Kurzantwort: Was MCP ist
Das Model Context Protocol (MCP) ist ein Open-Source-Standard, um KI-Anwendungen mit externen Systemen zu verbinden: Datenquellen, Tools und Workflows. Die eigene Dokumentation bezeichnet es als USB-C-Anschluss für KI-Anwendungen. Anthropic veröffentlichte MCP am 25. November 2024 als Open Source. Stand September 2026 nennen die MCP-Dokumente Claude, ChatGPT, Visual Studio Code und Cursor unter den Apps, die sich mit MCP-Servern verbinden. Das ist deren eigene Auswahl und keine vollständige Liste. Alles Folgende stammt aus der Dokumentation und Spezifikation des Protokolls sowie von offiziellen Seiten der Anbieter, die im September 2026 gelesen wurden.
Wofür MCP steht und welches Problem es löst
MCP steht für Model Context Protocol. Anthropic stellte es als Lösung für ein konkretes Problem vor: Jede neue Datenquelle benötigte ihre eigene individuelle Integration, sodass dieselbe technische Verbindungslogik für jeden Assistenten und jedes System neu entwickelt wurde. Ein Protokoll ersetzt diesen Stapel individueller Konnektoren. Die Dokumentation nennt drei Gruppen, die davon profitieren. Entwickler schreiben eine Integration einmal statt einmal pro Assistent. KI-Anwendungen und Agenten erhalten einen einheitlichen Weg, Kontext zu nutzen und Aktionen auszuführen. Endnutzer erhalten Assistenten, die mit ihren tatsächlichen Systemen arbeiten, statt nur darüber zu sprechen.
Die Beispiele in der Dokumentation sind bewusst alltäglich: Ein Agent liest den Google Kalender und Notion eines Nutzers, Claude Code erstellt aus einem Figma-Design eine Web-App, und Enterprise-Chatbots fragen mehrere Datenbanken ab. Theoretisch benötigt nichts davon ein neues Protokoll. Praktisch brauchte jeder Fall bisher eigenen Glue Code. MCP gab dieser Verbindungslogik eine standardisierte Form.
Wie MCP funktioniert: Hosts, Clients und Server
Die Architekturseite definiert drei Rollen. Der Host ist die KI-Anwendung, die einen oder mehrere Clients koordiniert. Jeder Client hält eine Verbindung zu genau einem Server. Ein Server ist ein Programm, das Clients Kontext bereitstellt. Hosts erstellen einen Client pro Server, sodass drei Server drei Clients mit drei dedizierten Verbindungen bedeuten.
„Stdio-Transport: Verwendet Standard-Eingabe-/Ausgabe-Streams für die direkte Prozesskommunikation zwischen lokalen Prozessen auf demselben Rechner ... Streamable-HTTP-Transport: Verwendet HTTP POST für Nachrichten vom Client zum Server mit optionalen Server-Sent Events ... Dieser Transport ermöglicht die Kommunikation mit Remote-Servern.“
Quelle: modelcontextprotocol.io
Darunter verwendet MCP JSON-RPC 2.0 mit Benachrichtigungen für Nachrichten, die keine Antwort benötigen. Es definiert zwei Transporte. Der stdio-Transport deckt lokale Prozesse auf demselben Rechner wie der Host ab. Streamable HTTP deckt Remote-Server ab und verwendet HTTP POST mit optionalen Server-Sent Events. Dieser Transport unterstützt gängige HTTP-Authentifizierungsmethoden, und MCP empfiehlt OAuth zum Abrufen von Tokens.
Die Spezifikationsversion 2026-07-28 definiert das Basisprotokoll als JSON-RPC mit zustandslosen, eigenständigen Anfragen und einer Capability-Aushandlung pro Anfrage. Die Spezifikationsversion 2025-06-18 beschreibt zustandsbehaftete Verbindungen mit Capability-Aushandlung zwischen Server und Client. Beide Versionen sind veröffentlicht. Das hat sich zwischen ihnen geändert – nicht, dass eine der beiden falsch wäre.
Ein einzelner Tool-Aufruf läuft folgendermaßen ab.
- Sie bitten den Assistenten um etwas, das ein externes System benötigt.
- Der Client listet auf, was sein Server anbietet, beispielsweise zuerst die Tools.
- Das Modell wählt ein Tool aus und gibt den Aufruf aus.
- Der Host fängt ihn ab und leitet ihn an den richtigen MCP-Server weiter.
- Der Server führt ihn aus und gibt ein Ergebnis zurück. Der Host übergibt dieses Ergebnis dem Modell als Teil der Unterhaltung.
