Kurzantwort: Was ist MCP?
Ein Sprachmodell weiß von sich aus nichts über Ihr Unternehmen und kann nichts auslösen. Damit ein KI-Assistent Ihre Preisliste nachschlägt oder einen Termin einträgt, braucht er eine Verbindung zu diesen Systemen. MCP legt fest, wie diese Verbindung aussieht: welche Nachrichten ausgetauscht werden, wie ein Werkzeug sich beschreibt und wie die KI es aufruft. Technisch sind das Nachrichten im Format JSON-RPC 2.0. Die aktuelle Fassung der Spezifikation trägt das Datum 2026-07-28.
Das Problem: Jede KI braucht eigene Anbindungen
Vor MCP musste jede Kombination aus KI-Anwendung und Datenquelle einzeln verbunden werden. Wer seine Wissensdatenbank in drei KI-Werkzeugen nutzen wollte, brauchte drei Anbindungen. Anthropic schrieb bei der Vorstellung im November 2024 sinngemäß: Jede neue Datenquelle erfordert eine eigene Umsetzung, das macht vernetzte Systeme schwer skalierbar.
MCP ersetzt diese Einzelanbindungen durch ein gemeinsames Protokoll. Im Dezember 2025 hat Anthropic MCP an die Agentic AI Foundation übergeben, einen Fonds unter dem Dach der Linux Foundation, gegründet von Anthropic, Block und OpenAI. Nach Angaben von Anthropic gab es damals mehr als 10.000 aktive öffentliche MCP-Server, und ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code hatten MCP übernommen.
So funktioniert MCP: Client, Server, Werkzeuge, Rechte
- Host: die KI-Anwendung, mit der Sie arbeiten, zum Beispiel Claude Desktop, Claude Code oder Visual Studio Code.
- Client: ein Baustein im Host, der genau eine Verbindung zu einem MCP-Server hält.
- Server: das Programm, das Daten und Funktionen eines Systems bereitstellt. Ein lokaler Server läuft auf Ihrem Rechner (Übertragung über stdio), ein entfernter Server im Internet (Übertragung über Streamable HTTP).
Ein Server kann drei Arten von Inhalten anbieten:
- Werkzeuge (Tools): Funktionen, die die KI aufrufen kann, etwa „Termin eintragen“. Jedes Werkzeug beschreibt sich selbst mit Name, Erklärung und erwarteten Eingaben, die KI wählt passend aus.
- Ressourcen: Daten, die als Kontext dienen, etwa ein Dokument oder ein Datensatz.
- Prompts: vorbereitete Vorlagen für wiederkehrende Aufgaben.
In die Gegenrichtung kann ein Server über den Host eine Rückfrage an den Menschen stellen (Elicitation), zum Beispiel um eine Aktion bestätigen zu lassen.
Rechte: Für entfernte Server empfiehlt MCP OAuth als Anmeldeverfahren. Vor jedem Werkzeugaufruf muss der Host die ausdrückliche Zustimmung des Nutzers einholen. Was ein Zugang inhaltlich sehen darf, entscheidet das angebundene System.
Beispiel: Ein Assistent fragt die Firmen-Wissensdatenbank
Die Firmenwissensdatenbank von GrisaKI bietet neben einer API einen MCP-Server mit vier Werkzeugen:
- wissen_fragen: beantwortet eine Frage aus dem hinterlegten Firmenwissen in ganzen Sätzen und nennt die Quellen.
- wissen_suchen: liefert passende Fundstellen, wenn der Assistent selbst formulieren soll.
- eintraege_auflisten: zeigt die freigegebenen Einträge, die dieser Zugang sehen darf.
- eintrag_vorschlagen: schlägt neues Wissen vor. Wirksam wird es erst, wenn ein Mitarbeiter es freigegeben hat.
