Model Context Protocol (MCP): Die KI mit Geschäftstools verbinden

Was ist das Model Context Protocol (MCP)?

Das Model Context Protocol (MCP) ist ein offener Standard und Open-Source-Protokoll, das Anthropic im November 2024 eingeführt hat. Es standardisiert die Art und Weise, wie KI-Anwendungen, insbesondere große Sprachmodelle (LLMs), sich mit externen Werkzeugen, Systemen und Datenquellen verbinden [11].

Eine Standardisierungsschicht zwischen KI und Diensten

IBM beschreibt MCP als Standardisierungsschicht. Sie ermöglicht KI-Anwendungen, mit externen Diensten zu kommunizieren: Werkzeugen, Datenbanken und vordefinierten Modellen [12]. MCP ist weder ein KI-Modell noch eine Geschäftssoftware. Es ist ein Protokoll, also eine gemeinsame Austauschkonvention zwischen dem Assistenten und den Systemen, die er nutzen soll.

Mendix, ein Anbieter von Entwicklungsplattformen, definiert es ähnlich: als Open-Source-Protokoll, das KI-Anwendungen mit externen Datenquellen und Werkzeugen verbinden lässt, verbunden mit einem Sicherheitsversprechen [19]. Dieses Versprechen wird vom Anbieter selbst vorgebracht. Es setzt voraus, dass es bei jedem Einsatz überprüft wird.

Das USB-C-Bild

Zur Veranschaulichung dieser Rolle greifen mehrere kommerzielle Akteure den Vergleich mit USB-C auf.

• Red Hat stellt MCP als einheitliches, standardisiertes Protokoll dar, um eine KI-Anwendung mit einem externen System zu verbinden, und vergleicht es mit einem USB-C-Kabel, das ein Gerät mit verschiedenen Zubehörteilen verbindet [1].
• NextStart.AI spricht vom „USB-C-Port der Unternehmens-KI“ [30].

Die Analogie stützt sich auf die Ausgangslage davor. Vor MCP musste jeder Anbieter für jedes Modell einen eigenen Konnektor entwickeln, und jedes Unternehmen musste diese Integrationen bei jedem Update warten [30]. Mit einem gemeinsamen Anschluss kann ein Werkzeug prinzipiell an verschiedene Assistenten angeschlossen werden, ohne spezifische Entwicklung.

Das Bild hat Grenzen: USB-C ist ein Hardwarestandard, MCP dagegen ein Softwareprotokoll. Die folgenden Abschnitte beschreiben seine Funktionsweise, seine Unterschiede zu einer klassischen API und die Vorsichtsmaßnahmen für einen Einsatz im Unternehmen.

Welches Problem löst MCP für ein Unternehmen?

MCP löst zunächst ein Integrationsproblem: Ein KI-Modell mit den Werkzeugen eines Unternehmens zu verbinden, erforderte so viele maßgeschneiderte Konnektoren, wie es Kombinationen aus Modell und Werkzeug gab. Vor dem Protokoll musste jeder Anbieter für jedes Modell einen eigenen Konnektor entwickeln, und jedes Unternehmen musste diese Integrationen bei jedem Update warten [30].

Die „Verkabelung“, die sich vervielfacht

Die Schwierigkeit lag weniger in der Denkfähigkeit der Modelle als in der Verkabelung, die nötig war, um sie an das Informationssystem anzuschließen. Diese Verkabelung vervielfachte sich mit jeder neuen Kombination aus Assistent und Werkzeug [21]. Viele KI-Projekte beruhten bis dahin auf Einzelintegrationen für jedes Paar aus Modell und Werkzeug [27]. Die Rechnung ist einfach: Zehn Werkzeuge und drei Assistenten ergeben potenziell dreißig getrennte Integrationen, die entwickelt und dann gewartet werden müssen. MCP begegnet diesem Interoperabilitätshindernis mit einem universellen Protokoll [10].

