3CX MCP-Server einrichten: Was die KI ab Update 10 darf

Die kurze Antwort

• Der MCP-Server gehört zu 3CX V20 Update 10. Am 29. Oktober 2026 ist dessen zweiter Release Candidate erschienen, die finale Version steht noch aus. Bis dahin rät 3CX, Update 10 nur auf einem Testsystem zu prüfen. Welche Editionen den Server dann enthalten, hat 3CX noch nicht festgelegt.
• Die Einrichtung selbst ist kurz: Adresse in der 3CX-Verwaltung unter Admin › Integrations › MCP Clients kopieren, im KI-Programm als eigene Verbindung eintragen, mit einem 3CX-Konto anmelden.
• Die KI darf genau das, was dieses Konto darf. Mit dem Konto des System Owners liest sie auch Aufzeichnungen, Transkripte und Chats. Ich würde für jede Aufgabe ein Konto mit der kleinsten passenden Rolle nehmen.
• Werkzeuge, die nur lesen, dürfen ohne Rückfrage laufen, Aufzeichnungen ausgenommen. Was etwas ändert, gehört im KI-Programm auf Bestätigung, Sperrlisten und Skripte von Call Flows auf „Sperren“.

Was der MCP-Server kann: viel lesen, wenig ändern

Fragt jemand im Chat „Wie viele Nebenstellen hat unsere Anlage?“, ruft die KI über den MCP-Server etwa die Liste der Benutzer ab und zählt. MCP, das Model Context Protocol, ist ein offener Standard, über den KI-Programme so bei anderen Programmen nachfragen. Der Server von 3CX stellt dafür rund 40 Werkzeuge bereit, etwa „List queues“, „List recordings“ oder „Set queue agent status“. Welche sie braucht, wählt die KI bei jeder Frage selbst.

Die meisten Werkzeuge lesen nur. Sie zeigen Benutzer, Nebenstellen, Kontakte aus dem Telefonbuch und dem angebundenen CRM, laufende Gespräche, Aufzeichnungen, Voicemails, Warteschlangen und ihre Agenten, Abteilungen, Rufnummern (DIDs), SIP-Trunks, Ereignisprotokoll und Dienste. Ein Werkzeug namens „Query“ fragt die Datenbank der Anlage direkt ab, 3CX lässt dabei nur lesende SELECT-Abfragen zu.

Ein kleinerer Teil ändert etwas: ein laufendes Gespräch beenden, Agenten in Warteschlangen an- oder abmelden, das Profil wechseln (etwa „Abwesend“), eine Rufnummer zuweisen, IP-Adressen und Rufnummern auf die Sperrliste setzen oder davon entfernen und das Skript einer Call-Flow-Anwendung ändern.

Benutzer, Warteschlangen oder Gruppen anlegen kann die KI über den Server bisher nicht. Ein Partner schrieb im Forum von 3CX, genau das seien beim Verkauf und bei der Betreuung von Anlagen die größten Aufgaben; 3CX antwortete, MCP werde weiterentwickelt. Die Verwaltung ersetzt der Server also nicht; 3CX selbst nennt ihn ein Begleitwerkzeug zur Admin-Konsole.

Soll die KI mehr können, als 3CX vorsieht, etwa Anrufe mit Aufträgen aus der Warenwirtschaft verknüpfen, braucht es einen eigenen MCP-Server, der beide Programme abfragt. Wie Katio Tech solche Server baut und betreibt, steht unter Programme anbinden.

Im Alltag hilft er beim Fragen, weniger beim Handeln

Berichte sind der naheliegende Anfang. 3CX nennt als Beispiele Wochenübersichten für die Leitung und Berichte zu Warteschlangen und Agenten. Die KI holt die Daten, die das Konto sehen darf, und schreibt daraus die Zusammenfassung, die sonst jemand von Hand zusammenstellt.

Danach kommt das Wiederfinden. „Gab es gestern eine Voicemail von dieser Nummer?“ ist schneller gefragt als gesucht, vorausgesetzt, das Konto darf Voicemails und Aufzeichnungen sehen.

Wo Gespräche transkribiert werden, kann die KI aus den Transkripten die Fragen herausziehen, die Kunden immer wieder stellen, und daraus ein Dokument bauen. Hat eine Person es geprüft, wird es zur Wissensquelle für einen KI-Agenten von 3CX. So beschreibt 3CX den Ablauf selbst, mit der Prüfung als festem Schritt.

Für die IT ersetzt der Chat den ersten Blick in die Verwaltung: welche SIP-Trunks eingerichtet sind, welche Dienste laufen, was im Ereignisprotokoll steht.

Ändern lässt sich über den Chat auch einiges, etwa Agenten abmelden oder Gespräche beenden. In der Admin-Konsole oder der App ist das meist genauso schnell erledigt. Hier sehe ich weniger Nutzen und mehr Risiko.

