Was ist MCP? Model Context Protocol einfach erklärt

Kurzantwort: MCP (Model Context Protocol) ist ein offener Standard, der festlegt, wie KI-Anwendungen auf externe Daten und Werkzeuge zugreifen, etwa auf ERP, CRM oder Dokumentenablagen. Anthropic hat ihn am 25. November 2024 veröffentlicht; seit Dezember 2025 liegt er bei der Agentic AI Foundation unter dem Dach der Linux Foundation.

Für Ihre Entscheidung heißt das: Ein MCP-Zugang ist ein einheitlicher, steuerbarer Anschluss zwischen einer KI-Anwendung und einem Ihrer Fachsysteme. Er beantwortet, was die KI dort lesen und tun darf. Ob er sich lohnt, hängt an Ihrem Ablauf, nicht am Protokoll.

Woher MCP kommt und wer es heute trägt

Anthropic stellte MCP am 25. November 2024 als Open-Source-Standard vor. Als frühe Anwender nannte das Unternehmen unter anderem Block und Apollo, dazu fertige Server etwa für Google Drive, Slack, GitHub und Postgres. Entwickelt haben das Protokoll bei Anthropic David Soria Parra und Justin Spahr-Summers.

Am 9. Dezember 2025 übergab Anthropic MCP an die Agentic AI Foundation, einen Fonds der Linux Foundation. Mitgegründet haben ihn Anthropic, Block und OpenAI; unterstützt wird er unter anderem von Google, Microsoft, AWS, Cloudflare und Bloomberg. Anthropic nennt dort außerdem ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code als Produkte mit MCP-Unterstützung sowie mehr als 10.000 aktive öffentliche MCP-Server (Stand Dezember 2025).

Für Sie zählt daran vor allem die Herstellerneutralität: Der Standard hängt nicht mehr an einem einzelnen KI-Anbieter. Das senkt das Risiko, dass eine Anbindung, die Sie heute bauen, an einen Anbieter gekoppelt bleibt.

Wie MCP funktioniert, in Alltagssprache

Stellen Sie sich eine neue Mitarbeiterin vor, die Auskunft zu Kunden, Artikeln und Aufträgen geben soll. Sie sitzt nicht im ERP, sie ruft in jeder Abteilung an. Jede Abteilung hat einen Aushang: Das können Sie mich fragen, das dürfen Sie von mir verlangen. MCP ist die Vereinbarung über diesen Aushang, einheitlich für alle Abteilungen.

Die Spezifikation kennt drei Rollen:

Rolle im MCP	Bild aus dem Büro	Beispiel
Host	Die Mitarbeiterin, die den Auftrag bekommt	Ein KI-Assistent im Browser, in der Entwicklungsumgebung oder in einer eigenen Anwendung
Client	Das Telefon mit einer Leitung pro Abteilung	Der Verbindungsteil im Host, ein Client je angebundenem Server
Server	Die Auskunftsstelle einer Abteilung	Ein MCP-Server vor Ihrem ERP, Ihrem CRM oder Ihrem Dokumentenarchiv

Ein Server bietet nach der Spezifikation drei Arten von Angeboten an:

1. Ressourcen: Kontext und Daten, die gelesen werden können, etwa ein Kundenstammsatz oder ein Dokument.
2. Werkzeuge (Tools): Funktionen, die das KI-Modell ausführen kann, etwa „Lagerbestand abfragen“ oder „Angebotsentwurf anlegen“.
3. Prompts: vorbereitete Nachrichtenvorlagen für wiederkehrende Aufgaben.

Die Kommunikation läuft über das Nachrichtenformat JSON-RPC 2.0. Diese Technik müssen Sie nicht kennen. Wichtig ist: Der Server legt fest, was überhaupt angeboten wird. Alles, was er nicht anbietet, kann die KI über diesen Weg nicht erreichen.

Was das für den Mittelstand bedeutet

Im Mittelstand liegen die Daten verteilt: ERP, CRM, Dokumentenmanagement, SharePoint, E-Mail-Postfächer, Excel-Listen. Ohne gemeinsamen Standard braucht jede KI-Anwendung für jedes dieser Systeme eine eigene Anbindung. Mit MCP baut man pro Fachsystem einen Server und kann ihn von mehreren KI-Anwendungen nutzen lassen. Das ist unsere Einordnung des Nutzens, keine Zusage für jedes System: Ob für Ihr ERP schon ein MCP-Server existiert oder ob ein schlanker Server vor die vorhandene Schnittstelle gesetzt werden muss, klärt sich in der Machbarkeitsprüfung.

Zwei Beispiele, die zu unseren Ratgebern passen. Beide sind illustrativ und keine Kundenprojekte.

