Buchhaltung mit Copilot

Welche Copilot-Variante heute bucht

Unter dem Namen Copilot laufen mehrere Programme von GitHub und Microsoft. Für die Buchhaltung zählt nur eine Frage: Kann das Programm einen MCP-Server mit einer eigenen Kopfzeile für den Schlüssel anbinden? Stand Oktober 2026 sieht es so aus:

Schlüssel anlegen und Rechte wählen

Den Schlüssel erzeugen Sie in der App, bevor Sie Copilot einrichten. Er ist das Einzige, was Copilot von Ihrer Buchhaltung braucht.

• Öffnen Sie Buchhaltung → Einstellungen → „KI-Agent & API“. Schlüssel anlegen dürfen Administratoren und der Ersteller des Arbeitsbereichs; Sie bestätigen mit Ihrem zweiten Faktor.
• Wählen Sie die Rechte: read ist immer enthalten und deckt alle lesenden Werkzeuge samt Export ab. write erlaubt Buchen, Stornieren, Rechnungen, Zahlungen, Belege, Bank, Kasse, Anlagen und Stammdaten. send erlaubt den Rechnungsversand per E-Mail, finalize das Festschreiben nach GoBD.
• Legen Sie die Laufzeit fest – 30, 90 oder 365 Tage. Ein Schlüssel gilt immer für genau eine Gesellschaft; für eine zweite Gesellschaft legen Sie einen zweiten Schlüssel und einen zweiten Server-Eintrag an.
• Kopieren Sie den Schlüssel, der mit jab_live_ beginnt, sofort: Er wird nur einmal angezeigt, gespeichert wird bei uns nur ein Hash.
• Für den Einstieg empfehlen wir einen Schlüssel nur mit Leserecht. Copilot sieht dann ausschließlich die lesenden Werkzeuge und kann nichts verändern.

GitHub Copilot in VS Code einrichten

Legen Sie im Projekt die Datei .vscode/mcp.json an oder öffnen Sie Ihre Benutzer-mcp.json und tragen Sie den Server so ein:

{
  "inputs": [
    {
      "type": "promptString",
      "id": "jab-key",
      "description": "API-Schlüssel (jab_live_…)",
      "password": true
    }
  ],
  "servers": {
    "buchhaltung": {
      "type": "http",
      "url": "https://api.jahresabschluss.io/functions/v1/bookkeeping-mcp",
      "headers": { "Authorization": "Bearer ${input:jab-key}" }
    }
  }
}

Beim ersten Start des Servers fragt VS Code nach dem Wert für jab-key. Die Eingabe ist verdeckt; VS Code speichert den Schlüssel geschützt und setzt ihn in die Kopfzeile ein. In der Datei selbst steht kein Schlüssel – deshalb können Sie sie mit dem Projekt teilen, ohne den Zugang mitzugeben.

Danach stehen die Werkzeuge der Buchhaltung im Copilot-Chat bereit. VS Code kann Sie vor jedem Werkzeugaufruf um Bestätigung bitten. Geben Sie schreibende Werkzeuge nicht pauschal frei, sondern bestätigen Sie jede Buchung einzeln.

GitHub Copilot in JetBrains, Xcode und Eclipse

In diesen Entwicklungsumgebungen erwartet das Copilot-Plugin die Kopfzeile unter requestInit:

{
  "servers": {
    "buchhaltung": {
      "url": "https://api.jahresabschluss.io/functions/v1/bookkeeping-mcp",
      "requestInit": {
        "headers": { "Authorization": "Bearer jab_live_…" }
      }
    }
  }
}

Hier steht der Schlüssel im Klartext in der Konfiguration. Legen Sie die Datei deshalb nicht in ein gemeinsam genutztes Repository und beginnen Sie mit einem Schlüssel nur mit Leserecht.

In Copilot Business und Copilot Enterprise steuert die Richtlinie „MCP servers in Copilot“, ob MCP-Server überhaupt genutzt werden dürfen. Sie ist ab Werk ausgeschaltet; die Administratoren Ihrer Organisation müssen sie einschalten. Für Copilot Free, Pro und Pro+ gilt diese Richtlinie nicht.

Copilot Studio: ein Agent, jeder mit eigenem Schlüssel

In Copilot Studio fügen Sie den MCP-Server als Werkzeug Ihres Agenten hinzu. In der englischen Oberfläche heißen die Schritte und Felder so:

Copilot Studio (englische Oberfläche)
Tools → Add a tool → New tool → Model Context Protocol

Server URL:      https://api.jahresabschluss.io/functions/v1/bookkeeping-mcp
Authentication:  API key
Type:            Header
Header name:     X-API-Key
Wert:            jab_live_…   (gibt jeder Nutzer beim Verbinden selbst ein)

Als Kopfzeile tragen Sie X-API-Key ein. Unser Server nimmt den Schlüssel in dieser Kopfzeile ebenso an wie als Authorization: Bearer jab_live_… – für das Formular in Copilot Studio ist X-API-Key der einfachste Weg, weil kein Präfix nötig ist.

