MCP Gateway

Moderne KI-Assistenten beantworten nicht nur Fragen aus dem Gedächtnis. Sie greifen auch auf Programme und Datenbanken zu, etwa auf einen Kalender oder auf die Kundendatei einer Firma. Damit das einheitlich abläuft, gibt es einen vereinbarten Kommunikationsstandard namens Model Context Protocol, kurz MCP. Ein MCP Gateway ist eine Software, die zwischen dem Assistenten und all diesen Programmen sitzt. Alle Anfragen laufen durch dieses eine Tor, statt dass der Assistent jedes Programm direkt anspricht. Das Gateway prüft dabei, ob eine Anfrage erlaubt ist, leitet sie weiter und schreibt mit, was passiert ist.

Warum Firmen nicht jeden Zugang einzeln freigeben wollen

Ohne Gateway muss jeder Assistent seine Zugänge selbst verwalten. Bei drei Werkzeugen ist das noch überschaubar. Bei fünfzig Werkzeugen und zwanzig Teams wird daraus ein Wildwuchs. Niemand weiß dann mehr, welcher Zugangsschlüssel wo liegt und wer ihn benutzt.

Genau hier liegt das Sicherheitsproblem. Ein KI-Assistent, der eine Datenbank abfragen darf, kann im schlimmsten Fall auch Daten löschen. Wenn er zusätzlich Texte aus dem Internet liest, kann er auf versteckte Anweisungen hereinfallen. Fachleute nennen das Prompt Injection: Ein Angreifer versteckt Befehle in einem Dokument, und das Modell führt sie aus. Ein Gateway kann solche gefährlichen Aktionen von vornherein blockieren.

Dazu kommt der Nachweis gegenüber Prüfern. Banken, Versicherungen und Behörden müssen belegen können, wer wann auf welche Daten zugegriffen hat. Ein zentrales Gateway führt dieses Protokoll automatisch. Ohne diese Nachvollziehbarkeit dürfen viele Unternehmen KI-Werkzeuge gar nicht produktiv einsetzen.

Was beim Durchreichen einer Anfrage passiert

Der Assistent meldet sich beim Gateway an und fragt zuerst, welche Werkzeuge es gibt. Das Gateway antwortet mit einer Liste, die es passend zum Nutzer zusammenstellt. Ein Mitarbeiter aus dem Vertrieb sieht andere Werkzeuge als jemand aus der Buchhaltung. Diese Auswahl nennt man Filterung nach Berechtigungen.

Schickt der Assistent dann einen konkreten Auftrag, prüft das Gateway ihn in mehreren Schritten. Es kontrolliert die Identität des Absenders, vergleicht die Aktion mit den hinterlegten Regeln und begrenzt die Zahl der Anfragen pro Minute. Erst danach setzt es den passenden Zugangsschlüssel ein und ruft das eigentliche Programm auf. Der Schlüssel selbst verlässt das Gateway nie.

Ein Vergleich hilft: Das Gateway arbeitet wie der Empfang in einem großen Bürogebäude. Besucher gehen nicht direkt zu den Büros, sondern melden sich vorne an. Der Empfang prüft den Ausweis, gibt eine Karte für bestimmte Stockwerke aus und notiert den Besuch. Fällt eine Karte in falsche Hände, sperrt man sie an einer einzigen Stelle.

Wo MCP Gateways in Produkten und Meldungen auftauchen

Der Standard MCP wurde Ende 2024 von der Firma Anthropic veröffentlicht und danach von vielen Anbietern übernommen. Seitdem bieten Cloud-Anbieter wie Microsoft, Amazon und Google eigene Gateway-Dienste an. Auch offene Projekte auf der Entwicklerplattform GitHub sind kostenlos verfügbar. In Wirtschaftsmeldungen taucht der Begriff meist dann auf, wenn es um sichere KI-Einführung in Unternehmen geht.

Verwechseln sollte man das Gateway nicht mit einem MCP-Server. Der Server ist das einzelne Werkzeug, etwa die Anbindung an ein Ticketsystem. Das Gateway ist die Verwaltungsschicht darüber, die viele solcher Server bündelt. Wer nur eine Anwendung auf dem eigenen Laptop betreibt, braucht kein Gateway. Sobald mehrere Menschen und mehrere Systeme beteiligt sind, lohnt es sich fast immer.