Wenn du in den letzten Monaten irgendwo „MCP” gelesen hast und höflich genickt hast, ohne es einordnen zu können: Dieser Artikel ist für dich. Wir betreiben selbst einen MCP-Server und erklären hier, was das Protokoll ist, wie es funktioniert und wo man aufpassen sollte. In normalem Deutsch, mit einem Beispiel, das du vermutlich aus deinem Alltag kennst.
Das Problem, das MCP löst
Sprachmodelle wie Claude oder ChatGPT sind von Haus aus abgeschottet. Sie können formulieren, zusammenfassen, programmieren, aber sie wissen nichts über deine Welt: nicht, was in deinem Kalender steht, nicht, was in deinem CRM liegt, nicht, welche Dateien auf deinem Server liegen.
Bis 2024 hat jeder Anbieter dieses Problem einzeln gelöst. OpenAI hatte Plugins, dann „GPTs” mit Actions, Anthropic eigene Werkzeug-Anbindungen, und jedes Tool, das mit KI sprechen wollte, baute für jede Plattform eine eigene Integration. Wer ein Werkzeug für drei Assistenten anbieten wollte, baute es dreimal. Das skalierte erkennbar nicht.
Im November 2024 hat Anthropic deshalb das Model Context Protocol veröffentlicht, als offenen Standard: eine gemeinsame Sprache, in der KI-Assistenten und externe Dienste miteinander reden. Der Punkt, an dem klar wurde, dass sich MCP durchsetzt, kam im Frühjahr 2025, als ausgerechnet OpenAI, also der größte Konkurrent, den Standard des Mitbewerbers übernahm. Inzwischen sprechen Claude, ChatGPT und ein wachsender Teil der übrigen Assistenten MCP, und es gibt Verzeichnisse mit zehntausenden Servern.
Wie es funktioniert, in drei Begriffen
MCP hat drei Rollen, und mehr Vokabular braucht man für den Anfang nicht:
- Der Host ist die KI-Anwendung, die du bedienst: Claude, ChatGPT, ein Code-Editor mit KI.
- Ein MCP-Server ist ein Dienst, der dem Assistenten etwas anbietet. Nicht zwingend ein Server im Keller; meist ist es ein kleiner Vermittler vor einem bestehenden Dienst, lokal auf deinem Rechner oder gehostet im Netz.
- Die Tools sind die einzelnen Fähigkeiten, die ein Server anbietet, jede mit Name und Beschreibung. Ein Kalender-Server bietet etwa ein Tool „Verfügbarkeit prüfen” an, ein Datenbank-Server eines namens „Abfrage ausführen”.
Der Ablauf ist unspektakulär, und das ist das Beste daran: Du stellst dem Assistenten eine Frage. Der Assistent schaut, welche Tools seine verbundenen Server anbieten, und entscheidet, ob eines davon hilft. Wenn ja, ruft er es auf, bekommt das Ergebnis zurück und baut daraus seine Antwort.
Konkret, mit unserem eigenen Server: Du fragst Claude „Bin ich Donnerstag um 14 Uhr frei?”. Claude erkennt, dass es das mit Sprachgefühl allein nicht beantworten kann, ruft beim Kalender-Sync-Server das Verfügbarkeits-Tool auf, der Server fragt live bei Google, Outlook und iCloud nach, und Claude antwortet: „Donnerstag 14 Uhr ist frei, aber um 15 Uhr beginnt ein Blocker.” Für dich fühlt es sich an, als wüsste Claude das einfach. Tatsächlich hat er nachgeschaut, bei einem Dienst, den du ihm ausdrücklich erlaubt hast.
Man kann sich MCP als eine Art gemeinsame Steckdose vorstellen: Jedes Gerät, das den Stecker hat, passt in jede Dose. Aber ehrlicherweise hinkt jedes Steckdosen-Bild an der wichtigsten Stelle, denn anders als Strom fließen hier deine Daten, und deshalb gehört zu jeder MCP-Erklärung auch der Abschnitt, der in vielen fehlt:
Der Teil über Sicherheit, den man nicht überspringen sollte
MCP macht Assistenten mächtiger, und Macht ohne Grenzen ist bei KI eine schlechte Idee. Drei Dinge sollte man verstanden haben, bevor man Server verbindet:
1. Ein MCP-Server sieht, was du ihm gibst. Verbindest du einen Server mit deinem Kalender, deinen Mails oder deiner Datenbank, dann verarbeitet dessen Betreiber diese Daten. Die erste Frage vor jeder Verbindung ist also nicht technisch, sondern schlicht: Wer betreibt das, wo läuft es, und was speichern die? Bei einem anonymen GitHub-Projekt ohne Impressum ist die Antwort oft: unklar. Für europäische Nutzer kommt die DSGVO-Frage dazu, denn viele populäre Server laufen auf US-Infrastruktur.
