Model Context Protocol: Wie MCP KI mit Unternehmensdaten verbindet

Das Model Context Protocol hat sich in weniger als zwei Jahren zum wichtigsten Standard für die Anbindung von KI an Unternehmenssysteme entwickelt. Es regelt, wie KI-Assistenten und KI-Agenten auf Datenbanken, Dokumente, Ticketsysteme oder Kalender zugreifen. Statt für jede Kombination aus KI-Anwendung und Datenquelle eine eigene Schnittstelle zu bauen, sprechen beide Seiten eine gemeinsame Sprache.

Für Entscheiderinnen und Entscheider ist das mehr als ein Technikdetail. Der Standard bestimmt, wie schnell du KI produktiv mit deinen Daten verbindest, wie abhängig du von einzelnen Anbietern bleibst und welche neuen Sicherheitsrisiken entstehen.

Dieser Beitrag erklärt, wie das Protokoll funktioniert, wer dahintersteht, wofür Unternehmen es einsetzen und worauf du bei Einführung und Absicherung achten solltest.

Was ist das Model Context Protocol?

Das Model Context Protocol (MCP) ist ein offener Standard, der festlegt, wie KI-Anwendungen mit externen Datenquellen und Werkzeugen kommunizieren. Ein MCP-Server stellt Daten oder Funktionen bereit, ein MCP-Client in der KI-Anwendung nutzt sie. So lassen sich Sprachmodelle einheitlich mit Unternehmenssystemen verbinden, ohne für jedes System eine eigene Integration zu programmieren.

Häufig wird MCP mit einem USB-C-Anschluss für KI verglichen. Der Vergleich trifft den Kern: Ein Gerät, viele Anschlussmöglichkeiten, ein gemeinsamer Stecker. Ein CRM-System, das einen MCP-Server anbietet, kann von unterschiedlichen KI-Assistenten genutzt werden, sofern diese das Protokoll unterstützen.

Das Problem, das MCP löst, nennen Fachleute das N-mal-M-Problem. Ohne Standard braucht jede der N KI-Anwendungen eine eigene Verbindung zu jeder der M Datenquellen. Mit einem gemeinsamen Protokoll schrumpft der Aufwand deutlich, weil jede Seite das Protokoll nur einmal implementiert.

Wie funktioniert das Model Context Protocol?

Technisch orientiert sich das Model Context Protocol am Language Server Protocol, das Programmierumgebungen und Sprachwerkzeuge verbindet. Nachrichten werden im Format JSON-RPC 2.0 ausgetauscht, einem etablierten und schlanken Standard für entfernte Funktionsaufrufe.

Host, Client und Server

Die Architektur kennt drei Rollen, die du für jede Einführungsentscheidung verstehen solltest:

• Host: die KI-Anwendung, mit der Menschen arbeiten, etwa ein Chat-Assistent, eine Entwicklungsumgebung oder ein Agent.
• Client: eine Verbindungskomponente im Host. Für jeden angebundenen Server gibt es einen eigenen Client.
• Server: ein Dienst, der Daten oder Funktionen eines Systems bereitstellt, zum Beispiel aus einem Dokumentenmanagement, einer Datenbank oder einem Projekttool.

Tools, Resources und Prompts

Ein MCP-Server kann drei Arten von Fähigkeiten anbieten. Tools sind Funktionen, die das Modell ausführen darf, etwa „Ticket anlegen“ oder „Lagerbestand abfragen“. Resources sind Inhalte und Daten, die als Kontext dienen, zum Beispiel Dokumente oder Datensätze. Prompts sind vorbereitete Vorlagen für wiederkehrende Aufgaben.

Das Sprachmodell erhält eine Beschreibung der verfügbaren Werkzeuge in natürlicher Sprache. Hält es einen Aufruf für sinnvoll, veranlasst der Host über den passenden Client die Ausführung. Das Ergebnis fließt zurück in die Konversation. Laut Spezifikation sollen Hosts vor jedem Werkzeugaufruf die ausdrückliche Zustimmung der Nutzer einholen.

