MCP für AI Agents 2026: Einfach erklärt + Beispiele

Was ist MCP bei AI Agents? Das Model Context Protocol (MCP) ist ein offener Standard, über den KI-Anwendungen auf externe Werkzeuge, Datenquellen und wiederverwendbare Arbeitsvorlagen zugreifen können. Ein MCP-Server kann beispielsweise eine CRM-Suche, einen Kalender, eine Datenbank oder eine interne Wissensquelle bereitstellen. Eine kompatible KI-Anwendung erkennt diese Funktionen in einem einheitlichen Format und kann sie dem Sprachmodell kontrolliert zur Verfügung stellen.

MCP wurde im November 2024 von Anthropic veröffentlicht und hat sich seitdem zu einem anbieterübergreifenden Standard entwickelt. OpenAI, Microsoft, Google, AWS, Cloudflare und zahlreiche Softwareanbieter unterstützen inzwischen MCP oder stellen eigene MCP-Server bereit. Seit Dezember 2025 wird das Projekt innerhalb der Agentic AI Foundation unter dem Dach der Linux Foundation weiterentwickelt.

Kurz erklärt: MCP ist eine standardisierte Verbindung zwischen einer KI-Anwendung und externen Fähigkeiten. Das Protokoll erzeugt kein automatisches Gedächtnis, koordiniert nicht selbstständig mehrere Agenten und ersetzt keine Benutzerrechte. Memory, Freigaben, Prozesslogik und Sicherheitsregeln bleiben Aufgaben der umgebenden Anwendung.

Stand: 30. August 2026. Der Artikel berücksichtigt die MCP-Spezifikation 2026-07-28. MCP entwickelt sich schnell weiter; prüfe bei einer Implementierung zusätzlich die aktuelle Spezifikation und die Version der eingesetzten SDKs.

MCP für AI Agents auf einen Blick

Warum wurde das Model Context Protocol entwickelt?

Ein Sprachmodell kennt zunächst nur die Informationen, die ihm in einer Anfrage bereitgestellt werden. Für eine Antwort zu einem Kundenauftrag benötigt es vielleicht CRM-Daten, Lagerbestand, Vertragsunterlagen und die aktuellen Preise. Ohne Integration bleiben diese Informationen in verschiedenen Systemen verteilt.

Vor MCP musste jede KI-Anwendung für jede Datenquelle eine eigene Verbindung entwickeln. Ein CRM wurde über dessen API angebunden, ein Dateispeicher über eine andere Schnittstelle und ein internes System über individuellen Code. Wollte ein Unternehmen dieselben Fähigkeiten anschließend in einer weiteren KI-Anwendung verwenden, entstand erneut Integrationsarbeit.

MCP standardisiert die Seite, die der KI-Anwendung zugewandt ist. Der MCP-Server kapselt die Verbindung zum jeweiligen System und beschreibt seine Fähigkeiten in einem gemeinsamen Format. Dadurch kann ein kompatibler Host mit vielen unterschiedlichen Servern arbeiten.

Anthropic bezeichnete MCP bei der Veröffentlichung im November 2024 als offenen Standard, der KI-Assistenten mit den Systemen verbindet, in denen Daten liegen. Die häufig verwendete USB-C-Analogie ist hilfreich: Verschiedene Geräte können denselben Anschluss verwenden. Sie sagt jedoch nichts darüber aus, welche Daten ein angeschlossenes Gerät lesen oder verändern darf. Diese Berechtigungen müssen zusätzlich geregelt werden.

Wie funktioniert MCP?

Die MCP-Architektur besteht aus einem Host, einem oder mehreren Clients und den verbundenen Servern. Diese Begriffe werden häufig verwechselt.

Ein Host kann mehrere Clients verwalten. Jeder Client hält die Verbindung zu einem bestimmten Server. Der Host bildet dabei die entscheidende Sicherheits- und Steuerungsebene: Er wählt aus, welche Server verbunden werden, welche Werkzeuge für die aktuelle Aufgabe verfügbar sind und wann eine Aktion bestätigt werden muss.

Tools, Resources und Prompts: die drei MCP-Kernbausteine

Tools führen eine klar definierte Funktion aus

Ein Tool ist eine aufrufbare Funktion. Es kann nur lesen oder eine Veränderung auslösen. Der Server beschreibt Name, Zweck, Eingaben und mögliche Ausgaben über ein Schema.

