Wenn du in den letzten Monaten irgendwo „MCP” gelesen hast und höflich genickt hast, ohne es einordnen zu können: Dieser Artikel ist für dich. Wir betreiben selbst einen MCP-Server und erklären hier, was das Protokoll ist, wie es funktioniert und wo man aufpassen sollte. In normalem Deutsch, mit einem Beispiel, das du vermutlich aus deinem Alltag kennst.
Das Problem, das MCP löst
Sprachmodelle wie Claude oder ChatGPT sind von Haus aus abgeschottet. Sie können formulieren, zusammenfassen, programmieren, aber sie wissen nichts über deine Welt: nicht, was in deinem Kalender steht, nicht, was in deinem CRM liegt, nicht, welche Dateien auf deinem Server liegen.
Bis 2024 hat jeder Anbieter dieses Problem einzeln gelöst. OpenAI hatte Plugins, dann „GPTs” mit Actions, Anthropic eigene Werkzeug-Anbindungen, und jedes Tool, das mit KI sprechen wollte, baute für jede Plattform eine eigene Integration. Wer ein Werkzeug für drei Assistenten anbieten wollte, baute es dreimal. Das skalierte erkennbar nicht.
Im November 2024 hat Anthropic deshalb das Model Context Protocol veröffentlicht, als offenen Standard: eine gemeinsame Sprache, in der KI-Assistenten und externe Dienste miteinander reden. Der Punkt, an dem klar wurde, dass sich MCP durchsetzt, kam im Frühjahr 2025, als ausgerechnet OpenAI, also der größte Konkurrent, den Standard des Mitbewerbers übernahm. Inzwischen sprechen Claude, ChatGPT und ein wachsender Teil der übrigen Assistenten MCP, und es gibt Verzeichnisse mit zehntausenden Servern.
Wie es funktioniert, in drei Begriffen
MCP hat drei Rollen, und mehr Vokabular braucht man für den Anfang nicht:
- Der Host ist die KI-Anwendung, die du bedienst: Claude, ChatGPT, ein Code-Editor mit KI.
- Ein MCP-Server ist ein Dienst, der dem Assistenten etwas anbietet. Nicht zwingend ein Server im Keller; meist ist es ein kleiner Vermittler vor einem bestehenden Dienst, lokal auf deinem Rechner oder gehostet im Netz.
- Die Tools sind die einzelnen Fähigkeiten, die ein Server anbietet, jede mit Name und Beschreibung. Ein Kalender-Server bietet etwa ein Tool „Verfügbarkeit prüfen” an, ein Datenbank-Server eines namens „Abfrage ausführen”.
Der Ablauf ist unspektakulär, und das ist das Beste daran: Du stellst dem Assistenten eine Frage. Der Assistent schaut, welche Tools seine verbundenen Server anbieten, und entscheidet, ob eines davon hilft. Wenn ja, ruft er es auf, bekommt das Ergebnis zurück und baut daraus seine Antwort.
Konkret, mit unserem eigenen Server: Du fragst Claude „Bin ich Donnerstag um 14 Uhr frei?”. Claude erkennt, dass es das mit Sprachgefühl allein nicht beantworten kann, ruft beim Kalender-Sync-Server das Verfügbarkeits-Tool auf, der Server fragt live bei Google, Outlook und iCloud nach, und Claude antwortet: „Donnerstag 14 Uhr ist frei, aber um 15 Uhr beginnt ein Blocker.” Für dich fühlt es sich an, als wüsste Claude das einfach. Tatsächlich hat er nachgeschaut, bei einem Dienst, den du ihm ausdrücklich erlaubt hast.
Man kann sich MCP als eine Art gemeinsame Steckdose vorstellen: Jedes Gerät, das den Stecker hat, passt in jede Dose. Aber ehrlicherweise hinkt jedes Steckdosen-Bild an der wichtigsten Stelle, denn anders als Strom fließen hier deine Daten, und deshalb gehört zu jeder MCP-Erklärung auch der Abschnitt, der in vielen fehlt:
Der Teil über Sicherheit, den man nicht überspringen sollte
MCP macht Assistenten mächtiger, und Macht ohne Grenzen ist bei KI eine schlechte Idee. Drei Dinge sollte man verstanden haben, bevor man Server verbindet:
1. Ein MCP-Server sieht, was du ihm gibst. Verbindest du einen Server mit deinem Kalender, deinen Mails oder deiner Datenbank, dann verarbeitet dessen Betreiber diese Daten. Die erste Frage vor jeder Verbindung ist also nicht technisch, sondern schlicht: Wer betreibt das, wo läuft es, und was speichern die? Bei einem anonymen GitHub-Projekt ohne Impressum ist die Antwort oft: unklar. Für europäische Nutzer kommt die DSGVO-Frage dazu, denn viele populäre Server laufen auf US-Infrastruktur.
