Was macht ein SaaS agent-fähig? Die 10-Punkte-Checkliste
Ein agent-fähiges SaaS ist ein Produkt, das ein KI-Agent finden, sich dort anmelden und Ende-zu-Ende bedienen kann, ohne dass ein Mensch unterwegs Keys kopiert oder Doku zusammenkratzt. Die meisten SaaS-Produkte sind noch nicht dort, und die Lücke ist selten die API selbst. Es ist alles um die API herum: Auth, Berechtigungen, Beschreibungen und Auffindbarkeit.
Wir schauen beim Kuratieren des Tulimoa-Verzeichnisses viel durch genau diese Brille auf SaaS-Tools, und dieselben zehn Lücken tauchen immer wieder auf. Nimm das hier als die Integrations-Checkliste, die du deinem Platform-Team gibst.
Was "agent-fähig" konkret heißt
Ein Agent liest nicht deine Marketing-Seite. Er verbindet sich über ein Protokoll, liest deine Tool-Schemas und entscheidet in Sekunden, ob er den Job machen kann. Agent-fähig heißt: Diese Entscheidung fällt auf Ja. Der Agent kann dein Produkt entdecken, sich sicher authentifizieren, ein gut beschriebenes Tool aufrufen und vernünftig reagieren, wenn etwas schiefgeht.
Die 10-Punkte-Checkliste für agent-fähiges SaaS
Die meisten Ratschläge zu MCP für SaaS-Anbieter enden bei "liefer einen Server". Das ist Punkt eins von zehn.
1. Liefer einen offiziellen MCP-Server. MCP, das Model Context Protocol, ist ein offener Standard, der KI-Agenten mit Tools verbindet: ein Endpunkt, ein Schema. Die Spezifikation ist inzwischen stabil, MCP v2 ist seit Juli 2026 final, auf das Setzen des Staubs zu warten zieht also nicht mehr. Ein Community-Wrapper ist besser als nichts, aber ein offizieller Server signalisiert, dass du ihn pflegen wirst. Neu im Thema? Starte mit [Was ist ein MCP-Server?](/de/blog/what-is-an-mcp-server).
2. Unterstütze OAuth, nicht nur API-Keys. Ein API-Key in einer Agenten-Konfiguration ist ein langlebiges, allmächtiges Geheimnis im Klartext. OAuth gibt dir ablaufende Tokens, Scopes und einen Widerrufen-Knopf. Die [MCP-Sicherheitsgrundlagen](/de/blog/mcp-security-basics) gelten für Anbieter doppelt, denn du bist die Partei, die entscheidet, ob Widerruf überhaupt möglich ist.
3. Biete begrenzte Berechtigungen an. Ein Support-Agent muss Tickets lesen, nicht den Workspace löschen. Liefer Nur-Lese-Scopes und Freigaben pro Ressource, damit ein Account-Inhaber dem Agenten genau den Wirkungsradius geben kann, den der Job braucht, und nichts darüber hinaus. Alles-oder-nichts-Zugriff ist der Grund, warum vorsichtige Teams Nein sagen.
4. Schreib Tool-Beschreibungen fürs Modell, nicht für die Broschüre. Agenten wählen Tools, indem sie Beschreibungen lesen. "Streamline your workflow" wählt gar nichts aus. "Erstellt eine Rechnung für einen Kunden, Betrag in Cent, liefert die Rechnungs-ID" wird beim ersten Versuch korrekt aufgerufen. Benenne Parameter ehrlich, dokumentiere Defaults und sag, was das Tool zurückgibt.
5. Setz vernünftige Rate Limits. Agenten wiederholen Aufrufe, manchmal enthusiastisch. Veröffentliche deine Limits, gib ein sauberes 429 mit Retry-Hinweis zurück und sperr kein Token still für Verhalten, vor dem deine Doku nie gewarnt hat. Ein bescheidenes Limit, von dem ein Agent zurückweichen kann, schlägt ein großzügiges, das er durchs Sterben entdeckt.
6. Führ ein Audit-Log. Wenn ein Agent auf einem Account handelt, fragt der Inhaber irgendwann, was passiert ist. Protokolliere, welches Credential welchen Endpunkt wann und mit welchem Ergebnis aufgerufen hat, und mach das für den Kunden sichtbar. Es ist auch dein bestes Debugging-Werkzeug, wenn eine Integration spinnt.
7. Veröffentliche Doku, die ein Agent parsen kann. Schlichtes HTML oder Markdown, stabile URLs, Fehlercodes als Text statt als Screenshots. Rendert deine Dokumentation erst nach drei Sekunden Client-JavaScript, sieht ein Agent beim Retrieval eine leere Seite und zieht weiter zum Wettbewerber, dessen Doku lädt.
8. Ergänze eine llms.txt. Eine kleine Textdatei im Root deiner Site, die sagt, was dein Produkt ist, was die API tut und wo die maschinenlesbare Doku liegt. Sie kostet einen Nachmittag und gibt jedem LLM-Crawler eine verlässliche Karte statt einer Vermutung.
9. Lass dich dort listen, wo Agenten suchen. Agenten, und die Menschen, die sie konfigurieren, durchsuchen Verzeichnisse statt deiner Homepage. Auffindbar zu sein, mit klar benanntem MCP-Status, ist Distribution. Hier steht [wie du dein SaaS in ein MCP-Verzeichnis bekommst](/de/blog/get-your-saas-listed-mcp-directory), Schritt für Schritt.
10. Halte einen menschlichen Fallback bereit. Ein Teil der Agenten-Läufe trifft eine Wand: eine mehrdeutige Anfrage, eine Berechtigung außerhalb des Scopes, ein echter Randfall. Gib Fehler zurück, die dem Agenten sagen, dass er stoppen und eskalieren soll, und gib dem Menschen dahinter einen dokumentierten Weg zu deinem Support. Stilles Scheitern verbrennt Vertrauen doppelt: beim Agenten und bei seinem Besitzer.
Welche Punkte zuerst
Die Liste hat eine grobe Schwerkraft-Reihenfolge. Punkte 1 bis 3 entscheiden, ob eine Verbindung überhaupt zustande kommt: kein Server heißt keine Entdeckung, kein OAuth heißt Security-Teams blocken dich, keine Scopes heißt vorsichtige Käufer gehen. Punkte 4 bis 7 entscheiden, ob die Integration im Alltag funktioniert. Punkte 8 bis 10 entscheiden, ob dich jemand findet und bleibt.
Wenn dein Quartal also nur Platz für drei Punkte hat: Liefer den MCP-Server, ergänze OAuth und schreib deine Tool-Beschreibungen für einen Modell-Leser um. Alles andere baut darauf auf.
Wo agent-fähige Tools gefunden werden
Checkliste fertig, oder wenigstens angefangen? Dann stell sicher, dass Agenten das Ergebnis finden. Das Tulimoa-Verzeichnis ist ein kostenloser, handgeprüfter Katalog agent-fähiger SaaS, nutzbar im Web und über MCP, Agenten können es also selbst durchsuchen. Jedes Listing zeigt seinen MCP-Status, es gibt keine Listing-Gebühr und kein Pay-to-Rank, die Prüfung dauert rund 24 Stunden, und du bekommst einen Do-follow-Backlink.
Du brauchst nicht alle zehn Punkte, um gelistet zu werden. MCP-Support wird pro Listing ausgewiesen, und viele gute Tools stecken noch mitten in der Checkliste. [Reich dein SaaS ein](/de/submit), wenn du bereit bist, gefunden zu werden.