Beispiele für MCP-Tools:

• search_customer sucht einen Kunden im CRM.
• get_inventory liest den verfügbaren Lagerbestand.
• create_draft_offer erstellt einen Angebotsentwurf.
• schedule_meeting trägt nach einer Freigabe einen Termin ein.
• update_ticket verändert den Status eines Supportfalls.

Der Unterschied zwischen Lesen und Schreiben ist für den Betrieb wesentlich. Eine Produktsuche kann häufig automatisch erfolgen. Das Versenden eines Angebots, das Löschen eines Datensatzes oder eine Buchung sollte zusätzliche Prüfungen und eine eindeutige Berechtigung besitzen.

Resources stellen Daten für den Kontext bereit

Resources sind adressierbare Inhalte, die eine Anwendung lesen und dem Modell als Kontext bereitstellen kann. Sie werden häufig über URIs identifiziert.

Typische Resources sind:

• Produktkataloge und Preislisten
• interne Richtlinien und Handbücher
• Projekt- oder Kundendokumente
• Quellcode und Konfigurationsdateien
• Datenbanksichten oder Berichte

Eine Resource ist keine automatische RAG-Datenbank. Der Server kann seine Inhalte aus Dateien, einer API, einer Datenbank oder einem Retrieval-System beziehen. MCP standardisiert den Zugriff, während Suche, Indexierung und Berechtigungen hinter dem Server weiterhin implementiert werden müssen.

Prompts liefern wiederverwendbare Arbeitsvorlagen

Prompts sind vom Server bereitgestellte Vorlagen für wiederkehrende Aufgaben. Ein Nutzer kann beispielsweise „Kundenbriefing erstellen“ oder „Projektstatus zusammenfassen“ auswählen. Die Vorlage sorgt für ein konsistentes Format und kann passende Resources einbeziehen.

Prompts sind üblicherweise nutzergesteuert. Sie eignen sich für definierte Arbeitsweisen, enthalten jedoch keine verbindliche Prozesslogik. Pflichtprüfungen, Freigaben und Datenvalidierung gehören in die Anwendung oder in die ausgeführten Tools.

Beispiel: Wie ein MCP AI Agent auf Unternehmensdaten zugreift

Ein Vertriebsmitarbeiter fragt die Unternehmens-KI: „Welche Produkte kann ich Kunde Müller für das neue Projekt anbieten?“

1. Der Host erhält die Anfrage und stellt nur die für den Vertriebsprozess freigegebenen MCP-Tools bereit.
2. Das Modell erkennt, dass aktuelle Kundendaten und Bestände benötigt werden.
3. Über den CRM-MCP-Server ruft es mit search_customer den richtigen Datensatz ab.
4. Über einen ERP-Server liest es mit get_inventory Bestand und Lieferzeit.
5. Eine Resource liefert den freigegebenen Produktkatalog und die aktuelle Preislogik.
6. Das Modell erstellt eine begründete Empfehlung und kennzeichnet fehlende Informationen.
7. Ein Angebotsentwurf kann über ein weiteres Tool vorbereitet werden. Der Versand bleibt gesperrt, bis ein berechtigter Mitarbeiter Preis, Menge und Empfänger bestätigt.

MCP führt diese Schritte nicht selbst aus. Die KI-Anwendung wählt verfügbare Werkzeuge aus, das Sprachmodell schlägt Tool-Aufrufe vor und der Host setzt Richtlinien sowie Freigaben durch. Der Server wiederum prüft Eingaben und Berechtigungen, bevor er auf das verbundene System zugreift.

Wie sieht ein MCP-Tool technisch aus?

Ein Tool beschreibt seine Eingaben maschinenlesbar. Ein stark vereinfachtes Beispiel:

{
  "name": "get_inventory",
  "description": "Liest den verfügbaren Bestand für eine Artikelnummer.",
  "inputSchema": {
    "type": "object",
    "properties": {
      "sku": {
        "type": "string",
        "description": "Eindeutige Artikelnummer"
      }
    },
    "required": ["sku"],
    "additionalProperties": false
  }
}

Die Beschreibung beeinflusst, ob und wie ein Modell das Tool auswählt. Sie sollte Zweck, Grenzen und erwartete Eingaben eindeutig erklären. Der Server darf sich trotzdem nicht darauf verlassen, dass das Modell immer korrekte Argumente liefert. Er muss Artikelnummer, Berechtigung, Mandant und weitere Geschäftsregeln serverseitig validieren.

