Was das Model Context Protocol ist
Das Model Context Protocol, kurz MCP, legt fest, wie eine KI-Anwendung mit externen Systemen spricht. Ohne Standard braucht jede Paarung aus KI-Anwendung und System eine eigene Integration. Mit MCP wird jedes System einmal in einen Server gefasst, und jede Anwendung, die das Protokoll spricht, kann es nutzen.
Anthropic hat MCP am 25. November 2024 als Open Source veröffentlicht. Am 9. Dezember 2025 übergab es das Protokoll der Agentic AI Foundation, einem zweckgebundenen Fonds unter dem Dach der Linux Foundation, den Anthropic gemeinsam mit Block und OpenAI gegründet hat, mit Google, Microsoft, AWS, Cloudflare und Bloomberg als Unterstützern. Zu diesem Zeitpunkt zählte Anthropic mehr als 10.000 aktive öffentliche MCP-Server.
Die Spezifikation ist auf modelcontextprotocol.io veröffentlicht und nach Datum versioniert. Die aktuelle Version trägt das Datum 28. Juli 2026.
Wie ein MCP-Server funktioniert
MCP kennt drei Rollen. Der Host ist die KI-Anwendung, die ein Mensch nutzt, etwa Claude oder eine IDE. In ihm hält ein MCP-Client die Verbindung zu einem Server. Der MCP-Server ist das Programm, das ein System bereitstellt. Ein Host kann sich mit vielen Servern gleichzeitig verbinden, mit je einem Client.
Server laufen auf eine von zwei Arten. Ein lokaler Server läuft auf demselben Rechner wie der Host und kommuniziert über stdio. Ein Remote-Server läuft als Webdienst und kommuniziert über Streamable HTTP, das in der Version der Spezifikation vom März 2025 den älteren Transport auf Basis von Server-Sent Events abgelöst hat.
| Was ein Server bietet | Was es ist | Wer es steuert | Beispiel |
|---|---|---|---|
| Tools | Funktionen, die das Modell aufrufen kann, um Daten zu holen oder eine Aktion auszuführen | Das Modell, wobei ein Mensch jeden Aufruf ablehnen kann | Ein Ticket anlegen, eine Datenbankabfrage ausführen |
| Ressourcen | Daten, die die Anwendung lesen und an das Modell weitergeben kann | Die Anwendung | Eine Datei, ein Kundendatensatz, ein Datenbankschema |
| Prompts | Wiederverwendbare Vorlagen für häufige Aufgaben | Der Nutzer | Diesen Kunden zusammenfassen, diesen Vertrag prüfen |
Jedes Tool hat einen Namen, eine Beschreibung und ein Schema für seine Eingaben. Das Modell liest diese Beschreibungen, um zu entscheiden, welches Tool es nutzt; deshalb funktionieren wenige klare, eng gefasste Tools besser als ein Tool, das alles kann.
Beispiele für MCP-Server in Unternehmen
Ein Unternehmen hat am Ende meist einen MCP-Server für jedes System, mit dem KI arbeiten soll. Typische Beispiele:
- CRM: einen Kunden nachschlagen, die letzte Aktivität lesen, eine Gesprächsnotiz erfassen.
- Dokumente: Verträge, Richtlinien und Angebote durchsuchen und die Passagen lesen, die eine Frage beantworten.
- Ticketing: Tickets im Service Desk öffnen, aktualisieren und weiterleiten.
- Datenbanken: lesende Abfragen für Berichte ausführen, mit dem Schema als Ressource.
- Interne Dienste: Preise, Bestand, Auftragsstatus oder Freigaben, hinter den eigenen APIs des Unternehmens.
Viele Anbieter veröffentlichen eigene Server. In Claude decken fertige Konnektoren Tools wie Google Drive, Gmail, Google Calendar, GitHub, Microsoft 365 und Slack ab, und individuelle Konnektoren erreichen jeden Remote-MCP-Server. Interne Systeme brauchen meist einen eigens gebauten Server.