2. Schreibrechte verdienen Misstrauen. Ein Server, der nur liest, kann im schlimmsten Fall Daten preisgeben. Ein Server, der schreiben darf, kann Dinge tun: Termine löschen, Mails verschicken, Datensätze ändern. In der MCP-Community ist das der meistdiskutierte Punkt, sinngemäß: „Ich will eigentlich nicht, dass die KI ungefragt in meinem Kalender herumfuhrwerkt.” Die Antwort darauf sind enge, technisch erzwungene Grenzen. Bei unserem Server etwa kann der Assistent nur Termine anfassen, die er selbst angelegt hat; deine bestehenden Termine sind für ihn gar nicht adressierbar. Solche Grenzen sollten im Design stecken, nicht in einer Verhaltensregel, auf die man hofft.
3. Kalendereinträge sind Eingaben. Eine subtilere Gefahr heißt Prompt Injection: Ein Assistent, der Termintitel oder Beschreibungen liest, liest damit Text, den auch Fremde geschrieben haben können, etwa in einer Einladung. Präparierter Text kann versuchen, den Assistenten zu Aktionen zu bewegen. Auch deshalb ist es sinnvoll, wenn du steuern kannst, wie viel der Assistent überhaupt sieht. Bei uns gibt es dafür drei Detailstufen pro Kalender, und die sparsamste („nur ob belegt”) überträgt überhaupt keinen Fremdtext.
Nichts davon ist ein Grund, MCP zu meiden. Es ist ein Grund, bei der Auswahl der Server genauso hinzuschauen wie bei jeder App, der man Kontozugriff gibt.
Was du damit praktisch anfangen kannst
MCP ist Infrastruktur, und Infrastruktur ist so interessant wie das, was man darauf baut. Ein paar Dinge, die heute real funktionieren:
- Kalender: Verfügbarkeit über alle Kalender prüfen, Slots vorschlagen lassen, Termine auf Zuruf anlegen. (Unser Fall, dazu gleich mehr.)
- Entwicklung: Code-Assistenten greifen über MCP auf Datenbanken, Ticketsysteme und Deployments zu, statt dass man Fehlermeldungen hin- und herkopiert.
- Wissensarbeit: Notiz-Tools, Dokumentenablagen und interne Wikis werden durchsuchbar, ohne dass man Inhalte in den Chat kopiert.
Das Muster ist immer gleich: Der Assistent hört auf zu raten und fängt an nachzuschauen.
MCP am Beispiel: unser Kalender-Server
Zum Schluss in eigener Sache, weil es das Abstrakte konkret macht: Wir haben mit Kalender Sync jahrelang Kalender synchronisiert (Google, Outlook, iCloud, GMX und weitere), und als MCP aufkam, war der Schritt logisch: Die Infrastruktur, die alle Kalender eines Menschen kennt, ist genau das, was ein Assistent braucht.
Unser KI-Assistent ist ein gehosteter MCP-Server, ein Connector für alle deine Kalender. Die Design-Entscheidungen dahinter sind im Kern die drei Sicherheitspunkte von oben, umgesetzt: Betrieb in Deutschland nach DSGVO, drei Detailstufen pro Kalender, Schreibzugriff nur auf eigene Termine, jede Abfrage protokolliert (ohne Inhalte), Widerruf mit einem Klick. Die Anleitungen für Claude und ChatGPT stehen hier im Blog.
Aber unabhängig davon, ob du je unseren Server nutzt: MCP als Konzept lohnt sich zu verstehen, weil es gerade zur Standard-Schnittstelle zwischen KI und dem Rest der Software-Welt wird. Wer heute weiß, was ein MCP-Server ist, versteht die KI-Ankündigungen der nächsten Jahre deutlich schneller.
Die Kurzfassung
- MCP (Model Context Protocol) ist ein offener Standard, über den KI-Assistenten mit externen Diensten sprechen. Von Anthropic Ende 2024 veröffentlicht, inzwischen auch von OpenAI und anderen übernommen.
- Ein MCP-Server bietet dem Assistenten Tools an; der Assistent entscheidet im Gespräch, wann er sie aufruft.
- Der Nutzen: Der Assistent antwortet mit deinen echten Daten statt mit Vermutungen.
- Die Sorgfaltspflicht: Betreiber prüfen, Schreibrechte hinterfragen, Sichtbarkeit begrenzen. Gute Server machen dir genau das leicht.
Transkript: das Tutorial-Video zum Nachlesen
Das komplette Tutorial-Video oben als leicht bereinigtes Transkript zum Nachlesen:
Transkript anzeigen
[0:00] Hi, hier ist Julius von Kalender Sync. Heute zeige ich euch unsere neue Schnittstelle, mit der ihr eure Agents ein Stück näher zu einem intelligenten Assistenten bringen könnt. Wir haben eine Schnittstelle gebaut, über die ihr alle Kalenderanbieter an einem Punkt super einfach mit euren Agents verbindet – und der Agent euch die lästige Arbeit rund um eure Termine erleichtert und abnimmt.
