Wie ein KI-Assistent über das Model Context Protocol an die Software Ihres Betriebs kommt und worauf Sie bei Rechten und Sicherheit achten sollten. Mit einem Beispiel aus unserer Arbeit.
Ein MCP-Server verbindet einen KI-Assistenten mit einer bestimmten Software. Er stellt dem Assistenten ausgewählte Werkzeuge und Daten bereit. Was der Server nicht anbietet, erreicht der Assistent auf diesem Weg nicht. MCP steht für Model Context Protocol. Die offizielle Dokumentation beschreibt es als offenen Standard, der KI-Anwendungen mit externen Systemen verbindet, und vergleicht es mit einem USB-C-Anschluss: ein Stecker, der an viele Geräte passt.
Für einen Betrieb heißt das: Ihre Auftragsverwaltung oder Ihre Einsatzplanung bekommt einen geregelten Zugang für Assistenten wie Claude oder ChatGPT. Ein Mitarbeiter fragt im Chat, wer morgen wo eingeteilt ist, und der Assistent sieht im System nach, statt zu raten.
Anthropic hat das Protokoll im November 2024 veröffentlicht. Seit Dezember 2025 liegt es bei der Agentic AI Foundation, einer herstellerneutralen Stiftung unter dem Dach der Linux Foundation. Gegründet wurde sie mit Beiträgen von Anthropic, Block und OpenAI.
Wie funktioniert MCP?
Die Architektur kennt drei Beteiligte. Der Host ist die KI-Anwendung, in der Sie arbeiten, etwa die Chat-Oberfläche. Im Host steckt je angebundenem System ein Client, der die Verbindung hält. Der Server ist das Programm auf der Seite Ihrer Software.
Der Ablauf folgt einem festen Muster. Der Client fragt den Server, welche Werkzeuge er anbietet. Der Server antwortet mit einer Liste, in der zu jedem Werkzeug ein Name, eine Beschreibung und die erwarteten Eingaben stehen. Stellt der Nutzer eine Frage, entscheidet das Sprachmodell, ob eines dieser Werkzeuge hilft, und fordert den Aufruf mit passenden Angaben an. Der Server führt die Abfrage in Ihrem System aus und gibt das Ergebnis zurück. Daraus formuliert der Assistent seine Antwort.
Ein Server kann laut Dokumentation drei Arten von Inhalten bereitstellen:
- Werkzeuge (Tools): Funktionen, die das Modell selbst aufruft, zum Beispiel „Aufträge suchen“ oder „Entwurf anlegen“.
- Ressourcen (Resources): Daten zum Nachlesen, etwa eine Preisliste oder ein Handbuch. Die Anwendung entscheidet, was davon in das Gespräch kommt.
- Vorlagen (Prompts): vorbereitete Arbeitsanweisungen, die der Nutzer bewusst auswählt.
Technisch tauschen beide Seiten Nachrichten im Format JSON-RPC 2.0 aus. Ein lokaler Server läuft auf demselben Rechner wie der Assistent. Ein entfernter Server ist über HTTP erreichbar und bedient in der Regel viele Nutzer. Für Betriebssoftware, mit der mehrere Personen arbeiten, ist das der passende Weg.
MCP oder API: was ist anders?
Eine klassische Programmierschnittstelle (API) richtet sich an Entwickler. Jemand liest die Dokumentation und schreibt Code für genau eine Verbindung. Ein MCP-Server richtet sich an Sprachmodelle: Er beschreibt seine Werkzeuge so, dass ein Assistent sie im laufenden Gespräch findet und selbst entscheidet, wann er welches nutzt.
MCP ersetzt die API nicht. In der Regel sitzt der Server vor der vorhandenen Schnittstelle oder Fachlogik und reicht einen bewusst ausgewählten Teil davon weiter.
| Merkmal | Klassische API | MCP-Server |
|---|---|---|
| Gedacht für | Programme, die ein Entwickler fest anbindet | KI-Assistenten, die im Gespräch entscheiden |
| Beschreibung | Dokumentation für Menschen | Werkzeugliste, die der Assistent selbst abruft |
| Zuschnitt | Datensätze und Endpunkte | Aufgaben wie „Tag lesen“ oder „Entwurf ablegen“ |
| Anbindung | eigener Code je Programm | einmal gebaut, für Assistenten mit MCP nutzbar |
| Auslöser | fester Programmablauf | das Sprachmodell, im Rahmen der Freigaben |
Für eine feste Datenübergabe zwischen zwei Programmen bleibt die klassische Schnittstelle die richtige Wahl. Dort soll nichts entscheiden, es soll immer dasselbe passieren. Den Unterschied zwischen solchen festen Abläufen und einem Assistenten, der seine Schritte selbst wählt, erklärt der Artikel „KI-Agent, Chatbot und Automatisierung“.