Ein Mitarbeiter fragt seinen Assistenten: „Wie läuft bei uns eine Reklamation ab?“ Der Assistent ruft wissen_fragen auf und bekommt die Antwort mit Quellenangabe. Ohne eigenen Schlüssel weist der Server jede Anfrage ab. Die Rechte der Wissensdatenbank gelten auch hier: Ein Zugang mit eingeschränkter Stufe bekommt zum Beispiel keine Auskunft über Gehälter. Die Daten liegen auf Servern von Hetzner in Deutschland.
Sicherheit: Rechte, Protokoll, Prompt-Injection
MCP gibt einer KI Zugriff auf Daten und die Möglichkeit, Dinge auszulösen. Laut Spezifikation kann das Protokoll seine Sicherheitsgrundsätze nicht selbst erzwingen. Das muss die Umsetzung leisten:
- Zustimmung: Nutzer müssen verstehen und bestätigen, welche Daten fließen und welche Aktionen laufen.
- Wenig Rechte: Die Sicherheitshinweise von MCP empfehlen, mit möglichst kleinen Berechtigungen zu starten. Lesen und Schreiben getrennt vergeben.
- Protokoll: Jeder Zugriff sollte nachvollziehbar sein, also wer wann was abgefragt oder ausgelöst hat.
- Prompt-Injection: Inhalte, die über einen Server ins Modell gelangen, können versteckte Anweisungen enthalten. OpenAI warnt in seiner Anleitung zu MCP, dass ein bösartiger Server Anweisungen in seinen Antworten verstecken und Daten aus dem Kontext des Modells abziehen kann.
- Nur vertrauenswürdige Server: Die Spezifikation behandelt Werkzeugbeschreibungen als nicht vertrauenswürdig, solange sie nicht von einem vertrauenswürdigen Server stammen. Lokale Server laufen mit Ihren Benutzerrechten. Installieren Sie keine Server aus unbekannter Quelle.
MCP, API und Webhook im Vergleich
| Merkmal | API | Webhook | MCP |
|---|---|---|---|
| Wer wird aktiv? | Ihr Programm fragt an | das Quellsystem meldet sich | die KI-Anwendung ruft ein Werkzeug auf |
| Gebaut für | Programmierer, je Anbieter eigene Beschreibung | Meldung von Ereignissen zwischen Systemen | KI-Anwendungen, Werkzeuge beschreiben sich selbst |
| Typisches Beispiel | Kontakt im CRM anlegen | „Anruf beendet“ | Assistent fragt die Wissensdatenbank |
| Absicherung | Schlüssel oder OAuth | Signatur (HMAC) | Schlüssel oder OAuth, dazu Zustimmung vor Werkzeugaufrufen |
Was das für Ihr Unternehmen heißt
MCP ist vor allem für Ihr Firmenwissen interessant. Liegt es an einer Stelle mit MCP-Server, greifen Mitarbeiter mit einem KI-Werkzeug ihrer Wahl darauf zu, mit denselben Rechten wie im Portal. Zwei Fragen sollten Sie vorher klären:
- Welche KI-Anwendungen sind bei Ihnen erlaubt, und wohin schicken sie die Inhalte? Das gehört in Ihre KI-Richtlinie und den Auftragsverarbeitungsvertrag.
- Wer darf schreiben? Bei Telefon-KI, Web- und WhatsApp-Chat oder dem E-Mail-Postfach sollte eine KI Wissen höchstens vorschlagen. Freigeben sollte ein Mensch.
Verwandte Begriffe
- Webhook: ein System meldet ein Ereignis von selbst an ein anderes.
- LLM (großes Sprachmodell): das Modell, das über MCP Werkzeuge aufruft.
- Vektordatenbank und Embedding: wie Wissen so abgelegt wird, dass eine KI es findet.
- KI-Halluzination: warum Quellenangaben zählen.
- Prompt-Engineering: Anweisungen an die KI formulieren.
Häufige Fragen
Was ist ein MCP-Server?
