SAP GUI MCP-Server: Was GUI Scripting für KI-Agenten bedeutet

Was ist ein SAP-GUI-MCP-Server?

Ein SAP-GUI-MCP-Server lässt einen KI-Assistenten die SAP GUI für Windows bedienen wie ein Mensch: Transaktion aufrufen, Felder füllen, Tasten drücken, Tabellen vom Bildschirm lesen. Technisch nutzt er dafür die SAP GUI Scripting API, also dieselbe Automatisierungsschnittstelle, mit der seit Jahren Makros, Testwerkzeuge und viele RPA-Bots arbeiten. Neu ist nur, wer die Schritte auswählt: kein festes Skript, sondern ein Sprachmodell.

Das macht solche Server reizvoll. Sie brauchen keinen OData-Service, keinen BAPI-Zuschnitt und keinen Gateway-Umbau, sondern nur eine angemeldete SAP-GUI-Sitzung. Genau darin liegen aber auch die Probleme: rechtlich unter der SAP API Policy, technisch bei Sicherheit, Stabilität und Nachvollziehbarkeit. Diese Seite ordnet beides ein und zeigt, wann es bessere Wege gibt. Den Überblick über SAP und MCP finden Sie im Ratgeber MCP-Server für SAP.

Wie funktioniert SAP GUI Scripting technisch?

SAP GUI Scripting ist eine Automatisierungsschnittstelle der SAP GUI für Windows, über die ein Programm auf dem Arbeitsplatzrechner jedes Bildschirmelement einer laufenden SAP-Sitzung lesen und bedienen kann. SAP beschreibt den Zweck so: Endanwender können wiederkehrende Aufgaben mit makroartigen Skripten automatisieren, Administratoren und Entwickler können Werkzeuge für Anwendungstests oder clientseitige Integration bauen (SAP GUI Scripting Security Guide). Die API-Referenz nennt neben der SAP GUI für Windows auch die SAP GUI für Java, dort allerdings mit kleinerem Funktionsumfang (SAP GUI Scripting API).

Ein SAP-GUI-MCP-Server läuft deshalb auf einem Windows-Rechner mit installierter SAP GUI. Er hängt sich per COM an eine geöffnete Sitzung und stellt dem KI-Assistenten Werkzeuge wie „Transaktion starten“, „Feld setzen“, „Taste drücken“ oder „Tabelle lesen“ bereit. Das Sprachmodell entscheidet, in welcher Reihenfolge es diese Werkzeuge nutzt.

Ein Satz aus dem Security Guide ist für alles Weitere entscheidend:

Für das SAP-System sieht ein KI-Agent in der GUI also aus wie der angemeldete Mensch. Er hat dessen Rechte, und im System lässt sich nicht unterscheiden, was der Mensch und was der Agent getan hat.

Welche SAP-GUI-MCP-Server gibt es als Community-Projekte?

Auf GitHub gibt es mehrere quelloffene SAP-GUI-MCP-Server, keiner davon stammt von SAP. Zwei haben wir am 28. Oktober 2026 direkt im Repository geprüft:

Die Nennung ist keine Empfehlung. Beide Projekte sind Werkzeuge einzelner Entwickler ohne Herstellerunterstützung. Positiv fällt beim ersten Projekt auf, dass es selbst Schutzmechanismen mitbringt und in der Dokumentation offen sagt, dass der Agent im System als gewöhnliche Nutzeraktivität erscheint. Vor jedem Einsatz gehört ein fremder MCP-Server durch eine Sicherheitsprüfung, wie wir sie im Ratgeber MCP-Server: Sicherheit und DSGVO beschreiben.

Ist SAP GUI Scripting eine „Published API“ im Sinne der SAP API Policy?

SAP GUI Scripting ist eine von SAP dokumentierte Automatisierungsschnittstelle der SAP GUI, aber keine Geschäfts-API im SAP Business Accelerator Hub. Für KI-Agenten entscheidet allerdings nicht diese Einstufung, sondern Ziffer 2.2.2 der Policy: Steuert ein Sprachmodell die GUI, plant und wählt ein KI-System die Abfolge der Aufrufe. Genau das untersagt SAP außerhalb anerkannter Wege.

