KI-Rechnungserfassung für Dynamics 365 On-Premises: ohne eingehende Verbindungen.

Wer Microsoft Dynamics 365 Finance & Operations im eigenen Rechenzentrum betreibt, kann Eingangsrechnungen trotzdem per KI erfassen und kontieren lassen. ORIMIZE arbeitet mit SAP, Microsoft Dynamics 365, DATEV und weiteren ERP-Systemen, in der Cloud oder im eigenen Rechenzentrum; für ein ERP im eigenen Rechenzentrum genügt ein kleiner Connector, der sich selbst aktualisiert. Diese Seite beschreibt, wie ORIMIZE Intelligent Invoice Capture (IIC) ein Dynamics On-Premises anbindet: die Architektur des Connectors, welche Daten wo verarbeitet werden, welche Fragen Ihre IT-Sicherheit stellen wird und wie Sie zum Go-live kommen. Warum KI-Projekte im On-Premises-Umfeld so oft gar nicht erst starten, lesen Sie im Beitrag KI im On-Premises-ERP.

Warum ist KI-Rechnungserfassung mit Dynamics 365 On-Premises schwierig?

Weil Microsoft die passenden KI- und Automatisierungsdienste für Finance & Operations aus der Cloud bereitstellt. Eine On-Premises-Installation, oft Local Business Data (LBD) genannt, läuft laut Microsoft lokal im Rechenzentrum des Kunden oder Partners; Geschäftsdaten und Prozesse sind vom Cloud-Betrieb getrennt. Für den Rechnungseingang heißt das:

Microsoft-Dienst	Aussage auf Microsoft Learn (Stand Oktober 2026)
Electronic Invoicing service	Die aktuelle Plattform unterstützt keine On-Premises-Versionen von Finance, Supply Chain Management und Project Operations. Eine Unterstützung ist auch nicht geplant.
Invoice capture	Läuft als Lösung in der Microsoft Power Platform mit AI Builder und Dataverse. Offiziell unterstützt werden nur integrierte Power-Platform-Umgebungen. Ein On-Premises-Szenario beschreibt die Dokumentation nicht.
Copilot-Funktionen und KI-Agenten	In der Gegenüberstellung von Cloud und On-Premises für On-Premises mit „Nein“ geführt.
Advanced Analytics und Azure Machine Learning	Im On-Premises-Bereitstellungsmodell nicht enthalten.

Dazu kommt die Netzwerkfrage. Viele Cloud-Lösungen erwarten, dass sie das ERP von außen erreichen. Für ein Dynamics im eigenen Rechenzentrum hieße das, eingehende Verbindungen zu Dynamics oder AD FS freizugeben, und genau das will die IT-Sicherheit in der Regel vermeiden.

Wie funktioniert der ORIMIZE On-Premises Connector?

Der ORIMIZE On-Premises Connector ist ein Windows-Dienst in Ihrem Netz, der ausschließlich ausgehende HTTPS-Verbindungen aufbaut. Er öffnet keinen eingehenden Port, sondern holt Aufträge bei ORIMIZE ab und führt sie lokal gegen Ihr ERP aus. Die folgenden Details beschreiben die Anbindung an Dynamics 365.

ORIMIZE-Plattform  <-- HTTPS 443, ausgehend --  Connector  -->  Dynamics 365 F&O, AD FS
                                                    |
                                                    +-- lokale Zertifikate und Secrets

• Aufträge abholen statt annehmen. Der Connector meldet regelmäßig seinen Zustand, übernimmt einen Auftrag mit einer zeitlich begrenzten Lease, lädt ein kurzlebiges Auftragsartefakt und führt es aus. Jeder Auftrag an den Connector ist signiert.
• Lokal schreiben. Je nach freigegebenem Ziel schreibt der Connector über OData oder das Data Management Framework (DMF) in Dynamics. Die Wahl wird pro Ziel festgelegt, ein automatischer Wechsel im Fehlerfall findet nicht statt.
• Anmeldung über AD FS. Für den Connector richten Sie eine eigene AD-FS-Anwendung ein, bevorzugt mit Zertifikat. Der technische Benutzer in Dynamics erhält nur die Rollen für die benötigten Entities oder Datenprojekte.
• Ausfallsicher. Für Hochverfügbarkeit laufen mindestens zwei Instanzen auf getrennten Hosts in einer Connector-Gruppe. Idempotency-Keys verhindern doppelte Buchungen nach Timeout oder Failover.
• Aktualisiert sich selbst, im Wartungsfenster. Der Connector kommt als signiertes Installationspaket. Neue Versionen installiert eine geplante Aufgabe im Wartungsfenster, mit Prüfung der Signatur, Funktionstest und Rückfall auf die vorherige Version.

In Dynamics arbeitet Ihre Buchhaltung wie in der Cloud: Das IIC-Modul bringt einen eigenen Arbeitsbereich für Kreditorenrechnungen, die Übergabe in Journale und den Dynamics-Workflow mit. Die vollständige technische Einrichtung beschreibt die Academy unter Dynamics 365 einrichten.

