Model Context Protocol: der offene Standard für KI-Werkzeuge

Wenn Sie in Ihrem Betrieb die IT verantworten oder über KI-Anschaffungen entscheiden, begegnet Ihnen das Kürzel MCP in Angeboten, Produktbeschreibungen und Fragen aus dem eigenen Team. Hinter ihm steht ein offener Standard dafür, wie eine KI-Anwendung an Ihre Daten und Programme angeschlossen wird. Dieser Artikel ordnet ein, was der Standard Ihrem Unternehmen abnimmt und was nicht.

MCP vereinheitlicht den Anschluss, nicht die Erlaubnis.

Welche Daten ein KI-System sehen und was es in Ihren Programmen tun darf, entscheiden weiterhin Sie, und zwar bei jedem Server, den Sie anschließen.

Was das Model Context Protocol ist

Das Model Context Protocol (MCP) ist eine offene Spezifikation dafür, wie KI-Anwendungen mit externen Datenquellen und Werkzeugen sprechen. Anthropic hat es am 25. November 2024 als Open Source veröffentlicht; entwickelt haben es David Soria Parra und Justin Spahr-Summers. Technisch tauschen die Beteiligten Nachrichten im Format JSON-RPC 2.0 aus. Als Anregung nennt die Spezifikation das Language Server Protocol, das in der Softwareentwicklung regelt, wie ein Editor Unterstützung für beliebige Programmiersprachen bekommt, ohne für jede Sprache neu gebaut zu werden.

MCP-Server

Ein Programm, das einer KI-Anwendung einen bestimmten Ausschnitt Ihrer IT zugänglich macht: eine Datenbank, eine Dateiablage, ein Ticketsystem. Für Sie ist der Server die Stelle, an der festgelegt wird, was die KI dort lesen und auslösen kann. Er läuft entweder auf dem Rechner der Nutzerin oder als Dienst im Netz.

MCP-Host

Die KI-Anwendung, mit der Ihre Mitarbeitenden arbeiten, etwa ein Chatassistent oder eine Entwicklungsumgebung. Der Host baut die Verbindungen zu den Servern auf und ist dafür zuständig, vor dem Zugriff um Zustimmung zu fragen. Ob er das gut macht, entscheidet über die Sicherheit ebenso wie der Server selbst.

Welches Problem MCP löst

MCP ersetzt viele Einzelanbindungen durch eine gemeinsame Schnittstelle. Ohne Standard braucht jede Kombination aus KI-Anwendung und System eine eigene Anbindung; wer drei KI-Anwendungen mit vier Systemen verbinden will, pflegt im ungünstigen Fall zwölf.

Ohne gemeinsamen Standard

Jeder Anbieter einer KI-Anwendung baut seine eigene Anbindung an Ihr Warenwirtschaftssystem, Ihre Ablage, Ihr Ticketsystem und Ihre Buchhaltung. Wechseln Sie die Anwendung, beginnen die Anbindungen von vorn, und jede hat ihre eigene Rechteverwaltung.

Mit MCP

Für jedes System gibt es einen Server, den jede KI-Anwendung nutzen kann, die MCP unterstützt. Im Rechenbeispiel sind das vier Server statt zwölf Anbindungen, sofern alle drei Anwendungen MCP unterstützen. Ein Wechsel der KI-Anwendung lässt die Server stehen.

Der Gewinn liegt weniger in der ersten Anbindung als in der zweiten und dritten. Wer genau eine KI-Anwendung mit genau einem System verbinden will und keinen Wechsel plant, kommt mit einer direkten Schnittstelle unter Umständen einfacher ans Ziel.

Was ein MCP-Server anbietet

Ein Server kann einer KI-Anwendung drei Arten von Bausteinen anbieten, und sie unterscheiden sich darin, wer ihren Einsatz auslöst. Diese Unterscheidung ist für Ihre Risikobewertung wichtiger als die Technik dahinter.

	Werkzeuge (Tools)	Ressourcen (Resources)	Vorlagen (Prompts)
Was es ist	Funktionen, die etwas tun: einen Datensatz anlegen, eine Abfrage ausführen, eine Datei schreiben	Inhalte, die als Kontext dienen: eine Datei, ein Datensatz, ein Verlauf	vorbereitete Anweisungen, etwa „Angebot prüfen“ als Menüpunkt
Wer es auslöst	das Sprachmodell selbst	die KI-Anwendung	die Person, die sie bedient
Was im Fehlerfall passiert	eine falsche Handlung in Ihrem System	falsche oder zu viele Daten im Kontext, darunter versteckte Anweisungen aus fremden Inhalten	eine falsche Anweisung, die ein Mensch gewählt hat

Werkzeuge sind damit der heikle Teil. Die Spezifikation hält ausdrücklich fest, dass sie beliebigen Code ausführen und mit entsprechender Vorsicht zu behandeln sind. Ein Server, der nur liest, ist eine andere Entscheidung als einer, der in Ihrer Buchhaltung schreiben darf, auch wenn beide über dasselbe Protokoll laufen.

