# KI-Agent ans ERP anbinden: Rechte, SAP, Odoo (2026) > Ein KI-Agent, der im ERP nachsieht, ist schnell gebaut. Einer, der dort Aufträge anlegt, ist das eigentliche Projekt. Wie der Zugang bei SAP S/4HANA Cloud Public Edition und bei Odoo 19 technisch aussieht, welche Rechte ein Agent bekommen sollte, welche drei Fehler nur Agenten machen und wo die KI-Verordnung eine Grenze zieht. Mit Quellen aus der Dokumentation von SAP und Odoo, abgerufen am 2. Oktober 2026. Quelle: https://www.krynexlabs.de/blog/ki-agent-erp-anbinden-lesen-schreiben/ Stand: 2026-10-03 Anbieter: Krynex Labs UG (haftungsbeschränkt) i. G., Chemnitz · https://www.krynexlabs.de --- [Alle Artikel](https://www.krynexlabs.de/blog/) #KI-Agenten#ERP#SAP S/4HANA#Odoo#Schnittstellen#Governance # KI-Agent ans ERP anbinden: was er lesen darf, was er schreiben darf und wer freigibt Ein KI-Agent, der im ERP nachsieht, ist schnell gebaut. Einer, der dort Aufträge anlegt, ist das eigentliche Projekt. Wie der Zugang bei SAP S/4HANA Cloud Public Edition und bei Odoo 19 technisch aussieht, welche Rechte ein Agent bekommen sollte, welche drei Fehler nur Agenten machen und wo die KI-Verordnung eine Grenze zieht. Mit Quellen aus der Dokumentation von SAP und Odoo, abgerufen am 2. Oktober 2026. [Annett Krusch](https://www.krynexlabs.de/ueber-uns/) 3\. Oktober 2026 Die kurze Antwort zuerst. Ein KI-Agent bekommt im ERP **einen eigenen technischen Benutzer** mit genau den Rechten, die seine Aufgabe braucht. **Lesen** ist schnell gebaut und selten gefährlich. **Schreiben** ist das eigentliche Projekt: Was der Agent anlegt, entsteht zuerst als Entwurf, und ein Mensch gibt frei, bevor etwas gebucht, bestellt oder verschickt wird. Bei SAP S/4HANA Cloud Public Edition legt diese Rechte nicht der Agent fest, sondern das SAP-System selbst, über eine Kommunikationsvereinbarung. Wir bauen solche Anbindungen und betreiben selbst Agenten an einem Odoo-ERP. Die Angaben zu SAP und Odoo haben wir am 2. Oktober 2026 in der Dokumentation der Hersteller nachgelesen. ## Lesen ist einfach, Schreiben ist das Projekt Die meisten Wünsche an einen ERP-Agenten fangen mit einer Frage an: Wo ist der Auftrag von Kunde X? Ist das Teil vorrätig? Wann wurde zuletzt geliefert? Dafür braucht der Agent nur Leserechte, und wenn er sich irrt, liest ein Mensch eine falsche Antwort, mehr nicht. Mit dem ersten schreibenden Zugriff ändert sich das. Ein Agent, der einen Auftrag anlegt, eine Bestellung auslöst oder einen Kundenstamm ändert, hinterlässt Spuren in Buchhaltung, Lager und Versand. Wir teilen die Rechte deshalb in drei Stufen: | Bereich | Lesen | Entwurf anlegen | Buchen, bestellen, versenden | | --- | --- | --- | --- | | Aufträge | Agent allein | Agent, Mensch prüft | nur nach Freigabe | | Kunden und Lieferanten | Agent allein | Agent, Mensch prüft | nur nach Freigabe | | Bestand | Agent allein | – | – | | Bestellungen beim Lieferanten | Agent allein | Agent, Mensch prüft | nur nach Freigabe, mit Betragsgrenze | | Rechnungen und Zahlungen | Agent allein | ungern | nie ohne Mensch | Die Tabelle ist unsere Empfehlung, keine Norm. Wo die Grenze liegt, hängt vom Betrieb ab. Entscheidend ist, dass sie vorher festgelegt wird und