Die Spezifikation 2026-07-28 unterstützt für Tool-Schemas JSON Schema 2020-12. Dadurch lassen sich komplexere Eingabe- und Ausgabeformen beschreiben. Tiefe oder externe Schema-Referenzen sollten aus Sicherheits- und Leistungsgründen begrenzt werden.

Wie kommunizieren MCP Client und Server?

MCP verwendet JSON-RPC 2.0 für strukturierte Anfragen, Antworten und Meldungen. Als Standardtransporte stehen lokale Kommunikation über stdio und entfernte Verbindungen über Streamable HTTP zur Verfügung.

stdio für lokale MCP-Server

Bei stdio startet der Client den MCP-Server als lokalen Unterprozess. Nachrichten werden über Standardeingabe und Standardausgabe übertragen. Dieses Modell ist bei Entwicklungswerkzeugen und Desktop-Anwendungen verbreitet.

Der lokale Betrieb reduziert den Netzwerkzugriff, macht einen Server jedoch nicht automatisch vertrauenswürdig. Ein installierter Prozess kann abhängig von seinen Betriebssystemrechten auf Dateien, Umgebungsvariablen und lokale Dienste zugreifen. Installiere daher nur geprüfte Pakete und begrenze die Rechte des Prozesses.

Streamable HTTP für entfernte MCP-Server

Remote-Server werden über einen HTTP-Endpunkt angesprochen. Das eignet sich für zentrale Unternehmensdienste, Cloud-Angebote und gemeinsam genutzte Integrationen. Transportverschlüsselung, Authentifizierung, Tokenprüfung, Rate Limits und Mandantentrennung werden dadurch besonders wichtig.

Die frühere Kombination aus HTTP und separatem SSE-Endpunkt wurde zunächst durch Streamable HTTP ersetzt. Mit der aktuellen Version 2026-07-28 arbeitet der HTTP-Kern zustandslos: Jede Anfrage trägt die benötigte Protokollversion, Client-Information und Fähigkeiten. Eine Anfrage kann damit auf einer beliebigen Serverinstanz hinter einem Load Balancer landen.

Was ist neu in MCP 2026-07-28?

Die MCP-Spezifikation vom 28. Juli 2026 ist die bisher umfangreichste Überarbeitung des Standards. Für Unternehmen sind folgende Änderungen besonders relevant:

• Stateless Core: Der neue HTTP-Ablauf benötigt keine dauerhafte Protokollsitzung und keine Session Affinity.
• Optionale Discovery: Mit server/discover kann ein Client vorab unterstützte Versionen und Fähigkeiten abfragen.
• Multi Round-Trip Requests: Ein Server kann innerhalb eines Aufrufs fehlende Angaben oder eine Bestätigung anfordern, ohne eine dauerhafte Verbindung offen zu halten.
• Header-basiertes Routing: HTTP-Anfragen nennen Methode und Werkzeug in Headern. Gateways, Firewalls und Rate Limiter können Vorgänge dadurch leichter steuern.
• Cachebare Listen: Tool-, Resource- und Promptlisten enthalten Hinweise für eine kontrollierte Zwischenspeicherung.
• Erweiterungen: Zusätzliche Funktionen können unabhängig vom Kernprotokoll versioniert werden.
• MCP Apps: Server können interaktive Benutzeroberflächen bereitstellen, die der Host in einer isolierten Umgebung rendert.
• Tasks: Lang laufende Arbeiten werden über eine offizielle Erweiterung mit Task-Handle, Statusabfrage, Aktualisierung und Abbruch abgebildet.

Roots, Sampling und das bisherige Protokoll-Logging sind in der neuen Version als veraltet gekennzeichnet. Für neue Projekte empfiehlt das MCP-Team unter anderem direkte Modellintegrationen statt serverseitigem Sampling und OpenTelemetry für strukturierte Beobachtbarkeit. Bestehende Implementierungen funktionieren während der vorgesehenen Übergangszeit weiter.

Ist MCP ein Memory-System für AI Agents?

MCP speichert nicht automatisch den Gesprächsverlauf, Ziele, frühere Entscheidungen oder langfristige Erinnerungen. Ein MCP-Server kann zwar Werkzeuge und Resources für ein Memory-System anbieten. Die Datenhaltung selbst liegt dann in einer Datenbank, einem Vektorspeicher, einer Datei oder einem anderen Dienst.

