MCP ist eine Verbindungsschicht, kein eigenes KI-Modell

Das Model Context Protocol, kurz MCP, beschreibt eine standardisierte Kommunikation zwischen einer KI-Anwendung und externen Funktionen oder Informationsquellen. Ein MCP-Server kann beispielsweise eine definierte Suche, eine Abfrage in einem Fachsystem oder eine begrenzte Aktion als Werkzeug beschreiben. Ein kompatibler Host kann diese Fähigkeiten entdecken und kontrolliert aufrufen.

Die Idee ähnelt dem Nutzen etablierter Schnittstellenstandards: Nicht jede KI-Anwendung braucht für jede Datenquelle eine vollständig individuelle Kopplung. MCP ersetzt dabei weder das Sprachmodell noch die fachliche API des ERP-, CRM- oder Dokumentensystems. Es legt eine zusätzliche, KI-taugliche Vertragsschicht darüber.

Wo der betriebliche Nutzen liegen kann

  • Wiederverwendbare Werkzeuge: Eine freigegebene Such- oder Abfragefunktion kann von mehreren kompatiblen KI-Anwendungen genutzt werden.
  • Explizite Verträge: Namen, Eingabeparameter und Rückgaben von Werkzeugen werden maschinenlesbar beschrieben und können validiert werden.
  • Trennung von Modell und Fachsystem: Zugangsdaten und Integrationslogik bleiben auf der Serverseite statt im Browser oder im Prompt.
  • Austauschbarkeit: Wenn der Vertrag stabil bleibt, können Host oder Modell leichter gewechselt werden als bei hart eingebauter Einzellogik.
  • Zentrale Kontrolle: Berechtigungen, Rate Limits, Protokollierung und Freigaben lassen sich an der Integrationsgrenze bündeln.

Die aktuelle Spezifikation entwickelt sich weiter

Mit der Spezifikation vom 28. Juli 2026 wurde der Kern für HTTP-basierte Nutzung unter anderem zustandsloser ausgerichtet und die Autorisierung weiter geschärft. Das ist für skalierbaren Betrieb relevant, zeigt aber zugleich: MCP ist ein junger Standard. Unternehmen sollten eine konkrete Protokollversion festlegen, Kompatibilität testen und Änderungen nicht ungeprüft in produktive Integrationen übernehmen.

Ein MCP-Server darf kein Generalschlüssel werden

Der technische Komfort vergrößert die Verantwortung. Ein Werkzeug, das „Kundendaten suchen“ heißt, braucht trotzdem eine klare Mandanten-, Objekt- und Rollenprüfung. Ein Werkzeug zum „Auftrag aktualisieren“ muss Eingaben validieren, zulässige Felder begrenzen und gegebenenfalls eine fachliche Freigabe verlangen. Das Sprachmodell darf Berechtigungen nicht durch Prompt-Text erhalten.

Die offizielle MCP-Sicherheitsdokumentation warnt unter anderem vor Token-Passthrough, zu breiten Berechtigungen, SSRF und unsicher betriebenen lokalen Servern. Zugriffstoken müssen für den richtigen Dienst ausgestellt und dort geprüft werden; Anmeldedaten eines Benutzers sollten nicht unkontrolliert an nachgelagerte Systeme weitergereicht werden.

Prompt Injection bleibt auch mit MCP ein Risiko

Wenn eine KI-Anwendung Dokumente, Websites oder E-Mails liest, können darin manipulative Anweisungen stecken. Hat dieselbe Anwendung Zugriff auf leistungsfähige Werkzeuge, kann aus einer falschen Antwort eine unerwünschte Aktion werden. Deshalb gehören unvertrauenswürdige Inhalte, Werkzeugauswahl und schreibende Rechte in getrennte Kontrollzonen. Kritische Aktionen brauchen enge Parameter, Voransicht und menschliche Bestätigung.

Wann MCP sinnvoll ist – und wann eine normale API reicht

MCP kann sinnvoll sein, wenn mehrere KI-Clients auf dieselben kuratierten Fähigkeiten zugreifen sollen, Werkzeuge dynamisch beschrieben werden müssen oder eine eigene KI-Infrastruktur entsteht. Für eine einzige, fest definierte Backend-Integration ist eine normale REST- oder Messaging-Schnittstelle oft einfacher, reifer und leichter zu überwachen. Ein zusätzlicher Standard ist nur dann hilfreich, wenn er Kopplung reduziert – nicht wenn er lediglich eine weitere Schicht erzeugt.

Ein vernünftiger Pilot

Starten Sie mit einem lesenden Werkzeug, etwa einer Suche in freigegebenen technischen Dokumenten. Definieren Sie Eingabe- und Ausgabeschema, Benutzerrolle, erlaubte Quellen, Rate Limit und Protokollierung. Testen Sie ungültige Parameter, fehlende Rechte, manipulierte Dokumente und absichtlich uneindeutige Fragen. Schreibende Werkzeuge folgen erst, wenn die Kontrollkette nachweisbar funktioniert.

Fazit: MCP kann eine nützliche Standardschicht für KI-Integrationen werden. Der Wert liegt aber nicht im Protokollnamen, sondern in sauber beschriebenen, minimal berechtigten und beobachtbaren Werkzeugen.