Lokale und entfernte Server

MCP-Server können auf zwei Arten betrieben werden. Lokale Server laufen direkt auf dem Rechner der Nutzerin oder des Nutzers und kommunizieren über die Standard-Ein- und Ausgabe des Betriebssystems. Das ist typisch für Entwicklungswerkzeuge, die etwa auf lokale Dateien zugreifen.

Entfernte Server laufen zentral und werden über HTTP angesprochen. Für Unternehmen ist diese Variante meist die interessantere, weil sich Zugriffe zentral steuern, absichern und überwachen lassen. Die Anmeldung erfolgt dabei über etablierte Autorisierungsverfahren auf Basis von OAuth, sodass sich bestehende Identitätssysteme einbinden lassen.

Spezifikation und Weiterentwicklung

Die offizielle Spezifikation des Model Context Protocol wird in datierten Versionen veröffentlicht. Die aktuelle Fassung trägt das Datum 28. Juli 2026. Sie stellt den Protokollkern auf zustandslose, in sich geschlossene Anfragen um, was den Betrieb hinter üblichen Load-Balancern erleichtert.

Zusätzlich verschärft die Version die Autorisierung und führt einen Rahmen für optionale Erweiterungen ein, etwa für lang laufende Aufgaben. Für dich bedeutet das: Achte bei der Auswahl von Software darauf, welche Spezifikationsversion unterstützt wird, und plane Updates ein.

Vom Anthropic-Projekt zum Branchenstandard

Anthropic stellte das Model Context Protocol im November 2024 als Open-Source-Projekt vor. Der Durchbruch kam 2025: Im März kündigte OpenAI die Unterstützung in eigenen Produkten an, im April folgte Google. Weitere große Softwareanbieter integrierten das Protokoll in Entwicklungswerkzeuge, Office-Assistenten und Agentenplattformen.

Im Dezember 2025 übergab Anthropic das Projekt an die Agentic AI Foundation, einen Fonds unter dem Dach der Linux Foundation, den Anthropic, Block und OpenAI mitgegründet haben. Damit liegt die Weiterentwicklung bei einer herstellerneutralen Organisation. Für Unternehmen ist das ein wichtiges Signal, denn es senkt das Risiko, sich an die Strategie eines einzelnen Anbieters zu binden.

Offizielle Software-Entwicklungskits gibt es unter anderem für TypeScript, Python, Go und C#. Zahlreiche Softwarehersteller bieten inzwischen eigene MCP-Server für ihre Produkte an, von Kollaborationstools bis zu Datenbanken.

Anwendungsfälle für das Model Context Protocol im Unternehmen

Der Nutzen zeigt sich überall dort, wo KI nicht nur Texte erzeugen, sondern mit echten Unternehmensdaten arbeiten soll. Typische Einsatzfelder sind:

• Wissensmanagement: Ein Assistent durchsucht Intranet, Wikis und Dokumentenablagen und beantwortet Fragen mit Quellenbezug.
• Softwareentwicklung: KI-Werkzeuge greifen auf Code-Repositories, Ticketsysteme und Dokumentation zu und erledigen Routineaufgaben.
• Vertrieb und Service: Agenten lesen Kundenhistorie aus dem CRM, erstellen Angebotsentwürfe oder legen Servicetickets an.
• Controlling und Reporting: Ein Assistent fragt Kennzahlen aus Datenbanken ab und bereitet sie für Berichte auf.
• Interne Prozesse: Urlaubsanträge, Raumbuchungen oder Bestellungen lassen sich per Sprache anstoßen.

Der entscheidende Vorteil liegt in der Wiederverwendbarkeit. Baust du einen MCP-Server für dein ERP-System, können ihn verschiedene KI-Anwendungen nutzen. Wechselst du später den KI-Anbieter, bleibt die Integration erhalten.