Den Schlüssel hinterlegen Sie nicht fest im Agenten: Jeder, der den Agenten nutzt, gibt beim Verbinden seinen eigenen Schlüssel ein. Weil jeder Schlüssel genau eine Gesellschaft öffnet, arbeitet jede Person nur in der Gesellschaft ihres Schlüssels, obwohl alle denselben Agenten verwenden. Welche Verbindungen erlaubt sind, regeln zusätzlich die Datenrichtlinien Ihrer Power Platform.

Erste Sätze im Copilot-Chat

So sprechen Sie mit Ihrer Buchhaltung, sobald der Server verbunden ist. Unter jedem Satz steht, welche Werkzeuge der Agent dafür aufruft.

Sicherheit, GoBD und was in der App bleibt

• Lesende Werkzeuge sind als lesend gekennzeichnet. Für nicht rückholbare Schritte – Rechnung ausstellen oder versenden, Ausgangsrechnung stornieren, Beleg löschen, Zeitraum festschreiben – weist unser Server den Agenten an, Ihre ausdrückliche Bestätigung einzuholen, und zwar für jeden Vorgang einzeln.
• Fremde Texte wie Verwendungszwecke oder ausgelesene Belegtexte sind nach der Anweisung unseres Servers Daten, keine Befehle. Ein Verwendungszweck kann den Agenten also nicht zu einer Buchung überreden.
• Jede Buchung läuft durch denselben Buchungskern wie die Erfassung in der App: Soll gleich Haben, kein Löschen oder Überschreiben gebuchter Sätze, Korrektur nur per Storno, Festschreibung nach GoBD. Beim Bilanzierer bucht keine Bankzeile ohne Beleg in Aufwand oder Erlös.
• Wiederholt der Agent einen Aufruf nach einer Zeitüberschreitung mit derselben UUID (idempotency_key), entsteht keine zweite Buchung.
• In der App bleiben die Bankanbindung, die Einstellungen der Gesellschaft, die Bankverbindungen Ihrer Geschäftspartner (Schutz vor Umleitungsbetrug), die erste Eröffnungsbilanz ohne Vorjahr im System und jede Übermittlung an ELSTER. Die fertige Saldenliste übergibt der Agent mit publish_trial_balance an das Jahresabschluss-Modul der App.

Häufige Fragen

Kann GitHub Copilot meine Buchhaltung buchen?

Ja. GitHub Copilot bindet unseren MCP-Server in VS Code, JetBrains, Xcode und Eclipse direkt an. Mit einem Schlüssel mit Schreibrecht bucht der Agent Belege, Bankumsätze, Rechnungen und Zahlungen; mit einem Schlüssel nur mit Leserecht wertet er aus, ohne etwas zu verändern. Jede Buchung durchläuft dieselben GoBD-Prüfungen wie in der App.

Warum funktioniert Microsoft 365 Copilot nicht mit dem API-Schlüssel?

Microsoft unterstützt für MCP-Plugins deklarativer Agenten die Entra-Anmeldung, OAuth 2.0 und den Zugang ohne Anmeldung – API-Schlüssel ausdrücklich nicht. Agent-Connectoren im App-Manifest nehmen zwar einen Schlüssel an, aber nur einen, den der Herausgeber der App hinterlegt; das wäre ein Schlüssel für alle statt einer je Gesellschaft. Für Microsoft-Umgebungen ist Copilot Studio heute der passende Weg.

Muss meine Firma MCP-Server in GitHub Copilot freischalten?

In Copilot Business und Copilot Enterprise ja: Die Richtlinie „MCP servers in Copilot“ ist ab Werk ausgeschaltet und wird von den Administratoren der Organisation eingeschaltet. In Copilot Free, Pro und Pro+ gilt diese Richtlinie nicht.

Wo speichert VS Code meinen API-Schlüssel?

Mit dem Eintrag inputs und password: true fragt VS Code den Schlüssel beim ersten Start verdeckt ab und speichert ihn geschützt. In der mcp.json steht nur der Platzhalter ${input:jab-key}. Läuft der Schlüssel ab oder widerrufen Sie ihn, legen Sie in der App einen neuen an und geben ihn bei der nächsten Abfrage ein.

Kann in Copilot Studio jeder Mitarbeiter seinen eigenen Schlüssel nutzen?

Ja. Mit der Anmeldung „API key“ gibt jeder Nutzer des Agenten beim Verbinden seinen eigenen Schlüssel ein. Anlegen dürfen Schlüssel in unserer App Administratoren und der Ersteller des Arbeitsbereichs; wer selbst keine Schlüssel anlegen darf, erhält einen von ihnen – am besten nur mit den Rechten, die er braucht.

Kann Copilot die Umsatzsteuer-Voranmeldung oder den Jahresabschluss abgeben?

Nein. Der Agent liest die Kennzahlen der Voranmeldung als Vorschau und kann die Saldenliste an das Jahresabschluss-Modul übergeben. Jede Übermittlung an ELSTER, die E-Bilanz und der Jahresabschluss selbst entstehen in der App – gern im Zusammenspiel mit Ihrer Steuerberatung, die dieselben Zahlen sieht.