Die aktuelle zustandslose Architektur macht diese Trennung besonders deutlich. Wenn ein Tool einen Prozess über mehrere Aufrufe fortsetzen muss, kann es beispielsweise einen expliziten Handle zurückgeben. Die Anwendung oder das Modell übergibt diesen Handle bei einem späteren Aufruf erneut.

Für ein belastbares Agenten-Memory brauchst du zusätzlich:

• eine Definition, welche Informationen gespeichert werden dürfen
• Mandanten- und Benutzerzuordnung
• Aufbewahrungs- und Löschregeln
• eine Suche nach relevanten Erinnerungen
• Qualitätsprüfungen und Korrekturmöglichkeiten
• Schutz vor manipulierten oder veralteten Einträgen

Weitere Grundlagen dazu findest du im Beitrag über Agentic Memory für KI-Agenten.

MCP, API, Function Calling, RAG und A2A im Vergleich

MCP ersetzt die API eines CRM- oder ERP-Systems daher selten. Der Server übersetzt den einheitlichen MCP-Aufruf in die jeweils notwendige API-Anfrage. Der Vorteil liegt in der wiederverwendbaren Verbindung zur KI-Anwendung und in einer konsistenten Beschreibung der verfügbaren Fähigkeiten.

Welche Plattformen unterstützen MCP?

MCP ist inzwischen in vielen KI- und Entwicklungsumgebungen verfügbar. Dazu gehören unter anderem Produkte und APIs von Anthropic, OpenAI, Microsoft und Google sowie Entwicklungswerkzeuge wie Visual Studio Code, Cursor und weitere Agenten-Frameworks.

OpenAI kann über die Responses API entfernte MCP-Server als Werkzeuge einbinden. Anwendungen können verfügbare Tools filtern und für Tool-Aufrufe eine Freigabe verlangen. OpenAI weist in den Hinweisen zur Datenverarbeitung darauf hin, dass externe MCP-Server eigene Aufbewahrungs- und Datenresidenzregeln besitzen. Diese Server müssen deshalb separat geprüft werden.

Die offizielle MCP-TypeScript-SDK-Dokumentation nennt TypeScript, Python, Go und C# als Tier-1-SDKs für die Spezifikation 2026-07-28. Weitere offizielle SDKs und Community-Implementierungen decken zusätzliche Sprachen ab. Prüfe vor einem produktiven Einsatz, welche Protokollversion der konkrete Host, Client und Server tatsächlich unterstützt.

Praxisbeispiele für MCP im Unternehmen

Kundenservice

Ein Service-Agent kann über getrennte MCP-Server auf Tickets, Produktdokumentation und Kundendaten zugreifen. Lesende Werkzeuge suchen frühere Fälle und prüfen Vertragsdaten. Eine Statusänderung oder Gutschrift benötigt eine eigene Berechtigung und gegebenenfalls eine Freigabe.

Vertrieb

Die KI ruft Kontakthistorie, offene Angebote und Lieferfähigkeit ab und erstellt daraus ein Gesprächsbriefing. Nach dem Termin kann sie einen CRM-Vermerk und einen E-Mail-Entwurf vorbereiten. Der Mitarbeiter kontrolliert sensible Aussagen und den Versand.

Finanzen und Controlling

Ein Agent liest freigegebene Kennzahlen aus ERP und Data Warehouse, vergleicht Perioden und erläutert Abweichungen. Buchungen oder Änderungen an Stammdaten bleiben auf eng begrenzte Tools und Rollen beschränkt. Bei Zahlen sollte das System Quelle, Zeitraum und Einheit nachvollziehbar ausgeben.

IT und Softwareentwicklung

Entwicklungsagenten können Repository, Ticketsystem, Dokumentation und Monitoring über MCP verwenden. Lesende Diagnose lässt sich weitgehend automatisieren. Änderungen an Code, Infrastruktur oder produktiven Systemen benötigen Review, Tests und definierte Bereitstellungswege.

Interne Wissensarbeit

Mitarbeiter können Richtlinien, Projektdokumente, Protokolle und freigegebene Fachdaten in einer gemeinsamen KI-Oberfläche abfragen. MCP sorgt für eine einheitliche Verbindung. Das Rollenmodell entscheidet, welche Person welche Quelle sehen darf.