Ein vereinfachtes Beispiel zeigt das Prinzip: Ein Servicemitarbeiter fragt den KI-Assistenten nach dem Stand eines Kundenauftrags. Über das Model Context Protocol ruft der Assistent den Auftragsstatus aus dem ERP-System ab, liest die letzten Tickets aus dem Servicetool und fasst beides zusammen. Der Mitarbeiter wechselt nicht mehr zwischen drei Anwendungen, und die Antwort basiert auf aktuellen Daten statt auf dem Trainingswissen des Modells.

Gute Ergebnisse hängen allerdings davon ab, welche Informationen das Modell erhält und in welcher Form. Wie du Kontext gezielt gestaltest, erklärt unser Beitrag zum Kontext-Engineering. Auch Office-Assistenten wie Copilot lassen sich zunehmend über das Protokoll erweitern, mehr dazu in unserem Beitrag zu Copilot im Unternehmen.

Sicherheitsrisiken beim Model Context Protocol

Mit der Möglichkeit, Daten zu lesen und Aktionen auszulösen, wächst die Angriffsfläche. Die Spezifikation selbst betont, dass Werkzeuge beliebige Codeausführung darstellen können und mit entsprechender Vorsicht zu behandeln sind. Sicherheitsforschende haben seit 2025 mehrere typische Schwachstellen beschrieben.

Die wichtigsten Angriffsmuster

• Prompt Injection: Ein Dokument, eine E-Mail oder eine Webseite enthält versteckte Anweisungen, die das Modell als Befehl interpretiert.
• Manipulierte Werkzeugbeschreibungen: Ein bösartiger Server beschreibt seine Tools so, dass das Modell unbemerkt Daten weitergibt. Fachleute sprechen von Tool Poisoning.
• Zu weitreichende Berechtigungen: Ein Server erhält Schreibrechte auf ganze Systeme, obwohl Lesezugriff genügen würde.
• Unsichere Lieferkette: Frei verfügbare Server aus öffentlichen Verzeichnissen werden ohne Prüfung installiert.
• Datenabfluss über Kombinationen: Ein Agent mit Zugriff auf vertrauliche Daten und gleichzeitig auf externe Kommunikation kann Informationen nach außen tragen.

Gegenmaßnahmen

Behandle MCP-Server wie jede andere Software mit Zugriff auf Unternehmensdaten. Nutze nur geprüfte Server aus vertrauenswürdigen Quellen, vergib minimale Rechte und protokolliere alle Werkzeugaufrufe. Für schreibende Aktionen sollte eine menschliche Bestätigung Pflicht sein, zumindest bis sich ein Anwendungsfall bewährt hat.

Zentral verwaltete MCP-Gateways helfen größeren Organisationen, Server freizugeben, Zugriffe zu steuern und Aufrufe zu überwachen. Kleinere Unternehmen starten pragmatisch mit einer Positivliste erlaubter Server. Grundlegende Empfehlungen zur Absicherung von IT-Systemen bietet das Bundesamt für Sicherheit in der Informationstechnik.

Model Context Protocol einführen: 6 Schritte

Die Einführung gelingt am besten schrittweise. Starte mit einem überschaubaren Anwendungsfall, sammle Erfahrungen und erweitere dann.

1. Anwendungsfall wählen: Suche eine Aufgabe mit klarem Nutzen und begrenztem Risiko, etwa die Suche in interner Dokumentation.
2. Bestand prüfen: Kläre, ob deine Softwareanbieter bereits MCP-Server anbieten und welche KI-Anwendungen im Haus das Protokoll unterstützen.
3. Sicherheitsrahmen festlegen: Definiere, welche Server erlaubt sind, wie Authentifizierung funktioniert und welche Aktionen eine Bestätigung brauchen.
4. Pilot aufsetzen: Starte zunächst mit lesenden Zugriffen und einer kleinen Nutzergruppe.
5. Messen und auswerten: Prüfe Antwortqualität, Zeitersparnis, Fehler und Protokolle. Hole Feedback der Nutzer ein.
6. Skalieren und regeln: Erweitere auf weitere Systeme und verankere die Regeln in Richtlinien und Schulungen.

