MCP für Finance wird zum Standard. Verifikation ist immer noch nicht dabei

Werfen Sie einen Blick in das Changelog fast jeder FP&A-Plattform aus diesem Jahr, und Sie finden immer denselben Eintrag: einen MCP-Server oder einen herunterladbaren Ordner mit “KI-Skills”: Prompt-Vorlagen, die Sie in Claude oder einen anderen Assistenten laden, damit er weiß, wie er nach einem Abweichungsbericht oder einer Personalkostenprognose fragen soll. Das Verkaufsargument lautet immer irgendeine Variante von “jetzt kann Ihre KI mit Ihren Finanzdaten sprechen”. Innerhalb eines Quartals wurde daraus vom Alleinstellungsmerkmal zur Grundausstattung. Inzwischen hat das jeder.

Das bedeutet: MCP allein sagt über einen Anbieter nichts Brauchbares mehr aus. Es ist ein Protokoll, kein Versprechen. Eine Prompt-Vorlage ist eine hübsch formulierte Frage, keine Antwort. Die eigentliche Frage ist, was hinter dem Endpunkt steckt, bevor das Protokoll überhaupt ins Spiel kommt: Ist die Ausgabe Ihres Agenten ein Fakt oder eine Vermutung im JSON-Gewand? Die meisten der aktuellen Finance-MCP-Server beantworten diese Frage nicht. Sie haben es nur einfacher gemacht, sie zu stellen.

MCP ist Transport. Zur Wahrheit hat es keine Meinung

Model Context Protocol löst ein reales Problem: Es gibt einer KI einen einheitlichen Weg, Tools aufzurufen und Kontext abzurufen, statt dass jeder Anbieter ein eigenes Plugin-Format erfindet. Das ist tatsächlich nützlich, und deshalb ging die Verbreitung so schnell. Aber sehen Sie sich an, was MCP tatsächlich spezifiziert: Formate für Anfragen und Antworten, Tool-Discovery, Auth-Handshakes, Streaming. Nirgendwo in der Spezifikation steht eine Klausel darüber, ob die Zahl, die ein Tool zurückgibt, korrekt ist. MCP saldiert nicht Ihr Hauptbuch. Es weiß nicht, ob der “Umsatz”, den eine Ressource ausgibt, Vertragswert ist, realisierter Umsatz oder eine Zahl vom letzten Quartal, die nie aktualisiert wurde. Es transportiert einfach Bytes von einem Server zu einem Modell in einem Format, auf das sich beide Seiten geeinigt haben.

Das ist keine Kritik am Protokoll. Ein sauber gebauter, governance-konformer, nur lesender MCP-Endpunkt ist ein legitimer Weg, Daten bereitzustellen: besser als ein Ad-hoc-Skript, besser als Copy-Paste in ein Chatfenster. Das Problem ist, womit er üblicherweise verdrahtet ist. Wenn die Daten hinter diesem Endpunkt ein nicht abgestimmter Export sind, eine modellinterne Zahl, die die KI selbst zuvor berechnet hat, oder eine Tabelle, die seit Monaten niemand mehr mit der Quelle abgeglichen hat, verschafft der MCP-Server einem externen Agenten lediglich einen saubereren, schnelleren, autoritativer wirkenden Weg zu einer Zahl, die nie geprüft wurde. Dieselbe schlechte Zahl. Bessere Verpackung. Ein Agent, der über MCP zugreift, fragt nicht “ist das abgestimmt”: er ruft das Tool auf, bekommt eine Antwort und behandelt einen 200er-Status als Wahrheit.

Skill-Dateien haben dieselbe Lücke, nur eine Ebene höher

Die andere Hälfte dieser Welle sind die kostenlos herunterladbaren “KI-Skill”-Bibliotheken: Prompt-Vorlagen, die einem Assistenten sagen, wie er eine Anfrage für eine Board-Deck-Zusammenfassung oder einen Soll-Ist-Abgleich formulieren soll. Die sind nützlich, ähnlich wie eine gute E-Mail-Vorlage nützlich ist: Sie ersparen es Ihnen, dieselben Anweisungen jedes Mal neu zu schreiben. Am Ursprung der Zahlen, die der Assistent verwendet, ändern sie nichts.

Eine Skill-Datei ist Formulierung. Sie gibt der Anfrage eine Form (welche Felder abgerufen werden, welcher Ton verwendet wird, wie die Ausgabe strukturiert ist), hat aber keinen Mechanismus, um die zurückkommende Antwort zu prüfen. Wenn die zugrunde liegende Datenquelle dünn ist, sorgt die Skill-Datei nur dafür, dass die resultierende falsche Zahl in einem polierteren Absatz ankommt. Sie können einem Assistenten die bestgeschriebene Prompt-Vorlage der Welt für “fasse die Abweichung dieses Quartals zusammen” mitgeben, wenn das dahinterliegende Tool eine Zahl ohne Herkunftsnachweis im Hauptbuch liefert, bekommen Sie eine wunderbar geschriebene, selbstbewusst falsche Zusammenfassung. Bessere Prosa ist keine Verifikation. Sie ist Furnier.

