Mit dem CRM in natürlicher Sprache sprechen: MCP und Leitplanken

„Welche laufenden Geschäfte haben sich seit drei Wochen nicht bewegt?“ Vor Kurzem verlangte diese Frage einen Filter, eine gespeicherte Ansicht oder einen Export in eine Tabelle. Heute stellt man sie genau so einem KI-Assistenten, der mit dem CRM verbunden ist, die Liste liefert und für jedes Geschäft eine Nachfassaufgabe vorbereiten kann.

Diese Verbindung läuft über einen offenen Standard, MCP, den HubSpot wie Twenty inzwischen anbieten. Für ein Vertriebsteam bedeutet das weniger Hin und Her zwischen den Bildschirmen und ein CRM, das endlich auch von denen genutzt wird, die es mieden. Für das Unternehmen ist es ein neuer Zugang zu seinen Kundendaten, der wie ein menschlicher Zugang geregelt wird: mit Rechten, einer Bestätigung und einer Spur.

Kurz gesagt

• Ein MCP-Server listet die Aktionen auf, die ein KI-Assistent in einer Software ausführen kann, mit den Rechten des Kontos, das ihn verbunden hat.
• Er hängt von keinem Modell ab: ChatGPT, Claude, Gemini, Mistral oder Copilot Studio lassen sich anschließen.
• Zuerst die guten Anwendungen: suchen, zusammenfassen, vorbereiten. Das Schreiben kommt danach, mit Bestätigung.
• Ein Agent löscht, exportiert, versendet und ändert keine Rechte allein: Diese Handgriffe bleiben menschlich.

Was ist MCP?

Im November 2024 von Anthropic eingeführt, wurde das Protokoll im Dezember 2025 der Agentic AI Foundation übergeben, einem Fonds der Linux Foundation, mitgegründet von Anthropic, Block und OpenAI. Es hängt von keinem Modell ab. ChatGPT akzeptiert eigene MCP-Server, die die Dokumentation von OpenAI inzwischen unter den „Plugins“ führt. Claude, Gemini Enterprise, Copilot Studio von Microsoft und Vibe, der neue Name des Assistenten von Mistral, lassen sich ebenfalls anschließen.

Unsere Seite MCP-Server: KI mit Ihrer Fachsoftware verbinden stellt die Programme vor, die einen anbieten, und was wir dort anschließen.

Was kann man sein CRM fragen?

Drei Familien von Anwendungen, von der sichersten bis zur verbindlichsten.

Suchen und zusammenfassen. „Welche Konten hatten seit zwei Monaten keinen Austausch?“, „Fasse den Verlauf dieses Kunden vor meinem Termin um 14 Uhr zusammen.“ Der Assistent liest, ordnet und formuliert um; im CRM ändert sich nichts.

Vorbereiten. „Schreibe das Nachfassen für die drei unbeantworteten Angebote.“ Der Assistent erstellt einen Entwurf, den der Vertriebsmitarbeiter liest und selbst verschickt.

Aktualisieren. „Füge den Bericht dieses Anrufs zum Geschäft hinzu“, „Lege eine Erinnerungsaufgabe für Freitag an.“ Der Assistent schreibt ins CRM, mit dem Einverständnis der Person.

Auf Anbieterseite ermöglichen es die beiden CRM, denen wir am häufigsten begegnen. Twenty veröffentlicht einen eigenen MCP-Server unter der Adresse Ihres Arbeitsbereichs, gefolgt von /mcp, in der Cloud wie selbst gehostet. Seine Werkzeuge bilden die API ab (find_many_companies, update_one_opportunity), und ein Katalog öffnet den Zugang zu Hunderten weiterer Operationen. HubSpot hat seinen entfernten MCP-Server am 13. April 2026 für alle Kunden freigegeben, einschließlich Schreibzugriff auf Kontakte, Unternehmen, Geschäfte und Tickets; seine Konnektoren für Claude, Copilot, Gemini und ChatGPT beruhen auf diesem Server.

Welche Rechte erhält der Assistent?

Der Assistent hat keine eigenen Rechte: Er leiht sich die des Kontos, das ihn verbunden hat. Bei Twenty erbt eine MCP-Verbindung die Berechtigungen des per OAuth angemeldeten Nutzers oder die Rolle, die dem API-Schlüssel zugewiesen ist. Bei HubSpot läuft die Verbindung zwingend über OAuth 2.1, und jede Aktion respektiert die bestehenden Berechtigungen des Nutzers. Ein Administrator, der seinen Assistenten anschließt, gibt ihm also die Rechte eines Administrators.

Die MCP-Spezifikation legt den Grundsatz fest: ein schrittweises Rechtemodell, so knapp wie möglich. In der Praxis setzen wir ihn in vier Stufen um:

1. 01Zuerst nur lesen.

   Einige Wochen Fragen, ohne etwas zu ändern: Das Team sieht, was der Assistent gut versteht und was schlecht.

2. 02Schreiben mit Bestätigung.

   Die Schreibwerkzeuge verlangen jedes Mal eine Zustimmung. HubSpot empfiehlt es für seinen ChatGPT-Konnektor: „set Write tools to Needs Approval“.

3. 03Eine Rolle pro Anwendung.

   Ein eigener Schlüssel oder ein eigenes Konto, auf die nützlichen Objekte begrenzt: Ein Vertriebsassistent hat in der Abrechnung nichts zu suchen. Bei Twenty erhält ein Workflow-Agent eine eigene Rolle, die ihn daran hindert, seinen Bereich zu verlassen.

4. 04Ein regelmäßiges Gegenlesen.

