Community-MCP-Server für Salesforce: was prüfen?

Ein Community-MCP-Server für Salesforce ist Fremdcode, der mit einem Salesforce-Login läuft. Ich würde ihn deshalb wie eine Schnittstelle freigeben, nicht wie ein Browser-Plugin. Bevor Sie zustimmen, klären Sie, unter wessen Identität er arbeitet, wo seine Zugangsdaten liegen, wer ihn pflegt und ob die Version gepinnt ist, welche Werkzeuge er anbietet, was sonst im selben KI-Client läuft und welche Org er erreicht. Arbeitet eine Person mit Claude, ChatGPT oder Cursor auf einer Enterprise Edition, ist Salesforce Hosted MCP der sicherere Weg. Nächtliche Jobs gehören in eine klassische Integration.

Warum ist ein Community-MCP-Server ein eigenes Risiko?

Über MCP (Model Context Protocol) ruft ein KI-Client Werkzeuge in anderen Systemen auf; die Grundlagen stehen in MCP für die IT-Leitung erklärt. Ein Community-Server ist einer, den weder Salesforce noch Ihr KI-Anbieter betreibt: ein npm-Paket, ein GitHub-Projekt oder ein kommerzielles Gateway, das mehrere Systeme über eine einzige OAuth-App verbindet.

Geprüft werden diese Server von niemandem. Anthropic schreibt auf der Sicherheitsseite von Claude Code1, dass es “does not security-audit or manage any MCP server”, und empfiehlt, eigene Server zu schreiben oder Server von Anbietern zu nutzen, denen man vertraut. Die Hosted MCP Security Best Practices2 von Salesforce behandeln nur die eigenen Server.

Zwei Vorfälle außerhalb von Salesforce zeigen, was passieren kann:

• Ein gefälschtes Paket. The Hacker News berichtete im September 20253, dass das npm-Paket postmark-mcp den Namen der offiziellen Postmark-Bibliothek kopierte. Laut Koi Security, die es entdeckt hat, schickte Version 1.0.16 von jeder E-Mail still eine Blindkopie an den Server des Autors. Bis zur Löschung kam es auf 1.643 Downloads.
• Eine Lücke in einer Brücke. Das Paket mcp-remote, das lokale Clients mit entfernten Servern verbindet, hatte eine Schwachstelle mit CVSS 9,6, gefunden von JFrog und von The Hacker News gemeldet4. Ein bösartiger Server konnte Befehle auf dem Rechner des Entwicklers ausführen. Betroffen waren die Versionen 0.0.5 bis 0.1.15, das Paket hatte mehr als 437.000 Downloads, Version 0.1.16 behob die Lücke.

Einen veröffentlichten Vorfall mit einem Salesforce-Community-Server habe ich nicht gefunden. Das Risiko bleibt dasselbe, denn ein Entwickler-Laptop mit Salesforce-Login ist genau das, was ein solches Paket erreicht.

Leiser ist das Risiko in den Werkzeugbeschreibungen. Simon Willison beschreibt unter Berufung auf Invariant Labs das Tool Poisoning5: “malicious instructions are tucked away in the tool descriptions themselves”. Er zitiert außerdem Elena Cross: “MCP tools can mutate their own definitions after installation.” Ein Server, den Sie im März geprüft haben, kann sich nach einem Update im Mai anders verhalten.

Vor der Freigabe stehen sechs schriftliche Antworten

Ich würde vom Partner oder Entwickler schriftliche Antworten auf sechs Fragen verlangen, bevor jemand den Server installiert.

Prüfpunkt	Frage	Warnsignal
Identität	Unter welchem Salesforce-Benutzer handelt der Server?	Ein geteilter Integrationsbenutzer für viele Personen oder ein Admin
Zugangsdaten	Wie meldet er sich an, wo liegt das Geheimnis?	Benutzername, Passwort und Security Token in einer .env-Datei
Maintainer und Version	Wer pflegt ihn, welche Version genau ist installiert?	Ein einzelner Maintainer, keine Security Policy, @latest
Werkzeuge	Welche Werkzeuge bietet er, welche schreiben oder löschen?	Freies SOQL, Apex-Ausführung, Löschwerkzeuge
Kombination	Was läuft sonst im selben Client?	Webzugriff oder E-Mail-Werkzeuge neben CRM-Daten
Ziel-Org	Sandbox oder Produktion, mit welchen Daten?	Produktionslogin auf einem Entwickler-Laptop

Identität. Hosted MCP führt jeden Aufruf unter dem Named User aus, im Audit Trail steht also eine Person. Ein Server oder Gateway, das sich einmal mit einem technischen Benutzer anmeldet, dreht das um: Im Log steht dann “Integrationsbenutzer hat 4.000 Fälle gelesen”, und niemand kann sagen, in wessen Auftrag.

