MCP einfach erklärt: wie KI auf Ihre Daten und Tools zugreift

Ein KI-Assistent, der nur kennt, was Sie in den Chat kopieren, ist nützlich, aber begrenzt. Sobald er Ihr CRM lesen, die Zahlen des Vormonats prüfen oder ein Ticket anlegen soll, braucht er eine Verbindung zu diesen Systemen. Das Model Context Protocol, kurz MCP, ist der Standardweg für diese Verbindung.

Welches Problem es löst

Anthropic stellte MCP im November 2024 als offenen Standard vor. Die Ankündigung benannte das Problem klar: Selbst die leistungsfähigsten Modelle sind durch ihre Isolation von Daten eingeschränkt, gefangen hinter Informationssilos und Altsystemen, und jede neue Datenquelle erfordert eine eigene, maßgeschneiderte Anbindung.

Ohne Standard braucht jede Kombination aus KI-Anwendung und System eine eigene Integration. Mit MCP wird ein System einmal angebunden und kann dann von jeder Anwendung genutzt werden, die das Protokoll spricht. Die offizielle Website vergleicht MCP mit einem USB-C-Anschluss für KI-Anwendungen: ein Standardstecker statt einer Schublade voller Adapter.

Wie die Teile zusammenspielen

MCP kennt drei Rollen.

• Host: die KI-Anwendung, in der Sie arbeiten, etwa Claude Desktop, Claude Code oder Visual Studio Code.
• Client: eine Komponente im Host, die genau eine Verbindung zu einem Server hält. Ein Host mit fünf Servern betreibt fünf Clients.
• Server: ein Programm, das Daten und Fähigkeiten bereitstellt. Es kann auf Ihrem eigenen Rechner laufen, etwa ein Server, der lokale Dateien liest, oder im Internet, betrieben von einem Softwareanbieter.

Ein Server kann drei Arten von Dingen anbieten:

• Tools: Aktionen, die das Modell aufrufen kann, etwa eine Datenbank abfragen oder eine API ansprechen.
• Ressourcen: Informationen als Kontext, etwa Dateiinhalte oder Datensätze.
• Prompts: wiederverwendbare Vorlagen für wiederkehrende Aufgaben.

In der Praxis läuft es so ab. Der Client fragt den Server, welche Tools er anbietet. Jedes Tool kommt mit einem Namen, einer Beschreibung dessen, was es tut, und einer genauen Liste der Eingaben, die es erwartet. Die Anwendung fügt diese Tools zu dem hinzu, was das Modell nutzen darf. Entscheidet das Modell, dass es eines braucht, schickt die Anwendung den Aufruf an den richtigen Server und spielt das Ergebnis zurück ins Gespräch. Technisch folgen die Nachrichten einem gemeinsamen Format namens JSON-RPC; lokale Server sprechen direkt mit der Anwendung, entfernte Server über HTTP, und MCP empfiehlt OAuth für die Anmeldung.

Als Nutzer sehen Sie davon meist nichts. In Claude erscheint ein MCP-Server als Connector; in ChatGPT kann ein Workspace eigene MCP-Server über Plugins hinzufügen.

Wo MCP heute steht

Im Dezember 2025 übergab Anthropic MCP an die Agentic AI Foundation, einen Fonds unter dem Dach der Linux Foundation, mitgegründet von Anthropic, Block und OpenAI. Zu diesem Zeitpunkt hatten laut Anthropic ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code MCP übernommen, und es gab mehr als 10.000 aktive öffentliche MCP-Server. Die Spezifikation entwickelt sich weiter; die aktuelle Version trägt das Datum 28. Juli 2026.

Was das für Ihr Unternehmen bedeutet

MCP ist eine Leitung, keine Sicherheitsrichtlinie. Die Spezifikation sagt es selbst: MCP kann Sicherheitsprinzipien nicht auf Protokollebene durchsetzen. Ob eine Verbindung sicher ist, hängt davon ab, wie Anwendung und Server gebaut und eingerichtet sind. Die Spezifikation nennt die Prinzipien: Nutzer müssen dem Datenzugriff und den Aktionen zustimmen und sie verstehen, Anwendungen müssen vor dem Einsatz eines Tools eine ausdrückliche Zustimmung einholen, und Tools verdienen Vorsicht, weil sie letztlich das Ausführen von Code bedeuten.

MCP ist eine Leitung, keine Richtlinie. Sicherheit entsteht durch die Art, wie Sie es einrichten.

Fünf Fragen, bevor Sie Ihre eigenen Daten anbinden:

1. Wer hat diesen Server gebaut? OpenAI rät davon ab, einen eigenen MCP-Server anzubinden, wenn Sie die Anwendung dahinter nicht kennen und ihr nicht vertrauen, und warnt, dass jeder Server sensible Daten aus Ihren Gesprächen erhalten kann.
2. Meldet sich jede Person selbst an? Mit OAuth verbindet sich jede Person mit ihrem eigenen Konto, sodass der Server in ihrem Namen und mit ihren Rechten handelt. Die Spezifikation verlangt außerdem, dass ein Zugriffstoken für genau diesen Server ausgestellt und nicht an andere weitergereicht wird.
3. Ist der Zugriff so eng wie möglich? Die Sicherheitsempfehlungen von MCP raten, mit den kleinstmöglichen Berechtigungen zu starten und weitere erst hinzuzufügen, wenn eine Aufgabe sie braucht.
4. Sind Lesen und Schreiben getrennt? Daten lesen ist das eine; senden, löschen oder bezahlen etwas ganz anderes. ChatGPT zum Beispiel verlangt derzeit eine manuelle Bestätigung vor Schreibaktionen.
5. Können Sie sehen, was passiert ist? Ein Protokoll darüber, wer wann welches Tool genutzt hat, macht Probleme sichtbar und hält Verantwortung klar.

Ein Risiko verdient besondere Erwähnung. Text, den die KI über ein Tool liest, etwa eine E-Mail oder eine Webseite, kann versteckte Anweisungen enthalten. OpenAI nennt das Prompt Injection: Folgt das Modell solchen Anweisungen, kann es Aktionen ausführen, die weder Nutzer noch Entwickler beabsichtigt haben.

Zaela nutzt diesen Standard. Es funktioniert in Claude (Desktop, Cowork und Code), ChatGPT oder jedem Assistenten, der MCP unterstützt: Ihre Leute verbinden einen Link, und die richtigen Tools sind über ein einziges Gateway dabei. Ihre KI sieht genau das, was Sie sehen dürfen, Schlüssel sind verschlüsselt und nie sichtbar, auch nicht für die KI, und jede Aktion wird protokolliert.