MCP-Server: kontrollierter Zugang zwischen KI und Fachsystemen
Was ein MCP-Server tatsächlich anfasst
Von 11.524 öffentlich erreichbaren MCP-Servern laufen 81 Prozent ohne Sandbox mit vollem Zugriff auf ihren Host, ermittelte eine Sicherheitsuntersuchung vom Juni 2026. MCP steht für Model Context Protocol, eine Beschreibungsschicht, über die ein Sprachmodell erfährt, welche Funktionen es in einem System aufrufen darf.
Ein MCP-Server ist ein Programm, das Funktionen und Daten eines Systems in einer standardisierten Form bereitstellt, damit ein Sprachmodell sie nutzen kann. Er meldet dem Modell, welche Werkzeuge zur Verfügung stehen, führt angeforderte Aufrufe aus und gibt die Ergebnisse zurück. Mit welchen Rechten er dabei arbeitet, bestimmt nicht das Modell, sondern der Betreiber.
Werkzeuge, Daten und der Weg dazwischen
Was ein MCP-Server ist, lässt sich in einem Satz sagen, was er im eigenen Haus berührt, nicht. Die Anwendung mit dem Sprachmodell heißt MCP Host, der MCP Client darin fragt beim Verbinden ab, welche MCP Tools die Gegenstelle anbietet. Der Dienst sitzt damit an derselben Stelle wie ein API Gateway, nur mit einem Verzeichnis davor. Vier Dinge gibt er preis:
- die Namen und Beschreibungen aller Funktionen
- die Datenbestände, aus denen er lesen darf
- die Zugangsdaten für die Anmeldung am Fachsystem
- den Netzweg, über den er selbst erreichbar ist
Warum ein MCP-Server kein Plugin ist
Der Vergleich mit einem Browser-Plugin liegt nahe und führt in die Irre. Ein Plugin erweitert eine Anwendung, ein MCP-Server öffnet ein Fachsystem. Er läuft als eigenes Programm mit den Rechten, die ihm der Start mitgegeben hat, und das Sprachmodell entscheidet, wann er etwas tut. Damit haftet das Unternehmen für Zugriffe, die es nicht einzeln angeordnet hat. In derselben Untersuchung pinnten 78 Prozent der Dienste ihre Abhängigkeiten nicht.
Wo eine MCP-Schnittstelle im Haus entsteht
Selten am Anfang eines Projekts. Eine solche Anbindung entsteht meist beiläufig, weil ein Team ein Werkzeug ausprobiert und die Verbindung danach stehen bleibt. Die Middleware des Hauses weiß nichts davon, das Berechtigungskonzept auch nicht. Nach einer Bitkom-Befragung von 604 Unternehmen ab 20 Beschäftigten haben erst 23 Prozent Regeln für den Einsatz von KI-Werkzeugen aufgestellt, während 42 Prozent private Nutzung im Job vermuten. In diese Lücke fällt jede undokumentierte MCP-Schnittstelle auf Bestandsdaten.
Ist ein MCP-Server eine API oder etwas anderes?
Die Frage wird oft gestellt und beide naheliegenden Antworten greifen zu kurz. Ein MCP-Server ist keine neue Art von Schnittstelle, sondern eine für Sprachmodelle lesbare Beschreibung vorhandener Schnittstellen. Darunter liegen weiterhin REST-Aufrufe, Datenbankabfragen oder Dateizugriffe. Ein Haus mit gewachsener API- und Schnittstellenentwicklung baut deshalb nichts neu. Die Alternative MCP-Server oder API stellt sich gar nicht, das Model Context Protocol legt eine Ebene darüber.
Was das Protokoll sagt und eine REST-API nicht
Eine REST-API beschreibt, wie ein Aufruf technisch aussehen muss. Wozu er gut ist, sagt sie nicht, und genau diese Lücke füllt das MCP-Protokoll. Daraus wählt das Modell dann selbst aus. Fünf Angaben kommen zusätzlich mit:
- eine Beschreibung jeder Funktion in natürlicher Sprache
- ein Schema für Parameter und Rückgabewerte
- Angaben zum Verhalten, etwa ob ein Aufruf Daten verändert
- lesbare Datenbestände als benannte Ressourcen
- vorbereitete Textbausteine für wiederkehrende Aufgaben
Die Funktionsbeschreibung wird damit zum sicherheitsrelevanten Text. Die Spezifikation stuft die Verhaltensangaben eines Werkzeugs ausdrücklich als nicht vertrauenswürdig ein. In der Erhebung trugen 130 Dienste versteckte Anweisungen im Text ihrer Werkzeuge, weshalb eine gehärtete Integrationsschicht sie wie Eingabedaten prüft.
Streamable HTTP oder lokaler Betrieb
Ein Werkzeugdienst läuft entweder als Prozess auf demselben Rechner wie das Modell oder als Remote-MCP-Server im eigenen Netz. Die lokale Variante spricht über die Standardeingabe, ein Remote-MCP-Server über Streamable HTTP, also gewöhnliche HTTP-Aufrufe auf einen einzigen Endpunkt. Das ist keine technische Feinheit, sondern die Frage, wo die Zugangsdaten liegen. Lokal liegen sie auf dem Arbeitsgerät, entfernt in der eigenen Infrastruktur. Nur die entfernte Variante lässt sich zentral überwachen. KI-Agenten mit Zugriff auf Fachdaten gehören deshalb nicht auf ein Notebook, und eine geordnete KI-Integration trennt Arbeitsgerät und Fachdaten von Anfang an.
