Model Context Protocol erklärt

Das Wichtigste in Kürze

MCP ist ein offener Standard dafür, wie ein KI-Assistent Werkzeuge aufruft und auf Daten zugreift – vergleichbar mit einem einheitlichen Stecker statt eines eigenen Kabels je Gerät.
Der Unterschied zur klassischen Schnittstelle liegt nicht in der Technik, sondern in der Richtung: Nicht ihr übergebt Daten, das Modell holt sie sich bei Bedarf.
Der praktische Nutzen entsteht erst mit klaren Berechtigungen. Ohne die ist ein Zugriff auf Firmendaten kein Fortschritt, sondern ein Risiko.
Programmierkenntnisse braucht es für die Nutzung nicht mehr – für die Einrichtung und für die Frage, wer was sehen darf, aber sehr wohl jemanden mit Verantwortung.

Die meisten Unternehmen nutzen KI heute wie ein sehr gut informiertes Gegenüber, das die eigene Firma nicht kennt. Man erklärt den Zusammenhang, fügt Daten ein, bekommt eine Antwort – und beim nächsten Mal beginnt dasselbe von vorn. Das funktioniert, aber es skaliert nicht.

Das Model Context Protocol, kurz MCP, setzt genau dort an. Es beschreibt, wie ein KI-Assistent mit Werkzeugen und Datenquellen spricht: welche Fähigkeiten eine Quelle anbietet, wie sie aufgerufen werden und in welcher Form die Antwort zurückkommt. Anthropic hat den Standard Ende 2024 veröffentlicht und offengelegt; seither wird er auch von anderen Anbietern unterstützt.

Ein zentraler Knoten mit Lichtkanälen zu vier verschiedenen geometrischen Formen — Ein Anschluss, viele Quellen: Der Assistent spricht mit jeder Quelle in derselben Sprache, statt für jede eine eigene Anbindung zu brauchen.

Was MCP eigentlich ist

Der Vergleich, der am besten trägt: MCP verhält sich zu KI-Anbindungen wie ein einheitlicher Steckerstandard zu Ladekabeln. Vorher brauchte jedes Gerät sein eigenes. Danach genügt einer.

Die drei Rollen

Der Server: Stellt Fähigkeiten bereit – etwa „lies die letzten Kampagnendaten", „lege einen Kontakt an", „durchsuche die Dokumentenablage". Ein Server steht typischerweise für ein System: eure Ablage, euer CRM, eure Analyse.
Der Client: Sitzt im KI-Werkzeug und spricht die Server an. Der Client entscheidet nicht, was passiert – er stellt nur die Verbindung her.
Das Modell: Entscheidet im Rahmen der Aufgabe, welche Fähigkeit es aufruft. Es sieht dabei nur, was die Server ihm anbieten, und darf nur, was ihr erlaubt habt.

Wichtig an dieser Aufteilung: Das Modell bekommt keinen freien Zugriff auf ein System. Es bekommt eine Liste erlaubter Handlungen. Was nicht auf der Liste steht, ist nicht möglich – nicht, weil das Modell brav wäre, sondern weil es technisch keinen Weg dorthin gibt.

Wusstest du schon?

Der Name klingt technischer, als die Sache ist. „Context" meint hier schlicht: alles, was das Modell für eine Aufgabe wissen muss. Das Protokoll regelt, wie dieser Kontext zustande kommt – nicht, was das Modell damit tut.

Und weil der Standard offen ist, funktioniert ein einmal gebauter Server mit jedem Werkzeug, das MCP spricht. Das ist der eigentliche Gewinn: Ihr baut die Anbindung einmal, nicht je Anbieter erneut.

Der Unterschied zur klassischen Schnittstelle

Die naheliegende Frage: Dafür gibt es doch Schnittstellen. Stimmt – und MCP ersetzt sie nicht, es nutzt sie. Der Unterschied liegt in der Richtung des Ablaufs.

	Klassische Schnittstelle	MCP
Wer entscheidet	der programmierte Ablauf	das Modell, im erlaubten Rahmen
Ablauf	fest verdrahtet	zur Laufzeit gewählt
Änderung nötig bei	jedem neuen Fall	neuen Fähigkeiten
Stärke	Vorhersagbarkeit	Anpassungsfähigkeit
Schwäche	starr	schwerer vorhersagbar

Daraus folgt eine klare Zuordnung: Für Abläufe, die immer gleich laufen und laufen müssen – Rechnungsstellung, Datenabgleich, Versand – bleibt die klassische Schnittstelle die richtige Wahl. Für Aufgaben, bei denen vorher nicht feststeht, welche Information gebraucht wird, spielt MCP seine Stärke aus.