Beziehe von Anfang an Datenschutz und Informationssicherheit ein. Greift ein MCP-Server auf personenbezogene Daten zu, gelten die üblichen Anforderungen der DSGVO, etwa an Zweckbindung und Zugriffsbeschränkung.

Einordnung: MCP, klassische APIs und Agentenprotokolle

Das Model Context Protocol ersetzt keine klassischen Programmierschnittstellen. Ein MCP-Server nutzt im Hintergrund meist die vorhandene API eines Systems und übersetzt sie in eine Form, die KI-Anwendungen verstehen. Der Mehrwert liegt in der einheitlichen Beschreibung, Entdeckung und Nutzung durch Sprachmodelle.

Abzugrenzen ist MCP auch von Protokollen für die Kommunikation zwischen Agenten. Während MCP die Verbindung von einer KI-Anwendung zu Werkzeugen und Daten regelt, beschreiben Agentenprotokolle wie A2A, wie mehrere KI-Agenten Aufgaben untereinander abstimmen. In vielen Architekturen ergänzen sich beide Ansätze.

Für die Strategie bedeutet das: Investitionen in saubere APIs bleiben wertvoll. Das Model Context Protocol baut darauf auf und macht vorhandene Schnittstellen für KI zugänglich, ohne sie zu ersetzen.

Was du strategisch beachten solltest

Offene Standards verringern die Abhängigkeit von einzelnen Anbietern, beseitigen sie aber nicht. Prüfe bei der Softwareauswahl, ob Hersteller MCP-Server anbieten, wie diese gepflegt werden und welche Version der Spezifikation sie unterstützen.

Plane außerdem Kapazitäten für Betrieb und Pflege ein. Eigene MCP-Server sind Software, die Updates, Monitoring und Sicherheitsprüfungen braucht. Das Protokoll entwickelt sich weiter, einzelne Funktionen werden mit Übergangsfristen abgekündigt.

Ein oft unterschätzter Punkt ist die Menge der angebundenen Werkzeuge. Jede Werkzeugbeschreibung belegt Platz im Kontext des Sprachmodells und verursacht damit Rechenkosten. Bindest du Dutzende Server mit Hunderten Tools gleichzeitig an, sinkt zudem häufig die Treffsicherheit, weil das Modell aus zu vielen Optionen wählen muss. Weniger, gut beschriebene Werkzeuge pro Anwendungsfall liefern in der Praxis meist bessere Ergebnisse.

Schließlich lohnt der Blick auf die Organisation. Wer KI-Agenten Zugriff auf Kernsysteme gibt, braucht klare Verantwortlichkeiten: Wer gibt Server frei, wer überwacht Zugriffe, wer entscheidet bei Vorfällen? Diese Fragen gehören auf die Agenda der IT-Leitung, bevor der erste Agent produktiv arbeitet.

Fazit: Model Context Protocol als Fundament für KI-Agenten

Das Model Context Protocol ist zum gemeinsamen Nenner für die Anbindung von KI an Unternehmensdaten geworden. Es senkt den Integrationsaufwand, erleichtert den Wechsel zwischen KI-Anbietern und wird seit Ende 2025 herstellerneutral weiterentwickelt.

Gleichzeitig bringt der Standard neue Sicherheitsrisiken mit sich, die du aktiv steuern musst. Starte mit einem klar umrissenen Anwendungsfall, vergib minimale Rechte, prüfe Server sorgfältig und protokolliere Zugriffe. So nutzt du das Model Context Protocol als Fundament für produktive KI-Agenten, ohne die Kontrolle über deine Daten aus der Hand zu geben.

Häufige Fragen zu Model Context Protocol