MCP-Server in Odoo: KI-Assistenten anbinden

Hinweis der Redaktion: Die Odoo-Dokumentation (Version 20.0) nennt nicht, für welche Hosting-Varianten (Odoo Online, Odoo.sh, On-Premise) diese Funktion verfügbar ist. Die übrigen Angaben sind an den Quellen geprüft; klären Sie die Verfügbarkeit für Ihre Installation bei Odoo oder Ihrem Partner.

Ein KI-Agent, der selbst in Odoo nachschaut und Datensätze ändert, braucht einen Zugang, den Sie begrenzen, widerrufen und nachvollziehen können. Für Odoo 20.0 dokumentiert Odoo S.A. einen eigenen MCP-Server: Ihre Datenbank wird zum Server, der einen externen KI-Agenten bedient. Was der Agent dann darf, entscheidet nicht der Agent, sondern der Schlüssel und der Benutzer, dem er gehört.

Was der MCP-Server in Odoo ist

MCP (Model Context Protocol) ist ein offener Standard, über den ein Sprachmodell mit einer externen Anwendung spricht (MCP-Spezifikation, Version 2026-07-28). In Odoo 20.0 beschreibt die Dokumentation der App AI (Odoo AI) Ihre Datenbank als entfernten MCP-Server. Ein externer KI-Agent — die Dokumentation nennt Claude Code, Antigravity und Codex als Beispiele — verbindet sich mit der Adresse Ihrer Datenbank plus /mcp, im Beispiel der Dokumentation https://example.odoo.com/mcp. Der Client fragt beim Verbinden die Werkzeuge ab, die Ihr System anbietet, merkt sie sich für die Sitzung und ruft sie dann in Ihrem Auftrag auf. Den Zugang baut der Client über den Befehl npx mcp-remote auf; die Dokumentation nennt Node.js als Voraussetzung.

Dokumentiert ist der Zugang für Odoo 20.0 in der App AI; die MCP-Seite nennt dazu weder Edition noch Hostingmodell. Aus der Preisgestaltung lässt sich die Umgebung ablesen: Die Tarifübersicht der Preisseite führt KI-Agenten nur im Tarif Custom und nennt Odoo.sh und eigene Installation ebenfalls nur dort (Stand 14. Oktober 2026, Änderungen möglich). Ob Ihre Edition, Ihr Hostingmodell und Ihr Tarif den MCP-Zugang umfassen, klären Sie deshalb vor dem Aufbau mit Odoo oder Ihrem Odoo-Partner.

Aus Sicht Ihrer Datenbank ist der Standard nichts Fremdes: MCP ist ein weiterer Weg auf Modelle und Datensätze. Wie er sich von den klassischen Schnittstellen unterscheidet, steht im API-Überblick.

Wie sich der Client ausweist

Als Ausweis dient ein statischer API-Schlüssel, kein Passwort. Sie erzeugen ihn im eigenen Profil: Benutzersymbol ‣ My Preferences ‣ Reiter Security ‣ Add API Key. Im Dialog tragen Sie unter Key Name eine Bezeichnung, unter Scope den MCP-Scope und unter Expires eine Laufzeit ein. Nach dem Anlegen zeigt Odoo den Schlüssel nur einmal; danach bleibt er verborgen, deshalb gehört er sofort in einen Passwortspeicher, nicht in eine Konfigurationsdatei.

Der Schlüssel trägt die Identität und die Rechte eines Benutzers. Die MCP-Seite formuliert, dass jeder Aufruf den Schlüssel nutzt, um die Identität und die Rechte des Benutzers in der Odoo-Datenbank zu prüfen; das Werkzeug AI Tool: Get Models listet dem Client genau die Modelle, auf die dieser Benutzer Zugriff hat. Der Schlüssel ist also kein eigenes Rechtemodell, er erbt, was der Benutzer darf.

