Kann ein KI-Agent über Hosted MCP alle Salesforce-Daten lesen?

Nein. Jeder Aufruf läuft mit Objektrechten, Feldrechten und Freigaben des Benutzers, der die Verbindung autorisiert hat. Der Agent sieht also genau das, was diese Person sieht, und jede Aktion steht in den Audit-Daten unter ihrem Namen.

Kosten MCP-Zugriffe auf Salesforce extra?

Salesforce schreibt, dass Hosted MCP Servers nur für Kunden mit Flex Credits gedacht sind und Nutzung abgerechnet werden kann. Der Satz für Headless Platform Interactions ist noch nicht veröffentlicht; laut SalesforceBen gibt es 30 Tage Vorlauf, bevor die Messung startet.

MCP und Salesforce-Schnittstellen für KI-Agenten

Q: Was passiert am 2. November 2026 mit dem Salesforce DX MCP Server?

Laut Hinweis der Maintainer (Issue 46 im Repository forcedotcom/mcp) gibt es für den lokalen Server danach keine Pflege, keinen Support und keine neuen Releases mehr. Das npm-Paket wird als deprecated markiert, bleibt aber installierbar. Pinnen Sie die Version 0.30.15 und planen Sie den Umstieg auf Skills, Plugin und Hosted MCP.

MCP (Model Context Protocol) ist 2026 der Standardweg, über den KI-Werkzeuge wie Claude, ChatGPT oder Cursor mit Salesforce arbeiten. Der lokale Salesforce DX MCP Server erreicht am 2. November 2026 sein End of Life. Die gehosteten MCP-Server von Salesforce sind seit April 2026 GA und handeln immer im Namen eines angemeldeten Benutzers. Und agentische Zugriffe sollen künftig Flex Credits kosten, zu einem Satz, den Salesforce noch nicht veröffentlicht hat. Meine Empfehlung: lesend starten, Rechte pro Person vergeben, den Budgetposten vor dem Rollout klären.

Was ist MCP, und wo sitzt es in einer Salesforce-Architektur?

MCP ist ein offenes Protokoll, über das ein KI-Werkzeug andere Systeme als Tools aufruft: Datensätze lesen, eine Abfrage ausführen, eine Aktion starten. Der Server beschreibt, welche Tools er anbietet, der Client (Claude, ChatGPT, Cursor oder Agentforce) entscheidet, wann er welches nutzt. Salesforce hat MCP seit 2025 an fast jeder Stelle eingebaut. Für die Architektur hilft es, drei Richtungen zu trennen:

Coding-Agent zu Projekt und Org. Ein Entwickler Ihres Partners arbeitet mit Claude Code, Codex, Cursor oder Agentforce Vibes, und der Agent liest Metadaten, deployt und testet. Hier sitzen der lokale DX MCP Server und die MCP-Server im Claude-Code-Plugin von Salesforce.
Externe KI zu Ihren Daten. Eine Mitarbeiterin im Serviceinnendienst fragt in Claude nach offenen Fällen einer Maschine. Hier sitzen die Hosted MCP Servers und „Salesforce in Claude“.
Agentforce zu fremden Systemen. Ein Agentforce-Agent ruft ein Tool außerhalb von Salesforce auf, etwa eine Auftragsabfrage im ERP. Hier sitzen der MCP-Client von Agentforce und der Weg über MuleSoft und den API Catalog.

Daneben bleiben Schnittstellen ohne MCP wichtig: die Agent API, über die andere Systeme einen Agentforce-Agenten aufrufen, die Models API für LLM-Aufrufe aus Apex und die sf CLI, über die Deployments in der Pipeline laufen. MCP ersetzt keine davon. Die Begriffe ordnet Kapitel 1 ein, und welche Entscheidungen bei der IT-Leitung liegen, steht in MCP und Salesforce, erklärt für die IT-Leitung.

