Was ist MCP?

MCP einfach erklärt

Ein Sprachmodell kennt von sich aus weder Ihre Kundendaten noch den Stand eines Auftrags. Damit ein Assistent solche Angaben nachschlagen oder etwas in einem Fachprogramm erledigen kann, braucht er eine Verbindung dorthin. Ohne gemeinsamen Standard müsste jede KI-Anwendung für jede Software eine eigene Anbindung mitbringen. Bei fünf Assistenten und zehn Programmen wären das fünfzig Einzellösungen.

MCP ersetzt dieses Geflecht durch eine gemeinsame Sprache. Eine Software bekommt einmal einen MCP-Server, und KI-Anwendungen, die das Protokoll beherrschen, können ihn danach grundsätzlich nutzen. Im Rechenbeispiel genügen dann zehn Server statt fünfzig Einzelanbindungen.

Die Spezifikation unterscheidet drei Rollen:

• Host: die KI-Anwendung, mit der Sie arbeiten, etwa ein Assistent im Browser oder in einer Entwicklungsumgebung.
• Client: der Verbindungsbaustein im Host, der die Verbindung zu einem Server hält.
• Server: der Dienst, der Daten und Funktionen einer Software bereitstellt.

Ein Server kann drei Arten von Angeboten machen: Ressourcen (Daten zum Lesen), Vorlagen für wiederkehrende Anfragen und Werkzeuge, also Funktionen, die das Modell auslösen kann. Die Nachrichten folgen dem Format JSON-RPC 2.0. Ein Server läuft entweder lokal als Programm, das die KI-Anwendung selbst startet, oder als Dienst im Netzwerk, der über HTTP erreichbar ist.

Die Spezifikation wird in datierten Versionen weiterentwickelt; aktuell ist die Fassung vom 28. Juli 2026 (Stand: Oktober 2026). Organisiert ist das Projekt als eigene Einheit bei LF Projects. Spezifikation und Code stehen als Open Source unter der Apache-Lizenz 2.0, und Plätze in den technischen Gremien sind an Personen gebunden, nicht an Unternehmen.

MCP und API: zwei Ebenen

Unter einer API versteht man die Programmierschnittstelle eines einzelnen Programms. Sie richtet sich an Entwicklerinnen und Entwickler, die genau wissen, welche Abfrage sie brauchen. Ein MCP-Server setzt meist auf eine solche API auf. Er beschreibt deren Funktionen so, dass ein Sprachmodell selbst erkennen kann, welche zur aktuellen Frage passt, und reicht den Aufruf weiter.

MCP ersetzt also keine API, sondern macht sie für KI-Anwendungen zugänglich. Besonders nützlich ist das für einen KI-Agenten, der mehrere Werkzeuge nacheinander einsetzt. Das zugrunde liegende Large Language Model entscheidet dabei anhand der Beschreibungen, welches Werkzeug es aufruft.

Unser eigenes Projekt am Ticketsystem

Für das Ticketsystem, mit dem wir im eigenen Betrieb arbeiten, haben wir selbst einen MCP-Server entwickelt. Er macht die Schnittstelle des Systems für Assistenten zugänglich; die Werkzeuge reichen von der Ticketbearbeitung bis zur Verwaltung von IT-Geräten. Der Quellcode ist ein öffentliches Projekt auf GitHub; eine Lizenz ist noch nicht festgelegt. Voraussetzungen und Stand stehen auf der Projektkarte des MCP-Servers, weitere Werkzeuge aus unserem Betrieb auf der Seite Open-Source-Projekte von ProNet.

Probenstatus per Assistent: Ausbau in zwei Stufen

Angenommen, ein Prüflabor für Lebensmittel mit 30 Beschäftigten möchte, dass sein Assistent Fragen von Kunden zum Stand ihrer Proben beantworten hilft. Ein MCP-Server für die Laborsoftware bietet zunächst nur ein Werkzeug an: „Auftragsstatus abfragen“. Er nutzt ein eigenes Konto, das Messwerte und Befunde nicht lesen darf.

Erst nach einigen Wochen kommt ein zweites Werkzeug hinzu, mit dem der Assistent eine Rückfrage als Notiz am Auftrag anlegt. Bevor die Notiz gespeichert wird, bestätigt eine Mitarbeiterin den Aufruf. So bleibt nachvollziehbar, was der Assistent in der Laborsoftware verändert hat.

Was eine sichere Anbindung ausmacht

MCP selbst setzt keine Sicherheitsregeln durch; es kommt auf die Umsetzung an. Aus der Spezifikation, ihren Sicherheitshinweisen und dem Grundsatz minimaler Rechte ergeben sich für Unternehmen diese Punkte:

1. Zustimmung vor Werkzeugaufrufen: Die KI-Anwendung muss laut Spezifikation die ausdrückliche Zustimmung der Nutzenden einholen, bevor sie ein Werkzeug ausführt. Wer zustimmt, sollte verstehen, was das Werkzeug tut.
2. Wenige Rechte zu Beginn: Starten Sie mit lesenden Funktionen und erweitern Sie schrittweise. Breite Vollzugriffe vergrößern den Schaden, falls ein Zugangsschlüssel abhandenkommt.
3. Eigene Konten und geschützte Schlüssel: Geben Sie einem Server ein eigenes Konto statt eines persönlichen Zugangs. Legen Sie Zugangsschlüssel so ab, dass nur der Server sie lesen kann.
4. Lokale Server prüfen: Ein lokal gestarteter Server läuft mit denselben Rechten wie die KI-Anwendung. Installieren Sie nur Server aus vertrauenswürdiger Quelle und sehen Sie sich den Startbefehl vollständig an.
5. Beschreibungen nicht blind vertrauen: Was ein Server über seine Werkzeuge mitteilt, gilt laut Spezifikation als nicht vertrauenswürdig, solange der Server selbst nicht vertrauenswürdig ist.

Wie ProNet unterstützt

Ob sich Ihre Fachsoftware an einen KI-Assistenten anbinden lässt, hängt von ihrer Schnittstelle und den Lizenzbedingungen des Herstellers ab. Im Rahmen der API-Integration prüfen wir das auf Wunsch, stellen ausgewählte Funktionen über MCP bereit und beginnen dabei mit Lesezugriff und eigenen Konten.