Was ist ein MCP-Server? Der Standard, der KI-Agenten mit Ihren Systemen verbindet

Jeder, der einem KI-Assistenten schon einmal eine echte Aufgabe geben wollte, kennt die Wand: Das Modell schreibt kluge Texte, aber es kommt an nichts heran. Es kennt weder die Aufträge im ERP noch die Tickets im Helpdesk noch die Dateien auf dem Fileserver. Genau diese Wand reißt das Model Context Protocol ein, kurz MCP. Es ist der Steckstandard, über den KI-Assistenten und KI-Agenten auf die Systeme zugreifen, in denen die eigentliche Arbeit liegt.

Der Vergleich, der sich durchgesetzt hat: MCP ist der USB-C-Anschluss für KI. Vor MCP brauchte jede Kombination aus KI-Tool und Fachsystem eine eigene, handgebaute Integration. Mit MCP wird beides entkoppelt: Ein System bekommt einmal einen MCP-Server, und jedes MCP-fähige KI-Tool kann ihn nutzen. Dieser Artikel erklärt, wie das funktioniert, welche fertigen Server es gibt, was das mit Sicherheit und DSGVO macht, was die Einführung kostet und wie der erste Schritt konkret aussieht.

MCP kurz eingeordnet: Herkunft und Verbreitung

Das Model Context Protocol wurde im November 2024 von Anthropic veröffentlicht, dem Unternehmen hinter Claude, und zwar von Anfang an als offener Standard mit frei verfügbarer Spezifikation und Open-Source-Bausteinen. Entscheidend wurde das Jahr danach: OpenAI übernahm den Standard im Frühjahr 2025 für ChatGPT und sein Agents-Ökosystem, Google und Microsoft folgten. Damit ist MCP heute das, was ein Standard sein muss, um Investitionen zu rechtfertigen: herstellerübergreifend. Ein MCP-Server, der heute für Claude gebaut wird, funktioniert genauso mit ChatGPT, Copilot oder Gemini-basierten Werkzeugen.

Für Unternehmen ist das der eigentliche Punkt. Die Frage „Auf welchen KI-Anbieter setzen wir?“ wird von der Frage „Wie schließen wir unsere Systeme an?“ getrennt. Die Anbindung über MCP bleibt bestehen, auch wenn das KI-Modell dahinter gewechselt wird.

Wie ein MCP-Server funktioniert

Die Architektur hat drei Rollen. Der Host ist die KI-Anwendung, mit der ein Mensch arbeitet, etwa Claude, ChatGPT oder ein Editor wie Cursor. Im Host steckt ein MCP-Client, der die Verbindungen verwaltet. Und auf der anderen Seite steht je System ein MCP-Server: ein kleines Programm, das genau ein System nach außen anbietet, die Datenbank, das CRM, den Kalender. Gesprochen wird über ein schlankes, standardisiertes Nachrichtenformat, lokal auf demselben Rechner oder über das Netzwerk zu einem entfernten Server.

Ein MCP-Server bietet dem Modell dabei drei Arten von Bausteinen an. Tools sind Aktionen, die die KI ausführen darf: eine Abfrage laufen lassen, einen Datensatz anlegen, eine Nachricht senden. Ressourcen sind Inhalte, die sie lesen kann: Dateien, Tabellen, Dokumente. Prompts sind vorbereitete Arbeitsanweisungen für wiederkehrende Aufgaben. Der wichtige Mechanismus dahinter: Der Server beschreibt seine Bausteine maschinenlesbar, und das Modell entscheidet im Gespräch selbst, wann es welches Tool aufruft. Genau dieser Mechanismus macht aus einem Sprachmodell einen handlungsfähigen Agenten, wie wir ihn im Artikel Wie baut man KI-Agents beschreiben.

MCP vs. API, RAG und Plugins: was ist der Unterschied?

Die häufigste Rückfrage in Projekten: „Wir haben doch schon APIs, wozu jetzt MCP?“ Die kurze Antwort: MCP ersetzt keine API, es setzt auf ihr auf. Ein MCP-Server ist meist ein dünner Übersetzer, der eine bestehende API so beschreibt, dass ein KI-Modell sie ohne individuelle Programmierung nutzen kann. Die Tabelle ordnet die Begriffe ein.