Die Bausteine: Tools, Ressourcen und Prompts
| Grundelement | Wer es steuert | Wofür es gedacht ist | Beispiel |
|---|---|---|---|
| Tools | Host ruft auf, Nutzer stimmt vorher zu | Ausführbare Funktionen, die das Modell aufruft | Eine Datenbank abfragen, ein Issue erstellen |
| Ressourcen | Server stellt bereit, Client liest | Daten, die Kontext hinzufügen | Kalendereinträge, Notion-Seiten |
| Prompts | Server bietet sie an, Client listet sie auf | Wiederverwendbare Interaktionsvorlagen | Vorlage, die eine Anfrage strukturiert |
| Sampling (veraltet seit 2026-07-28) | Server fragt die KI-App des Clients | Eine Modellvervollständigung anfordern | Das Modell des Clients bitten, einen Textentwurf zu erstellen |
| Elicitation | Server fragt, Nutzer antwortet | Zusätzliche Eingaben oder Bestätigungen einholen | Nach einem fehlenden Detail fragen |
Tools sind ausführbare Funktionen, die die KI-Anwendung aufrufen kann. Ressourcen sind Datenquellen, die kontextbezogene Informationen bereitstellen. Prompts sind wiederverwendbare Vorlagen, die Interaktionen mit Sprachmodellen strukturieren. Ein Client listet auf, was ein Server anbietet, und ruft dann auf, was er benötigt.
Zwei Funktionen befinden sich auf der Client-Seite. Elicitation ermöglicht einem MCP-Server, zusätzliche Informationen oder eine Bestätigung vom Nutzer anzufordern. So kann er nach einem fehlenden Detail fragen, statt fehlzuschlagen. Sampling ermöglichte Servern, Vervollständigungen von Sprachmodellen über die KI-Anwendung des Clients anzufordern. Seit Protokollversion 2026-07-28 ist es veraltet, und neue Implementierungen sollen direkt mit LLM-Provider-APIs integriert werden. In der Spezifikationsversion 2025-06-18 konnten Clients Servern weiterhin Sampling und Roots anbieten, weshalb ältere Materialien beide aufführen.
Wer MCP entwickelt hat und wer es heute betreut
David Soria Parra und Justin Spahr-Summers entwickelten MCP bei Anthropic, und Anthropic veröffentlichte es am 25. November 2024 als Open Source. Der Launch umfasste drei Dinge: die Spezifikation und SDKs, die Unterstützung lokaler MCP-Server in den Claude-Desktop-Apps sowie ein Open-Source-Repository mit MCP-Servern. In Anthropics Launch-Ankündigung vom 25. November 2024 wurden Block und Apollo als frühe Anwender genannt, während Zed, Replit, Codeium und Sourcegraph als Unternehmen für Entwicklungstools daran arbeiteten. Das sind die Unternehmen, die Anthropic zum Launch nannte, und keine aktuelle Liste der Anwender. Namen, Eigentumsverhältnisse und Marken haben sich seitdem verändert.
Die Betreuung ist inzwischen übergegangen: In der Fußzeile von modelcontextprotocol.io steht, dass das Model Context Protocol eine Series of LF Projects, LLC ist. Spezifikationen werden nach Datum versioniert. Die Spezifikationsseite von 2025-06-18 ist als ältere Version gekennzeichnet und verweist auf 2026-07-28 als aktuellste Version.
MCP-Server und Clients, die Sie heute nutzen können
Die Dokumentation listet sieben aktuelle Referenzserver auf: Everything, Fetch, Filesystem, Git, Memory, Sequential Thinking und Time. Frühe Server, darunter GitHub, Google Drive und Puppeteer, sind inzwischen archiviert. Das offizielle Repository enthält nur die Referenzserver der Steuerungsgruppe. Es warnt, dass es sich um Lernbeispiele und nicht um produktionsreife Lösungen handelt, und verweist auf die MCP Registry unter registry.modelcontextprotocol.io.
„Jeder MCP-Client benötigt seinen eigenen MCP-Server. ... jedoch nur einen Server pro benanntem MCP-Client. ... Es gibt keine Begrenzung für die Anzahl der Tools, die Sie einem Server hinzufügen können, oder für die Anzahl der Tool-Aufrufe pro Sitzung. Die einzige Nutzungsgrenze ist das in Ihrem Zapier-Tarif enthaltene Aufgabenvolumen.“
Quelle: docs.zapier.com
Server von Anbietern erledigen die tägliche Arbeit, und Cloudflare dokumentiert, wie Sie eigene Server auf seiner Plattform entwickeln und bereitstellen können. Jede Zeile unten stammt aus der jeweiligen Dokumentation des Anbieters und wurde im September 2026 gelesen. Die meisten dieser Seiten tragen kein Aktualisierungsdatum.
- GitHub: Repositories, Codedateien, Issues, Pull Requests und Workflow-Automatisierung sowie eine von GitHub gehostete Remote-Version, laut README mit Stand September 2026.