Welche KI-Plattformen MCP unterstützen
| Plattform | Wie sie MCP-Server nutzt |
|---|---|
| Claude | Individuelle Konnektoren zu Remote-MCP-Servern in Claude, Cowork und Claude Desktop, in jedem Plan von Free bis Enterprise. In den Plänen Team und Enterprise aktiviert ein Owner die Konnektoren. |
| Claude Code | Lokale Server über stdio und Remote-Server über HTTP. |
| Claude API | Der MCP-Konnektor, in der Beta, lässt eine API-Anfrage Remote-MCP-Server nutzen. |
| ChatGPT | Der Entwicklermodus bietet volle MCP-Client-Unterstützung im Web für Konten der Pläne Plus, Pro, Business, Enterprise und Education. |
| OpenAI API | Ein MCP-Tool in der Responses API. |
| Microsoft | MCP in Copilot Studio, allgemein verfügbar seit dem 29. Mai 2025. Die native MCP-Unterstützung in Windows ist seit dem 18. November 2025 in der öffentlichen Vorschau. |
| Gemini CLI unterstützt MCP-Server, und am 10. Dezember 2025 hat Google verwaltete Remote-MCP-Server für Dienste von Google Cloud angekündigt. | |
| Entwicklertools | Unter anderem Cursor und VS Code arbeiten als MCP-Clients. |
Weil das Protokoll überall dasselbe ist, kann ein gut gebauter Server heute Claude und morgen eine andere KI-Anwendung bedienen.
Sicherheit und Governance
Ein MCP-Server kann echte Systeme lesen und verändern und verdient daher dieselbe Sorgfalt wie jede Integration mit Produktivdaten.
- Autorisierung. Für Remote-Server nutzt die Spezifikation OAuth 2.1: Ein geschützter Server agiert als Resource Server, und Clients erhalten Token, die für genau diesen Server ausgestellt sind. Ein Server darf keine Token annehmen, die für etwas anderes ausgestellt wurden. Lokale Server beziehen ihre Zugangsdaten aus der Umgebung, in der sie laufen.
- Nicht vertrauenswürdige Beschreibungen. Das Modell folgt Tool-Beschreibungen, daher kann ein bösartiger Server darin Anweisungen verstecken, ein Angriff, den Invariant Labs im April 2025 Tool Poisoning nannte. Die Spezifikation verlangt, Tool-Beschreibungen als nicht vertrauenswürdig zu behandeln, sofern sie nicht von einem vertrauenswürdigen Server stammen.
- Minimale Rechte. Geben Sie jedem Server nur die Berechtigungen, die er braucht, starten Sie nur lesend und verlangen Sie die Freigabe durch einen Menschen für Aktionen, die senden, zahlen oder löschen.
- Eine Freigabeliste. Legen Sie fest, welche Server Mitarbeitende verbinden dürfen, und prüfen Sie neue, bevor sie aktiviert werden.
- Protokolle. Halten Sie fest, welche Tools von wem und mit welchem Resultat aufgerufen wurden.
Einen MCP-Server bauen oder einen bestehenden nutzen
Beginnen Sie mit dem, was es gibt. Veröffentlicht der Anbieter eines Systems einen MCP-Server oder einen Konnektor, ist das meist der schnellste und sicherste Weg. Bauen Sie einen eigenen Server, wenn das System intern ist, wenn Sie strenger steuern müssen, was das Modell tun darf, oder wenn ein bestehender Server weit mehr bereitstellt, als Sie wollen.
Ein guter eigener Server ist klein: eine Handvoll Tools mit klaren Namen und Beschreibungen, Eingaben, die gegen ein Schema geprüft werden, Fehlermeldungen, die das Modell versteht, und Anmeldung über den Identitätsanbieter des Unternehmens. Testen Sie ihn mit den echten Aufgaben, die Menschen der KI stellen werden, nicht nur mit Unit-Tests.
So bauen wir MCP-Server und Konnektoren für Claude Enterprise.
Quellen
- Anthropic: Introducing the Model Context Protocol, 25. November 2024
- Anthropic: Donating the Model Context Protocol and establishing the Agentic AI Foundation, 9. Dezember 2025
- Spezifikation des Model Context Protocol, Version 2026-07-28
- MCP-Spezifikation: Autorisierung
- MCP-Spezifikation: Best Practices für Sicherheit
- Claude Help Center: individuelle Konnektoren
- OpenAI: Entwicklermodus und MCP in ChatGPT
- Microsoft: MCP allgemein verfügbar in Copilot Studio
- Google Cloud: offizielle MCP-Unterstützung für Google-Dienste
- Invariant Labs: Tool-Poisoning-Angriffe auf MCP