Modelle, die nur ihr Training kennen

Das zweite Problem liegt bei den Modellen selbst. Ein großes Sprachmodell (LLM) kennt in der Regel nur die Daten, mit denen es trainiert wurde, und diese Daten können schnell veralten [8]. Für den professionellen Einsatz ist das eine direkte Grenze: Ein Modell allein weiß nichts über den Stand einer Kundenakte, eines Lagerbestands oder eines Tickets, das heute Morgen geöffnet wurde.

MCP setzt an dieser Grenze an, indem es Modellen einen strukturierten und erweiterbaren Zugang zu den benötigten Daten und Werkzeugen gibt. Der Kontext aus den Unternehmenssystemen ist dann in Echtzeit und überprüfbar [18]. Die Antworten der KI stützen sich damit auf den aktuellen Zustand der Systeme und nicht nur auf das, was das Modell gelernt hat.

Was das für die IT-Leitung bedeutet

Das Protokoll macht Modelle nicht „intelligenter“. Es verlagert den Aufwand: Statt Integrationen neu zu schreiben, stützen sich die technischen Teams auf eine gemeinsame Schnittstelle zwischen KI und Werkzeugen.

Wie funktioniert MCP konkret?

MCP beruht auf einer Client-Server-Architektur. Der MCP-Client sendet standardisierte Anfragen, und MCP-Server stellen die Ressourcen des Unternehmens (Datenbanken, APIs, Werkzeuge) über eine einheitliche Schnittstelle bereit [17].

Nachrichten, Rollen und Authentifizierung

Die Kommunikation verläuft bidirektional [8][17] und erfolgt über JSON-Nachrichten [17]. Die Architektur stützt sich auf JSON-RPC 2.0 und unterscheidet klar drei Rollen: Host, Client und Server [27]. Die Terminologie variiert je nach Quelle. [17] bezeichnet mit „Client“ einfach das KI-Modell, während [27] Host und Client unterscheidet. Zur Authentifizierung gibt [17] an, dass das Protokoll OAuth2 verwendet. Dieser Punkt stammt aus einer einzigen Quelle des Dossiers und muss in der offiziellen Spezifikation bestätigt werden, bevor eine Architektur festgelegt wird.

Dynamische Erkennung von Werkzeugen

Das Modell erkennt die verfügbaren Werkzeuge selbst, ohne fest codierte Liste [17][26]. Diese Erkennung erfolgt zur Laufzeit: Ein auf einem Server hinzugefügtes Werkzeug wird für die verbundenen Modelle sofort verfügbar [35]. Für die IT-Leitung bedeutet das: Ein Server zu erweitern genügt, um die Fähigkeiten des Assistenten auszubauen, ohne jede Client-Anwendung anzupassen.

Mehrstufige Workflows

Diese Architektur ermöglicht zustandsbehaftete, mehrstufige Workflows statt isolierter Anfrage-Antwort-Interaktionen [9]. Die KI kann so zum richtigen Zeitpunkt auf die richtigen Daten zugreifen und mit Fachsystemen interagieren, wie es ein Mitarbeiter tun würde [26].

Eine Spezifikation, die sich weiterentwickelt

Eine Quelle nennt eine Spezifikationsversion vom 28. Juli 2026, die einen „stateless“ Kern und Verbesserungen bei der Autorisierung einführen soll [13]. Dieser Punkt scheint die oben beschriebene Idee zustandsbehafteter Workflows [9] zu relativieren. Das Dossier enthält nicht die offizielle Spezifikation, und [13] ist ein populärwissenschaftlicher Inhalt. Wir entscheiden das daher nicht: Vor jeder Entwicklung sollte die aktuell gültige Version in der Dokumentation des Protokolls geprüft werden.

Worin unterscheidet sich MCP von einer API oder einem klassischen Konnektor?

Eine API stellt eine bestimmte Funktion eines Werkzeugs bereit, während MCP den Dialog zwischen einer KI und diesem Werkzeug standardisiert [23]. Beide liegen nicht auf derselben Ebene: Die API beschreibt, was eine Software kann, das Protokoll beschreibt, wie ein KI-Modell darauf zugreift.