Was vor der ersten Anbindung geregelt sein muss

Eine durchscheinende Schwelle, durch die Lichtteilchen geordnet hindurchtreten — Der Zugang ist keine Ja-oder-Nein-Frage. Entscheidend ist, was hindurch darf – und was an der Schwelle stehen bleibt.

Achtung Ein MCP-Server, der lesend auf eure Ablage zugreift, macht jeden Inhalt dieser Ablage für das Modell sichtbar – auch den, an den gerade niemand denkt. Die Zugriffsrechte des Servers sind die eigentliche Sicherheitsgrenze, nicht die Formulierung im Prompt.

Vier Punkte gehören geklärt, bevor der erste Server läuft:

Umfang statt Vollzugriff

Ein Server sollte genau die Fähigkeiten anbieten, die eine Aufgabe braucht – nicht den vollen Funktionsumfang des dahinterliegenden Systems. Lesen und Schreiben gehören getrennt.

Frage: Was genau muss diese Aufgabe können?

Eigene Zugangsdaten je Server

Nicht das Administratorkonto verwenden. Ein eigener Zugang je Anbindung, mit den minimal nötigen Rechten – dann lässt sich ein Zugriff auch nachträglich entziehen, ohne alles andere zu stören.

Frage: Lässt sich das einzeln abschalten?

Protokollierung

Jeder Aufruf sollte nachvollziehbar sein: wer, wann, welche Fähigkeit, welches Ergebnis. Ohne Protokoll lässt sich im Zweifelsfall nicht rekonstruieren, was passiert ist.

Frage: Können wir das im Nachhinein prüfen?

Bestätigung bei Folgen

Alles, was etwas verändert oder nach außen geht – Mails versenden, Datensätze löschen, veröffentlichen – gehört hinter eine ausdrückliche Bestätigung, nicht in einen automatischen Ablauf.

Frage: Was passiert, wenn das schiefgeht?

Herkunft der Server

Ein MCP-Server ist ausführbarer Code. Bei fremden Servern gilt dasselbe wie bei jeder anderen Software: Herkunft prüfen, Berechtigungen ansehen, im Zweifel nicht einsetzen.

Frage: Wer hat das geschrieben?

Wofür sich das im Marketing lohnt

Zwölf leuchtende Bausteine sind durch feine Lichtfäden zu einem Ganzen verbunden — Der Nutzen wächst nicht mit der Zahl der Anbindungen, sondern damit, wie gut sie zusammenspielen.

Nicht jede Anbindung lohnt sich. Die folgenden vier haben sich als die mit dem besten Verhältnis aus Aufwand und Wirkung erwiesen.

Aus der Praxis

Dokumentenablage, nur lesend. Der Assistent kann auf Tonalitätsvorgaben, Positionierung und frühere Texte zugreifen, statt dass man sie bei jeder Anfrage neu einfügt. Der größte Einzelgewinn, weil er bei jeder Textaufgabe wirkt.

Auswertungsdaten, nur lesend. Fragen zu Zahlen lassen sich direkt an der Quelle beantworten, statt Tabellen zu exportieren. Wichtig: mit Belegpflicht arbeiten, sonst entstehen plausible Aussagen ohne Grundlage.

Kontaktdaten, lesend und eng begrenzt schreibend. Anlegen und ergänzen ja, löschen nein. Diese Grenze spart im Zweifelsfall den ganzen Datenbestand.

Die eigene Website. Struktur, Adressen, Inhalte – damit lassen sich Verlinkungen prüfen und Lücken finden, ohne dass jemand die Seite abläuft.

Tipp Fangt mit einer einzigen lesenden Anbindung an und lasst sie vier Wochen laufen. Was in dieser Zeit nicht benutzt wurde, braucht ihr auch nicht. Das klingt banal, verhindert aber die häufigste Fehlentwicklung: zwölf Anbindungen, von denen drei benutzt werden und neun Angriffsfläche sind.

Wie die Einrichtung abläuft

Die Nutzung braucht heute keine Programmierkenntnisse mehr – viele Werkzeuge bringen fertige Server für gängige Systeme mit, die sich über eine Konfigurationsdatei oder eine Oberfläche aktivieren lassen. Was es weiterhin braucht, ist jemand, der die Berechtigungsfrage beantwortet.

Der Ablauf in vier Schritten:

Aufgabe beschreiben. Nicht „wir wollen MCP nutzen", sondern „der Assistent soll unsere Tonalitätsvorgaben kennen, ohne dass wir sie jedes Mal einfügen".
Quelle bestimmen. Wo liegt diese Information tatsächlich? Häufig an mehreren Stellen – dann zuerst aufräumen, dann anbinden.
Zugang einrichten. Eigenes Konto, minimale Rechte, nur lesend, Protokollierung an.
Vier Wochen beobachten. Wird die Anbindung benutzt? Kommen die Antworten besser? Wenn nein: abschalten statt erweitern.