Ein MCP-Server ist ein Programm, das die Daten und Funktionen eines Systems nach dem Model Context Protocol bereitstellt, zum Beispiel einer Wissensdatenbank oder eines Kalenders. KI-Anwendungen, die MCP beherrschen, können seine Werkzeuge abfragen und aufrufen. Ein Server läuft entweder lokal auf dem eigenen Rechner oder entfernt im Internet.
Wie erstelle ich einen MCP-Server?
Am einfachsten mit einem der offiziellen Software-Bausteine (SDKs), etwa für TypeScript, Python, C#, Go, Rust oder Ruby. Darin beschreiben Sie Ihre Werkzeuge mit Name, Erklärung und erwarteten Eingaben. Im Unternehmen gehören Zugangsschlüssel, Rechte und ein Protokoll von Anfang an dazu.
Funktioniert MCP mit Claude?
Ja. MCP stammt von Anthropic, dem Hersteller von Claude. Die Dokumentation nennt Claude Desktop und Claude Code als Beispiele für KI-Anwendungen, die sich mit MCP-Servern verbinden. Lokale Server startet die Anwendung dabei selbst auf Ihrem Rechner.
Welche KI-Anwendungen unterstützen MCP außer Claude?
Nach Angaben von Anthropic vom Dezember 2025 haben ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code MCP übernommen. OpenAI dokumentiert zum Beispiel die Anbindung entfernter MCP-Server in seiner Programmierschnittstelle. Den Umfang prüfen Sie am besten beim jeweiligen Anbieter.
Ist MCP sicher?
So sicher wie die Umsetzung: Zustimmung des Nutzers vor Werkzeugaufrufen, kleine Rechte, ein Protokoll der Zugriffe und nur vertrauenswürdige Server. Ein Restrisiko bleibt Prompt-Injection, also versteckte Anweisungen in Inhalten, die über einen Server ins Modell gelangen.
Was ist der Unterschied zwischen MCP und einer API?
Eine API ist die Schnittstelle eines einzelnen Systems, beschrieben für Programmierer und bei jedem Anbieter anders. MCP ist ein gemeinsames Protokoll für KI-Anwendungen: Werkzeuge beschreiben sich selbst, und jede MCP-fähige KI kann sie ohne eigene Anbindung nutzen. Ein MCP-Server greift im Hintergrund oft selbst auf die API des Systems zu.
Über den Autor
Sandro Griesing
Gründer von GrisaKI und Geschäftsführer der new face Media GmbH in Sangerhausen
Sandro Griesing hat über zehn Jahre Agenturerfahrung. Mit GrisaKI richtet er KI-Assistenten für Telefon, Chat, E-Mail und interne Abläufe in mittelständischen Unternehmen ein, vor allem in Mitteldeutschland.
Mehr über GrisaKIQuellen
- Model Context Protocol: Specification (Fassung 2026-07-28): modelcontextprotocol.io/specification/latest, abgerufen am 16.10.2026
- Model Context Protocol: Architecture overview: modelcontextprotocol.io/docs/learn/architecture, abgerufen am 16.10.2026
- Model Context Protocol: Security Best Practices: modelcontextprotocol.io/docs/tutorials/security/security_best_practices, abgerufen am 16.10.2026
- Model Context Protocol: SDKs: modelcontextprotocol.io/docs/sdk, abgerufen am 16.10.2026
- Anthropic: Introducing the Model Context Protocol (25.11.2024): www.anthropic.com/news/model-context-protocol, abgerufen am 16.10.2026
- Anthropic: Donating the Model Context Protocol and establishing the Agentic AI Foundation (09.12.2025): www.anthropic.com/news/donating-the-model-context-protocol-and-establishing-of-the-agentic-ai-foundation, abgerufen am 16.10.2026
- OpenAI: Connectors and MCP servers (Leitfaden mit Sicherheitshinweisen): developers.openai.com/api/docs/guides/tools-connectors-mcp, abgerufen am 16.10.2026
Stand der Angaben: 16.10.2026. MCP entwickelt sich schnell, maßgeblich ist die jeweils aktuelle Spezifikation auf modelcontextprotocol.io.