Was läuft wo? Der Datenfluss im Überblick

Dynamics, seine Datenbank und die Buchung bleiben in Ihrem Rechenzentrum. Die Belege selbst werden dort nicht verarbeitet, sondern auf der ORIMIZE-Plattform in europäischen Rechenzentren.

Was	Wo	Hinweis
Dynamics 365 F&O, Datenbank, Buchung	Ihr Rechenzentrum	Gebucht wird weiterhin in Dynamics.
ORIMIZE On-Premises Connector	Windows-Host in Ihrem Netz	Schreibt lokal in Dynamics.
AD-FS-Secrets, Zertifikate, Dienstkonto	Connector-Host	Werden nie an ORIMIZE übertragen.
Rechnungseingang	ORIMIZE-Plattform	Microsoft-365-Postfächer und SharePoint über Microsoft Graph, REST-API
Erfassung, Prüfung, Kontierung	ORIMIZE-Plattform	Bearbeitung durch die Buchhaltung im IIC-Arbeitsbereich in Dynamics
Freigabe	ORIMIZE Workflow-App oder Dynamics-Workflow	Workflow-App im Browser und per E-Mail
KI-Anfragen	Microsoft Foundry, EU-Datenzone	E-Rechnungen werden ohne KI gelesen; KI-Modelle werden damit nicht trainiert.
Stammdaten wie Kreditoren, Sachkonten, Finanzdimensionen	aus Dynamics gelesen, bei ORIMIZE genutzt	Grundlage für Abgleich und Kontierung
Originalbelege und Audit-Log	ORIMIZE-Plattform	SHA-256-Prüfsumme, Zweitkopie mit Aufbewahrungssperre
Betriebsdaten des Connectors	ORIMIZE-Plattform	Heartbeat, Auftragsstatus, technische Fehlercodes

Strukturierte E-Rechnungen wie XRechnung, ZUGFeRD/Factur-X und Peppol BIS liest ORIMIZE direkt aus dem XML. Die KI liest PDF-Rechnungen. Sachkonto und Finanzdimensionen je Position schlägt sie erst vor, wenn weder eine feste Vorgabe noch eine gelernte Routine greift. Was ORIMIZE aus den Korrekturen Ihres Teams lernt, gilt nur für Ihr Unternehmen.

Welche Fragen stellt Ihre IT-Sicherheit?

Die Antworten stammen aus der Einrichtungsdokumentation des Connectors. Die konkreten Zieladressen nennt ORIMIZE bei der Bereitstellung je Umgebung.

Frage	Antwort
Welche Verbindungen braucht der Connector?	Nur ausgehende, normalerweise TCP 443: zur ORIMIZE-API (Registrierung, Heartbeat, Aufträge), zum Endpunkt für Auftragsartefakte, intern zu AD FS und Dynamics sowie zu CRL- und OCSP-Zielen. Exakte FQDNs statt Wildcards.
Funktioniert das mit Proxy und TLS-Inspektion?	Ja, wenn der Dienstkontext den Proxy nutzen kann und die Root-CA der Inspektion im Computer-Zertifikatsspeicher vertrauenswürdig ist. Die Zertifikatsprüfung bleibt aktiv, mindestens TLS 1.2.
Unter welchem Konto läuft der Dienst?	Unter einem Group Managed Service Account (gMSA) mit dem Recht „Anmelden als Dienst“, ohne lokale Administratorrechte und nicht als LocalSystem.
Wo liegen die Zugangsdaten zu Dynamics?	Lokal: private Schlüssel im Windows-Zertifikatsspeicher, Secrets im Secretspeicher des Connectors, verschlüsselt per DPAPI. Sie gehören weder ins ORIMIZE-Portal noch in Tickets oder Logs.
Was steht in den Logs?	Dokument- und Auftrags-IDs sowie Fehlercodes, keine Nutzdaten, Tokens, Passwörter oder Schlüssel.
Welche Dynamics-Version wird vorausgesetzt?	Version und Plattform-Update müssen in der Kompatibilitätsmatrix des jeweiligen Connector-Releases freigegeben sein. Custom Entities und Hotfix-Stand gehören in den Abnahmetest.
Wie kommen die Rechnungen herein?	ORIMIZE ruft Microsoft-365-Postfächer und SharePoint über Microsoft Graph ab oder nimmt Dateien über die REST-API an. Klären Sie früh, wo Ihre Rechnungspostfächer liegen.

Wie die Plattform Daten schützt, beschreibt die Seite Plattform.

Was gilt für GoBD und Aufbewahrung?

An den GoBD-Mechanismen ändert die Betriebsart nichts. Gebuchte Belege lassen sich nicht löschen, nur mit Begründung stornieren. Das Audit-Log nimmt nur neue Einträge an; Änderungen und Löschungen lehnt die Datenbank ab. Originale werden mit SHA-256-Prüfsumme gespeichert, eine Zweitkopie liegt mit Aufbewahrungssperre bis Ende des achten Jahres. Bei Vertragsende erhalten Sie alle Originale als Export mit Prüfsummen. Die Verfahrensdokumentation bleibt Aufgabe Ihres Unternehmens; beschreiben Sie dort auch den Connector als Schnittstelle. Hintergründe lesen Sie im Beitrag GoBD im automatisierten Rechnungseingang.

