Headless MCP auf Salesforce: Was es ist und wie man es sicher einführt

Headless MCP bedeutet, dass ein KI-Agent über das Model Context Protocol mit einem System arbeitet, ohne Benutzeroberfläche im Ablauf, und Tools, APIs und Daten zur Laufzeit entdeckt und aufruft. Auf Salesforce ist die Referenzimplementierung der Headless 360 MCP Server, mit dem Agenten Setup- und Integrationsarbeit gegen Ihre Org ausführen, während Ihre bestehenden Rechte weiter gelten. Wenn Sie agentische Automatisierung für Salesforce abwägen, ist dies die Oberfläche, die Sie zuerst verstehen sollten.

Was ist Headless MCP?

Das Model Context Protocol ist ein offener Standard, mit dem ein KI-Modell externe Tools, APIs und Datenquellen zur Laufzeit entdeckt und aufruft. "Headless" heißt schlicht, dass es keinen Bildschirm gibt und niemand durch eine Seite klickt: Der Agent läuft im Hintergrund und handelt über das Protokoll. Zusammengenommen ist Headless MCP eine Automatisierung von Maschine zu System, bei der das Modell entscheidet, was zu tun ist, und das Protokoll es ausführt.

Das ist wichtig, denn die meisten agentischen Prototypen erreichen nie die Produktion. Sie funktionieren in der Demo und kippen dann um, sobald sie auf echte Rechte, echte Datenmengen und ein Sicherheitsteam treffen. Headless MCP ist das Muster, das diese Lücke schließt, weil der Agent Kontext und Richtlinien von der Plattform erbt, statt sie neu zu erfinden.

Was ist der Salesforce Headless 360 MCP Server?

Salesforce stellte Headless 360 im April 2026 als Initiative vor, jede Salesforce-Fähigkeit als API, MCP-Tool oder CLI-Befehl bereitzustellen. Bei der Ankündigung umfasste sie über 60 MCP-Tools, über 30 Coding Skills, mehr als 4.000 bestehende APIs und über 220 CLI-Befehle. Der Headless 360 MCP Server ging Anfang Juli 2026 in die Beta, aufbauend auf den gehosteten MCP-Servern, die Salesforce im April 2026 allgemein verfügbar machte.

Die Kernidee ist Zurückhaltung: Agenten bekommen vier Tools, nicht viertausend. Statt jeden Endpunkt in den Kontext des Modells zu laden, präsentiert der Server eine kleine, stabile Oberfläche und übernimmt das Routing selbst.

Wie funktioniert Headless MCP auf Salesforce?

Der Headless 360 MCP Server stellt einen kompakten Satz von Tools bereit, die ein Agent zu echter Arbeit zusammensetzt:

• Discover - semantische Suche über einen Vektorindex von APIs und Skills, um die richtige Fähigkeit für eine Anfrage zu finden.
• Describe - gibt das exakte Schema und die Parameter der gewählten Fähigkeit zurück.
• Dispatch (und eine schreibgeschützte Variante) - führt den Aufruf gegen die Org aus.

In der Beta kam der Server mit rund 100 Skills, Tausende sind geplant. Frühe Skills decken Benutzerverwaltung ab (Benutzer anlegen und deaktivieren, Passwörter zurücksetzen, Rechte zuweisen), Apex-Trigger-Verwaltung, ereignisgesteuerte Integrationen wie Platform Events und Change Data Capture sowie die Konfiguration von Named Credentials. Die Discover-Describe-Dispatch-Schleife hält den Kontext des Modells klein, während der Katalog dahinter wächst.

Wie geht Headless MCP mit Sicherheit und Rechten um?

Hier verdient sich Headless MCP seinen Platz in der Produktion. Auf dem Headless 360 MCP Server laufen Transaktionen als authentifizierte Benutzer mit dem mcp_api-Scope, und alle üblichen Kontrollen der Plattform gelten: CRUD, Field-Level Security, Sharing Rules, Profilrechte und Validierungsregeln. Der Agent kann nichts sehen oder ändern, was der ausführende Benutzer nicht könnte. Governance wird geerbt, nicht aufgesetzt.

Das ist die richtige Voreinstellung, aber nicht die ganze Aufgabe. Ein Agent mit weitreichenden Rechten bleibt ein weiter Wirkungsradius, also fassen Sie den verbundenen Benutzer eng, protokollieren Sie jeden Dispatch und prüfen Sie, was der Agent erreichen darf, bevor Sie ihn loslassen.

Wie sieht eine Salesforce-Security-Review-Checkliste für agentische Apps aus?

Wenn Sie eine MCP-gesteuerte App für die AppExchange verpacken, gilt die Security Review weiterhin, und agentische Oberflächen befreien Sie nicht von den Grundlagen. Eine praktikable Checkliste:

1. Erzwingen Sie CRUD, FLS und Sharing in jedem Pfad, den ein Agent auslösen kann, nicht nur in der UI.
2. Vermeiden Sie SOQL-Injection, indem Sie Bind-Variablen statt verketteter dynamischer Abfragen verwenden.
3. Verschlüsseln Sie Daten bei der Übertragung mit TLS 1.2+ und im Ruhezustand mit starken Algorithmen wie AES-256.
4. Scannen Sie vor der Einreichung mit Salesforce Code Analyzer plus Tools wie Checkmarx, OWASP ZAP oder Burp Suite, und erklären Sie Falschmeldungen.
5. Setzen Sie Sicherheits-Header und Cookie-Flags (X-Content-Type-Options, X-Frame-Options, Strict-Transport-Security, Secure und HttpOnly).
6. Dokumentieren Sie Datenspeicherung, Authentifizierung und jede externe Integration, die der Agent nutzt.

Behandeln Sie den Agenten als einen weiteren authentifizierten Client. Wenn jeder Dispatch die Review für sich bestehen würde, besteht auch die Headless-Schicht darüber.

Sollten Salesforce-Teams Headless MCP jetzt einführen?

Headless MCP ist früh, aber real, und die Richtung ist klar: Agenten, die innerhalb von Salesforce mit den Rechten der Org handeln, nicht daran vorbei. Die Teams, die gewinnen, verbinden die neue Oberfläche mit alter Disziplin - Benutzer mit minimalen Rechten, echtem Logging und einer Security Review, die jeden Dispatch als Produktionsverkehr behandelt. Diese Kombination aus Plattformtiefe und Liefer-Disziplin ist genau das, was wir täglich mit Kunden bauen. Wenn Sie einen Partner wollen, der Ihnen hilft, es sicher zu gestalten, sprechen Sie mit Tekunda.

FAQ

Ist Headless MCP dasselbe wie das Model Context Protocol?

Nein. MCP ist das offene Protokoll; Headless MCP ist seine Nutzung ohne Benutzeroberfläche, sodass ein autonomer Agent die Aufrufe steuert. Salesforce Headless 360 ist eine Implementierung dieses Musters.

Wann wurde der Salesforce Headless 360 MCP Server veröffentlicht?

Er ging Anfang Juli 2026 in die Beta, aufbauend auf Salesforces gehosteten MCP-Servern, die im April 2026 allgemein verfügbar wurden.

Umgeht Headless MCP die Salesforce-Sicherheit?

Nein. Aufrufe laufen als authentifizierte Benutzer mit dem mcp_api-Scope, und CRUD, Field-Level Security, Sharing Rules und Profilrechte gelten weiterhin.

Was sind die vier Headless-360-Tools?

Discover, Describe, Dispatch und ein schreibgeschütztes Dispatch. Der Agent sucht eine Fähigkeit, liest ihr Schema und führt sie dann gegen die Org aus.