Die wichtigste Entscheidung: mit welchem Konto die KI arbeitet

Der Server prüft jede Anfrage mit den Rechten des 3CX-Kontos, mit dem die Verbindung angemeldet wurde. Was dieses Konto in 3CX nicht darf, kann auch die KI nicht, egal wie sie fragt. Die Rolle in 3CX ist damit die Grenze, auf die Verlass ist.

3CX unterscheidet Rollen für die ganze Anlage und Rollen je Abteilung. Für die KI zählt vor allem, wer Aufzeichnungen und Berichte sieht:

Mit dem System Owner würde ich die KI nicht verbinden. Er ist laut 3CX die einzige Rolle für die ganze Anlage, die auch Aufzeichnungen, Transkripte, Chats und Anrufprotokolle sieht.

Seit Update 10 trennt 3CX außerdem die Rechte für Berichte und für Aufzeichnungen, das macht diese Aufteilung leichter. In SMB-Installationen von 3CX und für Mandanten einer Multi-Tenant-Anlage gibt es die beiden Rollen für die ganze Anlage allerdings nicht, dort bleiben nur die Rollen je Abteilung. Ob der MCP-Server dort überhaupt bereitsteht, beschreibt 3CX bisher nicht.

Welches Konto im eigenen Fall passt, Schritt für Schritt:

Am klarsten bleibt es, wenn sich jede Person mit dem eigenen Konto verbindet statt mit einem gemeinsamen Admin-Zugang. Die KI sieht dann nie mehr als die Person selbst.

Aus demselben Grund würde ich mit dem Server von 3CX anfangen und nicht mit einem der inoffiziellen aus der Community. Die arbeiten mit Admin-Zugangsdaten über die Configuration API und können teils mehr, etwa Benutzer anlegen, sehen aber alles, was der Admin sieht, egal wer fragt.

Den MCP-Server in vier Schritten einrichten

1. Adresse in 3CX kopieren

   In der Admin-Konsole unter Admin › Integrations › MCP Clients auf „Add MCP Client“ gehen und die Adresse des MCP-Servers genau so kopieren, wie 3CX sie anzeigt.

2. Verbindung im KI-Programm anlegen

   In Claude unter Customize › Connectors über „+ Add“ › „Add custom connector“ Namen und Adresse eintragen. In den Tarifen Team und Enterprise legt das ein Owner unter Organization settings › Connectors an, danach verbindet sich jede Person selbst. In ChatGPT legen Admins oder Owners des Arbeitsbereichs die Verbindung unter Plugins über das Plus und „Add custom MCP server“ an, mit Anmeldung per OAuth, und veröffentlichen sie dann für alle. Den Entwicklermodus, den die Anleitung von 3CX noch nennt, braucht es dafür laut OpenAI nicht mehr.

3. Mit einem 3CX-Konto anmelden

   Das KI-Programm öffnet die Anmeldeseite von 3CX. Dort mit dem Konto anmelden, dessen Rechte die KI bekommen soll, die angefragten Zugriffe ansehen und erlauben. Laut 3CX erscheint die Verbindung danach in der Admin-Konsole unter MCP Clients.

4. Freigaben setzen und testen

   Im KI-Programm für jedes Werkzeug festlegen, ob es ohne Rückfrage laufen darf (Abschnitt unten). Dann in einem neuen Chat fragen: „Wie viele Nebenstellen hat unsere Anlage?“

Für Claude Code im Terminal dokumentiert 3CX einen eigenen Weg. Im Projektordner die Verbindung hinzufügen, mit der kopierten Adresse statt der Beispieladresse:

claude mcp add --scope project --transport http 3CX "https://yourpbx.3cx.eu/mcp"

Danach claude starten, mit /mcp die Liste der Server öffnen, den Eintrag 3CX wählen und „Authenticate“. Die Anmeldung läuft dann wie oben im Browser; öffnet er sich nicht von selbst, die Adresse aus dem Terminal kopieren.

Gemini und GitHub Copilot nennt 3CX ebenfalls, ohne Anleitung. Microsoft 365 Copilot fehlt ganz. Dort lassen sich zwar seit dem 27. Oktober eigene MCP-Server anbinden (Copilot an eigene Programme anbinden), ob die Anmeldung von 3CX dazu passt, haben aber weder 3CX noch Microsoft beschrieben.

Wenn die Verbindung hakt

• Claude baut die Verbindung immer aus der Cloud von Anthropic auf, auch aus der Desktop-App. Ist die Anlage nur im Firmennetz oder per VPN erreichbar oder lässt die Firewall nur bestimmte Adressen durch, kommt Claude nicht an, bis die Adressbereiche von Anthropic freigegeben sind.
• Fragt die KI nach etwas, das das Konto nicht darf, meldet der Server einen Fehler. Das ist laut 3CX so gewollt; dann hilft ein Blick auf die Rolle, nicht auf die Verbindung.
• ChatGPT merkt sich die Werkzeuge eines Servers beim Veröffentlichen. Ändert 3CX sie mit einem Update, etwa mit der finalen Version von Update 10, können Aufrufe scheitern, bis ein Admin die Werkzeugliste in den Einstellungen des Arbeitsbereichs aktualisiert. Einen Hinweis darauf gibt ChatGPT laut OpenAI nicht.

