Ein MCP-Server für JTL-Wawi ist nicht per se sicher. Es kommt auf die Maßnahmen an: Nur-Lese-Zugriff auf Datenbankebene, Rollen je Mitarbeiter mit unterschiedlichem Toolumfang, lokaler Betrieb ohne offenen Port und eine bewusste Wahl des KI-Modells. Jede Maßnahme hilft gegen ein bestimmtes Risiko - und keine gegen alle.
Wer einen MCP-Server auf die Wawi loslässt, hört bald die Frage: „Ist das sicher?" Die ehrliche Antwort lautet: Es kommt darauf an. Sicherheit ist kein Zustand, den man behauptet, sondern eine Liste von Maßnahmen, die man einzeln benennen muss - und jeweils dazusagen, wogegen sie hilft und wogegen nicht. Genau das macht dieser Artikel.
Die Maßnahmen und ihre Grenzen
| Maßnahme | Wogegen sie hilft | Wogegen sie nicht hilft |
|---|---|---|
| Nur-Lese-Datenbankbenutzer | KI kann nichts schreiben, ändern oder löschen | nicht gegen Lesen selbst, nur gegen Verändern |
| Rollen je Mitarbeiter | jeder sieht nur die Tools, die zu seiner Rolle gehören | nicht gegen jemanden, der die Rolle Admin hat |
| Kein offener Port | Angriffsfläche von außen bleibt minimal | nicht gegen jemanden, der intern bereits Zugang hat |
| Zugänge steuerbar und sofort sperren | gesperrte Zugriffe wirken sofort, kein altes Token | nicht gegen Missbrauch, bevor die Sperre kommt |
| Daten bleiben lokal | Wawi-Daten verlassen Ihre Infrastruktur nicht | die Antwort auf die Frage wird übertragen |
| Schema-Check vor Updates | Änderungen zeigen sich als Prüfmeldung, nicht als falsche Antwort | nicht gegen Updates, die der Schema-Check nicht abdeckt |
Diese Tabelle ist die Kurzform. Die folgenden Abschnitte gehen jede Maßnahme einzeln durch.
Nur-Lese-Zugriff auf Datenbankebene
Der Zugriff läuft über einen eigenen Nur-Lese-Datenbankbenutzer, und der Server lässt zusätzlich nur lesende Abfragen zu. Schreiben, Ändern oder Löschen ist auf Datenbankebene unterbunden - auch bei einem KI-Fehler. Das ist die wichtigste Maßnahme, weil sie nicht auf eine Software-Schicht vertraut, sondern auf der Datenbank selbst verhindert, was nicht passieren darf.
Wogegen das hilft: Eine KI, die selbst Werkzeuge bedient, könnte theoretisch etwas anstoßen. Mit Nur-Lese ist das technisch ausgeschlossen.
Wogegen das nicht hilft: Gegen das Lesen selbst. Was eine Rolle sehen darf, darf die KI auch lesen - Nur-Lese schützt vor Verändern, nicht vor Einblick.
Rollen je Mitarbeiter mit unterschiedlichem Toolumfang
An jedem Zugang hängt eine Rolle, und die Rolle bestimmt, welche Werkzeuge überhaupt sichtbar sind. Was eine Rolle nicht darf, taucht gar nicht erst als Werkzeug auf - statt mit einer Fehlermeldung zu antworten. Vier Rollen stehen zur Verfügung:
- Auskunft (Support, Kundendienst) sieht Kunden, Belege, Bestände, Bestellstatus - aber keine Einkaufspreise, Konditionen oder Kreditlimits.
- Lager (Kommissionierung, Wareneingang) sieht Artikel, Bestände, Lagerplätze, Wareneingänge - aber keine Preise und keine Kundendaten.
- Auswertung (Geschäftsführung, Einkauf) sieht Kennzahlen, Kapitalbindung, Einkaufspreise und Lieferantenkonditionen - aber keine Kundenakten oder Bonität einzelner Kunden.
- Admin sieht alles.
