Ein KI-Assistent soll Dokumente durchsuchen, CRM-Informationen lesen und bei Bedarf eine Aufgabe im Geschäftssystem anlegen. Dafür benötigt jede KI-Anwendung Verbindungen zu den vorhandenen Systemen. Genau hier setzt das Model Context Protocol, kurz MCP, an: Es standardisiert, wie KI-Anwendungen bestimmte Datenquellen und Werkzeuge ansprechen können. Für Unternehmen ist MCP jedoch kein Selbstzweck. Der Standard wird vor allem dann interessant, wenn mehrere KI-Anwendungen wiederholt auf dieselben kontrollierten Funktionen zugreifen sollen.
1. Was ist das Model Context Protocol einfach erklärt?
Das Model Context Protocol ist ein offener technischer Standard für die Verbindung von KI-Anwendungen mit externen Daten und Werkzeugen.
Vereinfacht gesagt beschreibt MCP eine gemeinsame Sprache zwischen zwei Seiten:
KI-Anwendung beziehungsweise MCP-Client → MCP-Server → definierte Daten oder Funktionen.
Ein MCP-Server kann beispielsweise Funktionen bereitstellen wie:
- in freigegebenen Dokumenten suchen,
- einen bestimmten CRM-Status abrufen,
- Informationen aus einem internen System lesen,
- eine definierte Aufgabe anlegen,
- einen vorgesehenen Geschäftsprozess starten.
Die KI-Anwendung muss dadurch nicht jede zugrunde liegende Software auf völlig unterschiedliche Weise kennen.
Sie arbeitet stattdessen mit den Fähigkeiten, die über die jeweilige MCP-Schnittstelle bereitgestellt werden.
MCP ist nicht das KI-Modell selbst
MCP beantwortet keine Kundenfrage und entscheidet nicht eigenständig über einen Geschäftsprozess.
Der Standard beschreibt die technische Kommunikation zwischen beteiligten Komponenten.
Welches KI-Modell verwendet wird, welche Geschäftslogik gilt und welche Aktionen erlaubt sind, wird weiterhin außerhalb des Protokolls beziehungsweise in der konkreten Anwendung bestimmt.
Die aktuelle Spezifikation wird vom MCP-Projekt öffentlich dokumentiert. Unternehmen mit produktiven Implementierungen sollten die jeweils tatsächlich eingesetzte Protokollversion und deren technische Anforderungen kennen. Eine Übersicht bietet die Dokumentation zur MCP-Spezifikation 2026-07-28.
2. Welches Problem soll MCP im Unternehmen lösen?
Ohne eine gemeinsame Schnittstellenlogik entsteht bei mehreren KI-Anwendungen schnell ein Integrationsproblem.
Beispielsweise gibt es:
- einen internen KI-Assistenten für Mitarbeiter,
- einen Agenten für Kundenanfragen,
- eine KI-Anwendung für Vertriebsinformationen.
Alle drei benötigen möglicherweise Zugriff auf bestimmte CRM-Informationen.
Ohne gemeinsame Integrationsschicht können drei separate Verbindungen entstehen.
Ändert sich später die CRM-Schnittstelle oder die Berechtigungslogik, müssen mehrere Integrationen angepasst werden.
Wiederverwendbare Funktionen statt mehrfacher Einzelintegration
Ein gemeinsamer MCP-Server könnte stattdessen klar definierte Funktionen bereitstellen.
Beispielsweise:
- Kundendatensatz anhand einer zulässigen ID suchen,
- aktuellen Vorgangsstatus lesen,
- interne Aufgabe zu einem Vorgang anlegen.
Mehrere geeignete MCP-Clients könnten anschließend dieselben definierten Fähigkeiten verwenden.
Die Verbindung zum eigentlichen Geschäftssystem wird dadurch stärker von der einzelnen KI-Anwendung getrennt.
Das Problem muss zuerst wirklich existieren
Wenn nur eine einzige KI-Anwendung auf eine einzige vorhandene API zugreift, ist eine zusätzliche MCP-Schicht möglicherweise unnötig.
Ein Standard lohnt sich vor allem dort, wo durch Wiederverwendung, Austauschbarkeit oder zentrale Kontrolle tatsächlich Komplexität reduziert wird.
3. MCP oder direkte API: Was ist sinnvoller?
MCP ersetzt klassische APIs nicht.
Ein MCP-Server verwendet im Hintergrund häufig selbst APIs, Datenbanken oder andere Schnittstellen, um eine gewünschte Funktion bereitzustellen.