Was MCP nicht regelt

MCP beschreibt, wie Anwendung und Server miteinander sprechen; ob ein Zugriff erlaubt ist, entscheidet es nicht. Die Spezifikation formuliert Grundsätze für Zustimmung, Datenschutz und den Umgang mit Werkzeugen und sagt zugleich, dass das Protokoll selbst sie nicht durchsetzen kann. Umsetzen müssen sie die Anwendungen und Server, die Sie einsetzen.

Zustimmung

Nutzer sollen jedem Datenzugriff und jeder Aktion ausdrücklich zustimmen und verstehen, worum es geht. Vor jedem Aufruf eines Werkzeugs soll die Anwendung fragen, und eine Person soll jeden Aufruf ablehnen können.

Weitergabe von Daten

Die Anwendung soll Daten nur mit Zustimmung an einen Server geben und Inhalte von dort nicht ohne Zustimmung weiterreichen. Wer Zugriff auf welche Daten hat, regeln Zugriffskontrollen, die jemand einrichten muss.

Selbstauskunft der Server

Ein Server kann seine Werkzeuge als „nur lesend“ oder „nicht zerstörerisch“ kennzeichnen. Diese Angaben sind laut Spezifikation Hinweise, die eine Anwendung als nicht vertrauenswürdig behandeln muss, solange der Server es nicht ist.

Für Zugänge über das Netz beschreibt die Spezifikation ein Anmeldeverfahren auf Grundlage von OAuth 2.1. Es ist optional. Startet die KI-Anwendung einen Server direkt auf dem Rechner einer Person, holt er seine Zugangsdaten aus der Umgebung, in der er läuft, und arbeitet mit denselben Rechten wie die Anwendung.

Die Sicherheitsrisiken, die Sie kennen sollten

Ein zentrales Risiko entsteht nicht in einem einzelnen Server, sondern in der Kombination mehrerer. Der Entwickler Simon Willison hat am 16. Juni 2025 drei Fähigkeiten benannt, die zusammen einen Datendiebstahl möglich machen: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Möglichkeit, nach außen zu kommunizieren. Ein Sprachmodell kann Anweisungen, die ein Angreifer in einer Mail, einer Webseite oder einem Kalendereintrag versteckt, nicht zuverlässig von Ihren eigenen unterscheiden; das ist Prompt Injection. Ein Beitrag im Blog des MCP-Projekts vom 16. März 2026 zieht daraus den Schluss: Weil Nutzer Werkzeuge mehrerer Server in einer Sitzung kombinieren, ist das Risiko eine Eigenschaft der Sitzung, nicht eines einzelnen Servers.

Risiko	Was passiert	Was dagegen hilft
Prompt Injection über Werkzeuge	Ein Werkzeug liest einen präparierten Inhalt, das Modell folgt den darin versteckten Anweisungen und gibt mit einem anderen Werkzeug Daten nach außen.	Server, die fremde Inhalte lesen, nicht in derselben Sitzung mit Zugriff auf vertrauliche Daten und einem Weg nach außen kombinieren; Aufrufe mit Außenwirkung bestätigen lassen.
Lokaler Server mit Schadcode	Ein heruntergeladener Server führt beim Start Befehle mit den Rechten der Nutzerin aus, etwa um Schlüssel zu kopieren.	Nur Server aus geprüfter Quelle; vor der Einrichtung den vollständigen Startbefehl anzeigen lassen; Server mit eingeschränkten Rechten, abgeschottet vom übrigen System betreiben.
Zu breite Rechte	Ein Server bekommt beim ersten Anmelden alle Rechte, die er anbietet. Gerät der Zugangsschlüssel in falsche Hände, reicht er für alles, was diese Rechte erlauben.	Mit Leserechten beginnen und weitere Rechte erst anfordern, wenn eine Aufgabe sie braucht; die Spezifikation empfiehlt dieses gestufte Vorgehen.
Weitergereichte Zugangsschlüssel	Ein Server nimmt einen Schlüssel an, der nicht für ihn ausgestellt wurde, und reicht ihn an ein anderes System weiter. Protokolle zeigen dann einen falschen Absender, und es lässt sich schwer nachvollziehen, wer zugegriffen hat.	Die Spezifikation verbietet das: Ein Server darf nur Schlüssel annehmen, die für ihn ausgestellt wurden. Fragen Sie Anbieter, wie sie das umsetzen.

Durchsetzen kann das Protokoll keine dieser Maßnahmen; das leisten Anwendung, Server und Betrieb. Der Beitrag hält selbst fest, dass die Kennzeichnungen an Werkzeugen ein Modell nicht vor Prompt Injection schützen; wer eine Garantie braucht, dass ein Werkzeug keine Daten nach außen gibt, braucht Netzwerkregeln oder eine abgeschottete Umgebung.

Worauf Sie bei Auswahl und Betrieb achten

Vor dem ersten MCP-Server zählen Herkunft, Rechte, Zusammenspiel mit anderen Servern, das Verhalten der Anwendung und die Pflege.

