Was ist das Model Context Protocol (MCP)?

Das Model Context Protocol im Überblick

MCP fungiert als universelle Brücke zwischen externen KI-Modellen und Ihren internen Systemen. Weder handelt es sich dabei um eine Datenbank, noch um eine Ausführungsengine oder gar um ein Modell selbst. Es ist ein standardisiertes Kommunikationsprotokoll (auf Basis von JSON-RPC), das 2024 von Anthropic entwickelt wurde und KI sicher mit den proprietären Echtzeit-Tools und Informationen verbindet, ohne die sie nicht wirklich nützlich sein kann.

Frühe KI-Modelle verfügten über keine integrierte Möglichkeit, auf geschützte Unternehmensdaten und -systeme in Echtzeit zuzugreifen. Zur Anbindung musste für jedes Pairing von Modell und Datenquelle eigener Integrationscode geschrieben werden – ein fragiler Ansatz, der nicht skalierbar war.

MCP löst dieses Problem mit einem einzigen, einheitlichen Layer. Herkömmliche APIs setzen voraus, dass das Modell die Details jedes einzelnen Endpunkts kennt. Software Development Kits (SDKs) binden Integrationen an bestimmte Programmiersprachen. MCP umgeht beide Einschränkungen durch die Bereitstellung einem universell anpassbaren Layer für die Datenübertragung und das Aufrufen von Tools. Das Entscheidende daran: KI-Modellen erhalten die Möglichkeit, tatsächlich in die reale Welt einzugreifen. Statt lediglich Text innerhalb einer isolierten Chat-Schnittstelle zu generieren, kann das Modell Daten löschen, Konfigurationen anpassen, Dateien schreiben und Berechtigungen in Ihren Systemen ändern. Eigener Code für jede neue Integration wird damit überflüssig.

Was MCP von bestehenden Tool-Frameworks unterscheidet

Für alle, die bereits KI-Agenten-Frameworks nutzen, stellt sich die naheliegende Frage, wie MCP im Vergleich zu nativen Funktionen wie Function Calling mit OpenAI, Tool-Nutzung mit Anthropic oder Orchestrierungs-Bibliotheken wie LangChain abschneidet. Die kurze Antwort: MCP ersetzt diese Technologien nicht, denn es operiert es auf einer völlig anderen Infrastrukturebene.

Function Calling von OpenAI und Tool Use von Anthropic sind APIs auf Request-Ebene, mit denen ein spezifisches Modell strukturierte Daten für die Tool-Ausführung verstehen und generieren kann. LangChain stellt Abstraktionen auf Anwendungsebene bereit, um dieses Agentenverhalten zu orchestrieren. MCP hingegen ist ein herstellerneutrales Transportprotokoll auf Systemebene.

Eine mit LangChain entwickelte KI-Anwendung kann weiterhin natives OpenAI Function Calling verwenden, um eine Aktion zu triggern, aber MCP standardisiert, wie diese Aktion sicher an die externe Datenquelle weitergeleitet wird. Durch diese Entkopplung lässt sich ein Tool einmalig als MCP-Server entwickeln und für jedes Modell oder Framework bereitstellen. Isolierter Integrationscode für jeden einzelnen KI-Anbieter gehört damit der Vergangenheit an.

Wie MCP Entwicklungs-Workflows verändert

Diese technischen Vorteile verbessern direkt, wie Teams komplexe KI-Integrationen verwalten. Durch die Nutzung eines standardisierten Protokolls können sich Entwickler auf die Kernlogik konzentrieren, statt unterschiedliche Datenformate oder Verbindungsprotokolle verwalten zu müssen.

Die Trennung von KI- und Datenquellen-Layer schafft eine modularere Umgebung. Diese Modularität ermöglicht es Unternehmen, ihre Infrastruktur an sich ständig ändernde Anforderungen anzupassen, ohne die bestehende Funktionalität der KI-Assistenten oder -Agenten zu beeinträchtigen.

