MCP erklärt: KI sicher an Ihre Systeme anbinden

Die Zeichnung oben ist eine Vereinfachung. Was dort MCP-Schicht heißt, ist in der Spezifikation ein MCP-Server, und die Kontrolle liegt an zwei Stellen. Der Server bestimmt, welche Werkzeuge es gibt und was sie dürfen. Die KI-Anwendung, in der Sie arbeiten, fragt Sie um Erlaubnis, bevor ein Werkzeug etwas tut. Beide Stellen müssen gut eingerichtet sein.

In diesem Artikel lesen Sie, was MCP ist und woher es kommt, wie es funktioniert, was ein MCP-Server anbieten kann, wie es sich zu einer gewöhnlichen Schnittstelle verhält, welche Risiken es gibt und wie Sie vernünftig damit anfangen. Alles zur Funktionsweise stammt aus der Spezifikation auf modelcontextprotocol.io, Version 2026-07-28.

Was ist MCP?

MCP steht für Model Context Protocol. Es ist ein offenes Protokoll, mit dem Anwendungen, die mit einem Sprachmodell arbeiten, auf feste Weise Datenquellen und Werkzeuge außerhalb anbinden. Die Spezifikation nennt drei Ziele: Kontext mit Sprachmodellen teilen, Werkzeuge und Fähigkeiten für KI-Systeme bereitstellen und Anbindungen bauen, die sich kombinieren lassen.

Anthropic hat MCP im November 2024 als offenen Standard veröffentlicht. Am 9. Dezember 2025 ging es an die Agentic AI Foundation, einen neuen Fonds unter der Linux Foundation, zusammen mit goose von Block und AGENTS.md von OpenAI. Laut der Linux Foundation hatten unter anderem Claude, Cursor, Microsoft Copilot, Gemini, VS Code und ChatGPT MCP übernommen, und es gab damals mehr als 10.000 veröffentlichte MCP-Server.

Die Idee übernimmt die Spezifikation vom Language Server Protocol, das regelt, wie Programmiersprachen in allerlei Entwicklungswerkzeugen funktionieren. MCP macht dasselbe für KI: ein Weg, um Kontext und Werkzeuge anzuschließen, statt einer eigenen Anbindung pro Modell und pro System.

Wie funktioniert MCP?

Es gibt drei Rollen. Sie sprechen miteinander in Nachrichten nach JSON-RPC 2.0, einem bestehenden Standard für den Austausch von Aufträgen und Antworten.

Die Nachrichten laufen über einen von zwei Standardwegen. Bei stdio startet die Anwendung den Server als Programm auf demselben Rechner, und beide sprechen über die Standardein- und -ausgabe. Bei Streamable HTTP ist jede Nachricht eine Anfrage an eine einzige Adresse des Servers, der woanders laufen kann.

Die Version vom 28. Juli 2026 hat MCP zustandslos gemacht. Es gibt kein Eröffnungsgespräch mehr, in dem Client und Server Absprachen treffen. Jede Anfrage trägt selbst die Protokollversion und das, was der Client kann. Wer einen Server baut oder auswählt, achtet also darauf, welche Versionen er unterstützt. Ältere Versionen funktionieren noch über eine Rückfallregel, die die Spezifikation beschreibt.

Was kann ein MCP-Server anbieten?

Ein Server kann drei Arten von Dingen anbieten. Der Unterschied liegt vor allem darin, wer sie in Gang setzt.

In die andere Richtung kann die Anwendung dem Server etwas zurückgeben. In der aktuellen Version ist das vor allem Elicitation: Der Server bittet den Nutzer um zusätzliche Angaben, etwa eine fehlende Kundennummer. Drei ältere Bestandteile, Roots, Sampling und Logging, stehen seit dem 28. Juli 2026 auf der Liste zum Wegfall. Sie funktionieren noch während einer Übergangszeit, die nach den Regeln von MCP in der Regel mindestens zwölf Monate dauert, aber neue Anbindungen sollen sie nicht mehr nutzen.

Werkzeuge sind laut Spezifikation dafür gedacht, vom Modell gesteuert zu werden. Das Modell sieht, welche Werkzeuge es gibt, und wählt selbst eines aus, je nach Ihrer Frage. Genau deshalb ist die Sicherheit der Werkzeuge das wichtigste Thema dieses Artikels.

Ist MCP etwas anderes als eine gewöhnliche Schnittstelle?