Rechte und Nachweis am MCP Gateway
Ein MCP Gateway ist kein neues Produkt, sondern die vorhandene Kontrollstelle, durch die auch die Aufrufe von KI-Agenten laufen. Seit der Fassung des MCP-Protokolls vom 28. Juli 2026 tragen diese Aufrufe zwei HTTP-Header, die Methode und Werkzeugnamen nach außen sichtbar machen. Damit kann ein MCP Gateway einzelne Werkzeuge drosseln oder sperren, ohne den Inhalt einer Anfrage zu lesen. Das verschiebt die Kontrolle von der Anwendung an den Rand des Netzes.
Sind MCP-Server sicher?
Als Protokoll ja, als Programme oft nicht. Die Spezifikation verlangt ausdrücklich, dass ein Werkzeugdienst keine Zugangstoken annimmt, die nicht für ihn ausgestellt wurden, und dass er jede eingehende Anfrage prüft, statt dem Besitz einer Kennung zu vertrauen. In der Praxis erzwingen 31 Prozent der Dienste mit angekündigter Anmeldepflicht diese nicht, und 830 der 11.524 geprüften Server fielen mit der Note D oder F durch. Ein sicherer MCP-Endpunkt ist deshalb eine Betriebseigenschaft und keine Eigenschaft des Standards.
Welche Rechte eine MCP-Schnittstelle braucht
So wenige wie möglich, und das ist mehr Arbeit als es klingt. Ein Sprachmodell kennt die Grenzen eines Auftrags nicht, deshalb wirkt jede Berechtigung dauerhaft und nicht nur im gedachten Anwendungsfall. Die Spezifikation empfiehlt einen gestaffelten Zuschnitt, also einen schmalen Startumfang und Erweiterung erst bei Bedarf. Praktisch heißt das ein eigenes Dienstkonto je MCP-Schnittstelle, Leserechte als Standard und Schreibrechte nur auf benannte Felder. Diese Konten gehören ins Berechtigungsmanagement des Hauses.
Was jeder Protokolleintrag enthalten muss
Ein Nachweis entsteht nicht dadurch, dass irgendwo etwas mitgeschrieben wird, sondern wenn ein Vorgang Monate später ohne Zugriff auf das Modell nachvollziehbar bleibt. Am MCP Gateway laufen dafür alle Aufrufe an einer Stelle zusammen. Fünf Angaben gehören in jeden Eintrag:
- der Zeitpunkt des Aufrufs
- das aufgerufene Werkzeug samt Parametern
- das Dienstkonto, unter dem der Aufruf lief
- der auslösende Auftrag, soweit zuordenbar
- das Ergebnis, also Erfolg, Ablehnung oder Fehler
Das BSI nennt jede Werkzeugschnittstelle einen möglichen Angriffspunkt und empfiehlt, solche Aufzeichnungen regelmäßig durchzusehen.
Fertiger Server oder eigener: die Entscheidung
Öffentliche Verzeichnisse listen inzwischen tausende Werkzeugdienste, und für allgemeine Aufgaben ist das der schnellere Weg. Bei Zugriff auf eigene Fachdaten kippt die Rechnung. Die Erhebung fand einen deutlichen Zusammenhang zwischen Bekanntheit und Risiko. Dienste mit mehr als 1.000 Sternen auf GitHub waren fünfmal häufiger hochriskant als kaum beachtete. Beliebtheit ist damit kein Qualitätsmerkmal, sondern ein Angriffsanreiz.
Wann lohnt sich ein eigener MCP-Server?
Sobald ein Werkzeug Daten anfasst, die das Haus nicht verlieren darf. Einen MCP-Server erstellen heißt dann nicht, ein Protokoll neu zu bauen, denn fertige Bibliotheken übernehmen den Transport. Die Arbeit liegt im Zuschnitt der Funktionen und in der Rechtevergabe. Vier Fragen klären die Lage vorab:
❓ Welche Fachsysteme soll das Modell erreichen?
❓ Welche Aufrufe dürfen Daten verändern?
❓ Wer verantwortet die Dienstkonten?
❓ Wie lange müssen Protokolle aufbewahrt werden?
Was der Betrieb dauerhaft verlangt
Anders als ein Gesetz ändert sich dieses Protokoll schnell. Der frühere Transportweg über HTTP mit Server-Sent Events ist seit Juli 2026 abgekündigt und läuft binnen zwölf Monaten aus, die Sitzungsverwaltung ist ganz entfallen. Eine Anbindung braucht also einen Pflegeplan statt einer einmaligen Abnahme.
TenMedia nimmt dafür Funktionen und Rechte auf, entwickelt die Anbindung an das Fachsystem und übernimmt danach Betrieb und Pflege. Die Rechteaufnahme steht am Anfang, nicht am Ende. Bei der Oberfläche für individuell trainierte KI-Sprachmodelle trug dieselbe Trennung zwischen Modell und Fachdaten. Für agentische KI entscheidet der Zuschnitt der MCP-Schnittstelle deshalb mehr als die Wahl des Modells.
