Das Model Context Protocol (MCP) ist ein offener Standard, über den KI-Anwendungen und Agenten Werkzeuge, Daten und Vorlagen einheitlich anbinden. Statt für jede Datenbank, jedes Ticketsystem und jede API eine eigene Integration zu schreiben, spricht der Agent mit einem MCP-Server, der diese Fähigkeiten beschreibt und ausführt. Anthropic hat MCP im November 2024 veröffentlicht und im Dezember 2025 an die Agentic AI Foundation der Linux Foundation übergeben. Dieser Artikel erklärt, wie MCP aufgebaut ist, was sich mit der Spezifikation vom Juli 2026 geändert hat und worauf du bei der Sicherheit achten solltest.
Steckbrief (Stand Oktober 2026)
| Merkmal | Angabe |
|---|---|
| Träger | Agentic AI Foundation (Linux Foundation), Gründungsprojekt seit Dezember 2025 |
| Aktuelle Version | 2026-07-28 (Versionen tragen das Datum der letzten inkompatiblen Änderung) |
| Grundlage | JSON-RPC 2.0 |
| Übertragung | stdio für lokale Server, Streamable HTTP für entfernte Server |
| Offizielle SDKs | Tier 1: TypeScript, Python, C#, Go, Rust, Ruby; Tier 2: Java; Tier 3: Swift, PHP, Kotlin |
| Verbreitung | laut Linux Foundation über 10.000 veröffentlichte MCP-Server (Dezember 2025), unterstützt unter anderem von Claude, ChatGPT, Gemini, Microsoft Copilot, Cursor und VS Code |
Welches Problem MCP löst
Ein Agent ist nur so nützlich wie die Werkzeuge, die er aufrufen kann. Ohne Standard baut jedes Framework und jede Plattform eigene Anbindungen: ein GitHub-Werkzeug für LangChain, ein zweites für CrewAI, ein drittes für Copilot Studio. MCP trennt beides. Wer ein System anbinden will, schreibt einmal einen MCP-Server. Jede Anwendung, die MCP spricht, kann ihn danach nutzen.
So funktioniert MCP
Host, Client und Server
MCP kennt drei Rollen:
| Rolle | Bedeutung | Beispiel |
|---|---|---|
| Host | Die KI-Anwendung, mit der jemand arbeitet | Claude Desktop, VS Code, ein eigener Agent |
| Client | Baustein im Host, der genau eine Verbindung zu einem Server hält | Für jeden angebundenen Server legt der Host einen eigenen Client an |
| Server | Programm, das Werkzeuge, Daten oder Vorlagen bereitstellt | Dateisystem, Datenbank, GitHub, Sentry |
Ein lokaler Server läuft auf demselben Rechner und wird über stdio angesprochen, also über Standardein- und ausgabe. Ein entfernter Server läuft beim Anbieter und wird über Streamable HTTP erreicht. Für die Anmeldung an entfernten Servern empfiehlt MCP OAuth.
Die drei Bausteine eines Servers
| Baustein | Was er liefert | Wer entscheidet | Beispiel |
|---|---|---|---|
| Tools | Funktionen, die etwas tun, etwa schreiben, suchen oder senden | Das Modell | Flug suchen, Kalendereintrag anlegen |
| Resources | Daten als Kontext, nur lesend, jeweils mit eigener URI | Die Anwendung | Dateiinhalt, Datenbankschema, Dokumentation |
| Prompts | Vorlagen für wiederkehrende Aufgaben, mit Parametern | Die Person, die den Agenten nutzt | "Urlaub planen", "Meetings zusammenfassen" |
Jedes Werkzeug beschreibt seine Eingaben als JSON Schema. Der Client fragt mit tools/list ab, welche Werkzeuge es gibt, und ruft eines mit tools/call auf. So sieht eine Werkzeugbeschreibung aus:
{
"name": "searchFlights",
"description": "Search for available flights",
"inputSchema": {
"type": "object",
"properties": {
"origin": { "type": "string", "description": "Departure city" },
"destination": { "type": "string", "description": "Arrival city" },
"date": { "type": "string", "format": "date", "description": "Travel date" }
},
"required": ["origin", "destination", "date"]
}
}
Umgekehrt kann ein Server über Elicitation beim Menschen nachfragen, etwa um eine Bestätigung vor einer Aktion einzuholen.
Was sich mit Version 2026-07-28 geändert hat
Mit der Spezifikation vom 28. Juli 2026 wird MCP laut Projektblog von einem zustandsbehafteten zu einem zustandslosen Protokoll. Wer ältere MCP-Server betreibt, sollte diese Punkte kennen:
- Kein Handshake und keine Sitzungen mehr: Das bisherige
initializeentfällt, ebenso die Sitzungs-ID im Header. Jede Anfrage trägt Version, Client und Fähigkeiten selbst mit. Überserver/discoverkann ein Client die Fähigkeiten eines Servers vorab abfragen. Server lassen sich dadurch hinter gewöhnlichen HTTP-Lastverteilern betreiben. - Neue Header für Gateways: Anfragen über Streamable HTTP nennen Methode und Namen im Header, damit Gateways sie weiterleiten und abrechnen können, ohne den Inhalt zu lesen.