Ja und nein. Hinter den Kulissen ruft ein MCP-Server oft einfach die bestehende Schnittstelle eines Systems auf, die API. Der Unterschied liegt darin, wer die Anbindung benutzt. Eine gewöhnliche Anbindung folgt festen Regeln, die ein Entwickler geschrieben hat: Wenn dies passiert, folgt das. Mit MCP wählt ein Sprachmodell selbst, welches Werkzeug es mit welcher Eingabe nutzt. Das ist flexibler, aber Sie wissen vorher weniger genau, was passieren wird.

MCP ist auch etwas anderes als eine llms.txt. Das ist eine Textdatei auf einer Website, die KI-Assistenten sagt, was auf der Website steht. Damit kann ein Assistent Ihre Website lesen, aber nichts tun. Mit MCP kann ein Assistent in einem System handeln. Wie KI-Assistenten Ihre Website finden und lesen, steht in unserem Artikel über Sichtbarkeit in KI.

Was sagt die Spezifikation zur Sicherheit?

Die Spezifikation ist da deutlich: MCP ermöglicht Zugriff auf Daten und das Ausführen von Code, und wer damit baut, muss das sorgfältig regeln. Sie nennt drei Grundsätze:

• Zustimmung und Kontrolle. Nutzer müssen allen Datenzugriffen und Handlungen ausdrücklich zustimmen und sie verstehen. Sie behalten selbst die Kontrolle darüber, was geteilt und getan wird.
• Datenschutz. Die Anwendung muss ausdrücklich um Zustimmung bitten, bevor sie Daten des Nutzers einem Server zeigt, und darf Daten nicht ohne Zustimmung anderswohin senden.
• Sichere Werkzeuge. Werkzeuge bedeuten das Ausführen beliebigen Codes und verlangen Vorsicht. Beschreibungen dessen, was ein Werkzeug tut, gelten als nicht vertrauenswürdig, außer sie stammen von einem vertrauenswürdigen Server. Die Anwendung muss um Zustimmung bitten, bevor sie ein Werkzeug aufruft.

Wichtig ist der Satz, der darauf folgt: MCP kann diese Grundsätze auf der Ebene des Protokolls selbst nicht durchsetzen. Es hängt davon ab, wie Anwendung und Server gebaut sind. Die Spezifikation sagt außerdem, dass immer ein Mensch eingebunden sein sollte, der einen Werkzeugaufruf ablehnen kann, mit deutlichen Bestätigungsfragen. Ein Server muss alle Eingaben prüfen, den Zugriff regeln, die Zahl der Aufrufe begrenzen und die Ausgabe bereinigen. Eine Anwendung sollte bei heiklen Handlungen um Bestätigung bitten, die Eingabe zeigen, bevor sie ein Werkzeug aufruft, und die Nutzung von Werkzeugen protokollieren.

Welche Risiken gibt es, und was tun Sie dagegen?

Zu weite Rechte. Die Sicherheitshinweise von MCP beschreiben den Fall, dass jemand einen Schlüssel mit weiten Rechten stiehlt, etwa für alle Dateien oder die ganze Datenbank. Ihr Rat: Beginnen Sie mit minimalen Rechten nur zum Lesen und Entdecken, und fordern Sie mehr erst an, wenn eine Handlung es braucht. Verwenden Sie keine Platzhalter wie alles oder Vollzugriff.

Anweisungen in Daten. Ein Modell, das Mails, Dokumente oder Webseiten liest, kann dort auf Text stoßen, der sich als Auftrag ausgibt. OWASP nennt das in seiner Liste der Risiken für Sprachmodelle indirekte Prompt Injection und schreibt, dass unklar ist, ob man sie ganz verhindern kann. OWASP rät unter anderem zu minimalen Rechten, zur Freigabe riskanter Aktionen durch einen Menschen und dazu, externe Inhalte getrennt zu halten und als solche zu kennzeichnen.

Ein nicht vertrauenswürdiger Server. Ein lokaler MCP-Server ist ein Programm, das auf Ihrem eigenen Rechner läuft, mit denselben Rechten wie die Anwendung. Die Spezifikation verlangt, dass eine Anwendung, die einen solchen Server mit einem Klick installiert, zuerst den vollständigen Befehl zeigt, der ausgeführt wird, und um ausdrückliche Zustimmung bittet. Sie empfiehlt, solche Server mit möglichst wenigen Rechten abzuschirmen.