Angebotserstellung im Maschinenbau. Eine Anfrage kommt per E-Mail mit Zeichnung. Ein KI-Assistent soll einen Angebotsentwurf vorbereiten. Über einen MCP-Server mit Lesezugriff holt er Artikelstamm, Stücklisten und ähnliche Altangebote aus ERP und Dokumentenablage. Preise und Stunden kommen aus den Kalkulationsregeln, nicht aus dem Sprachmodell. Als einziges Schreibwerkzeug legt er einen Entwurf an, den ein Mensch freigibt. Wie sich das von Regeln und Konfiguratoren abgrenzt, beschreibt unser Ratgeber Angebotserstellung im Maschinenbau mit KI.

Auftragseingang in der Logistik. Ein Auftrag trifft als E-Mail mit PDF ein. Der Assistent liest über einen Server Kundenstamm und bekannte Adressen aus dem Transportmanagementsystem, gleicht die Angaben ab und legt einen Auftragsentwurf an. Die Disposition prüft und gibt frei, erst dann geht der Stand ins System. Den Ablauf im Detail finden Sie unter Auftragserfassung in der Spedition mit KI.

Auch für interne Dokumente ist MCP ein möglicher Weg. Bevor Sie dafür einen Server bauen, lohnt der Blick auf SharePoint und Confluence als KI-Wissensquelle: Wenn es nur ums Finden und Zitieren von Dokumenten geht, reicht oft eine Suchanbindung mit sauberen Berechtigungen.

Sicherheit und DSGVO: sachlich betrachtet

MCP gibt einer KI Zugriff auf Ihre Systeme. Das ist der Zweck, und es ist der Grund für sorgfältige Planung. Die Spezifikation sagt dazu offen, dass sie Sicherheitsprinzipien auf Protokollebene nicht selbst durchsetzen kann. Sie formuliert Erwartungen an die Betreiber: Nutzer müssen dem Datenzugriff zustimmen, und der Host muss vor jedem Werkzeugaufruf eine ausdrückliche Zustimmung einholen. Fünf Punkte gehören in jedes Vorhaben:

1. Rechte nach dem Minimalprinzip. Jeder Server bekommt nur die Rechte, die der Anwendungsfall braucht, mit eigenem technischem Benutzer statt Administratorkonto. Die Sicherheitshinweise des Projekts empfehlen ein Modell mit minimalem Start und schrittweiser Erweiterung. Beginnen Sie mit Lesezugriff und erlauben Sie Schreiben zunächst nur als Entwurf.
2. Saubere Anmeldung. Für Server, die über HTTP erreichbar sind, beschreibt die Spezifikation zur Autorisierung ein Verfahren auf Basis von OAuth 2.1. Sie ist optional und gilt nur für diesen Transportweg. Ein Server darf nach der Spezifikation nur Zugangstokens akzeptieren, die für ihn selbst ausgestellt wurden. Ob Ihr Server das einhält, gehört in die Abnahme.
3. Protokollierung. Halten Sie fest, welche Anwendung welches Werkzeug wann mit welchen Parametern aufgerufen hat. Ohne dieses Protokoll lässt sich nach einem Vorfall nicht klären, was passiert ist. Die Sicherheitshinweise nennen fehlende Nachvollziehbarkeit ausdrücklich als Risiko.
4. Prompt Injection über angebundene Daten. Anthropic beschreibt Prompt Injection als feindselige Anweisungen, die in Inhalten versteckt sind, die ein KI-Modell verarbeitet, und nennt das Problem „far from a solved problem“. Übertragen auf MCP heißt das: Eine E-Mail, ein PDF oder ein Ticketeintrag kann Text enthalten, der die KI zu einer Aktion verleiten soll. Das Risiko sinkt, wenn die KI nur wenige, eng gefasste Werkzeuge hat, Schreibaktionen eine menschliche Freigabe brauchen und Werkzeugbeschreibungen nur aus vertrauenswürdigen Quellen stammen. Die Spezifikation stuft Beschreibungen von Werkzeugen ohne vertrauenswürdige Quelle ausdrücklich als nicht vertrauenswürdig ein.
5. Nur geprüfte Server. Lokale MCP-Server laufen mit den Rechten des Programms, das sie startet. Die Sicherheitshinweise verlangen deshalb eine Zustimmung, bevor ein Programm einen lokalen Server per Ein-Klick-Einrichtung startet, und empfehlen eine abgeschottete Umgebung mit minimalen Rechten. Im Unternehmen heißt das: eine freigegebene Liste von Servern, keine Installation aus beliebigen Quellen.