- Erweiterungen statt Kern: Lang laufende Aufgaben (Tasks) und MCP Apps mit eigener Oberfläche sind jetzt Erweiterungen.
- Abgekündigt: Sampling, Roots und Logging, der alte Übertragungsweg HTTP+SSE und die dynamische Client-Registrierung. Abgekündigte Funktionen bleiben mindestens zwölf Monate erhalten.
Die Tier-1-SDKs für TypeScript, Python, Go und C# unterstützten die neue Version zum Erscheinungstag.
MCP und A2A
MCP verbindet einen Agenten mit Werkzeugen und Daten. Das A2A-Protokoll verbindet Agenten untereinander, auch über Anbieter- und Firmengrenzen hinweg. Viele Systeme nutzen beides: Ein Agent ruft über A2A einen Spezialisten-Agenten auf, der seine eigenen Werkzeuge über MCP anbindet.
Wer MCP unterstützt
In unserem Verzeichnis nennen unter anderem diese Systeme MCP-Unterstützung:
- Frameworks: OpenAI Agents SDK, Claude Agent SDK, Microsoft Agent Framework, Haystack, AgentScope, BeeAI Framework, Dapr Agents
- Low-Code und No-Code: Langflow (Flows lassen sich als MCP-Server bereitstellen), Make AI Agents, Notion Custom Agents
- Unternehmensplattformen: Microsoft Foundry Agent Service, SAP Joule Studio, ServiceNow AI Agents, Oracle AI Agent Studio
- Kundenservice: Cognigy, Infobip AI Agents
Welche Version ein Produkt spricht, steht selten auf der Produktseite. Prüfe vor dem Anbinden, ob Server und Client beide Version 2026-07-28 können oder ob einer noch die ältere Fassung mit Handshake erwartet.
Wann sich MCP lohnt
Sinnvoll ist MCP, wenn
- ein Werkzeug in mehreren Agenten oder Anwendungen genutzt werden soll,
- du ein eigenes Produkt für KI-Assistenten wie Claude, ChatGPT oder Copilot zugänglich machen willst,
- Teams ihre Werkzeuge zentral bereitstellen und Berechtigungen an einer Stelle regeln wollen.
Nicht nötig ist MCP, wenn
- ein Agent nur ein oder zwei feste Funktionen aufruft, die du direkt im Framework definieren kannst,
- Agenten untereinander Aufgaben abgeben sollen. Dafür ist A2A gedacht oder der Mechanismus deines Frameworks.
Sicherheit und Grenzen
Ein MCP-Server handelt mit den Rechten, die du ihm gibst. Die Sicherheitshinweise der Spezifikation nennen unter anderem diese Risiken:
- Lokale Server sind ausführbarer Code: Ein lokaler Server läuft mit denselben Rechten wie die Anwendung. Ein manipulierter Startbefehl kann Daten abziehen oder löschen. Clients müssen den genauen Befehl vor der Einrichtung anzeigen und eine Bestätigung verlangen.
- Keine fremden Tokens durchreichen: Ein Server darf nur Tokens annehmen, die für ihn ausgestellt wurden, und sie nicht ungeprüft an andere Dienste weitergeben.
- Rechte klein halten: Breite Berechtigungen wie
admin:*vergrößern den Schaden, wenn ein Token in falsche Hände gerät. Besser sind wenige Rechte zu Beginn und gezielte Erweiterungen bei Bedarf. - Server aus fremder Quelle prüfen: Die offizielle MCP Registry ist noch eine Vorschau. Sie prüft, wem ein Namensraum gehört, scannt den Code der Server aber nicht selbst.
Dazu kommt ein praktischer Punkt: Jedes angebundene Werkzeug landet mit seiner Beschreibung im Kontext des Modells. Für Clients mit vielen Servern empfiehlt die Dokumentation deshalb, Werkzeuge schrittweise statt alle auf einmal zu laden. Binde nur an, was der Agent wirklich braucht.
Häufige Fragen
Ist MCP nur für Claude?
Nein. MCP stammt von Anthropic, liegt aber seit Dezember 2025 bei der Agentic AI Foundation. Zu deren Platin-Mitgliedern gehören neben Anthropic auch AWS, Google, Microsoft und OpenAI.
Brauche ich einen eigenen MCP-Server?
Für verbreitete Dienste wie GitHub, Slack oder Datenbanken gibt es meist schon Server. Einen eigenen brauchst du für interne Systeme. Die offiziellen SDKs gibt es für zehn Sprachen, darunter Python, TypeScript, C# und Java.
Funktionieren ältere MCP-Server noch?
Ja, wenn Client und Server eine gemeinsame Version haben. Die Spezifikation beschreibt, wie neue Clients mit Servern nach Version 2025-11-25 und älter zusammenarbeiten. Abgekündigte Funktionen bleiben mindestens zwölf Monate erhalten.
Wo finde ich MCP-Server?
Die offizielle MCP Registry sammelt Metadaten öffentlicher Server. Sie ist vor allem als Quelle für Marktplätze und andere Verzeichnisse gedacht, die die Einträge kuratieren und bewerten.