MCP einfach erklärt: Wie KI-Assistenten an Ihre Systeme kommen und was das für Ihre IT heißt
Das Model Context Protocol, kurz MCP, ist ein offener Standard, über den KI-Anwendungen wie Claude, ChatGPT, Copilot oder ein eigener Agent auf Ihre Systeme zugreifen. Ein MCP-Server stellt die Funktionen eines Systems, etwa "Auftrag lesen" im ERP, als Werkzeuge bereit, und jede kompatible KI-Anwendung kann sie nutzen. Für Ihre IT verschiebt sich damit die Frage: weg von "Welche KI?", hin zu "Welche Werkzeuge gibt der Server frei, mit welchen Rechten, wer gibt Schreibzugriffe frei und was wird protokolliert?".
Was MCP ist
Anthropic hat MCP im November 2024 als offenen Standard veröffentlicht. Die Spezifikation beschreibt es als offenes Protokoll, das KI-Anwendungen mit externen Datenquellen und Werkzeugen verbindet. Seit dem 9. Dezember 2025 liegt MCP bei der Agentic AI Foundation unter dem Dach der Linux Foundation. Zu deren Mitgliedern gehören unter anderem Anthropic, OpenAI, Google, Microsoft und AWS. Damit gehört der Standard keinem einzelnen Anbieter mehr.
Unterstützt wird MCP inzwischen breit: von OpenAI in der Responses-API, von Microsoft in Copilot Studio, von Google mit eigenen MCP-Servern für Cloud-Dienste und natürlich in Claude, als Connector oder in Claude Code. Die aktuelle Fassung der Spezifikation stammt vom 28. Juli 2026.
Ein Vergleich, der trägt: der Druckertreiber
Früher musste jedes Programm jeden Drucker selbst kennen. Dann schrieben die Druckerhersteller einen Treiber, und jedes Programm konnte drucken. MCP macht dasselbe für KI und Unternehmenssysteme. Ohne MCP braucht jede KI-Anwendung ihre eigene Anbindung an jedes System. Bei drei KI-Anwendungen und drei Systemen sind das neun. Mit MCP baut man einen Server je System, und jede KI-Anwendung nutzt ihn.
Der Vergleich hat eine wichtige Grenze. Ein Druckertreiber tut genau das, was das Programm anweist. Bei MCP entscheidet das Sprachmodell selbst, welches Werkzeug es wann aufruft. Deshalb muss der Server festlegen, was überhaupt möglich ist, und nicht die KI.
Wie ein MCP-Server funktioniert
Die Spezifikation unterscheidet drei Rollen:
- Host: die KI-Anwendung, mit der jemand arbeitet, etwa Claude, Copilot oder Ihr eigener Agent.
- Client: der Teil im Host, der die Verbindung zu einem Server hält.
- Server: das Programm, das ein System bereitstellt, etwa Ihr ERP.
Ein Server bietet drei Arten von Inhalten an. Werkzeuge (Tools) sind Funktionen, die das Modell aufrufen kann, etwa "Auftrag suchen" oder "Notiz anlegen". Ressourcen sind Daten zum Lesen, etwa ein Dokument. Prompts sind vorbereitete Vorlagen für wiederkehrende Aufgaben.
Verbunden wird entweder lokal auf dem Rechner (stdio) oder über das Netz (Streamable HTTP). Für Unternehmenssysteme ist der Server im Netz der Normalfall: Er läuft zentral, die Anmeldung geht über OAuth 2.1, und Ihre IT kann ihn wie jede andere Anwendung betreiben und überwachen.
Was das für Ihre IT heißt
Rechte: die der Person, nicht ein Sammelzugang
Der häufigste Fehler ist ein MCP-Server, der mit einem technischen Konto mit Vollzugriff ins ERP geht. Dann sieht jede Person über die KI alles, was dieses Konto sehen darf. Richtig ist: Der Server meldet die Person über Ihr Verzeichnis an, etwa Entra ID, und arbeitet mit ihren Rechten. Die Spezifikation zur Autorisierung baut dafür auf OAuth 2.1 auf und verbietet ausdrücklich, dass ein Server Tokens annimmt oder weiterreicht, die nicht für ihn ausgestellt wurden.
Dazu gehört, Werkzeuge eng zu schneiden. "Auftrag lesen" und "Entwurf anlegen" statt "SQL ausführen". Jedes Werkzeug, das ein Server anbietet, kann das Modell auch aufrufen.
Freigaben: ein Mensch vor jedem Schreiben
Die Spezifikation sagt zu Werkzeugen, es solle immer ein Mensch beteiligt sein, der Aufrufe ablehnen kann. Viele KI-Anwendungen fragen deshalb vor einem Aufruf nach. Darauf allein sollten Sie sich nicht verlassen, denn Nutzer klicken Rückfragen schnell weg. Besser ist eine Freigabe im Server selbst: Lesen geht direkt, Schreiben erzeugt einen Entwurf, und was nach außen geht, schickt eine Person ab.
Protokoll: jeder Aufruf, mit Person und Ergebnis
Jeder Werkzeugaufruf gehört ins Protokoll: wer, wann, welches Werkzeug, mit welchen Parametern, mit welchem Ergebnis. Bei Schreibvorgängen zusätzlich alter und neuer Wert. Das Protokoll gehört in den Server, weil nur dort alle KI-Anwendungen vorbeikommen.
