MCP (Model Context Protocol)

Definition

MCP (Model Context Protocol) ist ein offenes Protokoll, das Anthropic im November 2024 veröffentlicht hat. Es standardisiert die Kommunikation zwischen Large Language Models und externen Systemen wie Datenbanken, APIs, File-Systemen oder Custom-Tools. Anthropic beschreibt MCP als USB-C für KI-Anwendungen: eine universelle Schnittstelle, die Integration zwischen Modellen und Systemen drastisch vereinfacht.

Das Protokoll basiert auf JSON-RPC 2.0 und definiert eine klare Trennung zwischen Host-Anwendung, Client und Server. Spezifikation und Referenz-Implementierungen sind auf modelcontextprotocol.io öffentlich.

Architektur

MCP definiert drei Komponenten:

• Host: Die Anwendung, in der der User mit dem Modell interagiert (Claude Desktop, Cursor, Zed).
• Client: Eine Protokoll-Komponente innerhalb der Host-Anwendung, die mit einem MCP-Server kommuniziert. Ein Host kann mehrere Clients parallel betreiben.
• Server: Ein eigenständiger Prozess, der Resources, Tools und Prompts bereitstellt. Server laufen lokal oder remote.

Jeder Server stellt drei Primitive bereit:

• Resources: Lesbare Datenquellen wie Dateien, Datenbank-Tabellen oder API-Responses.
• Tools: Ausführbare Funktionen, die das Modell aufrufen kann (z. B. SQL-Query, Datei schreiben, API-Call).
• Prompts: Vordefinierte Konversations-Templates, die der Server der Host-Anwendung anbietet.

Vergleich zu Function Calling

Function Calling (eingeführt von OpenAI 2023) ist ein modell-spezifisches Feature: das Modell wird mit einer Tool-Definition prompt-injiziert und gibt strukturierte Tool-Calls zurück. Die Tool-Implementierung muss pro Anwendung neu integriert werden.

MCP entkoppelt diese Ebene. Ein MCP-Server wird einmal geschrieben und kann mit jeder MCP-fähigen Host-App und jedem unterstützten Modell verwendet werden. Die Konsequenz: ein wachsendes Ökosystem von MCP-Servern (für GitHub, Postgres, Slack, Linear, Notion und Hunderte weitere) wird zur gemeinsamen Infrastruktur statt zu silierten Integrationen.

Geschichte und Adoption

Anthropic veröffentlichte MCP im November 2024 zusammen mit Referenz-Servern für GitHub, Slack, Google Drive, Postgres und das lokale File-System. Innerhalb weniger Monate adoptierten Cursor, Zed, Replit (Agent) und Continue das Protokoll. 2025 begannen unabhängige Entwickler-Communities, hunderte MCP-Server für Spezialdomänen zu veröffentlichen. 2026 ist MCP de-facto Konvention für agentische Tool-Anbindung im Anthropic-Ökosystem und darüber hinaus.

OpenAI hat 2025 Interoperabilitätsabsichten signalisiert, was die Marktposition von MCP weiter festigt.

Praxis und Anwendung

Typische Einsatzfelder:

• Datenbank-Zugriff: Postgres-, BigQuery-, MongoDB-Server, die SQL-ähnliche Queries als Tool exponieren.
• File-System: sicheres Lesen und Schreiben innerhalb definierter Pfade.
• Custom-APIs: Anbindung interner Tools, CRM-Systeme, Ticketing-Lösungen.
• Knowledge-Graphs und Search: MCP-Server als Brücke zu Wikidata, internen Wissensgraphen oder Vector-Stores.
• Workflow-Automation: Linear, Notion, Asana und Slack als MCP-Server für agentische Pipelines.

Ein typischer Setup-Flow: User installiert Claude Desktop, fügt in der Config eine MCP-Server-Definition ein (z. B. ein Postgres-Server mit Connection-String), und kann unmittelbar Datenbank-Queries im Chat ausführen.

Sicherheit

MCP-Server haben oft weitreichende Berechtigungen (DB-Zugriff, File-System, externe APIs). Best Practices:

• Least Privilege: Server-Berechtigungen so eng wie möglich.
• Prozess-Isolation: jeder Server als separater Prozess, idealerweise sandboxed.
• User-Consent: explizite Bestätigung pro Tool-Aufruf, mindestens für destruktive Operationen.
• Audit-Logging: alle Tool-Calls protokollieren.
• Capability-Scoping: Server deklarieren explizit ihre Capabilities, der Client kann selektiv freigeben.

Die Spezifikation enthält Sicherheitsempfehlungen, die operative Verantwortung liegt aber bei der Implementierung.

Häufige Fehler

• Over-Permissioning: Server bekommen volle DB-Rechte statt Read-Only.
• Unsichere Server-Distribution: unsignierte Binaries aus unklarer Quelle ausführen.
• Fehlendes Consent-UI: stille Tool-Calls untergraben User-Vertrauen.
• Zu viele Server gleichzeitig: Latenz und Kontext-Overhead steigen.
• Keine Versionierung: Server-Updates können stillschweigend Verhalten ändern.

Abgrenzung

• Function Calling: modell-spezifisch, low-level, MCP baut darauf auf.
• OpenAPI/REST: Standard für Web-APIs, MCP für LLM-Tool-Anbindung.
• LangChain Tools: Framework-spezifische Abstraktion, MCP ist Framework-unabhängig.
• GraphQL: Query-Sprache für strukturierte Daten, kein Agent-Protokoll.
• Plugins (ChatGPT, alte Generation): geschlossenes Ökosystem, MCP ist offen.