Welche Vorteile bietet MCP für Unternehmen?

• Wiederverwendbare Integrationen: Ein Server kann von mehreren kompatiblen KI-Anwendungen genutzt werden.
• Modellunabhängigkeit: Tools und Datenzugriffe lassen sich leichter von einem bestimmten Modellanbieter trennen.
• Klare Schnittstellen: Werkzeuge besitzen definierte Namen, Eingaben und Ausgaben.
• Modulare Architektur: CRM, Dateien, Datenbanken und interne Dienste können getrennt betrieben werden.
• Zentrale Governance: Remote-Server lassen sich über Gateways, Identitäten, Richtlinien und Monitoring steuern.
• Schnellere Entwicklung: Offizielle SDKs reduzieren den Aufwand für Protokoll und Transport.
• Lokale und entfernte Systeme: stdio und Streamable HTTP decken Desktop- sowie Server-Szenarien ab.

Diese Vorteile entstehen nur bei einer sauberen Architektur. Ein schlecht beschriebenes Tool mit zu weitreichenden Rechten bleibt riskant, auch wenn es MCP verwendet.

Grenzen und typische Missverständnisse

• MCP macht ein Sprachmodell nicht automatisch zuverlässiger.
• Das Protokoll prüft keine fachliche Richtigkeit der zurückgegebenen Daten.
• Ein Server erhält keine pauschale DSGVO-Konformität durch MCP.
• Memory, Planung und Multi-Agent-Koordination müssen separat umgesetzt werden.
• Eine Tool-Beschreibung ersetzt keine serverseitige Eingabeprüfung.
• Read-only-Hinweise und andere Tool-Annotationen sind hilfreiche Signale, aber keine Sicherheitsgrenze.
• Ein öffentlich verfügbarer MCP-Server sollte nicht ungeprüft mit Unternehmensdaten verbunden werden.

Der größte Denkfehler besteht darin, MCP mit vollständiger Agenten-Orchestrierung gleichzusetzen. Das Protokoll stellt Fähigkeiten bereit. Die Anwendung entscheidet, welches Modell sie nutzt, welche Tools sichtbar sind, wie viele Schritte erlaubt werden und wer eine Aktion freigibt.

MCP-Sicherheit: die wichtigsten Risiken

Ein MCP-Server kann Daten lesen, Nachrichten versenden, Dateien verändern oder Systeme konfigurieren. Damit vergrößert er die mögliche Wirkung eines fehlerhaften oder manipulierten Modellergebnisses. Sicherheit muss deshalb auf mehreren Ebenen umgesetzt werden.

Prompt Injection über externe Inhalte

Eine Webseite, E-Mail oder Datei kann Text enthalten, der die KI zu unerwünschten Handlungen bewegen soll. Externe Inhalte sind Daten und dürfen keine Systemrichtlinien überschreiben. Begrenze die verfügbaren Tools für jede Aufgabe und trenne das Lesen unkontrollierter Inhalte von weitreichenden Schreibaktionen.

Zu breite Berechtigungen

Ein gemeinsames Administratorkonto für alle Nutzer widerspricht dem Prinzip der geringsten Rechte. Der MCP-Server sollte die Identität und Berechtigung für jeden Aufruf prüfen. Mandant, Benutzer und Zielsystem müssen serverseitig zusammenpassen.

Ungeprüfte Tool-Aufrufe

Das Modell kann ein falsches Tool wählen oder korrekte Werkzeuge mit ungeeigneten Argumenten aufrufen. Bestellungen, Zahlungen, Löschungen, externe Nachrichten und ähnliche Vorgänge benötigen Validierung, Grenzwerte und häufig eine menschliche Bestätigung.

Token- und OAuth-Fehler

Remote-MCP-Server verwenden für geschützte Zugriffe typischerweise OAuth-basierte Verfahren. Tokens müssen für den vorgesehenen Server ausgestellt und von diesem validiert werden. Das unveränderte Durchreichen eines Tokens an nachgelagerte Systeme kann Sicherheitsgrenzen aufheben und ist in der MCP-Spezifikation ausdrücklich problematisch.

Supply-Chain-Risiken lokaler Server

Ein lokaler Server läuft als Programm auf dem Gerät oder Server. Prüfe Quellcode, Herausgeber, Abhängigkeiten und Updates. Verwende festgelegte Versionen, eingeschränkte Betriebssystemrechte und eine kontrollierte Verteilung.