Sicherheit: drei Risiken, die Sie kennen sollten
Eingeschleuste Anweisungen. Ein Sprachmodell unterscheidet nicht zuverlässig zwischen Ihren Anweisungen und Text in den Daten, die es liest. Eine präparierte Mail oder ein Ticket kann es dazu bringen, Daten über ein anderes Werkzeug abfließen zu lassen. OWASP führt das als Risiko Nummer eins für Sprachmodell-Anwendungen (LLM01 Prompt Injection). Ein bekanntes Beispiel: Forscher von Invariant Labs zeigten im Mai 2025, wie ein präpariertes öffentliches Ticket einen Agenten über den GitHub-MCP-Server dazu brachte, Inhalte privater Repositories zu veröffentlichen.
Manipulierte Werkzeugbeschreibungen. Das Modell liest die Beschreibung jedes Werkzeugs. Ein bösartiger Server kann darin versteckte Anweisungen unterbringen, die der Nutzer nie sieht. Invariant Labs hat diese "Tool Poisoning"-Angriffe im April 2025 beschrieben. Das OWASP MCP Top 10 führt sie als eigenes Risiko.
Server aus unsicheren Quellen. Im September 2025 fiel das npm-Paket "postmark-mcp" auf: Ab einer bestimmten Version schickte es von jeder versendeten Mail eine Blindkopie an einen fremden Empfänger (Postmark, Snyk). Das Paket stammte nicht vom Hersteller. Ein MCP-Server ist Software mit Zugriff auf Ihre Daten und gehört genauso geprüft wie jede andere.
MCP oder feste Integration?
MCP ist nicht für jede Anbindung die richtige Wahl. Es lohnt sich, wo ein Sprachmodell je Fall entscheidet, welchen Schritt es braucht. Wo der Ablauf immer gleich ist, ist eine feste Integration einfacher, billiger und leichter zu prüfen.
| Frage | Eher MCP-Server | Eher feste Integration |
|---|---|---|
| Wer stößt den Ablauf an? | Eine Person im Gespräch mit der KI | Ein Ereignis, etwa eine neue Rechnung |
| Ist der Weg immer gleich? | Nein, je Fall verschieden | Ja, immer dieselben Schritte |
| Wie viele KI-Anwendungen nutzen das System? | Mehrere | Eine oder keine |
| Wie hoch ist die Menge? | Einzelne Anfragen | Tausende gleichartige Vorgänge |
| Wie streng muss es nachvollziehbar sein? | Protokoll reicht | Jeder Schritt fest geregelt |
Ein Beispiel: Wenn der Innendienst in Claude oder Copilot fragt "Was ist mit Auftrag 40117, und hat der Kunde schon reklamiert?", passt ein MCP-Server für ERP und CRM. Wenn jede eingehende Rechnung gelesen, gegen die Bestellung geprüft und gebucht werden soll, ist das eine feste Strecke mit Regeln. Dort braucht es kein Modell, das selbst Werkzeuge auswählt.
Bedenken Sie auch: MCP ist jung. Die Spezifikation hat sich seit 2024 mehrfach geändert, zuletzt im Juli 2026 mit der Umstellung auf zustandslose Verbindungen. Wer einen Server baut, sollte mit Anpassungen rechnen.
Einen MCP-Server erstellen: Was dazugehört
Technisch ist ein MCP-Server schnell gebaut. Es gibt offizielle Bibliotheken für TypeScript, Python und weitere Sprachen, und ein erster Server mit zwei Werkzeugen ist eine Sache von Stunden. Die eigentliche Arbeit liegt woanders:
- Werkzeuge schneiden: Welche Funktionen braucht der Anwendungsfall wirklich, und wie heißen sie so, dass das Modell sie richtig wählt?
- Anmeldung und Rechte: OAuth gegen Ihr Verzeichnis, Rechte der Person bis ins Zielsystem.
- Freigabe und Protokoll: im Server, nicht in der Hoffnung, dass die KI-Anwendung es macht.
- Tests mit echten Fragen: Wählt das Modell bei 50 typischen Anfragen das richtige Werkzeug, und was passiert bei präparierten Daten?
- Betrieb: Der Server läuft wie jede andere Anwendung, mit Überwachung, Updates und einem Verantwortlichen.
Für viele verbreitete Systeme gibt es bereits Server der Hersteller. Prüfen Sie zuerst, ob es einen offiziellen gibt, und dann, ob er Ihre Anforderungen an Rechte und Protokoll erfüllt.
Wie wir MCP einsetzen
Wir bauen MCP-Server in TypeScript, einen je System, betrieben in Deutschland. Die Anmeldung läuft über das Verzeichnis des Kunden, jeder Server arbeitet mit den Rechten der angemeldeten Person. Wir beginnen mit lesenden Werkzeugen. Schreibende kommen Stufe für Stufe dazu, meist als Entwurf, den eine Person freigibt. Jeder Aufruf landet im Protokoll. Dieselben Server nutzen dann Claude, Copilot oder unsere eigenen Agenten mit Modellen von EU-Endpunkten.
MCP regelt, worauf eine KI zugreifen kann. Wie sie eine Aufgabe angeht, steht auf einem anderen Blatt; dazu mehr im Beitrag über Claude Skills.
Wenn Sie wissen möchten, welche Ihrer Systeme sich für MCP eignen und welche besser fest angebunden werden, finden Sie unser Vorgehen unter KI-Integration. Wo ein Agent je Fall entscheiden soll, hilft die Seite zu KI-Agenten.