MCP-Server

Was ist ein MCP-Server?

Ein MCP-Server ist ein Dienst, der einem KI-Assistenten Daten und Funktionen über das Model Context Protocol bereitstellt. Er meldet dem Assistenten, welche Werkzeuge es gibt und wie sie aufzurufen sind, führt den Aufruf aus und gibt das Ergebnis zurück. Das Protokoll ist quelloffen und herstellerunabhängig.

Wie arbeitet ein MCP-Server?

Drei Rollen teilen sich die Arbeit. Der Host ist die Anwendung mit dem Sprachmodell, etwa ein Chat-Programm oder eine Entwicklungsumgebung. Der Client sitzt im Host und hält je eine Verbindung. Der Server liefert Inhalte und Funktionen. Die Spezifikation, Fassung vom 28. Juli 2026, beschreibt drei Arten von Angeboten: „Resources: Context and data, for the user or the AI model to use", „Prompts: Templated messages and workflows for users" und „Tools: Functions for the AI model to execute". Der Ablauf im Betrieb sieht so aus: Der Server meldet beim Verbindungsaufbau seinen Werkzeugkatalog. Der Host legt diese Beschreibungen dem Modell vor. Braucht das Modell ein Werkzeug, ruft der Client es auf, der Server führt aus und antwortet, und das Ergebnis geht zurück in das Gespräch. Als Nachrichtenformat nutzt das Protokoll JSON-RPC 2.0.

Woher kommt das Model Context Protocol?

Es wurde von Anthropic eingeführt. Der englischsprachige Wikipedia-Artikel datiert die Vorstellung auf den 25. November 2024 und nennt als Urheber die Anthropic-Ingenieure David Soria Parra und Justin Spahr-Summers. Beschrieben wird MCP dort als „an open standard and open-source framework … to standardize the way artificial intelligence (AI) systems like large language models (LLMs) integrate and share data with external tools, systems, and data sources".

Zwei Punkte daraus sind für eine Kaufentscheidung wichtig. Erstens ist das Protokoll nicht mehr an einen Hersteller gebunden: Laut demselben Artikel übergab Anthropic MCP im Dezember 2025 an die Agentic AI Foundation, einen gesteuerten Fonds unter dem Dach der Linux Foundation, mitgegründet von Anthropic, Block und OpenAI. Zweitens haben große Anbieter es übernommen, darunter OpenAI und Google DeepMind. Ein MCP-Server ist damit keine Wette auf einen einzelnen Anbieter.

Was ist der Unterschied zwischen einer API und einem MCP-Server?

Beide stellen Funktionen bereit, aber für unterschiedliche Leser. Eine klassische API richtet sich an Entwicklerinnen und Entwickler: Sie lesen die Dokumentation und schreiben Code, der genau zu dieser einen Schnittstelle passt. Ein MCP-Server richtet sich an ein Sprachmodell: Er beschreibt seine Werkzeuge in einer Form, die das Modell zur Laufzeit liest, sodass für jede neue Anwendung kein eigener Verbinder mehr entsteht.

Praktisch liegt ein MCP-Server meist vor einer bestehenden API und übersetzt zwischen beiden. Er ersetzt die API nicht, sondern gibt ihr eine zweite Tür, durch die ein Assistent gehen kann.

Wo läuft ein MCP-Server?

An zwei Orten. Lokal auf dem Rechner der Nutzerin, gestartet vom Host und über Standardein- und -ausgabe angebunden, typischerweise für Dateien und lokale Werkzeuge. Oder entfernt als Webdienst mit HTTP-Transport, typischerweise für Systeme, auf die mehrere Personen zugreifen. Die entfernte Variante ist die interessantere für Unternehmen, weil dort Zugriffsrechte und Protokollierung zentral liegen.

Was ist bei einem MCP-Server zu prüfen?

Die Spezifikation selbst nennt die Punkte und stellt sie an den Anfang ihres Sicherheitsabschnitts. Dort steht als erstes Prinzip: „Users must explicitly consent to and understand all data access and operations." Zwei weitere Sätze gehören in jede Prüfung: „Hosts must obtain explicit user consent before exposing user data to servers" und, zu den Werkzeugen, „descriptions of tool behavior such as annotations should be considered untrusted, unless obtained from a trusted server".