Was MCP gegenüber einem klassischen Konnektor ändert

Ein klassischer Konnektor wird für ein bestimmtes Paar geschrieben, ein Modell und ein Werkzeug. Vor MCP musste jeder Anbieter für jedes Modell einen eigenen Konnektor entwickeln, und jedes Unternehmen musste diese Integrationen bei jedem Update warten [30]. MCP verlagert diese Arbeit an drei Stellen:

• Normierung des Zugriffs: Das Protokoll vereinheitlicht, wie ein Modell auf Werkzeuge und Daten zugreift [5].
• Trennung der Zuständigkeiten: Fachlogik, Modell und Infrastruktur bleiben voneinander getrennt [5].
• Wiederverwendung: Ein einziger MCP-Server pro Werkzeug kann alle KI-Anwendungen des Unternehmens bedienen [15].

Laut einer redaktionellen Quelle kann ein Assistent danach CRM, ERP, Messaging oder Kalender lesen und beschreiben, ohne spezifische Integration [29]. Dieses Versprechen wird von einem kommerziellen Akteur formuliert und ist bei jedem Einsatz zu validieren.

Eine Schicht, die APIs ergänzt

MCP ersetzt keine APIs. In der beschriebenen Architektur stellen MCP-Server Ressourcen (Datenbanken, APIs, Werkzeuge) über eine einheitliche Schnittstelle bereit [17]. Die API bleibt also der Zugang zur Anwendung, und der MCP-Server macht sie für ein Modell standardisiert nutzbar. Für Anwendungsfälle ohne KI (Datenaustausch zwischen Systemen, Stapelverarbeitung) rechtfertigt das Dossier keinen Einsatz von MCP.

Ein methodischer Hinweis

Die kategorischsten Formulierungen dieses Vergleichs stammen aus redaktionellen oder kommerziellen Quellen: [23] für die Unterscheidung zwischen API und MCP, [15] für die Wiederverwendung eines Servers durch alle KI-Anwendungen. Die Beschreibung der Trennung von Fachlogik, Modell und Infrastruktur [5] stammt von einem Softwareanbieter. Diese Quellen beschreiben die Absicht des Protokolls. Der tatsächliche Nutzen hängt von der Anzahl der anzubindenden Werkzeuge und Assistenten ab, und die IT-Leitung muss ihn im eigenen Umfeld messen.

Welche Werkzeuge und Anwendungsfälle lassen sich über MCP anbinden?

Das Model Context Protocol zielt vorrangig auf Unternehmenswerkzeuge: CRM, Slack, Google Drive und Datenbanken [3]. Konkret kann ein KI-Assistent in diese Werkzeuge lesend und schreibend zugreifen, einschließlich ERP, Messaging und Kalender, ohne spezifische Integration [29]. Diese Schreibfähigkeit, die Handeln statt nur Abfragen ermöglicht, erfordert Vorsichtsmaßnahmen bei den Zugriffsrechten, die weiter unten in diesem Artikel behandelt werden.

Die betroffenen Werkzeugkategorien

Anwendungsfall: eine Kommune

In einem Dokumentenassistenten für Verwaltung oder Kommunen kann MCP einen Dialog-Agenten mit mehreren internen Quellen verbinden [33]. Die Quelle nennt vier Arten:

• Dateiverzeichnisse;
• Dokumentendatenbanken;
• Ticketing-Werkzeuge;
• Wissensdatenbanken [33].

Der Agent fragt diese Ressourcen so über eine einzige Dialogoberfläche ab, statt dass jede eine eigene Entwicklung erfordert. Der Text, veröffentlicht von der Banque des Territoires, stellt das Protokoll als Baustein der KI-Architektur eines Unternehmens dar und nicht als bloßes technisches Detail [33].

Anwendungsfall: Industrie

In der Fertigung liefert MCP Sprachmodellen den Kontext, den sie aus den Werkzeugen und Systemen benötigen, die Hersteller ohnehin nutzen [6]. Das Modell braucht also keinen separaten Datensatz: Es arbeitet mit den Systemen, die die Produktion steuern. Diese Quelle stammt von einem kommerziellen Akteur, und ihre Formulierungen beschreiben ein Potenzial, kein gemessenes Ergebnis.

