SAP HANA MCP-Server: KI sauber an HANA anbinden

Was ist ein SAP HANA MCP-Server?

Ein SAP HANA MCP-Server ist ein Programm, das einem KI-Assistenten über das Model Context Protocol Werkzeuge für Abfragen auf einer SAP-HANA-Datenbank bereitstellt. Der Assistent wählt ein Werkzeug, der Server führt die Abfrage aus und gibt das Ergebnis zurück.

Die meisten frei verfügbaren HANA-MCP-Server arbeiten auf SQL-Ebene: Sie melden sich mit einem Datenbankbenutzer an, lassen das Modell Tabellen erkunden und SQL ausführen. Für Entwickler ist das bequem. Für Geschäftsdaten unter S/4HANA ist es der riskanteste Weg, aus technischen, lizenzrechtlichen und vertraglichen Gründen. Für eine eigenständige HANA-Cloud-Datenbank mit eigenen Daten kann ein gut gebauter Server dagegen sinnvoll sein.

SAP HANA oder SAP HANA Cloud: Was ist der Unterschied?

SAP HANA ist die Datenbank, auf der S/4HANA läuft. SAP HANA Cloud ist ein eigenständiger, von SAP verwalteter Datenbankdienst auf der SAP Business Technology Platform (BTP).

Die Bindung von S/4HANA an HANA ist vertraglich festgelegt: Laut den SAP Software Use Rights dürfen S/4HANA-Pakete nur auf einer SAP-HANA-Datenbank betrieben werden (SAP Software Use Rights v.4-2026, Ziffer 2.1). In diesem Fall gehören Tabellen, Datenmodell und Berechtigungen zur Anwendung S/4HANA, die Datenbank ist ihr Speicher.

SAP HANA Cloud beschreibt SAP als cloud-nativen Datenbankdienst, der die Grundlage der Datenbankverwaltung auf der SAP BTP bildet (SAP-Hilfe: Data Persistence Using SAP HANA Cloud). Als verwalteter Dienst braucht er laut SAP wenig Administration (SAP-Hilfe: Administration Guide). Hier legen Sie Schemata, Tabellen und Views selbst an, etwa für eigene Anwendungen auf der BTP oder als Analyse-Datenbank.

Warum umgeht direkter SQL-Zugriff die Anwendungsschicht?

Weil S/4HANA die Rechte der Fachanwender, die Mandantentrennung und die Geschäftslogik im Anwendungsserver prüft und nicht in der Datenbank. Wer an der Anwendung vorbei per SQL liest, bekommt Rohdaten ohne diese Prüfungen.

Für einen KI-Agenten mit SQL-Zugang heißt das konkret:

• Keine Fachberechtigungen: Rollen und Berechtigungsobjekte, etwa für Buchungskreis oder Verkaufsorganisation, greifen nicht. Der technische Benutzer sieht, was die Datenbank ihm erlaubt, und das ist oft sehr viel.
• Keine Zuordnung zur Person: Die Datenbank sieht nur den technischen Benutzer des MCP-Servers. Wer im Team welche Frage gestellt hat, steht nur im Protokoll des Servers, falls er eines schreibt.
• Keine Geschäftslogik: Status, Belegfluss, Währungsumrechnung und Mandantenfeld müssen in jeder Abfrage richtig nachgebaut werden. Ein Modell, das SQL selbst formuliert, kann dabei falsche Zahlen erzeugen, die plausibel aussehen.
• Keine stabile Schnittstelle: Tabellen sind keine veröffentlichte API. SAP schreibt zu nicht veröffentlichten Schnittstellen, dass sie sich ohne Ankündigung ändern oder entfallen können (SAP API Policy, Ziffer 1.2).
• Last auf dem Produktivsystem: Eine ungünstige Abfrage auf großen Tabellen trifft das System, auf dem Ihr Tagesgeschäft läuft.
• Prompt-Injection: Liest das Modell Texte aus Feldern wie Bemerkungen oder Kurztexten, können darin Anweisungen stecken, die die nächste Abfrage steuern. Mehr dazu im Ratgeber Prompt-Injection und KI-Sicherheit.

Erlaubt Ihre HANA-Lizenz den direkten Zugriff durch ein KI-Werkzeug?

Bei einer Runtime-Lizenz spricht der Wortlaut der SAP-Nutzungsbedingungen dagegen. Verbindlich klären kann das nur Ihr Vertrag mit SAP, deshalb gehört die Frage vor den ersten Code.