1. Woher stammt der Server? Die offizielle MCP Registry ist ein Verzeichnis öffentlich zugänglicher Server und prüft, dass ein Eintrag vom angegebenen Konto oder der angegebenen Domain stammt. Den Code der Server prüft sie nach eigener Aussage nicht selbst auf Sicherheit, sondern überlässt das Paketverzeichnissen wie npm oder PyPI und nachgelagerten Verzeichnissen; die Registry war am 14. Oktober 2026 als Vorschau gekennzeichnet.
2. Welche Werkzeuge bietet er an, und welche davon schalten Sie frei? Ein Server bringt seine Werkzeuge als Paket mit. Ob ein Werkzeug nur liest oder auch schreibt, löscht oder nach außen sendet, steht in seiner Selbstauskunft; prüfen müssen Sie es trotzdem, bevor Sie es für die Anwendung freigeben.
3. Mit welchen anderen Servern läuft er zusammen? Ein harmloser Server wird riskant, wenn in derselben Sitzung einer fremde Inhalte liest und ein anderer Daten versenden kann.
4. Fragt die Anwendung vor dem Handeln? Prüfen Sie, ob der Host Werkzeugaufrufe anzeigt, vor Aktionen mit Folgen um Bestätigung bittet und die Aufrufe protokolliert.
5. Nach welcher Fassung der Spezifikation arbeitet er? Server und Anwendung müssen eine gemeinsame Fassung sprechen. Ein Server, der auf einer älteren Fassung stehen bleibt, kann den Anschluss verlieren, wenn die Anwendung veraltete Merkmale nach Ablauf der Übergangsfrist nicht mehr unterstützt.

Für eigene Server stellt das Projekt offizielle Entwicklungsbibliotheken unter anderem für TypeScript, Python, C#, Java und Go bereit. Eigene Server lohnen sich vor allem für eigene Systeme, für die kein Hersteller einen anbietet; für verbreitete Programme ist zuerst zu prüfen, ob der Hersteller selbst einen pflegt.

Wer MCP weiterentwickelt

Über die technische Richtung von MCP entscheiden seine Betreuer; das Protokoll selbst liegt seit dem 9. Dezember 2025 bei der Agentic AI Foundation der Linux Foundation, an die Anthropic es übergeben hat. Die Stiftung entscheidet über Budget und neue Projekte, nicht über die technische Richtung. Nach Angaben der Betreuer zu diesem Zeitpunkt unterstützten unter anderem ChatGPT, Claude, Cursor, Gemini, Microsoft Copilot und Visual Studio Code das Protokoll.

Für Ihre Planung zählt, wie sich die Spezifikation verändert. Jede Fassung trägt als Kennung das Datum der letzten Änderung, die mit älteren Fassungen bricht. Die Fassung vom 28. Juli 2026 hat den Verbindungsaufbau grundlegend umgestellt; für Server und Anwendungen, die auf der Fassung vom 25. November 2025 oder einer früheren beruhen, beschreibt sie einen Weg zur Abwärtskompatibilität. Mit derselben Fassung wurde festgelegt, dass ein als veraltet markiertes Merkmal mindestens zwölf Monate in der Spezifikation bleibt, unter einer Ausnahmeregel für beschleunigtes Entfernen mindestens neunzig Tage. Wer MCP-Server betreibt, plant deshalb Aktualisierungen ein wie bei jeder anderen Schnittstelle.

Stand der Angaben

Die Angaben geben den Stand vom 14. Oktober 2026 wieder, geprüft an der Spezifikation in der Fassung vom 28. Juli 2026 und den Sicherheitshinweisen auf modelcontextprotocol.io, am Beitrag der MCP-Betreuer vom 9. Dezember 2025 zur Übergabe an die Agentic AI Foundation, am Beitrag im Blog des MCP-Projekts vom 16. März 2026 zu Werkzeug-Kennzeichnungen, am Beitrag von Simon Willison vom 16. Juni 2025 und an der Ankündigung von Anthropic vom 25. November 2024. Die Spezifikation entwickelt sich weiter; vor einer Entscheidung lohnt ein Blick auf die jeweils gültige Fassung.

Wann sich MCP für Ihr Unternehmen lohnt

MCP lohnt sich, sobald mehr als eine KI-Anwendung an dieselben Systeme soll oder Sie sich den Wechsel der KI-Anwendung offenhalten wollen. Dann wird aus vielen Einzelanbindungen ein Satz von Servern, den Sie einmal prüfen und dessen Rechte Sie je Server festlegen statt je Anbindung.

Der Standard macht die Anbindung leichter, nicht die Entscheidung darüber. Sobald ein KI-System über Werkzeuge in Ihren Programmen handelt, steht es auf der Stufe, die unser Artikel zu den Reifegraden von KI-Systemen als Assistenten mit Werkzeugen beschreibt, mit den Fragen nach Rechten und Aufsicht, die dort beginnen. Ob ein Werkzeugaufruf das Richtige tut, lässt sich prüfen wie jede andere Antwort; wie, beschreibt der Artikel zu Evals für KI-Anwendungen.

Welche Ihrer Systeme sich für eine Anbindung über MCP eignen und welche Rechte sie dabei bekommen sollten, klären wir in einer Beratung.