In der Praxis kombinieren gute Lösungen die Ansätze: Eine Wissensdatenbank beantwortet die Frage „Was steht in unseren Unterlagen?“, MCP beantwortet die Frage „Was steht jetzt gerade im System, und was soll die KI damit tun?“. Auch Automatisierungsplattformen wie n8n haben MCP inzwischen integriert und können sowohl MCP-Server bereitstellen als auch als Client fremde Server ansprechen.

Welche fertigen MCP-Server es schon gibt

Der Standard lebt davon, dass für die gängigen Systeme längst Server existieren. Offizielle und Community-Kataloge führen Hunderte Einträge, die wichtigsten Kategorien für den Mittelstand: Kommunikation (Slack, E-Mail, Teams), Entwicklung (GitHub, GitLab), Daten (PostgreSQL und andere Datenbanken, Google Drive, SharePoint, lokales Dateisystem), Browser-Steuerung (Playwright, für alles, was nur eine Weboberfläche hat) und Business-Tools (HubSpot, Notion, Jira, zunehmend auch ERP-Anbieter). Viele SaaS-Hersteller liefern ihren MCP-Server inzwischen selbst mit, so wie sie früher eine REST-API mitgeliefert haben.

Die realistische Einordnung: Für Standardsysteme muss niemand mehr etwas bauen. Eigenentwicklung lohnt sich dort, wo das System speziell ist, das selbst entwickelte Warenwirtschaftssystem, die Branchenlösung, die alte Access-Datenbank. Ein solcher Server ist mit den offiziellen SDKs für erfahrene Entwickler eher eine Sache von Tagen als von Monaten, weil er nur beschreibt und durchreicht, was das System ohnehin kann.

Welche KI-Tools MCP sprechen

Auf der Client-Seite ist die Unterstützung 2026 breit. Claude nutzt MCP in der Desktop-App und im Terminal-Werkzeug Claude Code; auch der Zugriff über die Claude API kann Server einbinden. ChatGPT unterstützt MCP über Konnektoren und den Entwicklermodus, Microsoft integriert den Standard in Copilot Studio und Windows, die Entwickler-Editoren Cursor und VS Code sprechen ihn ebenso. Wer heute einen ChatGPT-Agenten erstellt oder mit Claude arbeitet, bindet Firmendaten also über denselben Mechanismus an.

Der Einstieg in 15 Minuten

Der schnellste Weg, MCP zu verstehen, ist ein harmloser erster Server im eigenen Alltag. Das Rezept: In der Desktop-App von Claude oder im Entwicklermodus von ChatGPT einen fertigen Server eintragen, meist ein Eintrag von wenigen Zeilen in einer Konfigurationsdatei oder ein Klick im Konnektoren-Menü. Ein guter Kandidat ist der Dateisystem-Server, beschränkt auf einen einzelnen Projektordner: Danach kann der Assistent Fragen wie „Fasse die drei neuesten Angebots-PDFs in diesem Ordner zusammen“ direkt beantworten, statt dass jemand Dateien hochlädt.

Dieser Selbstversuch kostet nichts, läuft komplett lokal und beantwortet die Frage, die in Entscheidungsrunden am meisten Zeit frisst: „Was bedeutet das konkret?“ Danach lässt sich deutlich fundierter diskutieren, welche echten Systeme angeschlossen werden sollen und unter welchen Auflagen.

Sicherheit und DSGVO: die unbequemen Fragen zuerst

Ein MCP-Server gibt einem Sprachmodell Zugriff auf echte Systeme, und genau so muss er behandelt werden. Die Datenschutzfrage zuerst: Der Server selbst kann vollständig im eigenen Haus laufen, die Inhalte, die er liefert, wandern aber in das angeschlossene KI-Modell. Damit gelten dieselben Regeln wie für jede KI-Nutzung mit personenbezogenen Daten: Auftragsverarbeitungsvertrag mit dem Modellanbieter, bewusste Auswahl, welche Daten der Server überhaupt herausgibt, und im Zweifel EU-Verarbeitung, wie wir es im Beitrag zu KI und Datenschutz ausführlich behandeln.