Was für die Planung festzuhalten ist

Beide Fälle beruhen auf demselben Prinzip: Die KI wird an bestehende Systeme angeschlossen, statt diese zu ersetzen. Für die IT-Leitung lautet die Ausgangsfrage daher weniger „Welches Modell wählen wir?“ als „Welche internen Quellen stellen wir bereit, mit welchen Lese- und Schreibrechten?“.

Ist MCP ein tatsächlich verbreiteter Standard?

MCP wird als von den wichtigsten KI-Anbietern übernommen dargestellt, doch das Dossier enthält keine Primärquelle (Anbieter-Mitteilung oder offizielle Spezifikation). Die folgenden Fakten stammen aus Sekundärquellen, häufig kommerziellen, und einige sind noch zu bestätigen.

Was die Quellen übereinstimmend belegen

• Ursprung: MCP ist ein offener Standard, der Anthropic im November 2024 eingeführt hat [11].
• OpenAI: Die Übernahme datiert auf März 2025 [29].
• Google und Microsoft: Eine Beratungsagentur gibt an, dass MCP 2025 von OpenAI, Google und Microsoft übernommen wurde [16]. Das Dossier nennt kein genaues Datum für Google oder Microsoft.
• Ökosystem: Das Projekt veröffentlicht Referenzserver (Dateisysteme, PostgreSQL-Datenbanken, Websuche), und ein offizielles Register verzeichnet die verfügbaren Server. Gemeinschaftliche Verzeichnisse listen Tausende weitere, vom Datenbankkonnektor bis zu Nischen-Fachwerkzeugen [31]. Diese Beschreibung stammt aus einem Praxisleitfaden einer Agentur, ohne genaue Zählung.

Was noch zu prüfen ist

Zur Spezifikation nennt die Quelle nur diese beiden Neuerungen [13]. Sollten sie sich bestätigen, betreffen sie die Zustandsverwaltung und die Autorisierung, zwei Punkte, die vor jedem Einsatz zu prüfen sind. Vor der Festlegung einer Architektur ist deshalb die aktuell gültige Version der offiziellen Spezifikation zu lesen.

Bei der Gartner-Prognose gibt es zwei Zwischenstationen. Zudem bezieht sie sich auf KI-Agenten und nicht auf MCP selbst: Divalto behauptet, MCP sei das Protokoll, auf das diese Agenten für den Datenzugriff zurückgreifen [32]. Sie liefert eine Größenordnung, aber keine Messung der Verbreitung des Protokolls.

In der Praxis sind die Übernahme durch große Anbieter und die Größe des Ökosystems gut belegt. Die genauen Versionen der Spezifikation und die Marktzahlen müssen bei den Primärquellen überprüft werden.

Ist MCP sicher? Welche Vorsichtsmaßnahmen gelten für die IT-Leitung?

MCP wird als sicherer Weg zur Anbindung von KI an Unternehmenssysteme dargestellt, doch die verfügbaren Quellen beschreiben dieses Versprechen, ohne es zu belegen. Die Sicherheit eines Einsatzes hängt daher von der eigenen Risikoanalyse ab.

Was die Quellen sagen

Mehrere Quellen verbinden MCP mit einer sicheren Anbindung. Proofpoint beschreibt es als offenen Standard, mit dem sich Modelle „sicher“ mit Datenquellen und externen Systemen verbinden können [2]. Mendix spricht davon, sich „auf sichere Weise“ zu verbinden [19]. Digitalkin bezeichnet es als „verlässlichen, portablen und nachvollziehbaren“ Standard [34]. Kiteworks, ein auf Sicherheit spezialisierter Anbieter, macht die KI-Sicherheit zu einem zentralen Anliegen des Protokolls [7].

Diese Aussagen stammen überwiegend aus redaktionellen Beiträgen und von kommerziellen Akteuren, von denen einige Sicherheits- oder Entwicklungsprodukte verkaufen. Sie sind als Positionierungen zu lesen, nicht als Ergebnisse einer Prüfung.