Im Einzelnen, als Einordnung und nicht als Rechtsberatung:

• Ziffer 1.1 und 1.2: Published APIs sind Schnittstellen aus dem Business Accelerator Hub oder solche, die in der produktspezifischen Dokumentation ausgewiesen sind, und zwar für den dort beschriebenen Zweck („Documented Use“). Andere Schnittstellen dürfen Kunden- und Drittanwendungen nach Ziffer 1.2 nicht nutzen. Die Scripting API ist dokumentiert, ihr beschriebener Zweck sind Makros, Tests und clientseitige Integration. Ob SAP die Steuerung durch ein Sprachmodell als „Documented Use“ ansieht, beantworten Policy und FAQ nicht ausdrücklich. Ziffer 2.2.1 (b) schließt Szenarien außerhalb des dokumentierten Zwecks ohne SAP-Zustimmung aus.
• Ziffer 2.2.2: Die Einschränkung trifft „(semi-) autonomous or generative AI systems that plan, select, or execute sequences of API calls“. Ein LLM, das entscheidet, welche Transaktion es öffnet und welches Feld es füllt, tut genau das. Ein anerkannter Weg für KI-Agenten über die GUI ist in der FAQ nicht genannt. Anerkannt sind das MCP Gateway der Integration Suite, SAP-MCP-Server über Joule Studio und A2A über das Agent Gateway (Frage 35).
• Ziffer 3: Kunden dürfen die Kontrollen der Policy nicht umgehen, auch nicht über Zwischendienste, eigenen Code, Proxies, Gateways oder „impersonation techniques“. Wenn ein Agent für das SAP-System nicht von einem Menschen zu unterscheiden ist, liegt die Frage nahe, ob das als solche Technik gewertet wird.

Unsere Lesart: Unabhängig davon, wie man die Scripting API einstuft, landet ein SAP-GUI-MCP-Server, bei dem ein Sprachmodell die Schritte wählt, bei Ziffer 2.2.2. Die Policy gilt laut FAQ für das gesamte On-Premise-Portfolio, also auch für ECC und ältere Releases (Frage 1). Die ausführliche Einordnung der Policy steht im Abschnitt SAP API Policy 2026 unseres SAP-Ratgebers.

Was gilt für deterministische RPA nach Frage 40 der SAP-FAQ?

Regelbasierte RPA, die feste, vorab definierte Aufrufabfolgen ohne KI-Planung abarbeitet, fällt laut SAP-FAQ nicht unter Ziffer 2.2.2. Das ist der entscheidende Unterschied zum SAP-GUI-MCP-Server: Dort plant ein Sprachmodell, bei klassischer RPA nicht.

Drei Punkte lohnt es, genau zu lesen:

1. Die Ausnahme hängt am Ablauf, nicht am Werkzeug. Entscheidend sind „pre-defined, deterministic“ Abfolgen ohne LLM-Entscheidung. Ein RPA-Produkt, dessen Bot von einem Sprachmodell gesteuert wird, fällt nicht unter die Ausnahme, nur weil es „RPA“ heißt.
2. Die Frage spricht von RPA-Werkzeugen, die SAP-APIs aufrufen. Ob SAP damit auch Bots meint, die über die GUI arbeiten, sagt die FAQ nicht ausdrücklich. Für GUI-basierte Bots gilt in jedem Fall der Rest der Policy, also auch die Frage nach dem dokumentierten Zweck.
3. Der Rest der Policy gilt weiter. Auch ein deterministischer Bot darf das System nicht überlasten (Ziffer 2.2.1 c) und keine systematische Massenextraktion betreiben (Ziffer 2.2.2 b).

Abgrenzung in der Praxis:

• Außerhalb von 2.2.2Ein aufgezeichnetes Skript erfasst jeden Morgen dieselben Eingangsrechnungen in derselben Maske. Kein Sprachmodell entscheidet über die Schritte.
• Unter 2.2.2Ein Sprachmodell bekommt die Aufgabe „Prüfe, warum Auftrag 4711 hängt“ und klickt sich selbst durch VA03, VL03N und Statusmeldungen.
• Grenzfall, vorab klärenEin Sprachmodell liest eine Kundenmail und liefert Felder, ein fester Bot trägt sie in eine feste Maske ein. Die Abfolge ist fest, die Eingaben stammen aus der KI.
• Unter 2.2.2Ein KI-Agent wählt per Werkzeugaufruf aus, welches von mehreren hinterlegten Skripten er startet. Die Auswahl der Abfolge trifft dann das Modell.