MCP-Sicherheitscheckliste

• Nur freigegebene Server und feste Versionen werden verwendet.
• Jeder Server besitzt einen klar dokumentierten Zweck und Verantwortlichen.
• Lesende und schreibende Tools sind getrennt.
• Verfügbare Tools werden je Nutzer, Rolle und Aufgabe begrenzt.
• Server prüfen Eingaben, Identität, Mandant und Geschäftsregeln.
• Kritische Aktionen benötigen eine explizite Freigabe.
• OAuth-Tokens sind kurzlebig, zweckgebunden und sicher gespeichert.
• Geheimnisse erscheinen weder in Tool-Ausgaben noch in Protokollen.
• Tool-Aufrufe, Ergebnisse, Fehler und Freigaben werden nachvollziehbar protokolliert.
• Externe Inhalte werden als potenziell manipuliert behandelt.
• Zeitlimits, Rate Limits und maximale Aufrufzahlen verhindern Endlosschleifen.
• Ein Notfallprozess kann Server oder einzelne Tools zentral sperren.

MCP und DSGVO

MCP definiert den technischen Austausch, aber keine Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Bei einem CRM- oder HR-Server muss das Unternehmen weiterhin Zweck, Datenminimierung, Zugriff, Aufbewahrung, Löschung und Betroffenenrechte klären.

Bei Remote-Servern können mehrere Stellen Daten verarbeiten: die KI-Anwendung, der Modellanbieter, der MCP-Server und das angebundene Zielsystem. Dokumentiere deshalb den vollständigen Datenfluss. Prüfe insbesondere, welche Argumente an das Tool gesendet werden, welche Daten der Server zurückgibt und welche Inhalte anschließend in den Modellkontext gelangen.

Lokale LLMs und selbst betriebene MCP-Server können bestimmte Datenflüsse innerhalb der eigenen Infrastruktur halten. Der Eigenbetrieb bringt Verantwortung für Updates, Zugriffsschutz, Backups, Monitoring und ausreichende Hardware mit sich. Weitere Orientierung bietet unser Artikel zur Frage welche KI DSGVO-konform eingesetzt werden kann.

Wie skaliert MCP bei mehreren Nutzern?

Die aktuelle zustandslose HTTP-Architektur erleichtert horizontale Skalierung. Anfragen können auf mehrere Serverinstanzen verteilt werden, ohne dass jede Verbindung dauerhaft an dieselbe Instanz gebunden bleibt. Header für Methode und Werkzeug unterstützen Routing, Rate Limiting und Monitoring.

Für einen Betrieb mit bis zu 20 gleichzeitig arbeitenden Nutzern müssen trotzdem mehrere Ebenen dimensioniert werden:

• Kapazität und Rate Limits der MCP-Server
• Limits der verbundenen CRM-, ERP- oder Cloud-APIs
• Datenbankverbindungen und Sperrkonflikte
• Warteschlangen für längere Aufgaben
• Token- und Modellkosten pro Arbeitsschritt
• Antwortzeiten der verwendeten Cloud- oder lokalen Modelle
• Priorisierung kritischer und interaktiver Anfragen

Bei lokalen LLMs fallen keine nutzungsabhängigen Tokengebühren des Modellanbieters an. Gleichzeitige Anfragen benötigen jedoch ausreichend GPU-Speicher, Rechenleistung, dynamisches Batching und Lastverteilung. Ein kleines Modell kann Klassifikationen oder Extraktionen wirtschaftlich übernehmen, während komplexe Analysen an ein leistungsfähigeres Modell gehen.

Wann MCP für ein Unternehmen sinnvoll ist

MCP bietet einen guten Ansatz, wenn:

• mehrere KI-Anwendungen auf dieselben Unternehmenswerkzeuge zugreifen sollen
• bestehende Integrationen wiederverwendbar werden sollen
• Cloud-Modelle und lokale LLMs mit einem gemeinsamen Tool-Layer arbeiten
• eigene Systeme über klar definierte Fähigkeiten geöffnet werden
• Tools zentral freigegeben, überwacht und gesperrt werden sollen
• ein Wechsel des Modells die Integrationen möglichst wenig beeinflussen soll

Für einen einzelnen stabilen Ablauf kann ein direkter API-Aufruf einfacher sein. MCP wird besonders interessant, wenn dieselbe Fähigkeit in mehreren Assistenten, Agenten oder Modellen genutzt werden soll.