Was sind die zentralen Bestandteile und die MCP-Architektur?

Die MCP-Architektur setzt auf ein striktes Client-Server-Modell, um Kontext sicher weiterzuleiten. In diesem Framework sind MCP-Clients typischerweise KI-integrierte Anwendungen oder integrierte Entwicklungsumgebungen (IDEs). Diese Clients kommunizieren mit MCP-Servern, die als schlanke Proxys für Datenquellen fungieren und ausführbare Funktionen – sogenannte Tools – bereitstellen.

Beim Kontextaustausch sendet der Client eine Anfrage, die den Server dazu veranlasst, ein bestimmtes Tool auszuführen. Der Server ruft daraufhin die Rohdaten ab und formatiert sie in ein standardisiertes MCP-Schema, bevor er sie an den Client zurückgibt. Dieser Lebenszyklus beginnt mit einem Handshake und der Aushandlung der Funktionen (Capability Negotiation), gefolgt von strukturierten JSON-RPC-Anfragen und deterministischen Antworten.

Während das Protokoll in erster Linie für zustandslose Interaktionen ausgelegt ist, können zustandsbehaftete Sitzungen über Session-IDs innerhalb der Transportschicht implementiert werden. MCP stellt Erweiterbarkeit sicher, indem es über Standard-Transport-Layer arbeitet, einschließlich Standard Input/Output (Stdio) für lokale Prozesse und Server-Sent Events (SSE) für Remote-Netzwerkverbindungen.

Was sind MCP-Tools?

Um Daten abzurufen, stützt sich das Protokoll auf präzise definierte Funktionen, die als Tools bezeichnet werden. Im MCP-Ökosystem sind Tools klar als ausführbare Funktionen definiert, die von einem MCP-Server bereitgestellt werden. Sie enthalten ein JSON-Schema mit den erforderlichen Eingabeargumenten und den erwarteten Ausgabeformate und fungiert damit als präziser API-Endpunkt, der die abstrakten Absichten der KI in konkrete Infrastrukturprozesse übersetzt.

MCP-Tools aus der Praxis heißen zum Beispiel:

• read_local_file für die Interaktion mit einem Dateisystem.
• github_create_issue für die Interaktion mit der Versionsverwaltung.
• scan_artifact_vulnerabilities für die Interaktion mit Sicherheitsplattformen.

Was sind Agent Skills?

Um Agent Skills in der Praxis zu verstehen, lohnt sich ein Blick darauf, wie sie tatsächlich aufgebaut sind. Die nativen Plugins und Skills moderner Coding-Agents bestehen im Wesentlichen aus MCP-Servern. Diese Server bündeln bestimmte Tools und verleihen dem KI-Modell so seine Fähigkeiten.

Je nachdem, wie sie gehostet und genutzt werden, lassen sich diese MCP-basierten Skills in drei Kategorien einteilen:

• Remote (URL): Diese Server werden extern gehostet und über einen Web-Endpunkt aufgerufen. Da sie weder heruntergeladen noch lokal installiert werden, lassen sie sich nicht wie klassische Software-Artefakte verwalten. Stattdessen müssen Governance und Sicherheitskontrollen konsequent auf Laufzeit- und Netzwerkebene durchgesetzt werden.
• Open-Source-Pakete: Viele MCP-Server werden über gängige Open-Source-Ökosysteme wie npm, PyPI oder als Docker-Images verteilt. Sie weisen alle Merkmale klassischer OSS-Pakete auf. Sie können problemlos aus öffentlichen Registries heruntergeladen und lokal installiert werden und sollten daher wie Standard-Software-Artefakte behandelt und gescannt werden sollten.
• Eigenentwicklungen: Unternehmen entwickeln häufig ihre eigenen proprietären MCP-Server nur zur internen Nutzung. Diese maßgefertigten Server fungieren als sicheres Bindeglied, über das interne Coding-Agents geschützt auf private Unternehmenssysteme zugreifen, mit ihnen interagieren und sie ändern können.