Für Grenzfälle gilt dasselbe wie bei jedem eigenen KI-Zugriff auf SAP: Beschreiben Sie den Ablauf konkret und holen Sie eine schriftliche Einschätzung Ihres SAP-Ansprechpartners ein.

Welche technischen Risiken hat ein SAP-GUI-MCP-Server?

Die größten technischen Risiken sind die vollen Nutzerrechte des Agenten, fehlende Unterscheidbarkeit im Protokoll, anfällige Bildschirmlogik und Bildschirminhalte als Einfallstor für Prompt-Injection. Dazu kommt, dass Scripting auf vielen Systemen bewusst abgeschaltet ist.

Scripting muss serverseitig freigeschaltet sein. Laut SAP ist GUI Scripting auf jedem SAP-System standardmäßig deaktiviert. Ein Administrator schaltet es mit dem Profilparameter sapgui/user_scripting = TRUE auf dem Applikationsserver frei, auf neueren Releases dynamisch per Transaktion RZ11 statt über Profildatei und Neustart. SAP weist ausdrücklich darauf hin, dass man Scripting auf einem System auch ganz verhindern kann, um geschäftskritische Daten vor Veränderung oder Download zu schützen. Zusätzlich muss Scripting auf dem Client erlaubt sein, Administratoren können es dort per Registry sperren (SAP GUI Scripting Security Guide).

Feinere Schalter gibt es. SAP dokumentiert weitere Parameter, die nur wirken, wenn sapgui/user_scripting aktiv ist:

• sapgui/user_scripting_per_user: Scripting nur für Benutzer mit dem Berechtigungsobjekt S_SCR (Aktivität 16).
• sapgui/user_scripting_set_readonly: nur lesender Zugriff, kein Aufruf, der den an den Server gesendeten Datenstrom verändert.
• sapgui/user_scripting_disable_recording: keine Aufzeichnung neuer Skripte, Abspielen bleibt möglich.

Volle Rechte des angemeldeten Nutzers. Ein Skript hat laut SAP dieselben Rechte wie der Mensch, der es startet. Läuft der Agent in der Sitzung einer Sachbearbeiterin mit breiten Rollen, kann er alles, was sie kann. SAP warnt außerdem: Ein fehlerhaftes Skript läuft schneller als ein Mensch, eventuell unbeaufsichtigt, und kann deshalb mehr falsche Daten erzeugen, bevor jemand den Fehler bemerkt. Bei einem Sprachmodell, das seine Schritte selbst wählt, wiegt das schwerer als bei einem getesteten Skript.

Nachvollziehbarkeit. Weil das System Skript und Mensch nicht unterscheidet, zeigen Änderungsbelege und Protokolle den Nutzer, nicht den Agenten. Wer nachweisen muss, was die KI getan hat, braucht ein eigenes, lückenloses Protokoll im MCP-Server und eine klare Regel, wann der Agent in einer Sitzung arbeiten darf.

Sitzungen und Infrastruktur. Der Server braucht einen Windows-Rechner mit SAP GUI und angemeldeter Sitzung. Für mehrere Nutzer heißt das: mehrere Sitzungen, gesperrte Objekte bei parallelen Zugriffen, Zugangsdaten irgendwo im Spiel. SAP rät ausdrücklich davon ab, Anmeldedaten in Skripte zu schreiben.

Stabilität. Bildschirmlogik bricht bei Release-Wechseln, geänderten Masken, neuen Pop-ups, anderer Anmeldesprache oder Personalisierung. Ein Sprachmodell kann manche Abweichung ausgleichen, aber nicht vorhersagbar, und genau das ist im ERP das Problem.