nicht im Prompt steht, sondern in den Rechten des Benutzers und in einer Freigabestufe, an der der Agent nicht vorbeikommt. ## So sieht der Zugang bei SAP S/4HANA Cloud Public Edition aus Bei der Public Edition gibt es einen festen Weg. Laut dem [Leitfaden von SAP zur Authentifizierung](https://help.sap.com/doc/6ce62b6bdda340ffbeae3f138c3cb71b/SHIP/en-US/Set_Up_Authentication_for_SAP_S4HANA_Cloud_Extensions.pdf) braucht jede eingehende Verbindung zuerst eine Kommunikationsvereinbarung. Sie legt fest, welches System, das Kommunikationssystem, mit welchem Benutzer, dem Kommunikationsbenutzer, welche Schnittstellen aufrufen darf, gebündelt in Kommunikationsszenarien. Für einen Agenten heißt das ganz praktisch: - **Das fremde System wird in SAP angelegt.** Der Agent und die Software dahinter treten als ein Kommunikationssystem auf. - **Er bekommt einen eigenen Benutzer.** Kein persönliches Konto eines Mitarbeiters, keine geteilten Zugangsdaten. - **Er darf nur die Szenarien, die freigeschaltet sind.** Was nicht in der Vereinbarung steht, kann der Agent nicht aufrufen, egal was in seinen Anweisungen steht. Bei der Anmeldung nennt SAP drei Wege: Benutzername und Passwort eines Kommunikationsbenutzers, ein Zertifikat oder OAuth. Der Unterschied ist wichtig. Mit einem Kommunikationsbenutzer handelt der Agent als technischer Benutzer mit eigenen Rechten. Mit OAuth kann er im Namen des angemeldeten Mitarbeiters handeln, mit dessen Rechten. Für einen Agenten, der für viele Kollegen arbeitet, ist das zweite oft die sauberere Lösung, weil dann im Protokoll steht, für wen er gehandelt hat. Wer gerade auf die Public Edition umstellt, sollte die Anbindung gleich gegen die neue Umgebung planen und nicht gegen das alte SAP. Welche Szenarien es dort gibt und was sie lesen oder schreiben, steht im SAP Business Accelerator Hub. Diese Liste ist der Rahmen für alles, was ein Agent später tun kann, und sie gehört an den Anfang des Projekts. SAP baut selbst Agenten unter dem Namen Joule. Im [Mai hat SAP angekündigt](https://news.sap.com/2026/05/future-enterprise-autonomous/), dass Joule im vierten Quartal 2026 mit fremden Agenten in beide Richtungen zusammenarbeiten soll: Fremde Agenten sollen Joule-Agenten aufrufen und in SAP-Prozessen handeln können. Wer heute baut, sollte das im Blick behalten. ## So sieht er bei Odoo aus Odoo hat mit Version 19 eine neue Schnittstelle eingeführt, die [JSON-2 API](https://www.odoo.com/documentation/19.0/developer/reference/external_api.html). Sie arbeitet mit einem API-Schlüssel. Drei Stellen aus der Dokumentation sind für Agenten wichtig: - **Jeder Zugriff wird gegen die Rechte des Benutzers geprüft**, inklusive Datensatzregeln und Feldrechten. Odoo empfiehlt für Integrationen eigene Bot-Benutzer mit den minimal nötigen Rechten. - **Der Zugriff über die externe Schnittstelle** steht laut Odoo nur in den Custom-Tarifen zur Verfügung, nicht in One App Free oder Standard. Das sollte man vor dem Projekt wissen, nicht danach. - **Die alten Schnittstellen** XML-RPC und JSON-RPC sollen mit Odoo 22 im Herbst 2028 entfallen. Neue Anbindungen gehören auf JSON-2. Aus unserem eigenen Betrieb zwei Beobachtungen, die beide zeigen, dass