Die Schnittstellen im Überblick

Schnittstelle	Wer ruft wen	Identität	Stand Oktober 2026
Salesforce DX MCP Server, lokal (`@salesforce/mcp`)	Coding-Agent zu Org und Projekt	vorhandene sf-CLI-Anmeldung, Orgs per Allowlist	End of Life am 2. November 2026
Claude-Code-Plugin `salesforce-development`	Claude Code zu Metadatenwissen, Apex- und SOQL-Sprachserver	lokale sf-CLI-Anmeldung	veröffentlicht am 19. August 2026
Hosted MCP, sObject-Server	externe KI zu Datensätzen	angemeldeter Benutzer, OAuth mit PKCE	GA seit 29. April 2026
Hosted MCP, Custom Server	externe KI zu Flows, Apex, APIs aus dem API Catalog, Agentforce-Agenten	angemeldeter Benutzer	dokumentiert
Headless 360 MCP	externe KI zu Setup-Aufgaben	angemeldeter Benutzer, ab API 67.0	Beta seit Juli 2026
Salesforce in Claude	Claude zu Vertriebsdaten, 37 Skills	in der Ankündigung nicht beschrieben	Beta für alle Kunden
Agentforce als MCP-Client	Agentforce zu externen Tools	External und Named Credentials	2025 als Pilot angekündigt, aktueller Status nicht dokumentiert
MuleSoft-API über den API Catalog	Agentforce zu ERP	Named Credentials, automatisch angelegt	dokumentierter Weg
Agent API	beliebiges System zu Agentforce-Agent	Client Credentials mit Run-As-Benutzer	dokumentiert
Models API	Apex zu LLM	Salesforce-Anmeldung	läuft über den Einstein Trust Layer

Für einen Hersteller sind heute drei Zeilen dringend: der DX MCP Server, weil Ihr Partner ihn wahrscheinlich nutzt, die Hosted MCP Servers, weil Fachbereiche nach Claude oder ChatGPT mit CRM-Daten fragen werden, und der Weg zum ERP, weil Auftragsstatus, Bestand und Preise in SAP oder proALPHA liegen. Agentforce-Agenten lassen sich nur als MCP-Tools freigeben, wenn sie im neuen Agent Script Builder gebaut sind; ältere Agenten müssen vorher umgestellt werden.

2. November 2026: Was das Ende des DX MCP Servers bedeutet

Der End-of-Life-Hinweis (öffnet in einem neuen Tab) der Maintainer nennt den 2. November 2026 als End of Life für den lokalen Server @salesforce/mcp. Danach gibt es keine Pflege, keinen Support und keine neuen Releases mehr. Das npm-Paket wird als deprecated markiert, bleibt aber installierbar, gepinnte Setups wie Version 0.30.15 laufen also weiter.

Der Hinweis nennt die offene Skills-Bibliothek forcedotcom/sf-skills als Ersatz. Daneben hat Salesforce das Claude-Code-Plugin (öffnet in einem neuen Tab) mit rund 40 dieser Skills und drei MCP-Servern (salesforce-api-context, salesforce-metadata-experts, salesforce-lsp) sowie Hosted MCP für den Datenzugriff veröffentlicht. Die Plugin-Ankündigung erwähnt das Ende des DX MCP Servers nicht. Alle drei als Nachfolger zu sehen, ist meine Lesart, keine Salesforce-Aussage.

Für Sie als Auftraggeber ist vor allem die Frage wichtig, mit welchen Rechten der alte Server bei Ihrem Partner läuft. Ich würde für Agenten nur feste Sandbox-Aliase zulassen, weil zwei Einstellungen den Zugriff sonst still ausweiten.

Für Entwickler

Wie der lokale DX MCP Server Orgs erreicht

Laut Salesforce-Dokumentation (öffnet in einem neuen Tab) liest er vorhandene verschlüsselte Anmeldedaten und erreicht nur Orgs, die beim Start freigegeben wurden.

Laut README (öffnet in einem neuen Tab) gibt ALLOW_ALL_ORGS Zugriff auf alle autorisierten Orgs, auch eine Produktion, und Salesforce rät zur Vorsicht.
DEFAULT_TARGET_ORG wird bei jedem Tool-Aufruf neu aufgelöst: Wechselt der Entwickler seine Standard-Org, arbeitet der Agent ohne Warnung in der anderen.