Werkzeuge freigeben: lesen ja, ändern nur nach Rückfrage

Die Rolle legt fest, was die KI in 3CX darf. Ob sie es ohne Zustimmung tut, regelt eine zweite Sicherung im KI-Programm: Für jedes Werkzeug lässt sich einstellen, ob es ohne Rückfrage läuft, erst nach Bestätigung oder gar nicht. 3CX nennt die drei Stufen „Always allow“, „Needs approval“ und „Deny“. Zusätzliche Rechte in 3CX gibt diese Einstellung nicht. 3CX empfiehlt ausdrücklich, Werkzeuge, die etwas ändern, auf Bestätigung zu stellen oder ganz zu sperren. In ChatGPT Enterprise und Edu können Admins einzelne Werkzeuge zudem für den ganzen Arbeitsbereich abschalten; neue Werkzeuge eines Servers sind dort zunächst aus.

So würde ich es einstellen:

Wer nach ein paar Wochen weiß, welche Abfragen täglich laufen, kann einzelne davon auf „ohne Rückfrage“ stellen.

Datenschutz: Was die KI liest, geht an ihren Anbieter

Was die KI über den MCP-Server abruft, landet beim Anbieter des KI-Programms: Namen und Rufnummern von Anrufern, Inhalte von Voicemails und Transkripten. Bei Warteschlangen und Systemdaten sind das wenige personenbezogene Angaben, bei Aufzeichnungen ganze Gespräche. Bevor ein Konto mit Zugriff auf Aufzeichnungen verbunden wird, braucht es deshalb einen Vertrag zur Auftragsverarbeitung mit dem KI-Anbieter. OpenAI bietet ihn für ChatGPT Business, Enterprise und Edu an, Anthropic für Claude Team und Enterprise als Teil der kommerziellen Bedingungen. Tarife für Einzelpersonen wie Plus, Pro oder Max gehören bei beiden nicht dazu.

Berichte über einzelne Agenten sind Berichte über Mitarbeitende. Gibt es einen Betriebsrat, bestimmt er bei technischen Einrichtungen mit, die Verhalten oder Leistung der Mitarbeitenden überwachen sollen (§ 87 Abs. 1 Nr. 6 BetrVG). Ich würde ihn einbeziehen, bevor die KI Berichte zu einzelnen Personen schreibt.

Update 10 erst testen, Edition vor dem Kauf klären

3CX hat den MCP-Server am 30. Juli 2026 mit der ersten Alpha von Update 10 vorgestellt. Es folgten eine zweite Alpha, am 29. September die Beta, am 13. Oktober der Release Candidate und am 29. Oktober der zweite. Für Alpha und Beta schrieb 3CX ausdrücklich, sie gehörten nicht auf Produktivsysteme, für beide Release Candidates rät 3CX zum Test auf einem eigenen System vor der finalen Version. Wann sie erscheint, hat 3CX nicht genannt, nur dass Update 10 in den letzten Schritten ist.

Offen ist auch, welche Editionen den Server bekommen. Im Forum schrieb 3CX Anfang September, das sei noch in Diskussion. Mitte Oktober schrieb ein Mitarbeiter von 3CX, in der Beta sei der Server auch mit einer PRO-Lizenz verfügbar. Ob das für die finale Version gilt, blieb unbeantwortet. Wer gerade eine Lizenz verlängert oder neu kauft, sollte das beim Händler klären.

Ausprobieren lohnt sich trotzdem jetzt schon, auf einer zweiten Anlage: Bis zur finalen Version steht dann fest, mit welchen Rollen die KI arbeitet und welche Fragen etwas bringen.

Was jetzt zu tun ist

• Ein Testsystem auf Update 10 bringen und den MCP-Server dort verbinden.
• Für jede Aufgabe ein Konto mit der kleinsten passenden Rolle wählen, nie den System Owner.
• Werkzeuge, die etwas ändern, auf Bestätigung stellen, Sperrlisten und Call-Flow-Skripte sperren.
• Vor dem ersten Konto mit Zugriff auf Aufzeichnungen einen Business-Tarif mit Vertrag zur Auftragsverarbeitung wählen, vor Berichten über einzelne Personen den Betriebsrat einbeziehen, falls es einen gibt.
• Vor einem Lizenzkauf klären, welche Edition den Server in der finalen Version enthält.

Die Frage vom Montagmorgen beantwortet dann ein Chat, der mit dem Konto der Service-Leitung angemeldet ist und deshalb nur ihre Warteschlange sieht.