Für den Betrieb in Deutschland kommt eine dritte Ebene dazu. Ein MCP-Server, der ein internes System öffnet, gibt einem Assistenten Zugriff auf Beschäftigtendaten. Greift er auf Systeme zu, die Verhalten oder Leistung erfassen können, ist die Anbindung mitbestimmungspflichtig nach § 87 Abs. 1 Nr. 6 Betriebsverfassungsgesetz. Und die Rechtsgrundlage für die Verarbeitung von Beschäftigtendaten regelt § 26 Abs. 4 Bundesdatenschutzgesetz, der Kollektivvereinbarungen ausdrücklich zulässt.

Sicherheitsseitig ist der Stand offen, und das sollte man aussprechen statt es zu überblättern. Der Wikipedia-Artikel verweist auf eine Analyse von Sicherheitsforschenden vom April 2025, die „multiple outstanding security issues with MCP" feststellte, darunter Prompt Injection und manipulierte Werkzeuge, über die Daten durch andere angebundene Werkzeuge abfließen können. Der Unterschied zu einer gewöhnlichen Schnittstelle liegt darin, wer den Aufruf auslöst: Nicht ein Mensch entscheidet, welches Werkzeug läuft, sondern ein Sprachmodell, und dieses Modell liest die Werkzeugbeschreibungen als Text. Drei Maßnahmen gehören deshalb vor den ersten produktiven Einsatz. Eine Freigabeliste erlaubter Server, damit nicht jede Person beliebige Verbinder nachinstalliert. Getrennte Zugangsdaten je Server statt eines gemeinsamen Administratorkontos, damit der Schaden begrenzt bleibt. Und ein Protokoll darüber, welches Werkzeug wann welche Daten berührt hat, weil sich ohne dieses Protokoll im Nachhinein nichts rekonstruieren lässt. Nichts davon ist ungewöhnlich. Es ist die Sorgfalt, die jede Integration verdient, angewandt auf eine Komponente, die ein Modell aufruft.

Wofür gibt es einen MCP-Server von tchop?

tchop betreibt einen eigenen MCP-Server, derzeit als Beta, über den ein KI-Assistent Inhalte in einer tchop-App lesen und anlegen kann, ohne dass jemand eine eigene Anbindung programmiert. Die Zugriffsrechte folgen dabei den Rollen, die in der App ohnehin gelten, und die Daten liegen auf Wunsch in der EU. Funke Digital nutzt tchop als Plattform für das eigene Leserangebot. Eine Grenze gehört dazu: Der MCP-Server von tchop stellt tchop-Inhalte bereit und ist kein allgemeiner Zugang zu anderen Unternehmenssystemen.

Mehr dazu auf der Seite zu den Integrationen von tchop.

FAQs: MCP-Server

Was genau ist MCP?

MCP steht für Model Context Protocol. Es ist eine gemeinsame Sprache zwischen KI-Anwendungen und den Systemen, aus denen sie Daten holen oder in denen sie etwas tun sollen. Ohne diese gemeinsame Sprache braucht jede Kombination aus Assistent und System eine eigene Anbindung.

Welche Beispiele gibt es für MCP-Server?

Verbreitet sind Server für Dateisysteme, für Versionsverwaltungen wie Git, für Datenbanken, für Ticket- und Projektsysteme sowie für die Suche im Web. Dazu kommen herstellereigene Server, mit denen Anbieter ihr eigenes Produkt für Assistenten öffnen. tchop gehört zu dieser zweiten Gruppe.

Sind MCP-Server sicher?

Nicht von allein. Die Spezifikation verlangt ausdrückliche Zustimmung vor jedem Datenzugriff und stuft Werkzeugbeschreibungen aus nicht vertrauenswürdigen Quellen als unzuverlässig ein. Bekannte Angriffswege sind Prompt Injection und manipulierte Werkzeuge. Im Unternehmen gehören deshalb eine Freigabeliste, getrennte Zugangsdaten und eine Protokollierung jedes Aufrufs dazu.

Ist ein MCP-Server ein echter Server?

Nicht zwingend. Der Begriff beschreibt eine Rolle im Protokoll, nicht ein Gerät im Rechenzentrum. Ein MCP-Server kann ein kleines Programm sein, das lokal auf einem Notebook startet und nur so lange läuft, wie die Anwendung offen ist. Er kann aber auch ein dauerhaft erreichbarer Webdienst sein.

Quellen

• Model Context Protocol, Spezifikation, Fassung 2026-07-28, Abschnitte „Overview", „Key Details" und „Security and Trust & Safety"

• Wikipedia (englischsprachig), Artikel „Model Context Protocol", Stand 5. September 2026

• Betriebsverfassungsgesetz, § 87 Abs. 1 Nr. 6

• Bundesdatenschutzgesetz, § 26 Abs. 4