Der Schlüssel für eine KI: Was ein externer Agent in Ihrem CRM lesen darf – und was auf Ihr Ja wartet
Die meisten kleinen Firmen haben bereits einen KI-Client, den sie mögen. Das Problem: Der Client weiß nichts über die Firma – nicht die Deals, nicht die Rechnungen, nicht den Kunden, der gestern angerufen hat. Eine Verbindung zum CRM löst das mit einer Adresse und einem Schlüssel – und die interessante Technik ist nicht die Verbindung, sondern die Bremse daran.
Die Verbindung nutzt MCP, das Model Context Protocol: einen Standard, mit dem ein KI-Client einen Server fragt, welche Werkzeuge es gibt, und sie aufruft. Firmspace stellt einen solchen Server unter einer Adresse bereit, /api/connect/mcp, mit JSON-RPC über HTTP. Claude, ChatGPT, Cursor, n8n, Zapier, DeepSeek Harness oder ein eigenes Skript können ihn nutzen; auf einem Server muss nichts installiert werden, und kein Datenbankpasswort wird geteilt. Für Werkzeuge, die eine einfache Liste bevorzugen, öffnet derselbe Schlüssel /api/connect/tools mit Namen, Beschreibungen und Parametern.
Der Schlüssel wird im CRM unter Einstellungen → Integrationen → Agent verbinden erstellt, und nur der Inhaber oder ein Administrator darf das. Er bekommt einen Namen, eine Stufe, eine Liste von Bereichen und einen Schalter für Freigaben. Der Schlüssel selbst wird einmal angezeigt, im Moment der Erstellung; die Datenbank speichert nur einen Hash, ein vergessener Schlüssel wird also ersetzt, nicht wiederhergestellt. Eine Firma kann bis zu zwanzig Schlüssel halten – genug für einen pro Werkzeug oder Person und zu wenig, um sie stillschweigend zu horten.
Es gibt zwei Stufen. Read macht den Agenten zum Betrachter: Er darf lesen, suchen und zusammenfassen, aber nicht schreiben. Work macht ihn zum Manager, also zu denselben Rechten, die ein menschlicher Manager in den freigegebenen Bereichen hat. Die Bereichsliste ist keine Dekoration: Ein Schlüssel, der auf CRM und Aufgaben begrenzt ist, kann weder Postfach noch Lager öffnen, egal worum der KI-Client bittet. Ein Betrachter kann keinen Deal ändern, auch wenn der Freigabeschalter aus ist.
Innerhalb dieser Grenzen sieht der Agent dieselben Werkzeuge, die auch der Assistent im CRM nutzt: Kontakte und Deals suchen, die Historie eines Deals lesen, Rechnungen auflisten, den Lagerbestand prüfen, Aufgaben ansehen, Mail durchsuchen, ein PDF aus den Dokumenten lesen, einen Deal anlegen, eine Notiz hinzufügen, eine Rechnung entwerfen. Die Liste ist aber hart gefiltert. Es gibt kein Löschen, keine Bereinigung von Müll-Karten, keine Regel, die entscheidet, welche Mail ein Lead wird, keine Bildschirmsteuerung, kein Assistenten-Gedächtnis und kein Veröffentlichen von Blogartikeln. Destruktive und Service-Werkzeuge werden schlicht nicht angeboten, denn ein externer Agent darf nicht ein Jahr an Datensätzen löschen, weil er eine Anweisung falsch gelesen hat.
Der Freigabeschalter ist das Herz des Designs. Ist er an – der Standard –, passiert ein Schreibvorgang nicht. Der Agent erhält die Antwort, dass die Änderung aussteht, mit einer Anfrage-ID, und die Anfrage erscheint im CRM unter Einstellungen → Integrationen → Agenten. Der Inhaber sieht, was vorgeschlagen wird, von welchem Agenten und wann, und wählt Zustimmen oder Ablehnen. Zustimmen führt die Aktion mit den Rechten des Inhabers aus und prüft die Argumente erneut; der Werkzeugaufruf wird nicht blind aus dem Gedächtnis des Agenten wiederholt.