Welcher Tarif enthält die On-Premises-Anbindung?

Die Anbindung eines ERP im eigenen Rechenzentrum über den Connector, hier Dynamics 365 On-Premises, ist im Tarif Enterprise enthalten. Dazu gehören Sachkonto und Finanzdimensionen je Position per KI, unbegrenzte Workflow-Nutzer und die Integrations-API für die Freigabe. Eine Unit ist enthalten, weitere Units zählen nur in Monaten, in denen sie Rechnungen hatten. Dubletten derselben Datei und Rechnungen in Testumgebungen werden nicht berechnet. Abgerechnet wird nach Nutzung, direkt, künftig auch über den Microsoft Marketplace; die aktuellen Preise und den Preisrechner finden Sie unter Preise.

Wie kommen Sie zum Go-live?

Einrichtung und ERP-Anbindung übernimmt das ORIMIZE-Team gemeinsam mit Ihrer IT, die Host, Dienstkonto und AD-FS-Anwendung bereitstellt.

1. Erstgespräch: Belegarten, Volumen, Eingangskanäle, Freigabewege und Ihr Dynamics-Setup klären.
2. Vorprüfung: DNS und TCP 443 zu ORIMIZE, AD FS und Dynamics testen, gMSA anlegen, die Dynamics-Version mit der Kompatibilitätsmatrix abgleichen.
3. AD FS und Rollen: eigene AD-FS-Anwendung einrichten, bevorzugt mit Zertifikat und getrennt für Test und Produktion, und dem technischen Benutzer nur die nötigen Rollen geben.
4. Installation: das signierte Installationspaket installieren und den Dienst unter dem gMSA starten.
5. Registrierung: Connector-Gruppe und Zielsystem im ORIMIZE-Portal anlegen, den Connector mit einem Einmal-Token registrieren und das lokale Dynamics-Profil konfigurieren.
6. Verbindungstest: Heartbeat im Portal prüfen, dann den Test über die Stufen DNS, Token und OData.
7. Testlauf ohne Buchung: echte Belege im Debug-Modus verarbeiten, dann eine Testrechnung mit Kopf und Zeilen in die Dynamics-Testumgebung übertragen und Wiederholung sowie Ausfall einer Instanz durchspielen. Messen Sie dabei, wie viele Rechnungen ohne Korrektur durchlaufen.
8. Produktivstart: das produktive Ziel nach technischer und fachlicher Freigabe aktivieren.

Wie schnell es live geht, hängt von Belegarten, Eingangskanälen und Freigaben ab. Gern zeigen wir den Ablauf an Ihren eigenen Belegen in einer Demo.

Wann passt dieser Ansatz nicht?

• Kein Beleg darf das Haus verlassen. Schließen Ihre Vorgaben jede Verarbeitung außerhalb des eigenen Rechenzentrums aus, passt ORIMIZE nicht: Erfassung und KI laufen auf der ORIMIZE-Plattform und über Microsoft Foundry in der EU-Datenzone.
• Der Wechsel in die Cloud steht kurz bevor. Dann lohnt es, nach der Migration auch die Microsoft-Dienste zu bewerten, etwa Invoice capture; einen Faktenvergleich finden Sie unter Microsoft-Standard oder Alternative. ORIMIZE arbeitet in beiden Betriebsarten weiter.
• Rechnungen kommen als Fotos oder Bilddateien. ORIMIZE IIC verarbeitet PDF-Dateien, auch gescannt, und XML-Dateien bis 25 MB, keine Bilddateien.

Betreiben Sie neben Dynamics ein weiteres ERP im eigenen Rechenzentrum, etwa SAP, bindet ORIMIZE es ebenfalls über einen kleinen Connector an, der sich selbst aktualisiert; Einrichtung und Anbindung übernimmt das ORIMIZE-Team. Einen Überblick über KI mit Dynamics 365 gibt KI für Microsoft Dynamics 365, über KI mit jedem ERP KI in der Buchhaltung.

Quellen

• Microsoft Learn: Electronic Invoicing service FAQ, https://learn.microsoft.com/en-us/dynamics365/finance/localizations/global/gs-e-invoicing-faq
• Microsoft Learn: Invoice capture solution overview, https://learn.microsoft.com/en-us/dynamics365/finance/accounts-payable/invoice-capture-overview
• Microsoft Learn: Install the Invoice capture solution, https://learn.microsoft.com/en-us/dynamics365/finance/accounts-payable/install-invoice-capture
• Microsoft Learn: Comparison of cloud and on-premises features, https://learn.microsoft.com/en-us/dynamics365/fin-ops-core/dev-itpro/get-started/cloud-prem-comparison
• Microsoft Learn: Deployment options, https://learn.microsoft.com/en-us/dynamics365/fin-ops-core/dev-itpro/deployment/choose-deployment-type

Stand: Oktober 2026.