Hosting und Auftragsverarbeitung. Zwei Datenwege sind zu unterscheiden. Der MCP-Server selbst läuft bei Ihnen, bei einem Dienstleister oder in einer Cloud, und dafür gelten die üblichen Regeln zu Hosting und Auftragsverarbeitung. Dazu kommt der Weg zum KI-Anbieter: Was die KI über einen Server liest, wird in der Regel als Teil einer Anfrage an das Modell übertragen. Prüfen Sie deshalb Region, Speicher- und Löschregeln, Trainingsnutzung und Auftragsverarbeitungsvertrag des gewählten Angebots. Eine pauschale Freigabe gibt es nicht; Zweck, Datenkategorien und Rechtsgrundlage klären Sie mit Ihrer Datenschutzverantwortlichen oder Ihrem Datenschutzbeauftragten. Grundlagen dazu finden Sie in unserem Ratgeber DSGVO-konforme KI-Integration.

MCP, klassische API und Workflow-Werkzeuge im Vergleich

MCP ersetzt Schnittstellen nicht. Ein MCP-Server nutzt meist die vorhandene API Ihres Systems und verpackt sie so, dass eine KI-Anwendung sie einheitlich findet und aufruft. Die folgende Gegenüberstellung ist unsere Einordnung für typische Mittelstandsfälle:

	Klassische API-Integration	Workflow-Werkzeug (n8n, Power Automate)	MCP
Wer bestimmt den Ablauf?	Fester Programmcode	Ein festgelegter Ablauf mit Auslöser	Das KI-Modell wählt je Anfrage Werkzeuge aus dem Angebot
Stärke	Genau prüfbar, schnell, stabil	Schnell gebaut, viele fertige Bausteine	Eine Anbindung, mehrere KI-Anwendungen; flexible Abfragen
Schwäche	Aufwand je Kombination von Systemen	Grenzen bei Ausnahmen und Rechten	Ergebnis kann je Anfrage variieren; Absicherung ist Pflichtaufgabe
Passt bei	Gleicher Auslöser, gleiches Ergebnis	Wiederkehrende Abläufe zwischen bekannten Systemen	Offene Fragen, die verschiedene Systeme berühren

Die Entscheidung zwischen Werkzeug und eigener Software behandeln wir im Ratgeber n8n, Power Automate oder eigene Software. Ob Ihr Fall einen KI-Agenten oder einen festen Workflow braucht, klärt KI-Agent oder Workflow-Automatisierung. Die Abgrenzung zur reinen Datenübergabe zwischen Systemen steht unter ERP und CRM verbinden.

Wann sich MCP (noch) nicht lohnt

• Der Ablauf ist fest. Wenn bei jedem Auftrag dieselben Schritte laufen, ist ein Workflow oder ein Import einfacher und besser prüfbar.
• Es gibt keine tragfähige Schnittstelle. Ein Server braucht einen Zugang zum Fachsystem. Ohne dokumentierte API oder unterstützten Import wird zuerst die Schnittstelle zum Projekt.
• Rollen und Rechte sind ungeklärt. Wer heute nicht sagen kann, wer welche Kundendaten sehen darf, sollte das klären, bevor eine KI diese Daten abfragt.
• Die Datenqualität reicht nicht. Doppelte Kunden, uneinheitliche Artikelnummern und veraltete Stammdaten liefert eine KI schneller aus, sie behebt sie nicht.
• Ein einzelnes KI-Werkzeug genügt. Wenn nur ein Assistent auf ein System zugreifen soll und sich daran nichts ändert, ist eine direkte Anbindung oft der kürzere Weg.

Wie wir bei NLD vorgehen

Wir beginnen mit einem Ablauf statt mit einem Protokoll. Zuerst klären wir, welche Frage Ihr Team täglich beantwortet, welche Systeme dafür nötig sind und wo eine Freigabe durch Menschen bleiben muss. Ob MCP, eine klassische Schnittstelle oder ein Workflow der passende Weg ist, entscheiden wir erst danach.

Für die erste Einschätzung eignet sich der KI-Readiness-Check: Er zeigt, wie weit Daten, Systeme und Zuständigkeiten für ein KI-Vorhaben vorbereitet sind. Danach prüfen wir den Ablauf mit einem KI-Prototyp. Der bezahlte KI-Prototyp kostet 4.900 € netto und dauert 5 Arbeitstage. Er liefert eine Live-Demo mit Ihrem Ablauf, eine Bewertung und eine Entscheidungsempfehlung. Ein produktiver Anschluss ist ein gesonderter Build, den Sie danach optional beauftragen können.

Sie möchten wissen, ob ein MCP-Zugang für Ihre Systeme sinnvoll ist? Ihren Anwendungsfall mit Simon besprechen.