SAP regelt die Nutzungsrechte in den SAP Software Use Rights. Die aktuelle englische Fassung (v.4-2026) unterscheidet zwischen einer Runtime-Datenbank, die nur zusammen mit bestimmten SAP-Anwendungen genutzt werden darf, und einer Full-Use-Lizenz. Für die SAP HANA enterprise edition heißt es dort, sie dürfe mit einer unbegrenzten Zahl lizenzierter Datenquellen genutzt werden (Ziffer 19.2.1).

Für die verbreitete Runtime-Variante „SAP HANA, runtime edition for applications and SAP BW“ (HANA REAB) wird die Fassung 2026 noch deutlicher (Ziffer 19.15.4): HANA Studio, Cockpit, Web IDE und Business Application Studio dürfen nur zum Administrieren, Überwachen und Anlegen eigener Views genutzt werden. Auswertungen müssen über die unterstützte SAP-Software oder über solche Views laufen, und auf diese Views dürfen laut Text SAP-BI-Werkzeuge zugreifen.

Ein selbst gebauter oder fremder MCP-Server ist weder ein SAP-BI-Werkzeug noch Teil der lizenzierten SAP-Anwendung. Nach dem Wortlaut ist ein SQL-Zugriff durch ihn auf eine Runtime-Datenbank deshalb nicht abgedeckt. Bemerkenswert: Die Fassung von 2021 erlaubte an derselben Stelle noch den Zugriff auf eigene Views durch von SAP zertifizierte Nicht-SAP-BI-Werkzeuge (SUR 2021, Ziffer 11.16). Welche Fassung für Sie gilt, hängt am Datum und Wortlaut Ihres Vertrags.

1. Welche HANA-Lizenz steht in Ihrem Bestellschein: Runtime (zum Beispiel HANA REAB) oder Full Use (enterprise edition)?
2. Welche Fassung der Software Use Rights ist Vertragsbestandteil?
3. Gilt ein MCP-Server, der SQL auf eigene Views absetzt, als Nutzung „other than as specified“, die eine Full-Use-Lizenz auslöst?
4. Wie zählt SAP lizenzrechtlich die Personen, die über einen KI-Assistenten indirekt auf die Daten zugreifen?
5. Haben Sie in Ihrem Betriebsmodell (zum Beispiel RISE oder Private Cloud) überhaupt einen Datenbankzugang für eigene Software?

Was bedeutet die SAP API Policy für SQL-Zugriff?

Die SAP API Policy erlaubt nur veröffentlichte Schnittstellen und verbietet KI-Systemen, die Aufrufe selbst planen, sowie systematische oder großvolumige Datenextraktion, soweit dafür kein von SAP anerkannter Weg genutzt wird.

Die für den Datenbankzugriff wichtigen Stellen der Policy v.4.2026a (PDF bei SAP):

• Ziffer 1.1, Published APIs: Veröffentlicht sind Schnittstellen im SAP Business Accelerator Hub oder in der Produktdokumentation, nutzbar für die dort beschriebenen Zwecke.
• Ziffer 1.2, nicht veröffentlichte Schnittstellen: Darauf dürfen Kunden- und Drittanwendungen nicht zugreifen. Kunden müssen für jeden Endpunkt prüfen, dass er eine Published API ist.
• Ziffer 2.1: SAP dokumentiert je Schnittstelle Grenzen, darunter „limits and preconditions for bulk extraction / replication“.
• Ziffer 2.2.2: Ohne SAP-anerkannten Weg keine Nutzung durch KI-Systeme, die Folgen von Aufrufen planen, auswählen oder ausführen (a), und keine systematische oder großvolumige Extraktion oder Replikation (b).
• Ziffer 3: Kontrollen dürfen nicht umgangen werden, auch nicht „through intermediary services, custom code or developments, proxies, gateways“.

Ob ein SQL-Zugang zur Datenbank selbst unter den Begriff „API“ fällt, beantwortet der Policy-Text nicht ausdrücklich. Er erfasst Programmierschnittstellen, Erweiterungen und „related data transmission interfaces made available as part of SAP solutions“. Zwei Dinge sind trotzdem klar: S/4HANA-Tabellen sind keine veröffentlichte Schnittstelle, und ein MCP-Server, über den ein Modell seine Abfragen selbst plant, entspricht genau dem Szenario aus Ziffer 2.2.2 (a). SQL ist deshalb kein Ausweg aus der Policy, sondern eher ein zusätzliches Risiko. Welche Wege SAP für KI-Agenten ausdrücklich anerkennt, steht ausführlich im Ratgeber SAP MCP-Server und API Policy.

Welche Wege sind für KI-Analysen auf SAP-Daten besser?

Für operative Fragen veröffentlichte OData-Services, für Kennzahlen analytische CDS-Queries und für große Datenmengen eine Datenplattform wie SAP Datasphere oder die SAP Business Data Cloud. Gemeinsam ist allen: Der Zugriff läuft über eine Schicht, die SAP dafür vorsieht.

