UI-Texte.

Nur-Lesen ist ein Feature, keine Einschränkung. Unsere neueste Oberfläche verbindet andere Systeme bewusst als nur lesende, nur dem Inhaber zugängliche Quellen. Dem Reflex, alles beschreibbar zu machen, lohnt es sich zu widerstehen: das meiste, was Leute einen Agenten mit ihren Finanzen tun lassen, ist eine Frage, kein Befehl.

Wenn du die lange Fassung willst: wir haben den Buchhaltungs-MCP-Server selbst beschrieben und was er für die Steuerarbeit einer GmbH bedeutet. Dieselbe Logik trägt unseren Agenten für die Umsatzsteuervoranmeldung, bei dem der unumkehrbare Schritt hinter einer hash-gebundenen menschlichen Freigabe sitzt.

Braucht man einen MCP-Server, wenn man schon eine API hat?

Ja, und der Grund ist banal: eine API sagt einem Entwickler, was möglich ist, ein MCP-Server sagt einem Modell, was als Nächstes zu tun ist. Endpunktnamen, Pagination und Fehlercodes sind eine Spezifikation. Tool-Namen, Beschreibungen und Argumentformen sind Anweisungen. Dieselbe REST-Oberfläche kann für Integratoren hervorragend und für einen Agenten unbrauchbar sein, weil nichts darin sagt, welcher der vier Wege, eine Transaktion zu holen, der richtige ist.

Dazu kommt ein Distributionsargument. Eine REST-API integriert der Entwickler eines Kunden über einen Sprint. Einen MCP-Server verbindet ein Kunde in einer Minute, in dem Assistenten, den er sowieso offen hat. Das sind verschiedene Funnel.

Wie du den MCP-Server eines Anbieters prüfst

Wenn du 2026 Buchhaltungssoftware auswählst und dir das wichtig ist, ist das Gespräch kurz:

1. Veröffentlicht und unterstützt ihr den Server selbst, oder ist der, den ich auf GitHub gefunden habe, der von jemand anderem?
2. Wie funktioniert die Authentifizierung? Pro Session begrenzte Tokens, oder klebe ich einen dauerhaften Key mit Vollrechten ein?
3. Welche Tools dürfen schreiben, und welche Aktionen brauchen eine ausdrückliche menschliche Bestätigung?
4. Ist er in den öffentlichen MCP-Verzeichnissen gelistet, damit mein Assistent ihn ohne eingefügte URL findet?
5. Was wird protokolliert? Kann ich hinterher sehen, welches Tool mit welchen Argumenten gelaufen ist?

Frage 5 vergessen die meisten, und genau die stellt später ein Prüfer.

Fragen, die gestellt werden

Hat sevDesk einen MCP-Server?

Keinen offiziellen, Stand August 2026. Es gibt Community-MCP-Server für sevDesk auf Basis der öffentlichen API, mit denen ein Agent Belege lesen, Rechnungen vorbereiten und Exporte auslösen kann. Da es Projekte Dritter sind, unterscheiden sich Funktionsumfang und Schreibrechte je Build, und sie können brechen, wenn sich die zugrunde liegende API ändert. Prüfe, wer den betreut, den du verbindest.

Gibt es einen DATEV-MCP-Server?

DATEV veröffentlicht keinen. Es existieren Projekte Dritter, die DATEV-nahe APIs und Exportwege umwickeln. Für die meisten deutschen Unternehmen ist der praktische Weg der umgekehrte: ein Buchhaltungstool nutzen, das sowohl mit DATEV spricht als auch einen eigenen, unterstützten MCP-Server bereitstellt, damit der Agent gegen eine gepflegte Oberfläche arbeitet und nicht gegen einen Wrapper.

Kann ein KI-Agent meine Umsatzsteuervoranmeldung an ELSTER übermitteln?

Nicht durch einen direkten Aufruf von ELSTER. Die elektronische Übermittlung läuft in Deutschland über zertifizierte Software, ein Agent kann also eine Erklärung vorbereiten und prüfen, die Übermittlung geht aber über den zertifizierten Weg. In unserem Produkt stellt der Agent die Erklärung zusammen, und ein Mensch gibt die exakten Zahlen frei, bevor etwas übermittelt wird. Behandle jedes Tool, das vollständig autonomes Einreichen verspricht, mit Misstrauen.

Hat meine Bank einen MCP-Server?

Bei einer etablierten Bank mit hoher Wahrscheinlichkeit nicht, deshalb werden "N26 MCP" und "Sparkasse MCP" gesucht und nicht beantwortet. Einige Challenger haben geliefert: Vivid veröffentlicht einen Open-Source-MCP-Server, mit dem sich ein Geschäftskonto aus dem Chat eröffnen lässt. Bei allen anderen erreichen Bankdaten einen Agenten indirekt: ein Buchhaltungstool synchronisiert das Konto über einen lizenzierten Aggregator und stellt die Umsätze über den eigenen Server bereit.

Ist MCP für Buchhaltungsdaten sicher?

Das Protokoll ist ein Transportweg, die Sicherheit steckt in der Umsetzung. Stelle drei Fragen: ist das Token auf eine Firma und eine Session begrenzt, sind unumkehrbare Aktionen menschlich abgesichert, und wird jeder Tool-Aufruf mit seinen Argumenten protokolliert. Ein Server, der das dreimal mit Ja beantwortet, ist vertrauenswürdiger als ein Wrapper mit einem dauerhaften Vollzugriffs-Key, unabhängig davon, welches Modell am anderen Ende hängt.

Wohin das läuft

Ich erwarte, dass "hat es einen MCP-Server" bis Mitte 2027 eine Zeile in Vergleichen von Buchhaltungssoftware ist, neben DATEV-Export und E-Rechnungs-Unterstützung. Die Anbieter, die warten, verlieren nicht, weil Agenten Magie sind. Sie verlieren, weil sich ihre Kunden daran gewöhnt haben werden zu fragen, und irgendetwas anderes geantwortet haben wird.

Wenn du sehen willst, wie das von innen aussieht: unser Text zur KI-Buchhaltung behandelt die Kategorisierungsseite, und die CLI ist dieselbe Oberfläche für Leute, die im Terminal leben.