die Rechte über das Ergebnis entscheiden: - Unser Agenten-Benutzer sah zunächst nicht alle Aufträge. Eine Datensatzregel blendet für normale Verkäufer fremde Aufträge aus. Erst mit der passenden Gruppe sah er, was er sehen sollte. Ein Agent, der zu wenig sieht, antwortet trotzdem, nur eben falsch. - Bei mehreren Firmen in einer Datenbank darf der Benutzer nur die Firmen ansprechen, denen er zugeordnet ist. Sonst lehnt Odoo die Anfrage ab. ## Drei Fehler, die nur Agenten machen **Doppelte Vorgänge.** Bleibt eine Antwort aus, versucht ein Agent es oft noch einmal. Ist der erste Aufruf aber durchgegangen, gibt es den Vorgang dann zweimal. SAP führt sogar einen eigenen [Wissensartikel](https://userapps.support.sap.com/sap/support/knowledge/en/2931385) zu doppelten Kundenaufträgen aus einem einzigen Aufruf der Auftragsschnittstelle. Gegenmittel: Jeder schreibende Aufruf bekommt eine eindeutige Kennung, und vor dem zweiten Versuch wird nachgesehen, ob der Vorgang schon existiert. **Halbe Vorgänge.** Viele Abläufe brauchen mehrere Aufrufe: Kunde anlegen, Auftrag anlegen, Positionen ergänzen, bestätigen. Die Odoo-Dokumentation schreibt ausdrücklich, dass sich mehrere Aufrufe der JSON-2-Schnittstelle nicht zu einer Transaktion verbinden lassen. Bricht der Agent nach dem zweiten Schritt ab, bleibt ein halber Vorgang stehen. Ein Zurückrollen gibt es nicht von selbst, das muss man bauen. **Status gesetzt, Handlung nicht ausgelöst.** Über die Schnittstelle lässt sich oft ein Feld ändern, ohne dass passiert, was im Programm an dem Knopf hängt. Bei uns stand ein Angebot nach einem Schnittstellenaufruf auf „versendet“, verschickt war aber keine Mail. Für einen Agenten ist das heimtückisch: Er meldet Erfolg, und im Protokoll sieht alles richtig aus. ## Freigaben, Protokoll und die Grenze der KI-Verordnung Schreibende Aktionen unserer Agenten laufen über [AgentGuard](https://www.krynexlabs.de/services/agentguard/). Der Agent meldet, was er tun will, und je nach Art und Betrag entscheidet eine Regel, ob er darf, ob ein Mensch freigeben muss oder ob die Aktion abgelehnt wird. Gibt niemand frei, gilt das als Nein. Jede Entscheidung landet in einem verketteten Protokoll, in dem eine nachträgliche Änderung auffällt. Wie so ein Protokoll aufgebaut ist, steht im Beitrag [Audit-Trail für KI-Chatbots](https://www.krynexlabs.de/blog/ki-chatbot-audit-trail-was-protokollieren/). Zur KI-Verordnung: Ein Agent, der Aufträge anlegt oder Bestände abfragt, steht in keiner Nummer von Anhang III und ist damit kein Hochrisiko-System. Eine Grenze ist im ERP aber schnell erreicht. Anhang III Nr. 4 Buchstabe b nennt Systeme, die Aufgaben nach dem Verhalten oder den Merkmalen einzelner Beschäftigter zuweisen oder ihre Leistung bewerten. Ein Agent, der Aufträge danach verteilt, wer zuletzt am schnellsten war, ist deshalb etwas anderes als einer, der nur Termine einträgt. Wann ein System Hochrisiko ist, steht im Eintrag [Hochrisiko-KI nach AI Act](https://www.krynexlabs.de/wissen/hochrisiko-ki-system/). ## Wo anfangen Ein guter erster Agent liest nur. Er beantwortet die Fragen, die heute im Vertrieb und im Kundendienst am meisten Zeit kosten, und zeigt dabei, ob die Daten im ERP gut