Was “verifiziert” tatsächlich erfordert, und wo das passieren muss

Schicht	Was sie tut	Was sie NICHT tut
Prompt-/Skill-Vorlage	Formuliert die Anfrage konsistent	Bestätigt nicht, dass die Daten korrekt sind
MCP-Server	Transportiert Anfrage und Antwort über ein Standardprotokoll	Saldiert, referenziert oder prüft die zugrunde liegende Zahl nicht
Abgestimmtes Modell	Verknüpft jede Zahl mit ihrer Quelltransaktion über alle Systeme hinweg	Hier findet Verifikation tatsächlich statt
Deterministische Engine	Berechnet die Zahl jedes Mal auf dieselbe Weise, kein Raten durch das Modell	Hier entsteht tatsächlich Genauigkeit

Die Tabelle macht den Punkt strukturell deutlich, aber man sollte es auch offen sagen: Verifikation ist eine Eigenschaft der Datenschicht, keine Eigenschaft der Protokollschicht. Sie muss existieren, bevor der MCP-Aufruf stattfindet: sie lässt sich nicht daraus ableiten, dass ein Aufruf erfolgreich war. Eine Zahl ist vertrauenswürdig, weil sie aus einem gegen das Hauptbuch abgestimmten Modell stammt und von einer deterministischen Engine berechnet wurde, nicht weil sie über eine gut dokumentierte API ankam. Sie können den saubersten Transport der Welt auf ein wackliges Fundament setzen, und die Zahl am Ende ist genauso wacklig wie zu Beginn.

Das ist dasselbe Fehlermuster, über das wir schon aus der anderen Richtung geschrieben haben: MCP allein löst das ERP-Rechenproblem nicht, weil eine Live-Verbindung zu Ihrem ERP es nicht abstimmt, und ein über MCP angebundener KI-Operator braucht dieselbe Zugriffsdisziplin wie ein menschlicher Nutzer, weil ein governance-konformes Rohr in schlechte Daten trotzdem ein Rohr in schlechte Daten ist. Das Muster wiederholt sich: Man kann die Rohrleitungen beliebig optimieren, die Wasserqualität ändert sich dadurch nicht von selbst.

Die Frage, die Anbieter tatsächlich unterscheidet

Da inzwischen fast jeder Anbieter eine MCP-Story hat, muss die Prüffrage über “Unterstützen Sie MCP?” hinausgehen (das bejaht jeder) und stattdessen die Schicht darunter freilegen:

“Wenn mein Agent über Ihren MCP-Server eine Zahl abruft: was belegt, dass sie stimmt?”

Ein Anbieter mit einer echten Antwort beschreibt etwas Konkretes: Die Zahl lässt sich bis zu einem bestimmten Quelldokument oder Buchungssatz zurückverfolgen, eine deterministische Berechnung hat sie erzeugt statt einer Schätzung durch das Modell, und der Agent bekommt diese Herkunft zusammen mit der Zahl, nicht nur die Zahl. Ein Anbieter ohne echte Antwort beschreibt stattdessen das Protokoll: Auth-Scopes, Tool-Schemas, Rate-Limits, weil das der Teil ist, den er tatsächlich gebaut hat. Beide Antworten können anspruchsvoll klingen. Nur eine davon sagt Ihnen, ob die Zahl wahr ist.

Rexfins MCP-Server ist auf der zweiten Prämisse aufgebaut. Er ist eine Transportschicht über einem Modell, das bereits gegen Ihre Buchhaltungs- und Bankdaten abgestimmt ist, in dem jede Zahl, die ein angebundener Agent abrufen kann, entweder auf eine Quellenangabe zurückführt oder das Tool eine ausdrückliche Ablehnung liefert, nie eine plausibel klingende Zahl ohne Grundlage. Diese Disziplin fügt die MCP-Schicht nicht hinzu; sie erbt sie von derselben Verifikations- und Ablehnungslogik, die jede Antwort innerhalb der Rexfin-Oberfläche regelt. Das Protokoll hat die Arbeit nicht geleistet. Es macht sie nur für jeden Agenten verfügbar, der danach fragt.

Das Fazit

MCP-Unterstützung und ein Ordner voller Skill-Prompts sind inzwischen die Grundausstattung, nicht das Unterscheidungsmerkmal, und keins von beidem verifiziert die Zahl dahinter. Eine Prompt-Vorlage steuert die Formulierung. Ein MCP-Server steuert den Transport. Wahrheit ist eine Eigenschaft der Datenschicht, auf der beide aufsetzen: abgestimmt auf die Quelle, deterministisch berechnet, und sie existiert entweder schon vor dem Protokoll-Handshake oder gar nicht. Bevor Sie die MCP-Story irgendeines Anbieters bewerten, unsere eingeschlossen, fragen Sie, was die Zahl belegt. Sehen Sie sich dann unseren MCP-Server an, um zu sehen, wie wir diese Frage beantworten, oder starten Sie mit dem breiteren Argument, warum agentische Finance eine Vertrauensschicht braucht, bevor sie mehr Autonomie braucht. Wenn Sie die Herkunftskette an Ihren eigenen Daten sehen wollen, vereinbaren Sie eine Demo.