MCP und MCP-Server: Was steckt hinter dem Standard, der KI mit Ihren Systemen verbindet?

Kaum ein Kürzel hat sich in der KI-Welt so schnell durchgesetzt wie diese drei Buchstaben. MCP steht für Model Context Protocol, und wer 2026 mit KI-Assistenten, Agenten oder Automatisierung arbeitet, kommt daran kaum noch vorbei. Doch was verbirgt sich konkret hinter dem Begriff, und warum sprechen plötzlich alle von MCP-Servern?

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Die kurze Antwort: MCP ist ein offener Standard, der KI-Modellen einen einheitlichen Weg gibt, mit externen Werkzeugen, Datenquellen und Diensten zu kommunizieren. Ein MCP-Server stellt genau diese Verbindung bereit. Damit bleibt eine KI nicht länger in ihrem eigenen Trainingswissen isoliert, sondern greift auf reale Systeme zu: Dateien, Datenbanken, APIs, Projektmanagement-Tools.

Die längere Antwort lohnt sich, denn MCP verändert gerade, wie KI in Produkte und Arbeitsabläufe eingebettet wird.

Das Problem davor: das M×N-Dilemma

Vor MCP war jede Anbindung einer KI an eine externe Quelle Handarbeit. Wer wollte, dass ein Modell eine PostgreSQL-Datenbank abfragt, schrieb dafür eine eigene Integration. Sollte dieselbe Anwendung zusätzlich auf Slack zugreifen, kam die nächste Sonderlösung dazu. Jede dieser Schnittstellen war eng an das jeweilige Modell und an das jeweilige Zielsystem gekoppelt.

Fachleute nennen das M×N-Problem: Bei fünf KI-Hosts und fünfzig Werkzeugen entstehen rechnerisch 250 einzelne Integrationen. Jede davon ist fragil, schwer wartbar und nicht übertragbar.

MCP löst dieses Dilemma, indem es die Gleichung umdreht. Statt M×N gibt es nur noch M+N: Jeder Host spricht das Protokoll einmal, jedes Werkzeug stellt einmal einen MCP-Server bereit, und alles passt zusammen. Ein einmal geschriebener Server für Wetterdaten lässt sich anschließend von jeder MCP-fähigen KI nutzen.

Was MCP im Kern ist

Eine treffende Analogie hat sich etabliert: MCP ist der USB-C-Anschluss für KI-Anwendungen. So wie ein einziger Steckertyp Monitor, Festplatte und Ladegerät bedient, schafft MCP eine universelle Schnittstelle zwischen KI-Modellen und der Außenwelt.

Technisch handelt es sich um ein offenes, modellunabhängiges Protokoll auf Basis von JSON-RPC 2.0. Entscheidend ist das Wort modellunabhängig: Ein MCP-Server funktioniert mit Claude genauso wie mit ChatGPT, Gemini oder einem lokal laufenden Open-Source-Modell. Wer einmal integriert, bindet sich nicht an einen einzelnen Anbieter.

Wichtig zur Abgrenzung: MCP ersetzt nicht das Function Calling der Modelle, sondern standardisiert es. Function Calling beantwortet die Frage, ob ein Werkzeug aufgerufen werden soll. MCP beantwortet die Frage, wie das Modell dieses Werkzeug erreicht und mit ihm spricht.

Die Architektur: Host, Client und Server

MCP folgt einem klassischen, aber präzise definierten Client-Server-Modell mit drei Beteiligten:

• Host: Die eigentliche KI-Anwendung, die Funktionen oder Daten benötigt, etwa ein Chatbot, eine IDE oder ein Desktop-Assistent.
• Client: Ein Konnektor innerhalb des Hosts, der eine direkte Verbindung zu genau einem Server unterhält und die Anfragen vermittelt.
• Server: Das externe System, das spezialisierte Funktionen, Datenzugriffe oder Workflows bereitstellt.

Beim Start öffnet der Client einen Kanal zum Server, beide tauschen in einem Handshake ihre Fähigkeiten aus, und ab diesem Moment kann das Modell die angebotenen Funktionen gezielt nutzen. Häufig wird Host mit Client verwechselt. Beide sind getrennte Instanzen mit unterschiedlicher Verantwortung: Der Host orchestriert, der Client kommuniziert.

Die drei Bausteine eines MCP-Servers

Ein MCP-Server stellt seine Fähigkeiten über drei grundlegende Bausteine bereit, im Protokoll Primitives genannt:

• Tools: Ausführbare Funktionen, die das Modell aktiv aufrufen kann, etwa eine Datenbankabfrage, ein API-Aufruf oder das Anlegen einer Datei. Tools haben Seiteneffekte.
• Resources: Lesbare Datenquellen, vergleichbar mit GET-Endpunkten einer REST-API. Dazu zählen Dokumente, Wissensdatenbanken oder Code-Dateien.
• Prompts: Vorgefertigte Vorlagen und Workflows, die wiederkehrende Interaktionen strukturieren.

Die jüngeren Spezifikationen haben dieses Modell noch erweitert, etwa um Sampling, Elicitation (Rückfragen des Servers an den Nutzer) und seit der Spezifikation vom November 2025 um asynchrone Tasks und ein Erweiterungssystem. Für das Grundverständnis genügt jedoch das Trio aus Tools, Resources und Prompts.

Lokal oder remote: die Transportwege

MCP-Server laufen wahlweise auf dem eigenen Rechner oder im Netz.

Lokal kommuniziert der Server über Standard-Ein- und -Ausgabe (STDIO). Das eignet sich für Server, die direkten Zugriff auf das Dateisystem oder lokale Programme brauchen.