Die Rollen sind nach ihrem Umfang benannt, nicht nach einer Position. Wer eine Rolle „Geschäftsführer" nennt, verspricht die Rechte eines Geschäftsführers; gemeint war aber oft „Kennzahlen statt Kundenakten". Sperre und Rollenwechsel wirken sofort: Status und Rolle werden bei jedem Aufruf neu nachgeschlagen, beim Sperren werden erteilte Zugriffe zusätzlich widerrufen. Ein gesperrter Zugang arbeitet nicht mit einem alten Token weiter.
Wogegen das hilft: Dass nicht jeder alles sieht - der Lagerbereich sieht Bestände, aber keine Einkaufspreise.
Wogegen das nicht hilft: Gegen jemanden, der die Rolle Admin hat und damit bewusst alle Tools sieht.
Kein offener Port, lokaler Betrieb
Die Erreichbarkeit läuft über eine ausgehende Verbindung (Tunnel), keine eingehende Freigabe. Es bleibt kein eingehender Port ins Internet offen, wodurch die Angriffsfläche von außen deutlich reduziert wird. Der Server läuft lokal bei Ihnen - die Wawi-Daten verlassen Ihre Infrastruktur nicht. Übertragen wird nur die Antwort auf die jeweils gestellte Frage, nie die Datenbank.
Ein Mitarbeiter fragt: „Welche 10 Kunden haben letzten Monat am meisten gekauft?" Der MCP-Server ruft das geprüfte Tool auf und liefert die Antwort aus der Wawi - read-only, über einen Nur-Lese-Benutzer. Die Frage geht über den ausgehenden Tunnel hinaus, kein Port ins Internet ist offen. Übertragen wird nur die Antwort, nicht die Datenbank. Was die Rolle Auskunft nicht sehen darf - etwa Einkaufspreise - taucht als Werkzeug gar nicht erst auf.
Wogegen das hilft: Gegen Angriffe von außen, die einen offenen Port ausnutzen würden.
Wogegen das nicht hilft: Gegen jemanden, der intern bereits Zugang hat - das regeln die Rollen, nicht der Port.
Die KI-Wahl liegt bei Ihnen - ehrlich gesagt
Ob die KI-Auswertung im EU-Raum bleibt, hängt vom gewählten Modell ab. Wir empfehlen EU-gehostete Modelle (mit Auftragsverarbeitungsvertrag) oder ein lokales LLM, bei dem nichts das Haus verlässt. Bei US-Anbietern wie ChatGPT/OpenAI ist ein belastbarer Auftragsverarbeitungsvertrag nicht ohne Weiteres möglich, und Daten gehen in die USA. Darauf weisen wir aktiv hin - statt „DSGVO-konform" als pauschales Etikett zu verwenden.
Wogegen das hilft: Mit EU-Modellen oder lokalem LLM bleibt die KI-Verarbeitung im EU-Raum bzw. im Haus.
Wogegen das nicht hilft: Mit US-Anbietern ohne belastbaren AVV nicht gegen Datenabfluss in die USA - deshalb empfehlen wir das nicht.
Update-fest durch Schema-Check
Vor oder nach einem Wawi-Update prüft ein Schema-Check, ob alle genutzten Datenbank-Views und Spalten noch vorhanden sind, und benennt punktgenau, was sich verschoben hat. Der Check läuft ohne Echtdaten und ohne Kommandozeile. So zeigt sich eine Änderung als Prüfmeldung, statt als falsche Antwort im Arbeitsalltag.
Wogegen das hilft: Gegen falsche Antworten nach einem Wawi-Update, weil sich Spalten verschoben haben.
Wogegen das nicht hilft: Gegen Änderungen, die der Schema-Check strukturell nicht abdeckt.
Was Sicherheit hier heißt
Sicherheit bei einem MCP-Server ist keine Behauptung, sondern die Summe dieser Maßnahmen. Jede einzelne hilft gegen ein konkretes Risiko - und keine gegen alle. Wer das versteht, kann beurteilen, was der Server leistet und wo die Verantwortung bei der eigenen Wahl liegt, etwa beim KI-Modell. Weitere Details zur Architektur stehen im Artikel MCP oder REST-API für die JTL-Wawi.