Was ist MCP? Das Model Context Protocol für Fachleute erklärt

Was ist MCP?

MCP steht für Model Context Protocol. Der Standard legt fest, wie eine KI-Anwendung mit Systemen spricht, aus denen sie Inhalte holt oder in denen sie etwas tut. Vorbild war das Language Server Protocol, mit dem Entwicklungsumgebungen viele Programmiersprachen verstehen: Einmal gebaut, funktioniert eine Anbindung mit jeder Anwendung, die den Standard spricht.

Anthropic hat MCP im November 2024 als offenen Standard veröffentlicht. Seit dem 9. Dezember 2025 gehört er zur Agentic AI Foundation unter dem Dach der Linux Foundation, zu deren Mitgliedern große Anbieter wie Anthropic, Google, Microsoft und OpenAI zählen. Die aktuelle Fassung der Spezifikation trägt das Datum 28. Juli 2026.

Wie ist MCP aufgebaut?

Baustein	Aufgabe	Beispiel
Host	die KI-Anwendung, mit der Menschen arbeiten	Chat einer KI-Plattform
Client	Verbindung des Hosts zu genau einem Server	Verbindung zum Wiki
Server	stellt Inhalte und Funktionen eines Systems bereit	MCP-Server für Confluence

Ein Server bietet drei Arten von Bausteinen an:

• Ressourcen: Inhalte und Daten, etwa Seiten, Dateien oder Datensätze.
• Werkzeuge: Funktionen, die das KI-Modell aufrufen kann, etwa „Tickets suchen“ oder „Termin anlegen“.
• Vorlagen: vorbereitete Anweisungen und Abläufe, die Menschen auswählen.

Die Nachrichten folgen JSON-RPC 2.0. Übertragen werden sie lokal über die Standardein- und -ausgabe eines Programms oder über HTTP, wenn Server und Anwendung auf verschiedenen Rechnern laufen.

Wie meldet sich eine KI-Anwendung bei einem MCP-Server an?

Für Verbindungen über HTTP beschreibt die Spezifikation eine Anmeldung nach OAuth 2.1. Der MCP-Server ist dabei ein geschützter Dienst, der Zugangstoken eines Anmeldedienstes annimmt. Wichtige Regeln aus der Spezifikation:

• Ein Token gilt nur für den Server, für den es ausgestellt wurde; der Server muss das prüfen.
• Ein Server darf Token nicht annehmen oder weiterreichen, die für andere Dienste bestimmt sind.
• Token gehören in den Kopf der Anfrage, nie in die Adresse.
• Die Anwendung fordert nur die Rechte an, die sie für die Aufgabe braucht.

Für Server, die lokal als Programm laufen, sieht die Spezifikation keine OAuth-Anmeldung vor; dort kommen die Zugangsdaten aus der Umgebung. Die Anmeldung ist in MCP insgesamt optional. Ob ein Server sie nutzt, ist eine der ersten Fragen bei jeder Prüfung.

Welche Sicherheitsfragen sollte die IT stellen?

Die Spezifikation sagt selbst, dass MCP Datenzugriff und Code-Ausführung ermöglicht und die Sicherheitsgrundsätze nicht auf Protokollebene durchsetzen kann. Das bleibt Aufgabe der Anwendung. Prüfen Sie:

1. Mit wessen Rechten? Greift die Anwendung mit dem Konto der Person zu, die fragt, oder mit einem Sammelkonto, das alles sieht?
2. Lesen oder schreiben? Werkzeuge, die etwas verändern, sollten aus sein, bis sie gezielt freigegeben werden, und dann nur nach Bestätigung durch einen Menschen laufen.
3. Woher kommt der Server? Beschreibungen von Werkzeugen gelten laut Spezifikation als nicht vertrauenswürdig, wenn der Server nicht vertrauenswürdig ist. Ein fremder Server kann die KI mit manipulierten Beschreibungen in die Irre führen.
4. Was steht in den Daten? Inhalte aus angebundenen Systemen können versteckte Anweisungen enthalten. MCP schützt davor nicht. Manipulierte Anweisungen in Dokumenten →
5. Wird protokolliert? Jeder Aufruf eines Werkzeugs sollte im Audit-Log der Anwendung stehen. Audit-Logs und Nachvollziehbarkeit →
6. Welche Version? Die Fassung vom Juli 2026 hat das Protokoll deutlich umgebaut; ältere Fassungen laufen noch. Fragen Sie, welche Fassung Anwendung und Server sprechen.

Wie nutzt basebox MCP?

Die Konnektoren von basebox nutzen MCP für die Anbindung Ihrer Systeme. Jeder Zugriff läuft mit den Rechten der Person, die gerade fragt, standardmäßig nur lesend. Ein gemeinsames Dienstkonto gibt es nicht: Zugangsdaten werden je Person gespeichert und nie angezeigt, und das Zielsystem setzt seine Rechte durch. Wo ein System eine eigene Anmeldung hat, meldet sich die Person über OAuth mit ihrem eigenen Konto an; basebox erhält dafür eine Freigabe, kein Passwort. Verbindungen zu Konnektoren baut nur der Server von basebox auf, nie das Gerät der Person, und jeder Aufruf eines Konnektors steht im Audit-Log.

Geprüfte Konnektoren und eigene MCP-Server

	Konnektoren aus der Bibliothek von basebox	Eigene oder fremde MCP-Server
Geprüft	immer von basebox geprüft	nicht von basebox geprüft
Verfügbar	für alle Kunden	nur innerhalb Ihrer Organisation
Verantwortung	basebox für den Konnektor	Ihre Organisation

Ein fremder MCP-Server kommt nur in die Bibliothek von basebox, wenn basebox ihn geprüft hat, etwa wenn ein Kunde ihn bereitstellt.

Ungeprüfte MCP-Server bringen eigene Risiken mit:

• Fremder Code: Der Server führt Code aus und sieht alle Daten, die durch ihn laufen.
• Manipulierte Beschreibungen: Beschreibungen von Werkzeugen können die KI zu anderen Aufrufen verleiten als gedacht.
• Stille Änderungen: Eine neue Version kann Werkzeuge oder Beschreibungen ändern, ohne dass es auffällt.
• Zu weite Rechte: Ein Server mit Sammelkonto oder Schreibrechten kann mehr, als die Aufgabe braucht.

Prüfen Sie einen eigenen MCP-Server deshalb vor dem Einspielen nach den Fragen oben, halten Sie die Version fest und geben Sie ihn zuerst nur lesend und für eine kleine Gruppe frei.

Welche Konnektoren es gibt und mit welchem Status, steht auf /konnektoren. Fehlt ein System mit Schnittstelle, baut basebox den Konnektor zum Festpreis und nimmt ihn geprüft in die Bibliothek auf. Eigene MCP-Server spielen Sie nur innerhalb Ihrer Organisation ein, ungeprüft und in Ihrer Verantwortung; fremde kommen in die Bibliothek nur nach Prüfung durch basebox.