Anmelden. Autorisierung ist in MCP optional. Nutzt ein Server einen Weg über HTTP, sollte er die Regeln zur Autorisierung befolgen, die auf OAuth 2.1 beruhen. Ein Server darf dann nur Schlüssel annehmen, die für ihn ausgestellt wurden, und darf sie nicht an ein anderes System weiterreichen. Bei einem lokalen Server über stdio kommen die Zugangsdaten aus der Umgebung des Rechners.

Wie fangen Sie vernünftig an?

1. Wählen Sie eine Aufgabe mit klarem Nutzen, etwa Anfragen mit Daten aus Ihrer Kundenliste ergänzen oder Unterlagen aus einem Ordner zusammenfassen.
2. Schreiben Sie auf, welche Aktionen die Aufgabe braucht, und welche nicht. Was nicht auf der Liste steht, bekommt die Anbindung nicht.
3. Beginnen Sie nur mit Lesen, wo es geht. Schreiben, Senden und Löschen kommen später, und nur mit Bestätigung.
4. Geben Sie der Anbindung ein eigenes Konto mit eigenen Rechten, nicht den Zugang eines Administrators.
5. Wählen Sie den Server mit Sorgfalt. Am besten einen vom Anbieter des Systems selbst, oder einen, den Sie bauen lassen und einsehen können.
6. Testen Sie mit Testdaten, bevor Sie echte Kundendaten anschließen.
7. Führen Sie ein Protokoll und prüfen Sie in den ersten Wochen jedes Ergebnis. Das schafft Vertrauen und liefert die Beispiele, um die Anbindung zu verbessern.
8. Erst danach kommt die nächste Aufgabe. So wächst ein Ganzes, das Sie verstehen, statt eines Wildwuchses, den niemand überblickt.

So beginnen unsere KI-Integrationen: klein, bei einem Prozess, auf dem, was schon läuft, und mit einem Menschen, der freigibt. Mehr über KI, die selbst Schritte ausführt, lesen Sie in unserem Artikel über KI-Agenten.

Wo bleiben Ihre Daten?

MCP regelt, wie eine KI-Anwendung mit einem Server spricht, nicht, wo Ihre Daten verarbeitet werden. Was ein Werkzeug zurückgibt, geht an das Sprachmodell, das Sie nutzen, und dieses Modell läuft beim Anbieter Ihrer Wahl. Wohin Ihre Daten gehen, hängt also von drei Entscheidungen ab: welche KI-Anwendung, welches Modell und welcher Server. Halten Sie das pro Anbindung fest. Arbeiten Sie mit personenbezogenen Daten, prüfen Sie auch, welche Vereinbarungen Sie mit jeder Partei haben.

Wann das nicht gilt

Müssen zwei Systeme immer dasselbe miteinander tun, etwa eine neue Bestellung an die Buchhaltung weitergeben, ist eine gewöhnliche Anbindung oder Automatisierung oft einfacher und berechenbarer als ein Sprachmodell, das selbst wählt. MCP lohnt sich dort, wo die Frage jedes Mal anders ist und ein Assistent wählen muss, welche Information oder Aktion passt. Mehr zu dieser Abwägung lesen Sie unter KI-Automatisierung.

Haben Sie Daten, die Sie mit keinem KI-Anbieter teilen dürfen oder wollen, hilft MCP Ihnen nicht: Es regelt die Verbindung, nicht die Verarbeitung. Dann lautet die erste Frage, welches Modell Sie nutzen dürfen, nicht, wie Sie es anbinden.

Was wir nicht wissen: Die Spezifikation ändert sich noch. Die Version vom 28. Juli 2026 hat unter anderem die Sitzungen und das Eröffnungsgespräch aus dem Protokoll entfernt. Was hier steht, gilt für diese Version. Wir haben auch nicht gemessen, wie viel Zeit eine MCP-Anbindung einem Unternehmen spart, und nennen deshalb keine Zahl.

Welche Anbindung würde Ihnen Zeit verschaffen? Nennen Sie das System, in dem Ihr Team am meisten arbeitet, dann skizzieren wir einen sicheren ersten Schritt. Anbindungen, Code und Zugangsdaten laufen auf Ihren Namen; mehr unter KI-Integrationen. Sie arbeiten direkt mit Nawid zusammen; für jedes Projekt stellt er ein festes Team von Spezialisten zusammen.