genug für einen Agenten sind. Erst danach kommt der erste schreibende Schritt, als Entwurf mit Freigabe. Welche Agenten sich im Mittelstand lohnen, steht im Beitrag [KI-Agenten im Mittelstand](https://www.krynexlabs.de/blog/ki-agenten-mittelstand/). Wenn Sie ein ERP haben und einen Agenten daran anbinden wollen, beschreiben wir unter [AI Operations Stack](https://www.krynexlabs.de/services/ai-operations-stack/) den Weg über die bestehende Software, ohne das ERP zu tauschen. ## Häufige Fragen Kann man einen KI-Agenten an SAP S/4HANA Cloud Public Edition anbinden? Ja, über die von SAP freigegebenen Schnittstellen. Dafür legt der Kunde in SAP eine Kommunikationsvereinbarung an. Sie bestimmt, welches fremde System mit welchem Kommunikationsbenutzer welche Schnittstellen aufrufen darf. Was nicht in dieser Vereinbarung steht, kann das fremde System nicht aufrufen. Welche Rechte sollte ein KI-Agent im ERP bekommen? Die eines eigenen technischen Benutzers mit genau den Rechten, die seine Aufgabe braucht, nie die eines Administrators. Lesen ist meist unkritisch. Schreibende Aktionen sollten zuerst als Entwurf entstehen, den ein Mensch freigibt, bevor etwas gebucht oder verschickt wird. Was ist das größte Risiko, wenn ein KI-Agent im ERP schreibt? Doppelte oder halbe Vorgänge. Agenten wiederholen Aufrufe, wenn eine Antwort ausbleibt, und so entstehen doppelte Aufträge. Außerdem lassen sich mehrere Schnittstellenaufrufe meist nicht zu einer Transaktion bündeln: Bricht der Agent nach dem zweiten von vier Schritten ab, ist der Vorgang halb fertig. Geht das auch mit Odoo? Ja. Odoo 19 hat eine neue Schnittstelle namens JSON-2, die mit einem API-Schlüssel arbeitet und alle Zugriffe gegen die Rechte des Benutzers prüft. Laut Odoo steht der Datenzugriff über die externe Schnittstelle nur in den Custom-Tarifen zur Verfügung, nicht in One App Free oder Standard. Die alten Schnittstellen XML-RPC und JSON-RPC sollen mit Odoo 22 im Herbst 2028 entfallen. Ist ein KI-Agent im ERP ein Hochrisiko-System nach der KI-Verordnung? In der Regel nicht. Aufträge, Bestellungen und Bestände stehen nicht in Anhang III der KI-Verordnung. Anders ist es, wenn der Agent Aufgaben nach dem Verhalten oder den Merkmalen einzelner Beschäftigter zuweist oder ihre Leistung bewertet, das nennt Anhang III Nr. 4 Buchstabe b ausdrücklich. ## Dazu bei Krynex Labs Leistung KI-ERP Pilot Suite → https://www.krynexlabs.de/services/ki-erp/ Leistung AI Agents für ERP und Backoffice → https://www.krynexlabs.de/services/ai-agents/ Wissen KI-Agent oder Automatisierung? → https://www.krynexlabs.de/wissen/ki-agent-oder-automatisierung/ ## Passend dazu Insights Ein Prompt, alle Agenten: Was der AgentCorruption-Fall bei AWS über die Standardrechte von KI-Agenten lehrt → https://www.krynexlabs.de/blog/agentcorruption-aws-agentcore-standardrolle-ki-agenten/ Insights Anthropic nimmt seinen eigenen Agenten-Tests das Internet weg. Was Betriebe daraus lernen sollten → https://www.krynexlabs.de/blog/anthropic-kappt-internetzugang-agenten-tests/ Insights Zwei Plugins für Claude Code: ein Gedächtnis, das zitiert, und ein Wächter, der fragt → https://www.krynexlabs.de/blog/claude-code-plugins-cyberbrain-agentguard/