Welche Assistenten nutzen MCP?
Stand: November 2026. Die Dokumentation des Protokolls nennt als Beispiele die Assistenten Claude und ChatGPT sowie Entwicklungswerkzeuge wie Visual Studio Code und Cursor. Die Linux Foundation führte im Dezember 2025 außerdem Microsoft Copilot und Gemini auf und zählte mehr als 10.000 veröffentlichte MCP-Server.
| Anwendung | Was der Anbieter dokumentiert |
|---|---|
| Claude | Eigene entfernte Server lassen sich als Connector hinzufügen und im Web, in der Desktop-App und mobil nutzen |
| ChatGPT | Eigene MCP-Server lassen sich im Web anbinden, Schreibaktionen brauchen standardmäßig eine Bestätigung |
| Microsoft Copilot Studio | Agenten nutzen derzeit Werkzeuge und Ressourcen eines MCP-Servers |
| Visual Studio Code | Der Chat im Editor nutzt Werkzeuge, Ressourcen und Vorlagen eines Servers |
| Google Antigravity | Googles Entwicklungsplattform für Agenten bindet lokale und entfernte Server ein |
Nicht jede Anwendung nutzt alles, was ein Server anbietet. Welcher Tarif nötig ist und wer im Unternehmen eine Verbindung einrichten darf, unterscheidet sich ebenfalls je Anbieter und kann sich ändern. Das prüfen wir zu Beginn eines Projekts an der aktuellen Anbieterdokumentation.
Wie sieht das in der Praxis aus?
Für die Betriebsplattform eines Dachdeckerbetriebs haben wir eine MCP-Anbindung gebaut. Sie hat 12 Werkzeuge: 9 lesen nur, 3 schreiben.
Die lesenden Werkzeuge beantworten Fragen aus der Planung: die Einteilung eines Tages, die Auslastung je Trupp in der Woche, die Suche nach Aufträgen, wer an einem Tag fehlt. Die schreibenden sind bewusst eng gefasst. Eines legt einen Tagesplan als Entwurf ab, eines nimmt einen übernommenen Vorgang zurück, eines setzt den Bearbeitungsstand bei der Auswertung eines Leistungsverzeichnisses.
Vier Regeln tragen den Aufbau:
- Rechte aus dem Benutzerkonto. Der Assistent darf höchstens das, was der angemeldete Mitarbeiter darf. Ein Werkzeug, für das das Recht fehlt, taucht in der Liste gar nicht auf.
- Entwurf statt Buchung. Die KI schreibt nie direkt in die Tagesplanung. Sie legt nur einen Vorschlag ab, gültig wird er erst durch einen Menschen.
- Rücknahme als Block. Was über die KI übernommen wurde, lässt sich als Ganzes zurücknehmen.
- Anmeldung mit OAuth und PKCE. Der Mitarbeiter meldet sich mit seinem eigenen Konto an und bestätigt die Verbindung auf einer Zustimmungsseite. Welche KI-Anbieter sich überhaupt verbinden dürfen, gibt ein Administrator frei.
Jeder schreibende Aufruf wird protokolliert. Die Ausgaben enthalten überwiegend Kennungen statt Namen, damit nicht mehr Daten zum KI-Anbieter fließen als nötig.
Auch unsere eigene Lernplattform KeinBock.io hat einen MCP-Server. Externe KI-Anwendungen können dort nach Freigabe Lernkarten lesen und anlegen. Die Freigabe lässt sich widerrufen.
Ist MCP sicher?
Das Protokoll allein macht nichts sicher. Die Spezifikation sagt das offen: Sie nennt Grundsätze wie die ausdrückliche Zustimmung des Nutzers vor jedem Werkzeugaufruf, kann sie aber nicht selbst durchsetzen. Ob eine Anbindung sicher ist, entscheidet die Umsetzung.