Zugangsdaten. Ein Server, der sich mit Benutzername, Passwort und Security Token anmeldet, hat zwei Probleme. Das Geheimnis liegt auf einem Laptop, und laut Salesforce Time6 setzt Salesforce das Ende des OAuth Username-Password Flow am 20. Februar 2027 durch. Mehr zu dieser Frist steht in Passwort-Integrationen enden 2027. Ein Gateway, das Refresh Tokens für Ihre Org speichert, ist ein Dritter mit langlebigem Zugriff. Das war das Muster hinter dem Salesloft-Drift-Vorfall, beschrieben in Connected Apps und OAuth: Lehren für KI-Integrationen.

Maintainer und Version. Pinnen Sie eine exakte Version und prüfen Sie die Änderungen vor jedem Update. Der Postmark-Fall zeigt den Grund: Der Schadcode kam mit einer bestimmten Version.

Werkzeuge. Lassen Sie sich die vollständige Werkzeugliste mit Beschreibungen geben. Ein Server mit einem Lesewerkzeug für offene Fälle ist eine andere Entscheidung als einer, der beliebiges SOQL oder anonymes Apex ausführt.

Kombination. Willisons Lethal Trifecta7 besteht aus privaten Daten, nicht vertrauenswürdigen Inhalten und einem Weg, Daten nach außen zu senden. Er schreibt, MCP “encourages users to mix and match tools from different sources”. Bei einem Maschinenbauer sind Fallbeschreibungen aus dem Händlerportal oder aus Garantieformularen solche fremden Inhalte, siehe Prompt Injection im Händlerportal.

Ziel-Org. Coding-Agenten arbeiten in Sandboxes. Änderungen an der Produktion laufen über die Pipeline, und das gehört in den Vertrag, siehe Partner mit KI-Coding: Regeln für den Vertrag.

Für Entwickler

Wie hilft Claude Code beim Pinnen und bei neuen Servern?

In Claude Code muss ein Allowlist-Eintrag für einen lokalen Server exakt mit Befehl und Argumenten übereinstimmen (öffnet in einem neuen Tab). Ein Eintrag mit pkg@1.4.2 sperrt also jede andere Version. So lese ich die Abgleichregel, und damit wird das Pinnen durchsetzbar.

Claude Code verlangt eine Vertrauensbestätigung, wenn ein neuer MCP-Server auftaucht. Laut Sicherheitsseite entfällt sie bei nicht interaktiven Läufen mit -p, ein Server in einem CI-Job bekommt also keine Rückfrage.

Wann ist Salesforce Hosted MCP der sicherere Weg?

Salesforce Hosted MCP Server sind seit 29. April 2026 allgemein verfügbar8, für jede Org ab Enterprise Edition. Für eine Person, die interaktiv mit Claude, ChatGPT oder Cursor arbeitet, beantworten sie die meisten Zeilen der Tabelle: kein Fremdcode auf dem Laptop, jeder Aufruf unter dem Named User, OAuth mit PKCE, Server aus, bis ein Admin sie einschaltet, MCP-Zugriffe in den API-Logs filterbar und ein mcp_api-Scope, der laut Salesforce Zugriff auf MCP gibt, “but not our existing REST APIs”. Wer welche Daten lesen darf, steht in Hosted MCP Server und Datenzugriff.

Hosted MCP hat Grenzen, und genau sie treiben Teams zu Community-Servern:

• Kein Maschine-zu-Maschine-Zugriff. Die Sicherheitsempfehlungen sagen: “There are no service accounts, no machine-to-machine flows”. Ein nächtlicher Agent kann Hosted MCP nicht nutzen.
• Edition und Kosten. Laut Übersicht9 sind die Server “intended only for customers with Flex Credits and you may be billed for server usage”. Warum daraus eine Budgetposition wird, steht in MCP-Zugriffe als Budgetrisiko.