- Notion: ein von Notion gehosteter Remote-Server, über den Clients wie Claude Code oder Cursor nach einer OAuth-Autorisierung Inhalte durchsuchen, lesen und aktualisieren können, Stand September 2026.
- Stripe: Stand September 2026 als öffentliche Vorschau gekennzeichnet, mit Tools für die Stripe API und die Wissensdatenbank, autorisiert über OAuth statt über einen gemeinsamen API-Schlüssel.
- Atlassian: Suche und Zusammenfassungen über Jira, Jira Service Management, Confluence, Bitbucket, Projects und Goals hinweg unter berechtigungsorientiertem OAuth 2.1. Laut Support-Dokumentation mit Stand September 2026 verbrauchen Aufrufe Rovo-Credits aus einem gemeinsam genutzten Organisationspool, ohne angegebene Rate.
- HubSpot: Lese- und Schreibzugriff auf HubSpot-CRM-Daten, der die neue HubSpot Developer Platform voraussetzt, laut Entwicklerdokumentation mit Stand September 2026.
- Supabase: Tool-Gruppen, bei denen standardmäßig alles außer Storage aktiviert ist, ein schreibgeschützter Postgres-Modus und experimentelle Branching-Tools, die einen kostenpflichtigen Tarif benötigen, den die Seite nicht nennt, Stand September 2026.
- Playwright: Browser-Automatisierung über strukturierte Accessibility-Snapshots statt Screenshots, die Node.js 18 oder neuer benötigt, Stand September 2026.
Auch Automatisierungsplattformen bündeln ihre Kataloge. Die Dokumentation von Zapier besagt, dass jeder erfolgreiche Zapier-MCP-Tool-Aufruf zwei Tasks aus Ihrem Zapier-Tarif verbraucht und fehlgeschlagene Aufrufe nicht zählen. Die eigene Seite unter zapier.com/mcp bezeichnet MCP mit Stand September 2026 als in allen Zapier-Tarifen verfügbar und trägt im Hero-Bereich das Label MCP Beta. Laut der MCP-Seite von IFTTT ermöglicht dessen MCP-Server KI-Tools mit Stand September 2026, Automatisierungen über mehr als 1.000 Dienste und mehr als 50 Millionen Applets zu suchen, zu erstellen und auszuführen. Beide Zahlen stammen von IFTTT selbst. Der kostenpflichtige Tarif in den Einrichtungsschritten ist der Tarif des KI-Tools selbst und als kostenpflichtige Claude-Tarife verlinkt. Latenode, dessen Blog dies ist, veröffentlicht ebenfalls einen MCP-Server. Stand September 2026 verbindet die MCP-Seite von Latenode Agenten wie Cursor, Claude Desktop, Claude Code und Codex über einen Endpunkt mit mehr als 800 Apps – mit verwaltetem OAuth und ohne API-Schlüssel für Apps, kostenlos zum Starten sowie Premium-Apps mit nutzungsbasierter Abrechnung über Latenode-Credits. Ein zweiter Server, der Latenode MCP Server, ermöglicht einem Agenten, Workflows zu erstellen, Ausführungen auszulösen und Workflows in einem Latenode-Workspace zu verwalten. Die Preisseite berechnet die Workflow-Laufzeit in CPU-Sekunden, wobei die ersten 10.000 CPU-Sekunden jeden Monat in den Tarifen Free und Pay as you go kostenlos sind. Keine der beiden Seiten veröffentlicht einen MCP-Preis pro Aufruf.
MCP im Vergleich mit Function Calling, Plugins und APIs
Function Calling ist eine Modellfunktion innerhalb einer Anwendung: Diese Anwendung definiert die Funktionen, das Modell fordert eine davon an, und die Anwendung führt sie aus. Es wird nichts übertragen. MCP ist ein Protokoll, daher kann ein einmal geschriebener Server jedem Client antworten, der es spricht. Ein Plugin gehört zu dem Produkt, das es hostet. Genau diese Eigentümerschaft verschiebt MCP: Die Integration gehört nicht mehr dem Assistenten.