Prompt-Injection über Bildschirminhalte. Alles, was der Agent vom Bildschirm liest, landet im Modell: Langtexte, Bemerkungsfelder, Lieferantennamen. Wer dort Anweisungen unterbringt, versucht den Agenten umzulenken, mit den Rechten des Nutzers. Wie man sich dagegen absichert, beschreibt der Ratgeber zu Prompt-Injection und KI-Sicherheit.

Wann kann ein SAP-GUI-MCP-Server trotzdem sinnvoll sein?

Ein SAP-GUI-MCP-Server kann sinnvoll sein, wo keine Produktivdaten betroffen sind, wo ein Mensch jeden Schritt freigibt oder wo es schlicht keine andere Schnittstelle gibt. Auch dann gilt die SAP API Policy, deshalb gehört die Frage vorher geklärt.

• Test- und SchulungssystemeEinen Ablauf erkunden, Testfälle vorbereiten, Masken dokumentieren. Mit anonymisierten Daten und einem Benutzer mit engen Rollen.
• Altsysteme ohne SchnittstelleWenn ein Vorgang nur in einer Z-Transaktion existiert und kein OData-Service oder BAPI in Sicht ist, zur Analyse und als Brücke bis zur sauberen Schnittstelle. Die Policy gilt auch dort.
• Mit menschlicher FreigabeDer Agent schlägt vor, der Mensch sieht Werte und Maske und bestätigt jeden schreibenden Schritt. Das senkt das Fehlerrisiko, ändert aber nichts an der Policy-Frage.
• Nur lesendMit sapgui/user_scripting_set_readonly und Berechtigungen ohne Änderungsrechte, zum Beispiel für eine Analyse, die ein Mensch begleitet.

Für produktive Agenten, die regelmäßig und für viele Nutzer arbeiten sollen, raten wir von GUI Scripting ab.

Welche Alternativen zu GUI Scripting gibt es?

Die besseren Alternativen sind ein MCP-Server mit festen Werkzeugen auf OData-Services oder BAPIs, deterministische RPA ohne KI-Planung und das MCP Gateway der SAP Integration Suite als von SAP anerkannter Weg. Welche passt, hängt an Ihrem System und daran, wie frei die KI arbeiten soll.

OData und BAPI als Werkzeuge. Auf ECC heißt das: SAP Gateway mit Standard- oder eigenen OData-Services, BAPIs per RFC, jeweils fest einem Werkzeug zugeordnet. Wie das auf ECC 6.0 aussieht, mit Tabelle der Schnittstellen und Architekturwegen mit und ohne BTP, steht im Ratgeber SAP ECC MCP-Server.

Deterministische RPA. Für gleichförmige Massenvorgänge ist ein klassischer Bot mit festem Ablauf oft die robustere Lösung. Das Sprachmodell kann davor stehen, etwa um Belege zu lesen, und danach, um Ergebnisse zusammenzufassen. Die Abfolge der SAP-Schritte bleibt fest.

MCP Gateway der Integration Suite. Wer BTP nutzt, bekommt mit dem MCP Gateway den Weg, den SAP für KI-Agenten ausdrücklich anerkennt. Einen Vergleich, wie andere ERP-Systeme KI-Zugriffe regeln, finden Sie unter MCP-Server für ERP-Systeme.

Prüfliste, bevor Sie einen SAP-GUI-MCP-Server testen

Wenn Sie einen SAP-GUI-MCP-Server ausprobieren wollen, dann mit diesen Leitplanken:

1. Nur auf einem Entwicklungs- oder Testsystem mit anonymisierten Daten, nie produktiv.
2. Eigener Benutzer mit engen Rollen, Scripting nur für ihn über sapgui/user_scripting_per_user und S_SCR, lesend über sapgui/user_scripting_set_readonly, wo es reicht.
3. Basis-Team und Informationssicherheit einbinden, bevor ein Parameter geändert wird.
4. Den Server selbst prüfen: Herkunft, Lizenz, Abhängigkeiten, Transportweg (lokal statt Netzwerk), gesperrte Transaktionen, Protokoll.
5. Bestätigung vor jedem schreibenden Schritt durch den Menschen vor dem Bildschirm.
6. Policy-Frage dokumentieren: Was soll der Agent tun, warum über die GUI, welche Alternative wurde geprüft. Diese Notiz ist die Grundlage für das Gespräch mit Ihrem SAP-Ansprechpartner.