Die eigentliche Entscheidung lautet deshalb eher:
Soll die KI-Anwendung direkt mit dem Geschäftssystem verbunden werden oder soll eine standardisierte MCP-Schicht dazwischenliegen?
| Situation | Direkte API | MCP |
|---|---|---|
| Eine Anwendung, ein System | Kann die einfachste Lösung sein | Zusätzliche Schicht möglicherweise unnötig |
| Mehrere KI-Anwendungen benötigen dieselbe Funktion | Mehrfache Integrationslogik möglich | Definierte Funktionen können wiederverwendet werden |
| KI-Client soll austauschbar bleiben | Integration kann stärker an die Anwendung gekoppelt sein | Standardisierte Schnittstelle kann Wechsel erleichtern |
| Sehr spezielle Geschäftslogik | Direkte Integration kann maximale Kontrolle bieten | Kann sinnvoll sein, wenn die Funktion sauber als Tool abbildbar ist |
| Berechtigungen | Müssen technisch umgesetzt werden | Müssen ebenfalls technisch umgesetzt werden |
| Betrieb | Weniger Komponenten möglich | Zusätzlicher Server und Protokollbetrieb |
Architektur nicht wegen eines Trends verändern
Eine funktionierende, überschaubare API-Integration sollte nicht allein deshalb ersetzt werden, weil MCP neuer oder populärer ist.
Ein zusätzlicher technischer Standard bringt nur dann einen Vorteil, wenn dadurch ein konkretes Problem im eigenen System besser gelöst wird.
4. Welche Funktionen kann ein MCP-Server bereitstellen?
Für Unternehmen ist weniger die Protokollterminologie wichtig als die Frage, welche kontrollierten Fähigkeiten einer KI-Anwendung zur Verfügung gestellt werden.
Informationen bereitstellen
Eine Anwendung kann beispielsweise Zugriff auf freigegebene Informationen erhalten:
- interne Dokumente,
- Produktinformationen,
- definierte Statusinformationen,
- bestimmte Wissensquellen.
Werkzeuge bereitstellen
Ein Tool führt eine klar definierte Funktion aus.
Beispiele:
- CRM-Vorgang suchen,
- Verfügbarkeit prüfen,
- interne Aufgabe erstellen,
- bestimmte Daten validieren.
Wichtig ist, dass ein Tool nicht unnötig weitreichend gestaltet wird.
Eine Funktion wie:
„Aufgabe zum vorhandenen CRM-Vorgang anlegen“
ist klarer begrenzt als:
„Vollzugriff auf CRM ausführen“.
Funktionen verständlich beschreiben
Damit ein KI-System ein Werkzeug sinnvoll verwenden kann, muss klar definiert sein:
- welchen Zweck es erfüllt,
- welche Eingaben benötigt werden,
- welches Ergebnis zurückgegeben wird,
- welche Fehler auftreten können.
Technisch saubere Schnittstellen ersetzen dennoch keine fachliche Prozessdefinition.
Das Unternehmen muss weiterhin entscheiden, wann welches Werkzeug überhaupt verwendet werden darf.
5. Macht MCP KI-Integrationen automatisch sicher?
Nein.
Ein standardisiertes Protokoll kann Sicherheitsmechanismen technisch unterstützen, macht eine Anwendung aber nicht allein durch seine Verwendung sicher.
Die aktuelle MCP-Spezifikation enthält unter anderem weiterentwickelte Authorization-Mechanismen. Entscheidend bleibt jedoch die konkrete Implementierung. Weitere technische Details enthält die Dokumentation zur MCP-Spezifikation 2026-07-28.
Ein MCP-Server ist eine neue Angriffs- und Fehlerfläche
Über einen MCP-Server können möglicherweise interne Informationen oder Geschäftsfunktionen erreichbar werden.
Deshalb sollte vor dem produktiven Einsatz geklärt sein:
- wer den Server erreichen darf,
- wie Nutzer oder technische Clients authentifiziert werden,
- welche Berechtigungen gelten,
- welche Tools für welchen Nutzer verfügbar sind,
- welche Aktionen protokolliert werden,
- wie fehlerhafte oder manipulierte Eingaben behandelt werden.
Ein Tool-Aufruf ist nicht automatisch vertrauenswürdig
Eine KI kann beispielsweise Informationen aus einer E-Mail oder einem Dokument verarbeiten.
Solche externen Inhalte können ungeeignete oder manipulierte Anweisungen enthalten.