Die Spezifikation lässt die Autorisierung ausdrücklich optional (Version 2026-07-28): Umsetzungen mit HTTP-Transport sollen sich an ihren Autorisierungsablauf nach OAuth 2.1 halten, Umsetzungen mit STDIO-Transport sollen die Zugangsdaten stattdessen aus der Umgebung nehmen, und für andere Transportarten verlangt sie etablierte Sicherheitspraktiken. Odoo dokumentiert dagegen einen statischen API-Schlüssel, den der Client als Bearer-Token im Authorization-Header sendet.

Welche Werkzeuge der Client sieht

Nach dem Verbinden liest der Client die Werkzeuge, die Ihr System anbietet. Standardmäßig sichtbar sind laut Dokumentation fünf: AI Tool: Get Models, AI Tool: Get Fields, AI Tool: MCP Retrieve initial context, AI Tool: Search und AI Tool: Read group. Alle übrigen Werkzeuge sind verborgen und müssen einzeln freigegeben werden: Entwicklermodus einschalten, Einstellungen ‣ Technical ‣ Server Actions, dort den Eintrag öffnen und im Reiter Usage das Kästchen Available in MCP setzen. Die Werkzeugseite der Dokumentation führt jedes Werkzeug mit einem vorgeschlagenen Readonly-Status.

Werkzeuggruppe	Standardmäßig sichtbar	Readonly laut Dokumentation
Lesen und Kontext (Get Models, Get Fields, MCP Retrieve initial context, Search, Read group)	ja	ja
Schreiben (Update Records, Create Records)	nein	nein
Website (Write Custom CSS, Apply HTML to Page)	nein	nein
Navigation und Ansichten (Open Menu List, Adjust Search, Compute Report Measures)	nein	ja

Die vier Zeilen sind Beispiele. Die Werkzeugseite listet außerdem Get Menus, Get Menu Details, Open Menu Kanban, Open Menu Graph, Open Menu Pivot, Run view action, Prepare Record Previews, Compute Date, Get Snippets, Read Custom CSS, Generate an Image, Search Images, Get user image URLs, Web Search und Load Skills auf.

Neben Available in MCP steht das Kästchen Readonly Tool. Die Dokumentation schreibt ausdrücklich, dass es das Werkzeug nicht vor dem KI-Client verbirgt: Es kennzeichnet ein Werkzeug als eines, das keine Daten schreibt oder ändert, und teilt dem Client mit, dass es ohne ausdrückliche Freigabe des Benutzers aufgerufen werden kann. Eine serverseitige Schreibsperre belegt das nicht; die Werkzeugseite führt den Readonly-Status ausdrücklich als Vorschlag (suggested Readonly status). Wer Schreiben ausschließen will, gibt die schreibenden Werkzeuge gar nicht erst frei.

Sicherheits-Checkliste: Scope, Rechte, Protokollierung

Die Prüfliste bündelt die drei Stellschrauben. Die Punkte stützen sich auf die Entwicklerdokumentation zur externen API, die die Schlüsselverwaltung im Benutzerprofil beschreibt, und auf die Sicherheitsempfehlungen der MCP-Spezifikation.

Thema	Prüfpunkt
Scope	Beim Anlegen im Feld Scope den MCP-Scope wählen und keine weiteren Umfänge ergänzen; ein Scope begrenzt, wo ein Schlüssel verwendet werden darf.
Scope	Unter Expires eine kurze Laufzeit setzen und den Schlüssel danach erneuern; die Entwicklerdokumentation zur externen API nennt als Obergrenze drei Monate und empfiehlt für exponierte Integrationen kürzere Fristen.
Scope	Den Schlüssel wie ein Passwort behandeln: nur einmal sichtbar, danach nur im Passwortspeicher.
Rechte	Ein eigenes Konto für den Agenten anlegen statt eines persönlichen; die Entwicklerdokumentation zur externen API empfiehlt für automatisierte Nutzung eigene Bot-Benutzer.
Rechte	Dem Konto nur die Rechte geben, die der Agent braucht; nur die Werkzeuge freigeben, die er wirklich nutzt.
Rechte	Readonly Tool nicht als Schreibschutz verstehen.
Protokollierung	Je Dienst oder Integration einen eigenen Schlüssel verwenden; die Entwicklerdokumentation zur externen API nennt das eine Erleichterung für Prüfung und Widerruf.
Protokollierung	Zugriffe der Identität des Schlüsselinhabers zuordnen; die Entwicklerdokumentation zur externen API nennt für Bot-Benutzer die Access-Log-Felder, ohne dass ein Benutzer nachgeahmt wird.
Protokollierung	Erhöhungen des Zugriffs und Aufrufe überwachen; die MCP-eigene Logging-Funktion ist mit Version 2026-07-28 abgekündigt.