Für Massendaten ist die Policy eindeutig in der Richtung: Großvolumige Extraktion nur über SAP-anerkannte Wege und innerhalb der dokumentierten Grenzen. Welcher Weg für Ihr Volumen vorgesehen ist, steht in der Dokumentation des jeweiligen Produkts und gehört in die Abstimmung mit SAP.

Zugriffswege im Vergleich: Eignung und Risiko

Die Tabelle fasst zusammen, welche Wege sich für welchen Zweck eignen und wo das Hauptrisiko liegt. Sie ersetzt keine Prüfung Ihres Vertrags.

HANA Cloud als eigene Datenbank: Wie sieht ein sauberer MCP-Server aus?

Ein sauberer MCP-Server für HANA Cloud nutzt einen eigenen Lesebenutzer, freigegebene Views, feste Werkzeuge mit gebundenen Parametern, harte Grenzen und ein Protokoll jedes Aufrufs. So bleibt die Datenbank geschützt, auch wenn das Modell sich irrt oder manipuliert wird.

• Eigener LesebenutzerEin technischer Benutzer nur für den MCP-Server, mit Leserecht auf ein Schema mit freigegebenen Views. Kein Zugriff auf Basistabellen, keine System- oder Administrationsrechte.
• Views als VertragJede View enthält nur die Spalten, die der Anwendungsfall braucht. Personenbezogene Felder bleiben draußen, wenn die Frage ohne sie beantwortbar ist.
• Feste Werkzeuge statt freiem SQLEin Werkzeug wie „Umsatz je Kunde und Monat“ enthält die Abfrage fest, mit Platzhaltern. Das Modell liefert nur Werte, etwa Kundennummer und Zeitraum, nie SQL-Text. Jeder Wert wird gegen Typ und Wertebereich geprüft.
• Grenzen an zwei StellenIm Server eine feste Obergrenze für Zeilen und eine Zeitgrenze je Aufruf. In der Datenbank zusätzlich eine Workload Class für den Benutzer, die laut SAP-Doku unter anderem eine Statement-Zeitgrenze und ein Speicherlimit setzen kann (SAP-Hilfe).
• Netz eng haltenHANA Cloud verweigert laut SAP standardmäßig jeden Zugriff, Freigaben erfolgen über eine IP-Allowlist (SAP-Hilfe). Freigegeben wird nur die Adresse des MCP-Servers, nicht „alle“.
• Anmeldung am MCP-ServerJede Anfrage an den Server ist angemeldet, mit eng gefassten Rechten. Tokens des Assistenten werden nicht an die Datenbank weitergereicht. Details im Ratgeber MCP-Server Sicherheit.
• Protokoll auf zwei EbenenDer Server protokolliert Aufrufer, Werkzeug, Parameter mit geschwärzten personenbezogenen Werten, Zeilenzahl und Dauer. In HANA Cloud kommt eine Audit-Policy für den MCP-Benutzer dazu (SAP-Hilfe).
• Keine Datenbank-Fehlertexte an das ModellSQL-Fehlermeldungen verraten Tabellen und Spalten. Das Modell bekommt nur eine neutrale Meldung, der Volltext landet im Protokoll.
• Zugangsdaten im Secrets-StoreDas Datenbankpasswort liegt nicht in einer Konfigurationsdatei, sondern in einem Secrets-Store, und wird regelmäßig gewechselt.
• Lesen zuerstSchreibende Werkzeuge gehören in einen eigenen Server mit eigenem Benutzer und Freigabeschritt durch einen Menschen, nicht als Schalter in den Leseserver.

Gibt es fertige MCP-Server für SAP HANA?

Ja, aus der Community und von Drittanbietern. Ein eigenständiges SAP-Produkt, das KI-Assistenten per MCP direkten Datenbankzugriff auf HANA gibt, haben wir bis Oktober 2026 nicht gefunden.

• hana-mcp-server (Community, MIT-Lizenz): Laut Projektbeschreibung für SAP HANA und HANA Cloud, mit Schema-Erkundung und SQL-Ausführung. Schreibende Befehle sind standardmäßig gesperrt, automatische Zeilengrenzen und die Zeitgrenze für Abfragen sind laut Dokumentation standardmäßig aus. Wer so einen Server nutzt, schaltet die Grenzen ein und gibt ihm einen reinen Lesebenutzer.
• hana-cli als MCP-Server (SAP-samples, Apache 2.0): Ein Beispielprojekt für die lokale HANA-Entwicklung mit laut Beschreibung über 150 Werkzeugen, darunter Sicherung, Wiederherstellung und Administration. Ein Werkzeug für Entwicklungsumgebungen, nicht für Fachabfragen auf Produktivdaten.
• Treiberhersteller: Es gibt Server, die über kommerzielle JDBC-Treiber lesend auf HANA zugreifen, etwa ein Server von CData, der einen separat lizenzierten Treiber voraussetzt.

