Was ist MCP?

Einfach erklärt

Früher brauchte fast jedes Gerät sein eigenes Ladekabel. Heute passt oft derselbe Stecker. MCP ist so ein einheitlicher Stecker für KI-Assistenten. Über ihn wird ein Assistent an Programme wie Ticketsystem, Dokumentenablage oder Kalender angeschlossen. Ohne gemeinsamen Standard braucht jede Kombination aus Assistent und Programm eine eigene Anbindung. Mit MCP stellt das Programm einmal einen sogenannten MCP-Server bereit und jeder Assistent, der MCP versteht, kann ihn nutzen.

MCP steht für Model Context Protocol. Veröffentlicht hat es der KI-Anbieter Anthropic im November 2024. Seit Dezember 2025 gehört es zur Agentic AI Foundation, die unter dem Dach der Linux Foundation steht.

Wo Ihnen MCP begegnet

Meist in den Einstellungen eines KI-Assistenten, wo sich weitere Programme anbinden lassen, oder wenn ein Softwareanbieter einen MCP-Server für sein Produkt anbietet. Der Assistent kann dann zum Beispiel Tickets suchen, Notizen anlegen oder Dateien lesen, ohne dass jemand Daten hin- und herkopiert. Auch ein KI-Agent kann über MCP mehrere Programme nacheinander bedienen.

Worauf Sie achten sollten

• Der Server handelt mit den Rechten seines Kontos. Ist er mit Schreibrechten im Ticketsystem angemeldet, kann der Assistent Tickets ändern. Legen Sie dafür ein eigenes Konto mit wenigen Rechten an.
• Nur vertrauenswürdige Server. Am besten vom Hersteller des Programms selbst. Ein lokal installierter MCP-Server ist ein Programm, das auf Ihrem Rechner läuft.
• Bestätigen statt durchwinken. Lassen Sie sich Aktionen vor der Ausführung anzeigen und bestätigen Sie folgenreiche Schritte selbst.

Ihr IT-Dienstleister kann prüfen, welche Server eingebunden sind und mit welchem Konto sie arbeiten.

Was MCP nicht leistet

MCP regelt, wie Assistent und Programm miteinander sprechen. Es macht einen Server nicht vertrauenswürdig und prüft nicht, ob der Assistent eine sinnvolle Aktion wählt. Ob vor einer Aktion nachgefragt wird, schreibt MCP nicht vor. Die Spezifikation empfiehlt es nur. Umsetzen müssen es die Programme, die MCP verwenden. Auch über MCP kann eine versteckte Anweisung in einer Mail den Assistenten in die Irre führen (Prompt Injection).

Host, Client, Server

Die Spezifikation steht auf modelcontextprotocol.io, aktuell ist die Version 2026-07-28 (Stand Oktober 2026). Sie unterscheidet drei Rollen. Der Host ist die KI-Anwendung. Er erzeugt für jeden angebundenen Server einen eigenen Client mit einer 1:1-Verbindung, holt Einwilligungen ein und setzt die Sicherheitsregeln durch. Server stellen bereit:

• Tools: Funktionen, die das Modell aufrufen kann. Sie sind modellgesteuert.
• Resources: Daten und Kontext für Benutzer oder Modell.
• Prompts: vorbereitete Nachrichten und Abläufe für Benutzer.

Nach den Gestaltungsgrundsätzen sieht ein Server weder das ganze Gespräch noch in andere Server hinein. Den Verlauf hält der Host.

Nachrichten und Transport

Alle Nachrichten folgen JSON-RPC 2.0. Seit der Version 2026-07-28 ist das Protokoll zustandslos: Jede Anfrage trägt im Feld _meta selbst Protokollversion und Client-Fähigkeiten. Frühere Versionen begannen mit einem initialize-Handshake und hielten eine Sitzung pro Verbindung. Standardtransporte sind stdio, also zeilenweises JSON über die Standardströme eines vom Client gestarteten Prozesses, und Streamable HTTP, bei dem jede Nachricht ein POST an einen MCP-Endpunkt ist und die Antwort als JSON oder SSE-Stream kommt. tools/list liefert je Werkzeug Name, Beschreibung und inputSchema als JSON Schema. Ein Aufruf im Format der Spezifikation:

{
  "jsonrpc": "2.0",
  "id": 2,
  "method": "tools/call",
  "params": {
    "name": "tickets_suchen",
    "arguments": { "kunde": "Muster GmbH", "status": "offen" },
    "_meta": {
      "io.modelcontextprotocol/protocolVersion": "2026-07-28",
      "io.modelcontextprotocol/clientCapabilities": {}
    }
  }
}

{ "jsonrpc": "2.0", "id": 2,
  "result": { "resultType": "complete", "isError": false,
    "content": [{ "type": "text", "text": "3 offene Tickets: …" }] } }

Autorisierung

Für HTTP-Transporte beschreibt die Spezifikation eine optionale Autorisierung auf Grundlage des Entwurfs OAuth 2.1. Der MCP-Server ist Resource Server und muss Protected Resource Metadata nach RFC 9728 anbieten. Clients senden Resource Indicators nach RFC 8707, der Server nimmt nur Token an, die für ihn ausgestellt wurden. Token Passthrough ist ausdrücklich verboten. Bei stdio kommen die Zugangsdaten aus der Umgebung.

Typische Fehler

• Server aus unbekannter Quelle. Ein lokaler MCP-Server ist ausführbarer Code mit den Rechten des Clients. Die Security Best Practices nennen bösartige Startbefehle in der Client-Konfiguration als Angriffsweg und verlangen, den Befehl vor der Einrichtung vollständig anzuzeigen.
• Beschreibungen geglaubt. Beschreibungen des Werkzeugverhaltens wie Annotations gelten laut Spezifikation als nicht vertrauenswürdig, solange sie nicht von einem vertrauenswürdigen Server stammen.
• Aufrufe automatisch genehmigt. Die Spezifikation empfiehlt einen Menschen, der Werkzeugaufrufe ablehnen kann, und Bestätigungsdialoge vor Operationen.
• Breite Scopes. Sammel-Scopes wie * oder alle Scopes in scopes_supported führen die Best Practices als häufigen Fehler.
• Lokaler HTTP-Server offen. Ein auf localhost laufender Server kann per DNS Rebinding erreichbar sein. Empfohlen werden stdio oder ein Autorisierungs-Token.

Prüfen

• Die Konfigurationsdatei des Clients lesen: welche Server eingebunden sind, mit welchem Startbefehl und welchen Umgebungsvariablen.
• Je Server das Konto im Zielsystem, mit dem er arbeitet, und dessen Rechte ansehen.
• In einem Testlauf tools/list senden und prüfen, welche Werkzeuge der Server tatsächlich anbietet.

Herkunft und Pflege

Anthropic hat MCP im November 2024 veröffentlicht. Laut Mitteilung der Linux Foundation vom 9. Dezember 2025 ist es eines der ersten Projekte der neu gegründeten Agentic AI Foundation. Maßgeblich ist das TypeScript-Schema im Repository der Spezifikation. Zum Grundprinzip der Programmschnittstelle siehe API.