Ein Prompt, der den Unterschied zeigt

Mit angebundenen Quellen ändert sich auch, wie man beauftragt. Der folgende Prompt setzt voraus, dass Ablage und Auswertung lesend verbunden sind – und zwingt zur Belegpflicht.

Prompt

Aufgabe: Entwirf drei Betreffzeilen für die nächste Kampagne
an die Zielgruppe [ZIELGRUPPE].

Vorgehen:
1. Sieh in unserer Ablage nach, welche Tonalitätsvorgaben gelten.
   Nenne die Datei, aus der du sie hast.
2. Sieh in den Auswertungsdaten nach, welche Betreffzeilen der
   letzten sechs Monate überdurchschnittlich geöffnet wurden.
   Nenne die Zeilen, auf die du dich stützt.
3. Entwirf danach die drei Vorschläge.

Wenn eine der beiden Quellen nichts Brauchbares hergibt,
schreibe das hin, statt es zu überspielen.

Der dritte Satz ist der wichtigste. Ohne ihn füllt das Modell die Lücke mit Plausiblem – und man merkt es erst, wenn jemand nachfragt, woher die Zahl stammt.

Wo die Grenzen liegen

Drei Dinge löst MCP nicht, auch wenn es gelegentlich so dargestellt wird.

Schlechte Daten werden nicht besser. Ein Assistent mit Zugriff auf eine unaufgeräumte Ablage antwortet schneller falsch als vorher. Die Anbindung verstärkt, was da ist – Ordnung ebenso wie Unordnung.

Der Ablauf entsteht nicht von selbst. Wer nicht beschreiben kann, welcher Vorgang automatisiert werden soll, gewinnt durch Anbindung nichts. Das Werkzeug beantwortet die Frage nicht, es setzt sie voraus.

Verantwortung bleibt. Wenn der Assistent auf Grundlage veralteter Daten etwas Falsches schreibt und es rausgeht, war es trotzdem euer Unternehmen. Bestätigungsschritte sind kein Misstrauen gegenüber der Technik, sondern die Stelle, an der jemand hinsieht.

Fazit

MCP ist kein Produkt, das man kauft, sondern eine Vereinbarung darüber, wie Systeme miteinander sprechen. Der Gewinn liegt nicht in der Technik selbst, sondern darin, dass die Anbindung einmal gebaut wird und danach mit jedem Werkzeug funktioniert, das den Standard spricht.

Für Unternehmen ohne eigene IT-Abteilung ist das die eigentliche Nachricht: Der Zugang zu dieser Art von Automatisierung hängt nicht mehr davon ab, ob jemand im Haus Schnittstellen programmieren kann. Er hängt davon ab, ob jemand die Berechtigungsfrage sauber beantwortet – und das ist eine organisatorische Aufgabe, keine technische.

Häufige Fragen

Was ist das Model Context Protocol in einem Satz?

Ein offener Standard dafür, wie ein KI-Assistent Werkzeuge aufruft und auf Datenquellen zugreift – ein einheitlicher Anschluss statt einer eigenen Anbindung je Anbieter.

Braucht man Programmierkenntnisse, um MCP zu nutzen?

Für die Nutzung nein: für gängige Systeme gibt es fertige Server, die sich über eine Konfiguration aktivieren lassen. Für die Entscheidung, welche Rechte ein Server bekommt, braucht es dagegen jemanden mit Verantwortung – und das ist keine technische, sondern eine organisatorische Frage.

Ist es sicher, einer KI Zugriff auf Firmendaten zu geben?

Es ist so sicher, wie die Berechtigungen es zulassen. Der Zugriff des Servers ist die tatsächliche Grenze – nicht die Anweisung im Prompt. Ein nur lesender Zugang mit eigenem Konto, minimalen Rechten und Protokollierung ist beherrschbar; ein Administratorzugang ist es nicht.

Was ist der Unterschied zwischen MCP und einer normalen Schnittstelle?

Die Richtung. Bei einer klassischen Schnittstelle legt ein programmierter Ablauf fest, was wann passiert. Bei MCP wählt das Modell zur Laufzeit aus den erlaubten Fähigkeiten. Das eine ist vorhersagbarer, das andere anpassungsfähiger – beides hat seinen Platz.

Welche Anbindung lohnt sich zuerst?

Die Dokumentenablage, nur lesend. Sie wirkt bei jeder Textaufgabe, weil Tonalität, Positionierung und Beispiele dann nicht mehr bei jeder Anfrage neu eingefügt werden müssen.

Funktioniert MCP mit jedem KI-Werkzeug?

Mit jedem, das den Standard unterstützt. Da er offen ist, wächst dieser Kreis – prüft aber vor einer Entscheidung, ob euer eingesetztes Werkzeug dazugehört, statt es vorauszusetzen.