APIs verschwinden nicht. Hinter einem MCP-Server befindet sich weiterhin eine API. Der Server standardisiert, wie ein Modell diese API entdeckt und aufruft, indem er Fähigkeiten auflistet, bevor er eine davon nutzt. Laut der Plattformdokumentation von OpenAI sind Connectors mit Stand September 2026 von OpenAI gepflegte MCP-Wrapper für beliebte Dienste; Google Workspace und Dropbox nennt OpenAI selbst als Beispiele. Sowohl Connectors als auch Remote-MCP-Server zählen dort als Fähigkeiten, die über Function Calling hinausgehen.
| Ansatz | Umfang | Wiederverwendung in verschiedenen Apps | Am besten geeignet für |
|---|---|---|---|
| Function Calling | Ein Modell in einer App | Nein, die App definiert es | Logik innerhalb Ihrer eigenen App |
| Produkt-Plugin | Ein Host-Produkt | Nein, an dieses Produkt gebunden | Funktionen für dieses Produkt |
| Direkter API-Aufruf | Eine feste Integration | Nicht zutreffend | Eine einzelne stabile Integration |
| MCP-Server | Jeder Client, der MCP spricht | Ja, ein Protokoll | Viele Clients, viele Systeme |
Eine Ausnahme gibt es: Bei einer einzelnen festen Integration fügt MCP eine Komponente hinzu, die Sie nicht benötigen.
Sicherheit und Zustimmung: Was das Protokoll von Ihnen verlangt
Die Spezifikation 2026-07-28 erfordert eine ausdrückliche Zustimmung des Nutzers für jeden Datenzugriff und jede Aktion sowie eine Zustimmung, bevor Nutzerdaten einem Server zugänglich gemacht werden. Klare Oberflächen zum Überprüfen und Autorisieren von Aktivitäten liegen eine Ebene darunter: Die Spezifikation sagt, Implementierer sollten sie bereitstellen, nicht, dass sie es müssen. Sie warnt außerdem, dass Tools beliebige Codeausführung darstellen, weshalb Hosts vor dem Aufruf eines Tools eine ausdrückliche Zustimmung des Nutzers einholen müssen. MCP kann dies nicht auf Protokollebene durchsetzen. Implementierer werden angewiesen, robuste Zustimmungs- und Autorisierungsabläufe in ihre eigenen Anwendungen einzubauen.
Die Plattformdokumentation von OpenAI warnt mit Stand September 2026, dass Remote-MCP-Server nicht von OpenAI überprüft wurden. Sie hebt Prompt Injection als besonderes Risiko hervor, wenn ein Modell auf Server mit sensiblen Daten zugreifen oder Aktionen ausführen kann. Der Rat: offizielle Server, die von den Dienstanbietern selbst gehostet werden, sowie die Parameter require_approval und allowed_tools, damit sensible Aktionen einen Genehmigungsprozess durchlaufen. Dieselbe Seite sagt, dass OpenAI standardmäßig die Zustimmung des Entwicklers anfordert, bevor Daten einen Connector oder Remote-MCP-Server erreichen. Dieser Standardwert für require_approval kann sich ändern und ist daher keine Garantie. Die Dokumentation von Stripe verlangt mit Stand September 2026 vor bestimmten Schreibaktionen eine menschliche Bestätigung und nennt Rückerstattungen und ausgehende Zahlungen als Beispiele. Cloudflare empfiehlt mehrere fokussierte Server mit eng abgegrenzten Berechtigungen, um übermäßig privilegierte Zugriffe zu reduzieren. In der Praxis bedeutet das: Tokens nach dem Prinzip minimaler Berechtigungen, alles genehmigen, was schreibt oder sendet, und offizielle Server bevorzugen.
So probieren Sie MCP in zehn Minuten aus
- Wählen Sie einen Client, der MCP unterstützt. Stand September 2026 nennen die MCP-Dokumente Claude, ChatGPT, Visual Studio Code, Cursor und MCPJam – ihre eigene Liste und keine vollständige Übersicht.
- Wählen Sie einen Server: einen Referenzserver wie Fetch, Filesystem oder Memory, einen offiziellen Server eines Anbieters oder etwas aus der Registry unter registry.modelcontextprotocol.io.
- Fügen Sie ihn zur Konfiguration Ihres Clients hinzu. Ein lokaler Server wird über den Befehl eingetragen, der ihn startet, beispielsweise der Memory-Server aus der Dokumentation, der mit
npx -y @modelcontextprotocol/server-memorygestartet wird. Ein Remote-Server wird über seine URL plus Authentifizierung eingetragen. - Prüfen Sie, ob Ihr Host Remote-Server verarbeitet. Das GitHub-README nennt mit Stand September 2026 VS Code 1.101 oder neuer, Claude Desktop, Cursor und Windsurf. Die Host-Unterstützung entwickelt sich schnell weiter, prüfen Sie daher die aktuelle Dokumentation des Hosts.
- Genehmigen Sie die Verbindung und rechnen Sie beim ersten Einsatz mit einer zweiten Abfrage: Bei Zapier MCP bittet der Client Sie, die erste Tool-Ausführung zu genehmigen.
- Bitten Sie den Assistenten, eine kleine Aufgabe auszuführen, für die er den Server benötigt, und prüfen Sie anschließend das Ergebnis im Quellsystem.