Remote läuft die Kommunikation über Streamable HTTP (mit Server-Sent Events für Antworten in Echtzeit). Dieser Transportweg hat MCP cloud-tauglich gemacht: Ein Unternehmen kann einen MCP-Konnektor für seine interne Datenbank auf einem Server betreiben, ihn über OAuth 2.1 absichern und einen KI-Agenten standardisiert darauf zugreifen lassen.

Genau diese Remote-Variante war der Wendepunkt für die breite Verbreitung, weil sie Server als reguläre Web-Dienste nutzbar macht.

Sicherheit: wo die Risiken liegen

Mit der schnellen Verbreitung ist auch die sicherheitstechnische Prüfung gewachsen, und die Befunde verdienen Aufmerksamkeit.

Das meistdiskutierte Risiko heißt Tool Poisoning: Schädliche Anweisungen verstecken sich in den Metadaten oder der Beschreibung eines Werkzeugs. Brisant daran ist, dass das vergiftete Werkzeug gar nicht aufgerufen werden muss. Allein das Laden in den Kontext genügt, damit das Modell den versteckten Anweisungen folgt. In kontrollierten Tests gelangen solche Angriffe in 84 Prozent der Fälle, sofern die Agenten mit automatischer Freigabe arbeiteten.

Verwandte Varianten sind Tool Shadowing (ein bösartiger Server überschreibt das Verhalten eines vertrauenswürdigen Werkzeugs) und der Rug Pull (ein Server wirkt zunächst harmlos und verändert seine Definitionen erst bei späteren Verbindungen). Eine umfassende Analyse fand heraus, dass 43 Prozent der öffentlichen MCP-Server mindestens eine Schwachstelle aufweisen und 5,5 Prozent bereits manipulierte Beschreibungen enthielten.

Die Konsequenz für die Praxis ist klar: Vertrauen Sie nur Servern aus geprüften Quellen, vermeiden Sie pauschale Auto-Freigaben, und behandeln Sie OAuth-Berechtigungen so streng wie jeden anderen produktiven Zugang.

Vom Nischenprojekt zum Industriestandard

Die Verbreitung verlief bemerkenswert schnell. Vorgestellt wurde MCP am 25. November 2024 von den Anthropic-Entwicklern David Soria Parra und Justin Spahr-Summers. Im März 2025 übernahm OpenAI den Standard, kurz darauf folgten Google DeepMind mit Gemini und Microsoft mit nativer Integration unter Windows.

Den entscheidenden Vertrauensbeweis lieferte der Dezember 2025: Anthropic übergab MCP an die neu gegründete Agentic AI Foundation unter dem Dach der Linux Foundation, mitgetragen von Block und OpenAI sowie unterstützt von Google, Microsoft, AWS, Cloudflare und Bloomberg. Damit gehört MCP nicht länger einem einzelnen Unternehmen, sondern wird neutral verwaltet, ähnlich wie Kubernetes oder Node.js.

Die Zahlen unterstreichen den Befund: Bis Frühjahr 2026 erreichten die SDKs rund 97 Millionen monatliche Downloads, und es existierten über 10.000 aktive öffentliche MCP-Server. Im Januar 2026 kam mit MCP Apps zudem eine Erweiterung hinzu, die interaktive Oberflächen direkt im Chatfenster ermöglicht, also Dashboards, Formulare und Schaltflächen statt reinem Text.

Was MCP für die Web-Praxis bedeutet

Für Web-Professionals im deutschsprachigen Raum ist MCP längst keine abstrakte KI-Spielerei mehr. Ein paar konkrete Berührungspunkte zeigen das.

WordPress hat im Februar 2026 einen offiziellen MCP-Adapter veröffentlicht. Damit lässt sich ein WordPress-System als MCP-Server ansprechen, sodass ein KI-Agent Beiträge erstellen, Inhalte verwalten oder Daten abfragen kann, ohne dass für jede Funktion eine eigene Schnittstelle programmiert werden muss.

Auch im Entwicklungsalltag ist das Protokoll präsent. Editoren wie Cursor, Zed und VS Code binden MCP-Clients nativ ein, sodass KI-Assistenten direkt auf Projektdateien, Git und Terminal zugreifen. Im Marketing-Stack stellen CRM-, Analytics- und Automatisierungsanbieter zunehmend MCP-Server bereit, was Agenten den vollen Workflow-Kontext eröffnet.

Wer eigene Dienste anbietet, steht damit vor einer strategischen Frage: Soll das eigene Produkt einen MCP-Server bekommen, damit KI-Agenten es ansteuern können? In vielen Branchen wird diese Anbindung in den kommenden Monaten zum Standard, vergleichbar mit der Selbstverständlichkeit einer öffentlichen API vor zehn Jahren.

Fazit

MCP ist im Kern eine einfache, aber folgenreiche Idee: eine gemeinsame Sprache, mit der KI-Modelle und externe Systeme miteinander reden. Ein MCP-Server ist der Baustein, der ein konkretes Werkzeug oder eine Datenquelle in dieser Sprache verfügbar macht.

Aus einem Anthropic-Projekt ist binnen anderthalb Jahren eine herstellerneutrale Infrastruktur geworden, die von nahezu allen großen KI-Anbietern getragen wird. Für Entscheiderinnen und Entscheider im Web-Umfeld heißt das vor allem zweierlei: Die Anbindung von KI an eigene Systeme wird drastisch einfacher, und die Sicherheitsfragen rund um Tool Poisoning und Berechtigungen gehören von Anfang an mitgedacht.

Häufige Fragen zu MCP