Integration in bestehende Systeme

Die Integration von MCP bedeutet, dass spezifische Server parallel zur bestehenden Infrastruktur bereitgestellt werden. Durch die Integration von MCP in CI/CD-Pipelines können KI-Agenten den Build-Status abfragen oder Protokolldaten abrufen und so beim automatisierten Debugging helfen. Wird MCP mit Entwickler-Tools und -Plattformen wie IDEs oder Versionskontrollsystemen verbunden, können integrierte KI-Assistenten nahtlos lokalen Workspace-Kontext abrufen.

Die Verwendung von MCP neben bestehenden APIs und Services ist unkompliziert: MCP ersetzt weder Representational State Transfer (REST)- noch GraphQL-APIs, sondern kapselt sie lediglich und übersetzt standardisierte Modellanfragen in spezifische Legacy-API-Aufrufe. Das macht MCP zu einer entscheidenden Stärke für Platform Engineering und interne Entwicklerplattformen (IDPs), da Teams damit standardisieren können, wie KI-Tools sicher auf interne Komponenten zugreifen.

Erste Schritte mit MCP: Implementierung und Setup

Wenn Sie das Protokoll implementieren möchten, hängt der Einrichtungsprozess davon ab, welche Art von MCP-Server Sie verwenden.

• Für vorgefertigte oder Remote-Server: Hier ist der Prozess äußerst effizient. Sie überspringen die Entwicklung komplett und benötigen lediglich den Transport Uniform Resource Locator (URI) des bestehenden Servers, um Ihren MCP-Client zu konfigurieren.
• Für eigene Server: Hier ist eine Entwicklungsphase erforderlich. Identifizieren Sie zunächst die benötigten Datenquellen und wählen Sie ein MCP-SDK, zum Beispiel Python oder TypeScript. Entwickeln Sie anschließend ein Server-Skript, das Ihre Tools und die Logik für den Datenabruf definiert. Diesen Server stellen Sie dann in einer sicheren Umgebung mit autorisiertem Zugriff auf Ihre Zieldaten bereit.

Unabhängig davon, welchen Weg Sie wählen, ist der letzte Schritt identisch. Sie schließen die Einrichtung ab, indem Sie den Client konfigurieren, einen Handshake zwischen Client und Server initiieren und überprüfen, ob die Tools erfolgreich erkannt wurden.

Häufige Anwendungsfälle für MCP

MCP ist äußerst vielseitig und verschafft KI-Modellen Zugang zur operativen Realität. Das Protokoll ermöglicht eine breite Palette leistungsstarker Integrationen:

• KI-gestütztes DevOps: Agenten können Cluster-Zustände abfragen, um betriebliche Optimierungen vorzuschlagen.
• Artefakt-Management: Modelle können Abhängigkeitsstrukturen oder Binär-Versionen identifizieren und liefern so unmittelbare Einblicke ins Repository.
• CI/CD-Fehlerbehebung: Bei CI/CD-Pipelines überzeugt MCP durch das Abrufen von Fehlerprotokollen und Korrekturvorschläge für Code.
• DevSecOps-Integration: MCP unterstützt Sicherheitsscans durch die Korrelation von Schwachstellen-Datenbanken mit dem Quellcode.
• Entwickler-Workflows: MCP ermöglicht Self-Service-Workflows für Entwickler via Chatbots, die Staging-Umgebungen bereitstellen.

Das MCP wird im Rahmen von Open-Source-Zusammenarbeit gepflegt. Dieses Ökosystem bietet standardisierte SDKs und vorkonfigurierte Server, die offene Standards nutzen, um eine breite Kompatibilität und Konsistenz in der Entwicklung zu gewährleisten. MCP entwickelt sich weiter, wenn Entwickler auf Grenzfälle stoßen, Requests for Comments (RFC) einreichen und Upstream-Beiträge beisteuern – stets unter strikter Einhaltung herstellerneutraler Designprinzipien, um einen Vendor-Lock-in zu vermeiden.