Der Schalter gilt pro Schlüssel, nicht pro Werkzeug. Das ist absichtlich einfach: Entweder warten alle Schreibvorgänge dieses Agenten, oder keiner. Schaltet der Inhaber die Freigabe für eine vertrauenswürdige Automatisierung aus, kann derselbe Schlüssel sofort Datensätze anlegen; der einzige verbleibende Zaun sind Bereichsliste und Rolle. Wieder einschalten ist eine Entscheidung in einer Zeile. Eine Firma, die einen forschenden Assistenten will, sollte einen Leseschlüssel ausgeben; eine, die einen vorschlagenden Assistenten will, lässt die Freigabe an; ein vollautomatischer Schlüssel sollte eine bewusste, enge Ausnahme sein.
Lesevorgänge warten nicht. Eine Suche oder Zusammenfassung läuft sofort, denn der Preis eines falschen Lesens ist eine falsche Antwort, während der Preis eines falschen Schreibens falsche Daten sind, die später jemand abrechnet, versendet oder berichtet. Jeder Aufruf wird mit dem Namen des Agenten und einem von vier Zuständen protokolliert: gelesen, vorgeschlagen, ausgeführt, fehlgeschlagen. Dieses Protokoll ist die erste Stelle, an der man nachsieht, wenn ein KI-Client behauptet, etwas getan zu haben – Behauptung und Eintrag sind verschiedene Dinge.
Es gibt noch eine Tür, und sie ist optional. Ein Schlüssel kann benannte Umgebungsvariablen der Firma lesen dürfen – etwa einen API-Schlüssel eines Versanddienstes – über ein separates Werkzeug. Der Inhaber listet die Namen auf oder erlaubt alle per Wildcard; Namen werden normalisiert und begrenzt, und jedes Lesen landet mit dem Agentennamen im Audit-Log. Das ist eine Bequemlichkeit, kein Tresor: Ein Schlüssel mit Wildcard kann jedes Geheimnis lesen, das die Firma gespeichert hat, also ist die enge Liste der vernünftige Standard.
Die Limits sind absichtlich langweilig. Ein Schlüssel darf 120 Anfragen pro Minute stellen; eine Firma darf 5.000 Agentenaufrufe pro Tag machen; ein einzelnes Werkzeugergebnis wird bei 30.000 Zeichen abgeschnitten, damit eine sorglose Anfrage nicht die ganze Datenbank in ein Chatfenster zieht. Agentenzugang braucht einen Tarif mit KI-Assistent, und eine gesperrte Organisation bekommt nichts. Diese Zahlen sind kein Marketingversprechen – sie sind der Zaun, der einen begeisterten Client davon abhält, zum Lasttest zu werden.
Ein Schlüssel ist kein Benutzer und sollte nicht wie einer behandelt werden. Benennen Sie ihn nach dem Werkzeug, das ihn nutzt, nicht nach einer Person; halten Sie einen Schlüssel pro Werkzeug oder Laptop; prüfen Sie «zuletzt verwendet» und den Aufrufzähler; widerrufen Sie den Schlüssel, wenn das Werkzeug weg ist oder der Laptop verloren geht. Ein widerrufener Schlüssel antwortet sofort mit 401, und ein «Rückgängig» ist nicht nötig, weil der Schlüssel nie die Daten enthielt – er öffnete nur eine Tür, die jetzt geschlossen ist. Nichts davon ersetzt die Rollen des CRM: Der Agent sieht nur die Schnittmenge aus Schlüsselumfang und der Rolle, auf die er abgebildet wird.
Der praktische Einstieg ist unromantisch: einen Leseschlüssel anlegen, den bereits genutzten Client verbinden, ihn zu einem Deal und einer Rechnung befragen und die Antworten mit dem Bildschirm vergleichen. Wenn die Antworten langweilig korrekt sind, einen zweiten Schlüssel mit Stufe Work und Freigabe anlegen und ihn eine Notiz oder eine Aufgabe vorschlagen lassen. Der Sinn des ganzen Mechanismus ist nicht, dass eine KI Ihr CRM erreicht. Sondern dass die Tür schmal ist, der Griff auf Ihrer Seite liegt und jeder Stoß aufgeschrieben wird.