Mein Vorgehen bis zum Stichtag:

01
Inventur
Lassen Sie sich vom Partner auflisten, in welchen MCP-Konfigurationen, auf welchen Rechnern und in welchen Repositories der Server eingetragen ist.
02
Pinnen
Version 0.30.15 fest eintragen statt latest, damit der Übergang planbar bleibt.
03
Abbilden
Deploy und Tests über sf CLI und Skills, Metadatenwissen über das Plugin, Datenzugriff über Hosted MCP.
04
Parallel testen
In einer Sandbox beide Wege prüfen, dann den alten Eintrag entfernen und die KI-Regeldatei im Repository anpassen.

Die Details stehen in Salesforce DX MCP Server: Ende am 2. November. Welche Werkzeuge Salesforce sonst für KI-gestützte Entwicklung anbietet, beschreibt Kapitel 2.

Hosted MCP: Wer darf welche Daten lesen?

Salesforce hat die Hosted MCP Servers am 29. April 2026 für jede Org ab Enterprise Edition (öffnet in einem neuen Tab) freigegeben. Sie laufen auf Salesforce-Infrastruktur, ein Admin schaltet sie im Setup unter API Catalog frei und legt eine External Client App mit den Scopes mcp_api und refresh_token an. Die Server-Referenz (öffnet in einem neuen Tab) nennt vier sObject-Server (All, Reads, Mutations, Deletes) sowie Server für Data 360, Tableau Next und Headless 360.

Das Sicherheitsmodell ist streng, und davon profitieren Hersteller. Laut Security Best Practices (öffnet in einem neuen Tab):

Thema	Regel
Aktivierung	Server sind standardmäßig aus und müssen bewusst aktiviert werden.
Rechte	Jeder Tool-Aufruf läuft mit Objektrechten, Feldrechten und Freigaberegeln des Benutzers, der die Verbindung autorisiert hat, und steht in den Audit-Daten unter seinem Namen.
Benutzerkontext	Es gibt keine Service Accounts, keine Machine-to-Machine-Flows und keinen Betrieb außerhalb eines Benutzerkontexts.
Zugriff	External Client Apps lassen sich auf Profile und Permission Sets beschränken.
Protokoll	MCP-Verkehr lässt sich in den API-Logs über `API_CLIENT_CATEGORY = SALESFORCE_HOSTED_MCP` herausfiltern.
Abfragen	Named Queries geben nur vordefinierte SOQL-Abfragen frei statt freier Abfragen.

Salesforce selbst schlägt vor, mit sobject-reads in einer Sandbox zu beginnen, und nennt ihn „read-only, risk-free, and immediately useful“ (öffnet in einem neuen Tab). Dem schließe ich mich an: lesend starten, Mutations erst nach einem Test mit Freigabe, Deletes nur mit gutem Grund. Für den Headless-360-MCP-Server (öffnet in einem neuen Tab) empfiehlt Salesforce, dass der Client vor jedem Tool nachfragt, das Org-Konfiguration ändert oder Daten bearbeitet oder löscht.

Daraus folgt eine Architekturgrenze. Ein nächtlicher Agent, der ohne Menschen Garantiefälle vorsortiert, passt nicht zu Hosted MCP. Für solche Fälle gibt es die Agent API, die mit Client Credentials und einem Run-As-Benutzer arbeitet, oder eine klassische Integration. Diesen Benutzer würde ich behandeln wie jeden Integrationsbenutzer: eigene Rechte, keine Admin-Profile, regelmäßige Prüfung.

Die Lücke beim Einstein Trust Layer

Dazu kommt Prompt Injection. Bei ForcedLeak (öffnet in einem neuen Tab) (CVSS 9.4, veröffentlicht im September 2025) versteckten Angreifer Anweisungen im Beschreibungsfeld eines Web-to-Lead-Formulars, und Agentforce schickte CRM-Daten an eine fremde Domain. Simon Willison nennt die Kombination aus privaten Daten, fremden Inhalten und einem Weg nach außen die „lethal trifecta“ (öffnet in einem neuen Tab) und weist darauf hin, dass MCP genau dieses Kombinieren von Tools fördert. Bei Herstellern landen fremde Texte über Händlerportale, Garantieanträge und Email-to-Case im CRM. Mehr dazu in Hosted MCP Server: wer darf welche Daten lesen und Prompt Injection im Händlerportal.