Dazu kommt ein MCP-spezifisches Risiko: Prompt Injection. Wenn ein Agent Inhalte liest, die Dritte geschrieben haben, etwa E-Mails oder Webseiten, können darin Anweisungen versteckt sein, die das Modell zu ungewollten Tool-Aufrufen verleiten. Die wirksamen Gegenmittel sind organisatorisch wie technisch: Server nur mit den minimal nötigen Rechten betreiben, lesende und schreibende Tools trennen, schreibende Aktionen freigabepflichtig machen, solange das Vertrauen fehlt, und Tool-Aufrufe protokollieren. Ein MCP-Setup, das nur lesen darf und dessen Aktionen ein Mensch bestätigt, ist ein überschaubares Risiko. Ein Server mit Vollzugriff und Schreibrechten ohne Freigabe ist keines, das man am ersten Tag eingehen sollte.

Was das im Mittelstand konkret bringt

Die Beispiele in der Fachpresse handeln gern von Banken und Konzernen. Die interessanteren Fälle liegen eine Nummer kleiner. Ein Vertriebsinnendienst fragt den Assistenten: „Was hat Kunde Müller in den letzten zwölf Monaten bestellt, und welche offenen Posten gibt es?“, und die Antwort kommt aus Warenwirtschaft und Buchhaltung statt aus drei geöffneten Programmen. Ein Assistent liest die eingehende Bestell-Mail, gleicht Artikelnummern gegen das ERP ab und legt den Auftragsentwurf an, den ein Mensch nur noch prüft. Eine Steuerkanzlei lässt Belege gegen die Mandantenakte prüfen. Es sind dieselben Prozesse, die wir in unseren Großhandels-Use-Cases seit Jahren automatisieren, nur dass der Zugriffsweg jetzt standardisiert ist statt pro Projekt neu gebaut.

Zur Kostenfrage, die in keinem der gängigen Überblicke beantwortet wird: Das Protokoll und die meisten fertigen Server sind kostenlos. Bezahlt werden drei andere Dinge, nämlich die laufenden Modellkosten pro Nutzung, gegebenenfalls das Hosting eines eigenen Servers und vor allem die Integrationsarbeit: Rechte sauber schneiden, Freigaben definieren, testen. Ein erster nutzbarer Anschluss eines Standardsystems ist eher ein Projekt von Tagen, ein abgesicherter Produktivbetrieb über mehrere Systeme eines von Wochen, nicht von Monaten.

Grenzen: was MCP nicht löst

Ehrlichkeit gehört dazu: MCP macht den Zugriff standardisiert, aber nicht das Modell fehlerfrei. Ein Agent kann ein Tool zum falschen Zeitpunkt oder mit falschen Parametern aufrufen, und je mehr Server gleichzeitig eingebunden sind, desto mehr Beschreibungstext muss das Modell im Blick behalten. Für kritische Abläufe bleibt deshalb der Mensch im Prozess, und für stabil wiederkehrende Massenabläufe ist ein fest definierter Workflow oft die robustere und günstigere Wahl als ein frei entscheidender Agent. MCP ist die Brücke zu den Systemen, kein Ersatz für die Entscheidung, welche Prozesse ein Agent überhaupt steuern soll.

Fazit

MCP hat innerhalb kurzer Zeit das größte praktische Problem der Unternehmens-KI gelöst: den Zugang zu den eigenen Systemen, ohne für jede Kombination aus Tool und System neu zu bauen. Der Standard ist herstellerübergreifend, das Angebot an fertigen Servern groß, der Selbstversuch kostenlos. Ernst nehmen muss man die Sicherheitsseite, mit minimalen Rechten, Freigaben für schreibende Aktionen und einer bewussten Datenschutz-Entscheidung.

Die eigentliche Arbeit liegt damit nicht mehr im Anschluss, sondern in der Auswahl: Welcher Prozess trägt einen Agenten, welche Rechte bekommt er, wo bleibt der Mensch im Loop. Genau diese Fragen beantwortet Bluebatch mit deutschen Mittelständlern und Großhändlern, von der Prozessauswahl bis zum abgesicherten Betrieb. Sprechen Sie uns an.