2. Schreibrechte verdienen Misstrauen. Ein Server, der nur liest, kann im schlimmsten Fall Daten preisgeben. Ein Server, der schreiben darf, kann Dinge tun: Termine löschen, Mails verschicken, Datensätze ändern. In der MCP-Community ist das der meistdiskutierte Punkt, sinngemäß: „Ich will eigentlich nicht, dass die KI ungefragt in meinem Kalender herumfuhrwerkt.” Die Antwort darauf sind enge, technisch erzwungene Grenzen. Bei unserem Server etwa kann der Assistent nur Termine anfassen, die er selbst angelegt hat; deine bestehenden Termine sind für ihn gar nicht adressierbar. Solche Grenzen sollten im Design stecken, nicht in einer Verhaltensregel, auf die man hofft.
3. Kalendereinträge sind Eingaben. Eine subtilere Gefahr heißt Prompt Injection: Ein Assistent, der Termintitel oder Beschreibungen liest, liest damit Text, den auch Fremde geschrieben haben können, etwa in einer Einladung. Präparierter Text kann versuchen, den Assistenten zu Aktionen zu bewegen. Auch deshalb ist es sinnvoll, wenn du steuern kannst, wie viel der Assistent überhaupt sieht. Bei uns gibt es dafür drei Detailstufen pro Kalender, und die sparsamste („nur ob belegt”) überträgt überhaupt keinen Fremdtext.
Nichts davon ist ein Grund, MCP zu meiden. Es ist ein Grund, bei der Auswahl der Server genauso hinzuschauen wie bei jeder App, der man Kontozugriff gibt.
Was du damit praktisch anfangen kannst
MCP ist Infrastruktur, und Infrastruktur ist so interessant wie das, was man darauf baut. Ein paar Dinge, die heute real funktionieren:
- Kalender: Verfügbarkeit über alle Kalender prüfen, Slots vorschlagen lassen, Termine auf Zuruf anlegen. (Unser Fall, dazu gleich mehr.)
- Entwicklung: Code-Assistenten greifen über MCP auf Datenbanken, Ticketsysteme und Deployments zu, statt dass man Fehlermeldungen hin- und herkopiert.
- Wissensarbeit: Notiz-Tools, Dokumentenablagen und interne Wikis werden durchsuchbar, ohne dass man Inhalte in den Chat kopiert.
Das Muster ist immer gleich: Der Assistent hört auf zu raten und fängt an nachzuschauen.
MCP am Beispiel: unser Kalender-Server
Zum Schluss in eigener Sache, weil es das Abstrakte konkret macht: Wir haben mit Kalender Sync jahrelang Kalender synchronisiert (Google, Outlook, iCloud, GMX und weitere), und als MCP aufkam, war der Schritt logisch: Die Infrastruktur, die alle Kalender eines Menschen kennt, ist genau das, was ein Assistent braucht.
Unser KI-Assistent ist ein gehosteter MCP-Server, ein Connector für alle deine Kalender. Die Design-Entscheidungen dahinter sind im Kern die drei Sicherheitspunkte von oben, umgesetzt: Betrieb in Deutschland nach DSGVO, drei Detailstufen pro Kalender, Schreibzugriff nur auf eigene Termine, jede Abfrage protokolliert (ohne Inhalte), Widerruf mit einem Klick. Die Anleitungen für Claude und ChatGPT stehen hier im Blog.
Aber unabhängig davon, ob du je unseren Server nutzt: MCP als Konzept lohnt sich zu verstehen, weil es gerade zur Standard-Schnittstelle zwischen KI und dem Rest der Software-Welt wird. Wer heute weiß, was ein MCP-Server ist, versteht die KI-Ankündigungen der nächsten Jahre deutlich schneller.
Die Kurzfassung
- MCP (Model Context Protocol) ist ein offener Standard, über den KI-Assistenten mit externen Diensten sprechen. Von Anthropic Ende 2024 veröffentlicht, inzwischen auch von OpenAI und anderen übernommen.
- Ein MCP-Server bietet dem Assistenten Tools an; der Assistent entscheidet im Gespräch, wann er sie aufruft.
- Der Nutzen: Der Assistent antwortet mit deinen echten Daten statt mit Vermutungen.
- Die Sorgfaltspflicht: Betreiber prüfen, Schreibrechte hinterfragen, Sichtbarkeit begrenzen. Gute Server machen dir genau das leicht.