[0:30] Einfach wie gewohnt anmelden und auf den neuen Tab gehen, der jetzt live ist: „KI-Assistent verbinden“. Unten sieht man das Zugriffsprotokoll: Dort wird jede Tätigkeit protokolliert, die der Agent für euch macht – ob er einen Termin angelegt, verschoben, gelöscht oder geändert hat. So gibt es eine sichere Rollback-Funktion, und nichts kann schiefgehen.
[1:06] Dann klicken wir auf „Assistent verbinden“ und sehen drei Möglichkeiten: Claude von Anthropic, Claude Code und ChatGPT von OpenAI. Gemini und Mistral ziehen wir gerade nach – falls ihr sie dringend braucht, schreibt uns eine E-Mail, dann schieben wir sie auf der Roadmap weiter nach oben.
[1:31] Starten wir mit Claude von Anthropic: auf „Weiter“ klicken und auf „In Claude verbinden“. Dann öffnet sich ein Fenster – solltet ihr noch nicht in eurem Anthropic-Account eingeloggt sein, macht das zuerst. Danach könnt ihr auf „Hinzufügen“ klicken und im nächsten Fenster noch einmal auf „Verbinden“.
[2:01] Dann öffnet sich das Freigabefenster bei Kalender Sync und ihr wählt eure Kalender aus: Was sieht der Agent im jeweiligen Kalender – nur „geblockt“, Titel und Zeit oder alle Termindetails? Und was darf er – Termine anlegen und verwalten oder nur lesen? Ich stelle ein, dass er den einen Kalender nur „geblockt“ sieht und im anderen alle Details sehen und Termine anlegen darf.
[2:40] Das Ganze benenne ich – nennen wir ihn Jarvis – und klicke auf „Zugriff erlauben“. Im Hintergrund wird die Verbindung aufgebaut.
[2:51] Dann landet man wieder bei Claude und sieht: Es funktioniert. In Claude könnt ihr verwalten, ob ihr jede Aktion des Agents einzeln genehmigen wollt oder sie ihm dauerhaft erlaubt.
[3:10] Zurück bei Kalender Sync steht die Verbindung: Jarvis schreibt in einen Kalender, sieht nur diesen einen und darf darin Termine anlegen. Die Freigabe könnt ihr jederzeit über diesen Tab bearbeiten.
[3:35] Für ChatGPT ist es ähnlich – nur muss ChatGPT dafür in den Developer Mode versetzt werden. Kopiert die angezeigte Adresse und öffnet am besten nebenher die bebilderte Schritt-für-Schritt-Anleitung. Dort seht ihr genau, wo die Zeile hingehört – das Freigabefenster ist danach im Prinzip identisch zu dem von Claude.
[4:03] Für Claude Code ist es ebenso einfach: auf „Weiter“ klicken, den angezeigten Befehl kopieren und in eurer Projektumgebung ausführen – in der CLI, in der ihr arbeitet. Der Befehl läuft durch, und der MCP ist hinzugefügt.
[4:31] Dann starten wir eine Claude-Code-Session im Terminal und authentifizieren den MCP, indem wir ihn auswählen. Es öffnet sich das Browserfenster, und darin wählen wir – genau wie bei Claude oder ChatGPT – aus, was der Agent darf und auf welche Kalender er zugreifen soll. Ich lasse ihn in diesen Kalender schreiben und nenne ihn „Jarvis der Vierte“. Die Authentifizierung ist erfolgreich, und wir kehren zum Projekt zurück.
[5:15] Jetzt sagen wir ihm einfach: „Lege mir einen Termin an – morgen um 11 Uhr mit Paul, eine Stunde, wir müssen neue Features für Kalender Sync besprechen. Nutze den Kalender-Sync-MCP.“ Er legt los und nutzt die Tools, die wir ihm mit dem MCP an die Hand gegeben haben.
[6:07] Der Termin ist drin – ohne Überschneidungswarnung: „Neue Features besprechen“ mit Paul, 11 bis 12 Uhr, in meinem Kalender. Er fragt sogar, ob ich Paul als Gast einladen möchte – auch das kann der MCP.
[6:29] Im Zugriffsprotokoll sehen wir „Jarvis der Vierte“ und seine zwei Tool-Aufrufe: Einmal hat er die Kalender gelistet, einmal das Event erstellt.
[6:51] Wenn ihr die Verbindung zu euren Agents bearbeiten oder trennen wollt, geht das über diese beiden Buttons. Ein Klick – und der Zugriff ist widerrufen und geschlossen.
[7:12] Und so verwandeln wir unseren Agent ein Stück weiter in einen wirklich intelligenten Assistenten, der uns hilft, im Alltag schneller und besser zu arbeiten.