Der Einsatz dieser Open-Source-MCP-Server und externen Abhängigkeiten bringt jedoch inhärente Risiken für die Software-Lieferkette mit sich. Unternehmen müssen diese Ökosystem-Assets mit derselben Disziplin kontinuierlich scannen und strenge prüfen wie auf jede andere Drittanbieter-Komponente, um zu verhindern, dass schadhafte Pakete ihre Infrastruktur kompromittieren.

Sicherheitsüberlegungen und Compliance

Eine erfolgreiche Implementierung erfordert ein Platform-Engineering-Ownership-Modell, bei dem MCP-Server als zentrale Infrastruktur behandelt werden und die Verantwortung für Governance bei Entwicklungs-, Operations- und Sicherheitsteams gemeinsam liegt. Das ist deshalb so wichtig, weil MCP direkt über den internen Daten- und Systempfad läuft – und weil die Zugangsdaten und Berechtigungen von Agenten reale Konsequenzen für den Betrieb haben, sobald KI von passiver Interaktion zu aktiver Umsetzung übergeht. Dieser Zugriff muss mit derselben Sorgfalt verwaltet werden wie jede andere kritische Komponente des Stacks.

Best Practices für eine sichere Implementierung:

• Betreiben Sie Server in isolierten Umgebungen und niemals mit Root-Rechten.
• Etablieren Sie robuste Authentifizierungs- und Autorisierungsmodelle wie Mutual Transport Layer Security (mTLS) oder Bearer Token für Remote-Verbindungen.
• Setzen Sie strikte Zugriffskontrollen auf Tool-Ebene durch und stellen Sie sicher, dass destruktive Operationen niemals exponiert werden.
• Wenden Sie das Least-Privilege-Prinzip für KI-Interaktionen konsequent an und räumen Sie dem Server-Dienstkonto nur genau die Lese- und Schreibrechte ein, die tatsächlich erforderlich sind.

AppSec-Teams müssen gängige Schwachstellen proaktiv adressieren:

• Überprivilegierte Tools können Angreifern das Exfiltrieren ganzer Datenbanken ermöglichen – parametrisierte Abfragen schaffen hier Abhilfe.
• Prompt-Injection- und Datenmissbrauchsszenarien müssen durch die serverseitige Bereinigung aller Eingaben abgefangen werden.
• Ein striktes Secrets-Management und der Schutz vor Credential-Leaks müssen über sicherer Vaults durchgesetzt werden, unterstützt durch umfassende Observability und Audit-Logging jedes einzelnen Tool-Aufrufs.

Durch die Ausrichtung der MCP-Nutzung an DevSecOps-Praktiken wie SAST- und SCA-Scans stellen Unternehmen sicher, dass sie regulatorische Vorgaben und Branchenstandards wie DSGVO oder HIPAA einhalten. Für sicherheitskritische Aktionen müssen strikte Richtlinien und Freigabe-Workflows etabliert werden, die eine menschliche Kontrollinstanz (Human-in-the-Loop) vorschreiben.

Die Zukunft von MCP

MCP ist auf dem besten Weg, das “zentrale Nervensystem” für KI zu werden – mit einer Roadmap, die natives bidirektionales Streaming, KI-native Plattformen mit integrierten Server-Schnittstellen sowie den weiteren Ausbau autonomer Workflows umfasst. Die Auswirkungen auf die Softwareentwicklung sind bereits spürbar. Anstatt durch Dashboards und Dokumentationen zu navigieren, können Entwickler die Live-Infrastruktur direkt per Chat abfragen. Genau diese Verringerung der Reibungsverluste zwischen Menschen, Modellen und Systemen ist der Grund dafür, dass MCP zunehmend als grundlegender Baustein der Infrastruktur wahrgenommen wird, der alles zusammenhält. Die anhaltende herstellerübergreifende Zusammenarbeit dürfte seine Position als langfristiger offener Standard für die Branche weiter festigen.