Für Rechte und Sichtbarkeit gelten die allgemeinen Odoo-Regeln: Wer welche Anwendungen bedienen darf, steuern Zugriffsgruppen (Benutzer und Zugriffsgruppen), welche Datensätze ein Benutzer sieht, steuern Datensatzregeln in Odoo. Ein Konto mit Administratorrechten gibt dem Agenten nach der Dokumentation zugleich Zugriff auf technische Funktionen, Produkte und Export; das ist die weiteste Stufe.

Bei der Protokollierung greifen zwei Quellen. Eine eigene Protokollfunktion des MCP-Servers haben wir in den Dokumentationsseiten (AI MCP server; Available MCP tools) nicht gefunden; was Odoo zu Änderungen allgemein festhält, steht in Protokolle in Odoo. Die MCP-Spezifikation hat ihre eigene Logging-Funktion mit Version 2026-07-28 abgekündigt (SEP-2577): Sie bleibt mindestens zwölf Monate in der Spezifikation, neue Umsetzungen sollen aber auf stderr (bei STDIO-Transport) oder OpenTelemetry setzen. Die Sicherheitsempfehlungen der Spezifikation raten zusätzlich, jede Erhöhung des Zugriffs mit Korrelations-IDs zu protokollieren.

Typische Fehler

• Readonly Tool als Schreibschutz gelesen: Das Kästchen verbirgt kein Werkzeug, es kennzeichnet es als eines, das keine Daten schreibt oder ändert; eine Sperre im Server ist es nicht.
• Alle Werkzeuge freigegeben: Jedes zusätzlich freigegebene Werkzeug vergrößert die Angriffsfläche, auch die schreibenden.
• Persönliches Konto verwendet: Der Schlüssel lebt weiter, wenn die Person das Unternehmen verlässt.
• Schlüssel im Klartext abgelegt: In einer Konfigurationsdatei oder im Skript gefunden, ist er sofort nutzbar.

So gehen Sie vor

1. Klären Sie vorab mit Odoo oder Ihrem Odoo-Partner, ob Ihre Edition, Ihr Hostingmodell und Ihr Tarif den MCP-Zugang umfassen; die Tarifübersicht der Preisseite führt KI-Agenten nur im Tarif Custom und nennt Odoo.sh und eigene Installation ebenfalls nur dort (Stand 14. Oktober 2026). Legen Sie dann ein eigenes internes Konto für den Agenten an und geben Sie ihm nur die nötigen Rechte; zum Anlegen des Benutzers und zum Freigeben der Werkzeuge brauchen Sie ein Konto mit Administratorrechten.
2. Erzeugen Sie im Profil dieses Kontos einen Schlüssel mit Scope MCP und kurzer Laufzeit.
3. Geben Sie im Entwicklermodus unter Einstellungen ‣ Technical ‣ Server Actions nur die Werkzeuge frei, die der Agent braucht.
4. Testen Sie mit einem erlaubten Aufruf und mit einem verbotenen: Der verbotene muss mit einem Rechtefehler scheitern.
5. Halten Sie Erneuerung, Widerruf und die Archivierung des Kontos schriftlich fest, damit der Zugang mit dem Kontowechsel endet; wie Agenten aufgebaut werden, zeigt KI-Agenten in Odoo einrichten.