Wenn die KI gleichzeitig Werkzeuge aufrufen darf, sollte eine externe Anweisung nicht automatisch zusätzliche Berechtigungen erzeugen.
Die Tatsache, dass ein Modell ein Tool verwenden möchte, ist noch keine ausreichende Autorisierung für die geschäftliche Aktion.
Kritische Grenzen außerhalb des Modells durchsetzen
Wenn ein KI-Assistent keine Kundendaten löschen darf, sollte der entsprechende MCP-Tool-Zugriff diese Aktion technisch überhaupt nicht erlauben.
Ein Prompt wie „Lösche niemals Kundendaten“ ist dafür keine ausreichende Zugriffskontrolle.
6. Wie sollten Berechtigungen bei MCP begrenzt werden?
Die Berechtigungslogik sollte vom konkreten Geschäftsprozess ausgehen.
Beispiel:
Ein KI-Assistent soll eine neue Kundenanfrage lesen und den zuständigen Vertriebsbereich bestimmen.
Dafür benötigt er möglicherweise:
- Zugriff auf die konkrete Anfrage,
- Leserechte auf eine begrenzte Information zur Zuständigkeit,
- das Recht, eine interne Aufgabe anzulegen.
Er benötigt deshalb nicht automatisch:
- alle Kundendaten des CRM,
- Zugriff auf Rechnungsinformationen,
- Löschrechte,
- Administratorrechte,
- uneingeschränkten externen E-Mail-Versand.
MCP-Tool und Nutzerberechtigung unterscheiden
Dass ein MCP-Server eine Funktion grundsätzlich anbietet, bedeutet nicht zwangsläufig, dass jeder verbundene Nutzer oder Agent sie ausführen darf.
Die tatsächliche Autorisierung sollte auch den jeweiligen Nutzer-, Prozess- oder Anwendungskontext berücksichtigen.
Schreibaktionen strenger behandeln
Ein Lesezugriff auf einen freigegebenen Status hat andere Auswirkungen als:
- Kundendaten verändern,
- eine externe Nachricht versenden,
- eine Bestellung auslösen,
- einen Datensatz löschen.
Für sensible Aktionen können zusätzliche Prüfungen oder menschliche Freigaben erforderlich sein.
Wie Unternehmen diese Grenzen grundsätzlich gestalten können, erläutert unser Beitrag KI-Agenten im Unternehmen: Welche Berechtigungen brauchen sie wirklich?.
7. Hilft MCP gegen Vendor Lock-in?
MCP kann bestimmte technische Abhängigkeiten reduzieren.
Wenn mehrere KI-Anwendungen dieselbe standardisierte Schnittstelle verwenden können, muss nicht jede Verbindung zum Geschäftssystem vollständig neu aufgebaut werden.
Dadurch kann beispielsweise ein Wechsel des KI-Clients einfacher werden.
MCP beseitigt Vendor Lock-in jedoch nicht vollständig.
Abhängigkeit kann an anderen Stellen bleiben
Beispielsweise bei:
- dem verwendeten KI-Modell,
- Prompts und Agentenlogik,
- proprietären Erweiterungen,
- Hosting und Administration des MCP-Servers,
- dem Geschäftssystem hinter dem MCP-Server.
Standardisierte Verbindung verbessert trotzdem die Trennung
Ein nützliches Architekturprinzip kann sein:
Geschäftssystem → klar definierte MCP-Funktion → KI-Anwendung.
Die Geschäftslogik und Daten bleiben dadurch stärker vom verwendeten KI-Client getrennt.
Ob dies den zusätzlichen technischen Aufwand rechtfertigt, hängt jedoch vom tatsächlichen Prozess ab.
Wie Unternehmen Anbieterabhängigkeit systematisch bewerten können, zeigt unser Beitrag KI-Anbieter wechseln: Wie vermeiden Unternehmen Vendor Lock-in?.
8. Was bedeutet MCP im laufenden Betrieb?
Ein MCP-Server ist zusätzliche technische Infrastruktur.
Damit entstehen auch Betriebsaufgaben.
Versionen und Kompatibilität
MCP entwickelt sich weiter.
Die Spezifikation 2026-07-28 brachte unter anderem Änderungen am Protokollkern, am Authorization-Modell und an Erweiterungen. Produktive Anwendungen sollten deshalb nicht davon ausgehen, dass einmal eingerichtete Implementierungen dauerhaft unverändert bleiben. Die tatsächlich eingesetzte Protokollversion und die Unterstützung durch Client- und Serverimplementierung sollten dokumentiert und bei Updates erneut geprüft werden.