Wie MCP in AI Cowork eingesetzt werden kann

In einer Unternehmensumgebung braucht MCP einen Host, der Modelle, Benutzer, Berechtigungen, Wissen und Freigaben zusammenführt. Genau an dieser Stelle lässt sich AI Cowork einsetzen.

Eine eigene Unternehmensinstanz kann ausgewählte MCP-Server und klassische APIs als kontrollierte Werkzeuge bereitstellen. Nutzer sehen nur die für ihre Rolle und Aufgabe vorgesehenen Funktionen. Lesende Abfragen können weitgehend automatisch erfolgen, während kritische Änderungen eine Freigabe verlangen.

Für jede Aufgabe lässt sich ein geeignetes Modell wählen. Ein kleines, wirtschaftliches Modell kann Daten klassifizieren oder Felder extrahieren. Anspruchsvolle Analysen können ein stärkeres Cloud-Modell verwenden. Sensible Aufgaben lassen sich bei passender Infrastruktur mit lokalen LLMs bearbeiten. Dadurch bleibt MCP die Verbindungsebene, während Modellrouting, Kostensteuerung, Benutzeroberfläche und Prozessverantwortung an einer zentralen Stelle liegen.

MCP ist dabei eine mögliche Integrationsform neben vorhandenen APIs, Webhooks und Datenbankzugriffen. Mehr über den Gesamtaufbau erfährst du auf der Seite zur KI-Prozessautomatisierung für Unternehmen.

MCP in sieben Schritten einführen

1. Anwendungsfall begrenzen: Definiere eine konkrete Aufgabe, den erwarteten Nutzen und die verantwortliche Person.
2. Datenfluss erfassen: Dokumentiere Host, Modell, MCP-Server, Zielsystem und übertragene Daten.
3. Tools schneiden: Baue kleine, eindeutig beschriebene Funktionen mit minimal notwendigen Rechten.
4. Identitäten integrieren: Ordne jeden Aufruf einem Nutzer, einer Rolle und einem Mandanten zu.
5. Freigaben definieren: Lege fest, welche Aktionen automatisch, nach Regeln oder nur nach Bestätigung laufen.
6. Mit realistischen Fällen testen: Prüfe korrekte Eingaben, Fehler, Prompt Injection, Ausfälle und konkurrierende Zugriffe.
7. Betrieb überwachen: Messe Qualität, Latenz, Kosten, Fehlerquoten und auffällige Tool-Aufrufe.

Beginne möglichst mit lesenden Werkzeugen. Sobald Datenqualität, Rollen und Protokollierung funktionieren, können ausgewählte Schreibaktionen mit engen Grenzen hinzukommen.

MCP verbindet Agenten mit Unternehmensdaten. Wie das in eine KI-native Architektur mit Governance und gemeinsamem Arbeitsplatz eingebettet wird, erklärt der Beitrag AI Native Company.

MCP ist die Schnittstelle, über die Agenten auf Tools und Daten zugreifen. Den Unternehmensleitfaden zu Aufbau, Betrieb und Risiken findest du unter AI Agents – kompletter Leitfaden.

Häufige Fragen zum Model Context Protocol

Fazit: MCP standardisiert den Werkzeugzugriff von AI Agents

Das Model Context Protocol verbindet KI-Anwendungen über eine gemeinsame Schnittstelle mit Tools, Resources und Prompts. Dadurch werden Integrationen wiederverwendbarer und Modelle leichter austauschbar. Die aktuelle Spezifikation 2026-07-28 verbessert vor allem Skalierung, Erweiterbarkeit und die Einbindung in bestehende HTTP- und OAuth-Infrastrukturen.

Für den produktiven Einsatz braucht der Standard eine verantwortungsvoll gestaltete Umgebung. Rollen, Berechtigungen, Freigaben, Datenqualität, Memory und Prozesslogik liegen weiterhin beim Unternehmen und seiner Anwendung. Wenn du prüfen möchtest, wie MCP-Server, klassische APIs, lokale LLMs und Cloud-Modelle in einer gemeinsamen Unternehmensinstanz zusammenspielen können, findest du weitere Informationen bei AI Cowork.

Über den Autor

Peter Krause

KI-Berater, Buchautor & Gründer

Über Peter Krause LinkedIn KI-Buch