   Was der Assistent geschrieben hat, anfangs jede Woche gelesen, dann stichprobenartig.

Ein API-Schlüssel, der einem Assistenten anvertraut wird, ist ein Passwort. Er gehört in einen Tresor und wird erneuert, was wir in Tresor für Geheimnisse: Ihre KI nutzt sie, ohne sie zu sehen ausführen.

Was ein Agent nie allein tun darf

Manche Handgriffe bleiben menschlich, ganz gleich, welches Vertrauen erreicht ist:

• Datensätze löschen oder zusammenführen;
• die Datenbank oder eine Kontaktliste exportieren;
• einem Kunden im Namen des Unternehmens eine Nachricht senden;
• einen Betrag, einen Rabatt oder ein bereits unterzeichnetes Geschäft ändern;
• Rechte, Rollen oder Schlüssel ändern.

Der Grund liegt in zwei Risiken, die OWASP, die Referenz für Anwendungssicherheit, in seiner Top 10 für KI-Anwendungen (Ausgabe 2025) aufführt. Das erste ist die Prompt-Injection: Ein CRM enthält Texte, die andere geschrieben haben, eine empfangene E-Mail, eine in einem Formular hinterlassene Nachricht, und ein Satz, der dem Assistenten Befehle geben soll, kann sich dort einschleichen. Das zweite ist übermäßige Handlungsfreiheit, die OWASP in zu viele Funktionen, zu viele Rechte und zu viel Autonomie aufteilt. Je weniger der Assistent tun kann, desto weniger kann eine präparierte Anweisung schaden.

Die Anbieter der Assistenten gehen in dieselbe Richtung. Gemini Enterprise verlangt standardmäßig eine Bestätigung für jede Aktion, Mistral rät, Schreibfunktionen in manueller Bestätigung zu halten, und Anthropic, „Allow always“ nur für einen vertrauenswürdigen Server zu wählen.

Massenkorrekturen schließlich laufen nicht über einen Assistenten. Sie verlangen ein Skript, eine kontrollierte Rate und eine Prüfung Datensatz für Datensatz, was unser Leitfaden Die Daten seines CRM bereinigen ausführt.

Wie richtet man es ohne Risiko ein?

Die Verbindung selbst ist schnell hergestellt: eine Adresse, eine OAuth-Verbindung, eine Einstellung der Schreibwerkzeuge. Zeit kostet die Entscheidung, wer was tun darf, und deren Umsetzung im CRM, bevor man den Zugang öffnet.

Mit Twenty, dem freien CRM, das wir einführen, erfolgt die Verbindung vorzugsweise per OAuth oder über einen in den Einstellungen erstellten API-Schlüssel, und jeder Schlüssel trägt eine Rolle. Twenty hat außerdem einen eigenen integrierten Assistenten, der in natürlicher Sprache antwortet, ohne das CRM zu verlassen. Zwei Punkte sind je nach Tarif einzuplanen: Das Audit-Protokoll und die zeilengenauen Berechtigungen beginnen mit der Organization-Edition, und die API ist laut der Preisseite von Twenty auf 50 Aufrufe pro Minute in Pro und 100 in Organization begrenzt.

Für die Wahl des CRM selbst vergleicht unser Leitfaden Twenty, Dolibarr oder Odoo: welches für Ihr Team? die drei Lösungen unseres Angebots, und unser Erfahrungsbericht Twenty CRM in Produktion sagt, was Arbeit macht.

Wo anfangen?

Listen Sie fünf Fragen auf, die Ihre Vertriebsmitarbeiter jede Woche stellen und die heute einen Export oder einen Kollegen erfordern. Das sind Ihre ersten Anwendungen mit reinem Lesezugriff. Notieren Sie daneben die Rechte des Kontos, das verbunden wird: Gehen sie über diese fünf Fragen hinaus, ist dort anzusetzen.

Unser maßgeschneidertes CRM- und ERP-Angebot, ab 4 500 €, richtet Twenty, Dolibarr oder Odoo mit Rollen ein, die für das Team wie für die Assistenten durchdacht sind. Und unser KI-Tresor, von 2 900 bis 4 900 €, verwahrt die Schlüssel, die Ihre Assistenten und Automatisierungen verwenden, ohne dass eine KI sie sieht.

Häufige Fragen

Quellen

1. Linux Foundation, Ankündigung der Agentic AI Foundation, 9. Dezember 2025 (neuer Tab)linuxfoundation.org
2. OpenAI, einen MCP-Server mit ChatGPT verbinden (neuer Tab)developers.openai.com
3. Twenty, Dokumentation des MCP-Servers (neuer Tab)docs.twenty.com
4. HubSpot, Ankündigung der allgemeinen Verfügbarkeit des entfernten MCP-Servers (neuer Tab)developers.hubspot.com
5. MCP-Spezifikation, Sicherheitsempfehlungen (neuer Tab)modelcontextprotocol.io
6. HubSpot, das HubSpot-Konto mit ChatGPT verbinden (neuer Tab)knowledge.hubspot.com
7. OWASP, LLM06:2025 Excessive Agency (neuer Tab)genai.owasp.org
8. Google, einen MCP-Server mit Gemini Enterprise verbinden (neuer Tab)docs.cloud.google.com
9. Mistral AI, MCP-Konnektoren von Vibe (neuer Tab)docs.mistral.ai
10. Anthropic, eigene Konnektoren über MCP (neuer Tab)support.claude.com
11. Twenty, Dokumentation des integrierten Assistenten (neuer Tab)docs.twenty.com
12. Twenty, Preisseite (neuer Tab)twenty.com