Für entfernte Server beschreibt die Spezifikation eine Anmeldung nach OAuth 2.1. Dazu gehört PKCE, ein Schutz gegen abgefangene Anmeldecodes. Der Server darf außerdem nur Zugangstoken annehmen, die eigens für ihn ausgestellt wurden. Die Sicherheitshinweise des Projekts warnen vor zu weit gefassten Berechtigungen und vor lokalen Servern aus unbekannter Quelle, weil solche Server Befehle auf dem eigenen Rechner ausführen können.
Dazu kommt ein Risiko, das jede KI-Anbindung hat: Ein Text, den der Assistent liest, kann versteckte Anweisungen enthalten. Das gilt auch für die Ausgaben eines MCP-Servers. Anthropic rät in seiner Hilfe zu Connectors deshalb, nur Server zu verbinden, denen man vertraut.
Aus diesen Gründen ist das Beispiel oben so gebaut: wenige Werkzeuge, Änderungen an der Planung nur als Entwurf, Rechte aus dem Konto des Nutzers statt aus einem Sammelzugang, ein Protokoll für jeden schreibenden Aufruf.
Beim Datenschutz zählt, was die Werkzeuge ausgeben, denn diese Ausgaben verarbeitet der KI-Anbieter. Personenbezogene Daten gehören nur so weit hinein, wie die Aufgabe es verlangt, und der Vertrag mit dem Anbieter sollte diese Verarbeitung abdecken. Mehr dazu steht in der Checkliste zu KI und DSGVO.
Was kostet ein MCP-Server?
Das Protokoll selbst kostet nichts. Es ist ein offener Standard, Spezifikation und Code stehen unter freien Lizenzen. Kosten entstehen durch Entwicklung und Betrieb. Dazu kommt in der Regel die Lizenz für den KI-Assistenten, die Sie beim jeweiligen Anbieter buchen.
Eine seriöse Zahl gibt es erst, wenn feststeht, was der Server können soll. Den Aufwand bestimmen vor allem diese Punkte:
- die Zahl der Werkzeuge und ob sie nur lesen oder auch schreiben
- ob die Software schon eine saubere Schnittstelle hat oder die Fachlogik erst zugänglich gemacht werden muss
- ob es eine Anmeldung gibt, auf der OAuth aufsetzen kann
- wie Entwürfe übernommen und wieder zurückgenommen werden
- wer den Server betreibt und aktuell hält
Der letzte Punkt gehört von Anfang an in die Planung. Die Spezifikation erscheint in datierten Fassungen, die aktuelle trägt die Kennung 2026-07-28 (Stand: November 2026). Auch die Assistenten ändern ihre Anforderungen. Ein MCP-Server braucht also Pflege wie jede andere Software.
Zur Einordnung: Ein lesender Server mit wenigen Werkzeugen vor einer vorhandenen Schnittstelle ist ein überschaubares Vorhaben. Schreibzugriffe mit Entwurf und Rücknahme machen deutlich mehr Arbeit, weil jeder Fehlerfall durchdacht sein muss. Einen Preis nennen wir deshalb erst nach einem Blick auf Ihre Software und die gewünschten Aufgaben.
Wann lohnt sich der Aufwand?
Ein eigener Server lohnt sich, wenn Mitarbeitende bereits mit einem KI-Assistenten arbeiten und dafür immer wieder Daten aus derselben Software abtippen oder hineinkopieren. Er lohnt sich auch, wenn viele Fragen an ein System sich ähneln und die Antwort heute nur findet, wer sich durch mehrere Masken klickt.
Er lohnt sich nicht, wenn ein fester Bericht oder eine einfache Regel dieselbe Arbeit erledigt. Unnötig ist er auch, wenn der Hersteller Ihrer Software schon einen fertigen Server anbietet. Das prüfen Sie am besten zuerst.
Voraussetzung ist in jedem Fall, dass die Software einen technischen Zugang hat oder bekommen kann. Bei eigener Software ist das selten ein Hindernis. Bei gekaufter Software hängt es vom Hersteller ab.
Nächster Schritt
Wenn Sie prüfen möchten, ob sich Ihre Software für einen KI-Assistenten öffnen lässt, lesen Sie auf der Seite MCP-Server und Schnittstellen, wie wir Werkzeuge zuschneiden und Zugriffe begrenzen.