Für alle gilt: Ein fremder MCP-Server läuft mit den Rechten, die Sie ihm geben, und liest mit, was das Modell sieht. Prüfen Sie Herkunft, Version und Rechte, bevor er an echte Daten kommt. Wie eine solche Freigabe aussieht, steht im Ratgeber MCP-Server Sicherheit & DSGVO. Mehrere Systeme hinter einem Assistenten behandelt der Ratgeber MCP-Cluster.

Häufige Fragen

Gibt es einen offiziellen SAP HANA MCP-Server von SAP?

Ein eigenständiges SAP-Produkt, das KI-Assistenten per MCP direkten Datenbankzugriff auf HANA gibt, haben wir bis Oktober 2026 nicht gefunden. Es gibt ein Beispielprojekt im GitHub-Bereich SAP-samples für Entwickler, Community-Server und Angebote von Treiberherstellern. Für Geschäftsdaten bietet SAP MCP über das MCP Gateway der Integration Suite an, also über die Anwendungsschicht.

Darf ein KI-Agent per SQL auf die S/4HANA-Datenbank zugreifen?

Davon raten wir ab. Direkter SQL-Zugriff umgeht Berechtigungen und Geschäftslogik der Anwendungsschicht, S/4HANA-Tabellen sind keine veröffentlichte API im Sinne der SAP API Policy, und bei einer Runtime-Lizenz spricht der Wortlaut der SAP-Nutzungsbedingungen gegen den Zugriff durch fremde Software. Klären Sie den Einzelfall schriftlich mit SAP.

Was ist der Unterschied zwischen HANA Runtime- und Full-Use-Lizenz?

Eine Runtime-Datenbank darf laut SAP Software Use Rights nur zusammen mit den lizenzierten SAP-Anwendungen genutzt werden. Wer sie anders nutzt, braucht laut SAP eine Full-Use-Lizenz. Die SAP HANA enterprise edition darf mit beliebig vielen lizenzierten Datenquellen genutzt werden. Welche Lizenz Sie haben, steht in Ihrem Bestellschein.

Fällt direkter SQL-Zugriff unter die SAP API Policy?

Der Policy-Text beantwortet das nicht ausdrücklich. Er erfasst Programmierschnittstellen und verwandte Datenübertragungsschnittstellen von SAP-Lösungen, erlaubt nur veröffentlichte APIs und verbietet, Kontrollen über eigene Entwicklungen, Proxys oder Gateways zu umgehen. Wer SQL als Umweg um die Policy plant, sollte das vorher mit SAP klären.

Wann ist ein MCP-Server direkt auf HANA Cloud vertretbar?

Wenn HANA Cloud als eigenständige Datenbank mit eigenen Daten dient und nicht als Datenbank einer SAP-Anwendung. Dann gilt die übliche Sorgfalt: eigener Lesebenutzer, freigegebene Views, feste Werkzeuge mit gebundenen Parametern, Zeilen- und Zeitlimits, IP-Freigabe nur für den Server und ein Protokoll jedes Aufrufs.

Wie verhindere ich, dass das Modell beliebiges SQL ausführt?

Indem der Server kein Werkzeug für freies SQL anbietet. Jedes Werkzeug enthält eine feste Abfrage mit Platzhaltern, das Modell liefert nur Werte wie Kundennummer oder Zeitraum. Der Datenbankbenutzer darf nur lesen, und zwar nur die freigegebenen Views.

Welcher Weg eignet sich für große Datenmengen aus SAP?

Für Massendaten verlangt die SAP API Policy von SAP anerkannte Wege und verweist auf die Grenzen in der Produktdokumentation. Für Analysen bieten sich SAP Datasphere oder Datenprodukte der SAP Business Data Cloud an. Welcher Weg zu Ihrem Vertrag passt, klären wir vor dem Bau.

Kann Microsoft Copilot über MCP auf HANA-Daten zugreifen?

Technisch ja: Copilot Studio bindet MCP-Server über Streamable HTTP mit OAuth 2.0 oder API-Schlüssel ein. Ob der Server dabei auf HANA direkt oder über SAP-Schnittstellen zugreift, entscheidet über Lizenz- und Policy-Fragen. Für S/4HANA-Daten empfehlen wir den Weg über veröffentlichte Schnittstellen.