Die Bank als Werkzeug im KI-Agenten des Kunden: Danske Banks MCP-Pilot und vier Fragen, die vorher zu klären sind

Am 16. September 2026 hat die Danske Bank den Pilotbetrieb eines MCP-Servers (Model Context Protocol, ein offener Standard für die Anbindung von KI-Agenten an Datenquellen und Werkzeuge) angekündigt. Ausgewählte Firmenkunden können ihre eigenen KI-Agenten direkt mit den Premium-APIs (Application Programming Interfaces, Programmierschnittstellen) der Bank verbinden und ihre Finanzdaten in dem Agentenwerkzeug auswerten, das sie ohnehin nutzen. Das klingt nach einem weiteren API-Kanal. Tatsächlich verschiebt es die Frage, wo die Kundenschnittstelle einer Bank künftig liegt.

Was Danske Bank testet

Nach Angaben im Entwicklerportal der Danske Bank ermöglicht der MCP-Dienst KI-Agenten den Zugriff auf die Premium-APIs; ausgewählte Firmenkunden können ihre eigenen Finanzdaten in ihrem bevorzugten agentischen Werkzeug einsehen und erkunden. Der Dienst befindet sich im Pilotbetrieb, Interessenten melden sich per E-Mail. Laut Banking 4.0 bauen die Premium-APIs auf einem vor zwölf Monaten gestarteten Angebot für eingebettete Finanzdienste auf; als Beispiele nennt der Beitrag Fragen wie „Wie hoch ist mein Kontostand?“ oder den Aufbau einer Liquiditätsprognose für drei Monate.

Christie H. Kristensen, bei Danske Bank für strategische Integrationspartnerschaften zuständig, beschreibt die Verschiebung so: Finanzoperationen fanden bisher in der Onlinebank oder im ERP-System (Enterprise Resource Planning, Unternehmenssoftware) statt; nun gebe es „eine dritte Schnittstelle: das agentische KI-Werkzeug, für das sich das Team entschieden hat“. Banken würden „von dem Ort, zu dem man geht, zum verbindenden Gewebe unter allem, wo Finanzoperationen stattfinden“. Zu Authentifizierung, Berechtigungsumfang oder Schreibrechten macht die Bank öffentlich bislang keine Angaben.

Nicht der erste Fall, aber der erste in Europa mit dieser Reichweite

Danske Bank steht nicht allein. Die US-amerikanische Grasshopper Bank hat nach eigenen Angaben im Juli 2026 als erste Bank einen Eintrag im MCP-Verzeichnis von Anthropic erhalten; Geschäftskunden verbinden ihre Konten ohne manuelle Konfiguration, der Zugriff ist ausdrücklich nur lesend, und Kunden können ihn jederzeit entziehen. Das Branchenverzeichnis Open Banking Tracker führt inzwischen zehn Banken mit MCP-Servern, darunter die britische Banking-as-a-Service-Plattform Griffin mit Lese- und Schreibzugriff im Betastadium, also einschließlich Kontoeröffnung und Zahlungen. Die Bandbreite reicht damit von reinem Lesen bis zu ausführenden Aktionen.

Der Protokollstand macht Kontrolle leichter

Die MCP-Spezifikation vom 28. Juli 2026 hat das Protokoll auf zustandslose Anfragen umgestellt: Jede Anfrage beschreibt sich selbst, Methoden- und Werkzeugnamen stehen in HTTP-Kopfzeilen. Dadurch können vorgeschaltete Gateways Anfragen anhand der Kopfzeilen weiterleiten, autorisieren, begrenzen und abrechnen, ohne den Inhalt zu analysieren. Neu ist auch der Mechanismus für mehrstufige Anfragen: Benötigt ein Werkzeug „eine Bestätigung oder einen fehlenden Parameter“ vom Nutzer, antwortet der Server mit dem Ergebnistyp „Eingabe erforderlich“, und der Aufruf wird erst mit der Antwort wiederholt. Für Banken ist das der technische Ansatzpunkt für eine Bestätigungspflicht vor jeder ausführenden Aktion.

Vier Fragen, die eine Bank vorher klären sollte

Erstens: Welcher Berechtigungsumfang gilt? Der Weg von Grasshopper, mit rein lesendem Zugriff zu starten und Schreibrechte getrennt und später zu vergeben, ist aus Risikosicht der naheliegende Einstieg. Zweitens: Wer handelt? Der Agent tritt im Namen eines Kunden auf, aber die Bank muss unterscheiden können, ob eine Anfrage vom Menschen, vom Agenten oder von einer Automatisierung ohne Aufsicht stammt, und dies protokollieren. Drittens: Wo liegt die Bestätigung? Ausführende Schritte sollten die mehrstufige Anfrage nutzen, statt auf Prüfungen im Agenten des Kunden zu vertrauen, den die Bank nicht kontrolliert. Viertens: Was lernt die Bank? Jede Anfrage eines Kundenagenten ist ein Signal über Bedarf und Nutzung, etwa wenn wiederholt Liquiditätsprognosen abgerufen werden. Solche Signale gehören in die Steuerung des Kundenlebenszyklus, allerdings nur innerhalb des Zwecks, dem der Kunde zugestimmt hat.

Ein europäischer Nebenaspekt: EZB-Präsidentin Christine Lagarde hat am 14. September 2026 in Wien darauf hingewiesen, dass beim Einsatz von KI Unternehmensdaten „durch ein System laufen, das jemand anderem gehört und unter dem Recht eines anderen steht“; ein Modell lese die Daten, während eine Cloud sie nur speichere (EZB). Wenn Bankdaten künftig routinemäßig in den Agenten des Kunden fließen, entscheidet der Kunde über diesen Anbieter, nicht die Bank. Der Berechtigungsumfang ist damit auch ein Instrument, um zu begrenzen, was die Bank aus der Hand gibt.

Fünf Punkte zum Mitnehmen

1. Danske Bank pilotiert seit dem 16. September 2026 einen MCP-Server, über den ausgewählte Firmenkunden ihre KI-Agenten mit den Premium-APIs der Bank verbinden; Details zu Berechtigungen sind noch nicht öffentlich.

2. Weltweit bieten laut Branchenverzeichnis zehn Banken MCP-Server an, von rein lesend (Grasshopper) bis zu Zahlungen und Kontoeröffnung (Griffin, Beta).

3. Die Spezifikation vom Juli 2026 erlaubt Autorisierung und Begrenzung am Gateway über Kopfzeilen und liefert mit mehrstufigen Anfragen einen Standardweg für Bestätigungen vor ausführenden Aktionen.

4. Vor dem Start gehören Berechtigungsumfang, Identität des Handelnden, Ort der Bestätigung und Umgang mit den entstehenden Nutzungssignalen geklärt.

5. Der Agent des Kunden wird zur dritten Schnittstelle neben Onlinebank und Unternehmenssoftware; die Bank behält Einfluss vor allem über das, was sie freigibt und protokolliert.

Illustration: KI-generiert. KI-gestützte Inhalte: Bei der Erstellung unserer Beiträge setzen wir KI-Technologien und automatisierte Agenten ein, unter anderem von Microsoft, Google, OpenAI, Anthropic und weiteren Anbietern. Themen, fachliche Ausrichtung und finale Freigabe liegen bei unserem Team.