Was das Dossier nicht belegen kann

Das Dossier beschreibt kein konkretes Risiko von MCP, beziffert keine Schwachstelle und dokumentiert keinen Vorfall. Man kann daher weder schließen, das Protokoll sei von Natur aus sicher, noch eine Liste seiner Schwachstellen erstellen. Eine Quelle beschreibt Nachrichtenaustausch in JSON mit OAuth2-Authentifizierung [17]. Eine andere erwähnt „Verbesserungen bei der Autorisierung“ in einer Spezifikationsversion vom 28.07.2026 [13]. Dieses Datum ist ungewöhnlich und muss vor jeder Entscheidung in der offiziellen Spezifikation überprüft werden.

Drei Punkte, die vor jedem Einsatz zu klären sind

Die IT-Leitung kann die Analyse entlang dreier Achsen gliedern:

• Authentifizierung: Wie sich der MCP-Client und jeder Server identifizieren und wie Zugriffe gewährt und entzogen werden.
• Umfang der Rechte: Was der Assistent lesen und vor allem in jedem Werkzeug schreiben darf. Die Quellen geben an, dass ein Assistent in Fachwerkzeugen wie CRM oder ERP handeln kann [29], was diesen Umfang entscheidend macht.
• Nachvollziehbarkeit: Die Fähigkeit, nachzuvollziehen, welche Aktionen ausgelöst wurden, von wem und mit welchen Daten. Die Angabe zur Nachvollziehbarkeit ist im realen Einsatz noch zu prüfen [34].

Diese Analyse muss jeden ausgewählten MCP-Server betreffen, ob er von einem Anbieter, aus einem Gemeinschaftsverzeichnis oder aus einer internen Entwicklung stammt.

Wie lässt sich MCP umsetzen, und wo steht Oupi?

Ein Unternehmen hat drei Wege zur Umsetzung von MCP: bestehende Server wiederverwenden, eigene Server entwickeln oder auf eine Agentur bzw. eine Schulung zurückgreifen. Diese Wege lassen sich kombinieren.

1. Bestehende Server nutzen. Das MCP-Projekt veröffentlicht Referenzserver (Dateisysteme, PostgreSQL-Datenbanken, Websuche). Ein offizielles Register verzeichnet die verfügbaren Server, und gemeinschaftliche Verzeichnisse listen Tausende weitere, vom Datenbankkonnektor bis zur Steuerung von Nischen-Fachwerkzeugen [31]. Das ist der schnellste Ausgangspunkt für gängige Werkzeuge. Das Dossier legt nicht dar, wie gemeinschaftliche Verzeichnisse geprüft werden: Vor jeder Nutzung ist eine technische und sicherheitsbezogene Prüfung erforderlich.

2. Eigene Server entwickeln. Die systemeigenen Lösungen des Unternehmens (maßgeschneiderte ERP, Intranet, Preisdatenbank) fallen unter eigene Server [31]. Diese Entwicklung liegt beim internen Team, das seine eigenen Daten und Funktionen über das Protokoll bereitstellt.

3. Über eine Agentur oder Schulung gehen. Agenturen bieten an, maßgeschneiderte MCP-Server zu entwickeln und in bestehende Workflows zu integrieren [24]. Im Bereich Weiterbildung bietet ein Anbieter eine Schulung an, in der man lernt, komponierbare Architekturen auf Basis von MCP-Servern zu entwerfen und LLMs mit über das Protokoll bereitgestellten Werkzeugen und Daten zu verbinden [25]. Ein anderer bietet Inter- oder Intra-Schulungen an, in Frankreich oder aus der Ferne, ab 1 700 € netto und mit OPCO-Förderfähigkeit [4]. Diese Angebote stammen von kommerziellen Akteuren: Inhalte und Preise sind die der Anbieter.

In der Praxis kann man mit bestehenden Servern für Standardwerkzeuge beginnen, spezifische Entwicklungen auf interne Systeme beschränken und parallel die Kompetenzen aufbauen.

Wo steht Oupi

Oupi ist eine in Frankreich konzipierte, entwickelte und gehostete KI-Plattform. Sie verbindet sich über MCP und Konnektoren mit Hunderten externen Anwendungen.