Zu dokumentieren sind insbesondere:
- verwendete Protokollversion,
- Client- und Serverimplementierung,
- bereitgestellte Tools und Funktionen,
- Authentifizierung und Autorisierung,
- Abhängigkeiten zu Geschäftssystemen.
Tools können sich verändern
Wenn eine interne API oder ein CRM-Feld verändert wird, kann auch das entsprechende MCP-Tool angepasst werden müssen.
Deshalb benötigt jedes produktive Tool eine fachliche und technische Verantwortung.
Monitoring und Fehlerbehandlung
Ein Unternehmen sollte erkennen können:
- welches Tool aufgerufen wurde,
- ob der Aufruf erfolgreich war,
- welcher Vorgang betroffen war,
- ob eine Freigabe erforderlich war,
- ob wiederholt unerwartete Aufrufe auftreten.
Dabei sollten Logs nur die Informationen enthalten und so lange aufbewahrt werden, wie dies für den vorgesehenen Zweck erforderlich ist.
Fallback definieren
Wenn ein MCP-Server oder angebundenes Geschäftssystem nicht erreichbar ist, darf die KI fehlende Ergebnisse nicht einfach erfinden.
Ein möglicher Fallback kann sein:
- keine Aktion ausführen,
- Vorgang an einen Mitarbeiter übergeben,
- erneute Verarbeitung kontrolliert vormerken.
9. Wie testen Unternehmen MCP sinnvoll?
Ein MCP-Pilot sollte nicht damit beginnen, CRM, E-Mail, Dateien und ERP gleichzeitig freizugeben.
Wählen Sie eine einzelne wiederverwendbare Funktion.
Beispiel: CRM-Status lesen
Mehrere interne KI-Anwendungen benötigen gelegentlich den aktuellen Status eines Vorgangs.
Ein begrenzter MCP-Pilot könnte ausschließlich eine Funktion bereitstellen:
Vorgangsstatus anhand einer gültigen internen ID abrufen.
Der Server erhält keinen allgemeinen CRM-Vollzugriff für beliebige Aktionen.
Schritt 1: Geschäftliche Funktion definieren
Beschreiben Sie, welches Ergebnis die KI tatsächlich benötigt.
Schritt 2: Berechtigung begrenzen
Definieren Sie, welche Clients und Nutzer die Funktion verwenden dürfen und welche Daten zurückgegeben werden.
Schritt 3: Normal- und Fehlerfälle testen
Prüfen Sie beispielsweise:
- gültige ID,
- unbekannte ID,
- fehlende Berechtigung,
- nicht verfügbares CRM,
- manipulierte oder unerwartete Eingabe.
Schritt 4: Zweiten Client testen
Wenn Wiederverwendung ein wichtiges Ziel des Projekts ist, sollte anschließend geprüft werden, ob eine zweite geeignete KI-Anwendung dieselbe MCP-Funktion ohne Neuaufbau der gesamten CRM-Integration verwenden kann.
Schritt 5: Aufwand vergleichen
Erfassen Sie nicht nur, ob MCP technisch funktioniert.
Vergleichen Sie:
- Integrationsaufwand,
- Wartungsaufwand,
- Berechtigungsmodell,
- Monitoring,
- Wiederverwendbarkeit.
Erst daraus lässt sich ableiten, ob MCP für den konkreten Unternehmensprozess einen Vorteil gegenüber einer direkten Integration bietet.
10. Checkliste: Braucht Ihr Unternehmen MCP?
- Anwendungsfall: Ist klar, welcher KI-Prozess unterstützt werden soll?
- Wiederverwendung: Benötigen mehrere KI-Anwendungen dieselben Daten oder Funktionen?
- Alternative: Wurde geprüft, ob eine direkte API einfacher wäre?
- Funktion: Lässt sich die benötigte Geschäftsfunktion klar als begrenztes Tool beschreiben?
- Daten: Ist definiert, welche Informationen tatsächlich zurückgegeben werden dürfen?
- Authentifizierung: Ist geregelt, welche Clients oder Nutzer sich verbinden dürfen?
- Autorisierung: Wird für die konkrete Aktion geprüft, ob sie zulässig ist?
- Schreibrechte: Sind schreibende und externe Aktionen besonders begrenzt?
- Freigabe: Gibt es bei sensiblen Aktionen einen geeigneten Kontrollschritt?
- Externe Inhalte: Werden Dokumente und E-Mails nicht automatisch als vertrauenswürdige Anweisungen behandelt?