Was kosten MCP-Zugriffe auf Salesforce?

Die Übersicht der Hosted MCP Servers (öffnet in einem neuen Tab) sagt: „intended only for customers with Flex Credits and you may be billed for server usage“. Auf der Flex Credits Rate Card vom 31.08.2026 (öffnet in einem neuen Tab) steht der Zähler „Headless Platform Interaction“ mit dem Satz TBA. Laut SalesforceBen (öffnet in einem neuen Tab) zählen erfolgreiche Aufrufe registrierter Agenten über MCP oder API, gemessen wird nur in aktiven Produktions-Orgs, Kunden erhalten 30 Tage Vorlauf, und bestehende API-Integrationen behalten ihre heutige Preislogik.

Für die Planung heißt das: Den Preis kennen Sie nicht, die Menge können Sie schätzen. Zählen Sie Benutzer, Fragen pro Tag und Tool-Aufrufe pro Frage, denn ein Agent ruft für eine Antwort oft mehrere Tools auf. Die Rechnung mit Annahmen steht in MCP-Zugriffe auf Salesforce als Budgetrisiko, die Kostenmodelle insgesamt in Kapitel 7.

Durchgespielt: Servicedaten in Claude bei einem Maschinenbauer

Nehmen wir einen Maschinenbauer mit Service Cloud, SAP S/4 und einem Implementierungspartner, dessen sechs Entwickler mit Claude Code arbeiten. Alle Zahlen sind Annahmen. Die Serviceleitung möchte, dass 25 Mitarbeitende im Innendienst in Claude nach offenen Fällen, installierter Basis und Garantiestatus fragen.

So würde ich vorgehen:

Schritt	Was ich tun würde
Partner zuerst	Bis zum 2. November die DX-MCP-Einträge inventarisieren, auf 0.30.15 pinnen, in den Sandboxes auf Plugin und Skills umstellen. Kein Agent bekommt eine Produktions-Org.
Lesend starten	Nur `sobject-reads` aktivieren, die External Client App auf ein eigenes Permission Set beschränken, erst in einer Sandbox testen. Für die Suche nach Seriennummern eine Named Query statt freier SOQL.
ERP bleibt deterministisch	Auftragsstatus und Liefertermine aus SAP kommen über eine MuleSoft-API im API Catalog, nicht über ein Modell, das Tabellen interpretiert. Der Weg steht in Agentforce und SAP-Auftragsstatus.
Menge schätzen	Angenommen 25 Personen, 20 Fragen am Tag, vier Tool-Aufrufe pro Frage und 21 Arbeitstage: das sind 42.000 Aufrufe im Monat. Wenn jeder erfolgreiche Aufruf zählt, wovon ich nach heutigem Stand ausgehe, ist das die Zahl, die Sie mit dem Satz multiplizieren, sobald Salesforce ihn nennt.
Datenschutz klären	Der Vertrag mit Anthropic und die Freigabe durch Datenschutz und Betriebsrat stehen vor dem Start, weil der Trust Layer hier nach meiner Lesart nicht greift.

Welche Entscheidungen liegen bei der IT-Leitung?

Für die Einrichtung nennt Salesforce weniger als 30 Minuten. Die eigentliche Arbeit liegt in fünf Entscheidungen:

Entscheidung	Frage
Server	Welche Server werden aktiviert, und wer darf neue freischalten?
Benutzer	Welche Benutzer bekommen Zugriff, über welches Permission Set?
Daten	Welche Daten sind lesbar, welche änderbar, und wo reicht eine Named Query?
Modelle und Verträge	Welche sind zugelassen: Claude, ChatGPT, ein Modell über einen Cloud-Anbieter in der EU?
Budget	Wer zahlt die Headless Platform Interactions, Fachbereich oder IT?

Diese Fragen gehören zu meiner Arbeit an Salesforce-Schnittstellen. Welche externen Coding-Agenten Ihr Partner dafür einsetzen kann, beschreibt Kapitel 4, und die Übersicht aller Kapitel finden Sie auf der Startseite der Masterclass.