Häufige Fragen

Was ist ein SAP GUI MCP-Server?

Ein MCP-Server, der einem KI-Assistenten über die SAP GUI Scripting API die Bedienung der SAP GUI für Windows erlaubt: Transaktionen starten, Felder füllen, Tabellen vom Bildschirm lesen. Das Sprachmodell entscheidet dabei selbst, welche Schritte es in welcher Reihenfolge ausführt.

Ist ein SAP GUI MCP-Server mit der SAP API Policy vereinbar?

Nach unserer Einordnung fällt ein SAP-GUI-MCP-Server, bei dem ein Sprachmodell die Schritte wählt, unter Ziffer 2.2.2 der Policy, die KI-Systeme, die Aufrufabfolgen planen oder auswählen, auf von SAP anerkannte Wege beschränkt. Einen anerkannten Weg über die GUI nennt die SAP-FAQ nicht. Das ist eine Einordnung, keine Rechtsberatung.

Ist SAP GUI Scripting eine Published API?

SAP GUI Scripting ist eine von SAP dokumentierte Automatisierungsschnittstelle für Makros, Tests und clientseitige Integration, aber keine Geschäfts-API im SAP Business Accelerator Hub. Ob SAP die Steuerung durch ein Sprachmodell als dokumentierten Zweck ansieht, beantworten Policy und FAQ nicht ausdrücklich.

Ist klassische RPA über SAP noch erlaubt?

Laut SAP-FAQ, Frage 40, fallen regelbasierte RPA-Werkzeuge mit festen, deterministischen Aufrufabfolgen ohne KI-Planung nicht unter Ziffer 2.2.2. Die übrigen Regeln der Policy gelten weiter, etwa zu Systemlast und Massenextraktion.

Wie wird SAP GUI Scripting aktiviert?

Laut SAP ist Scripting auf jedem System standardmäßig aus. Ein Administrator setzt den Profilparameter sapgui/user_scripting auf TRUE, auf neueren Releases dynamisch per RZ11. Zusätzlich muss Scripting auf dem Client erlaubt sein. Feinere Parameter beschränken es auf Benutzer mit dem Berechtigungsobjekt S_SCR oder auf lesenden Zugriff.

Sieht SAP, ob ein Mensch oder ein KI-Agent arbeitet?

Nein. SAP schreibt im Security Guide, dass das System zwischen Skript und Nutzer keinen Unterschied sieht. Der Agent hat die Rechte des angemeldeten Nutzers, und Protokolle zeigen nur diesen Nutzer. Nachvollziehbarkeit braucht deshalb ein eigenes Protokoll im MCP-Server.

Wann ist ein SAP GUI MCP-Server sinnvoll?

Am ehesten auf Test- und Schulungssystemen, für Analysen mit menschlicher Freigabe jedes Schritts oder als Brücke bei Altsystemen ohne Schnittstelle. Auch dann gilt die SAP API Policy. Für produktive Agenten raten wir zu festen Werkzeugen auf OData oder BAPI.

Welche Alternative zu GUI Scripting empfehlen Sie?

Einen MCP-Server mit festen Werkzeugen auf OData-Services oder BAPIs, mit Rechten des fragenden Nutzers und Protokoll je Aufruf. Wer SAP BTP nutzt, hat mit dem MCP Gateway der Integration Suite den von SAP anerkannten Weg. Für gleichförmige Massenvorgänge bleibt deterministische RPA eine Option.

Welche Open-Source SAP GUI MCP-Server gibt es?

Stand 28. Oktober 2026 zum Beispiel kts982/mcp-sap-gui (MIT-Lizenz, Version 0.5.4) und jduncan8142/sap_gui_mcp (MIT-Lizenz, letzte Änderung Dezember 2025). Beide stammen von Einzelpersonen, nicht von SAP. Die Nennung ist keine Empfehlung, vor dem Einsatz gehört jeder fremde MCP-Server durch eine Sicherheitsprüfung.