Keine der beiden Grenzen macht einen Community-Server zur Lösung. Ein nächtlicher Job ist eine Integration mit eigenem Benutzer und Client Credentials oder JWT Flow. Ist Agentforce der Client, beschreibt Trailhead10, wie Sie Server von Drittanbietern in der Agentforce Registry registrieren, Werkzeuge auswählen und Aufrufe über das Agentforce Gateway begrenzen. Das regelt die Seite des Agenten. Der Server dahinter braucht trotzdem die sechs Prüfpunkte.

Beispiel: drei Anfragen aus dem Partnerteam

Nehmen wir einen Maschinenbauer mit Sales Cloud, Service Cloud, Händlerportal und SAP, Enterprise Edition mit Flex Credits, und einen Implementierungspartner mit sechs Entwicklern. Alle Zahlen sind Annahmen.

Anfrage 1. Ein Entwickler möchte einen Community-Salesforce-Server von npm in Claude Code nutzen, angemeldet mit dem Passwort des Integrationsbenutzers, um doppelte Anlagen (Assets) in der Full-Copy-Sandbox zu analysieren. Entscheidung: nein zum Passwort und zum geteilten Benutzer. Er bekommt sobject-reads über Hosted MCP in dieser Sandbox, unter seinem eigenen Sandbox-Benutzer.

Anfrage 2. Der Serviceinnendienst möchte ein kommerzielles Gateway, das ChatGPT über eine OAuth-App mit Salesforce und SAP verbindet. Entscheidung: zurückgestellt. Das Gateway würde Refresh Tokens für die Org halten, und alle 25 Benutzer erschienen als ein technischer Benutzer. Der Salesforce-Teil läuft über Hosted MCP, der SAP-Teil wartet auf die Vertragsprüfung des Gateway-Anbieters.

Anfrage 3. Der Partner schlägt einen Community-Server für einen nächtlichen Agenten vor, der Händlerbestände mit SAP abgleicht. Entscheidung: kein MCP. Das ist eine Integration mit Run-as-Benutzer und Client Credentials, gebaut wie der Auftragsstatus in Agentforce und SAP-Auftragsstatus.

Alle drei Anliegen werden erfüllt, und kein Community-Server erreicht die Org.

Die MCP-Server bei allen Partnern erfassen

1. Bestandsaufnahme. Fragen Sie jeden Partner, welche MCP-Server in seinen Clients für Ihre Orgs eingerichtet sind, mit Versionen. Das Ende des DX MCP Servers ist ein guter Anlass, siehe das Ende des Salesforce DX MCP Servers.
2. Die Regel aufschreiben. Standard sind gehostete oder von Salesforce betriebene Server; Community-Server nur nach den sechs Prüfpunkten, in Sandboxes und mit gepinnter Version.
3. Durchsetzen, wo es geht. Lizenzieren Sie Claude Code zentral, sperren Managed Settings11 mit allowedMcpServers und allowManagedMcpServersOnly jeden Server, der nicht auf Ihrer Liste steht.
4. Bei jedem Update neu prüfen. Eine neue Version ist eine neue Freigabe.

Für die Bestandsaufnahme reicht eine Tabelle mit Partner, Server, Version, Benutzer und Ziel-Org. Partner bei solchen Werkzeugen zu steuern gehört zu meiner Arbeit in der Partnersteuerung, die Übersicht der Schnittstellen steht in Kapitel 3 der Masterclass.

Quellen11

1. 1Sicherheitsseite von Claude Code (öffnet in einem neuen Tab)code.claude.com
2. 2Hosted MCP Security Best Practices (öffnet in einem neuen Tab)developer.salesforce.com
3. 3berichtete im September 2025 (öffnet in einem neuen Tab)thehackernews.com
4. 4von The Hacker News gemeldet (öffnet in einem neuen Tab)thehackernews.com
5. 5Tool Poisoning (öffnet in einem neuen Tab)simonwillison.net
6. 6Salesforce Time (öffnet in einem neuen Tab)salesforcetime.com
7. 7Lethal Trifecta (öffnet in einem neuen Tab)simonwillison.net
8. 8seit 29. April 2026 allgemein verfügbar (öffnet in einem neuen Tab)developer.salesforce.com
9. 9Übersicht (öffnet in einem neuen Tab)developer.salesforce.com
10. 10Trailhead (öffnet in einem neuen Tab)trailhead.salesforce.com
11. 11Managed Settings (öffnet in einem neuen Tab)code.claude.com