- Logging: Sind relevante Tool-Aufrufe nachvollziehbar?
- Fallback: Ist definiert, was bei Ausfall des MCP-Servers oder Zielsystems passiert?
- Versionierung: Ist bekannt, welche MCP-Version und Implementierung eingesetzt wird?
- Verantwortung: Gibt es einen Verantwortlichen für jedes geschäftlich relevante Tool?
- Portabilität: Wurde geprüft, ob ein zweiter geeigneter Client dieselbe Funktion nutzen kann?
- Nutzen: Ist der zusätzliche Betriebsaufwand geringer als der Vorteil durch Standardisierung und Wiederverwendung?
MCP ist besonders dort interessant, wo KI-Integrationen wiederverwendbar werden sollen
Das Model Context Protocol löst ein reales technisches Problem: KI-Anwendungen benötigen kontrollierten Zugriff auf immer mehr Datenquellen und Werkzeuge.
Ein gemeinsamer Standard kann verhindern, dass für jeden neuen KI-Client dieselben Verbindungen vollständig neu entwickelt werden.
Damit ist MCP insbesondere für wachsende agentische Architekturen interessant.
Der Standard ersetzt jedoch weder eine gute API noch Prozessdesign, Berechtigungen oder Sicherheitskontrollen.
Für eine kleine Einzelintegration kann MCP zusätzliche Komplexität schaffen, ohne einen entsprechenden Nutzen zu liefern.
Die richtige Frage lautet deshalb nicht: Unterstützt unsere KI MCP? Sondern: Haben wir ein wiederkehrendes Integrationsproblem, das durch eine standardisierte und kontrollierte Schnittstelle tatsächlich einfacher wird?
Häufige Fragen zum Model Context Protocol
Was ist MCP einfach erklärt?
MCP ist ein offener technischer Standard, über den KI-Anwendungen auf definierte Datenquellen und Werkzeuge zugreifen können. Ein MCP-Server stellt bestimmte Funktionen bereit, die geeignete MCP-Clients verwenden können.
Ersetzt MCP eine API?
Nein. Ein MCP-Server verwendet häufig selbst APIs oder andere Schnittstellen zu den eigentlichen Geschäftssystemen. MCP standardisiert vor allem die Ebene, über die KI-Anwendungen definierte Funktionen und Informationen verwenden.
Braucht jedes Unternehmen MCP?
Nein. Wenn eine einzelne KI-Anwendung nur mit einem System verbunden werden muss, kann eine direkte Integration einfacher sein. MCP wird besonders interessant, wenn mehrere KI-Anwendungen dieselben kontrollierten Funktionen wiederverwenden sollen.
Ist MCP sicher?
MCP unterstützt technische Mechanismen für kontrollierte Verbindungen und Autorisierung, macht eine Implementierung aber nicht automatisch sicher. Unternehmen müssen weiterhin Authentifizierung, Berechtigungen, Tool-Grenzen, Protokollierung und Fehlerfälle angemessen gestalten.
Kann ein MCP-Server auf unser CRM zugreifen?
Technisch kann ein MCP-Server mit einem CRM verbunden werden, sofern geeignete Schnittstellen und Berechtigungen vorhanden sind. Sinnvoll ist jedoch, nur klar definierte Funktionen bereitzustellen, statt einer KI pauschal vollständigen CRM-Zugriff zu geben.
Hilft MCP beim Wechsel des KI-Anbieters?
MCP kann eine KI-Anwendung stärker von den Geschäftssystemen entkoppeln und dadurch bestimmte Wechsel vereinfachen. Andere Abhängigkeiten, beispielsweise Prompts, Modellverhalten, Hosting oder proprietäre Funktionen, können trotzdem bestehen bleiben.
Was ist der größte Fehler bei einer MCP-Einführung?
Ein häufiger Fehler wäre, sehr viele Unternehmenssysteme sofort mit weitreichenden Berechtigungen freizugeben, bevor ein klarer Geschäftsprozess definiert wurde. Besser ist ein Pilot mit einer einzelnen, eng begrenzten und wiederverwendbaren Funktion.
Wie sollte ein Mittelständler MCP testen?
Wählen Sie eine Geschäftsfunktion, die mehrere KI-Anwendungen benötigen könnten. Begrenzen Sie Daten und Rechte, testen Sie Normal- und Fehlerfälle und prüfen Sie anschließend, ob ein zweiter Client dieselbe Funktion wiederverwenden kann. Vergleichen Sie den Betriebsaufwand mit einer direkten API-Integration.