MCP-Services
MCP-Services sind kleine Dienste, die einem KI-Assistenten nach einem einheitlichen Standard Zugriff auf Daten und Werkzeuge geben, etwa auf einen Kalender oder eine Datenbank. Der zugrunde liegende Standard heißt Model Context Protocol und wurde 2024 von Anthropic veröffentlicht.
Ein KI-Assistent wie ChatGPT kann von sich aus nur Text erzeugen. Er weiß nichts über deinen Kalender, deine Dateien oder den aktuellen Lagerbestand einer Firma. Damit er das erfährt, braucht er eine Verbindung nach außen. MCP-Services sind genau solche Verbindungsstücke: kleine Programme, die Daten oder Werkzeuge bereitstellen und sie einem KI-Programm anbieten. Das Besondere daran ist die Einheitlichkeit. Alle diese Dienste sprechen dieselbe Sprache, festgelegt in einer Regelsammlung namens Model Context Protocol, kurz MCP. Die Firma Anthropic hat diese Regeln Ende 2024 veröffentlicht und offen zugänglich gemacht.
Warum ein gemeinsamer Stecker gebraucht wurde
Vor MCP musste jede Verbindung einzeln gebaut werden. Wollte ein Anbieter seinen Assistenten mit fünf verschiedenen Programmen verbinden, brauchte er fünf maßgeschneiderte Lösungen. Kamen drei Assistenten und zehn Programme zusammen, waren es schon dreißig. Dieses Problem nennt man in der Softwareentwicklung das M-mal-N-Problem, weil die Zahl der nötigen Verbindungen sich aus zwei Größen multipliziert.
Ein gemeinsamer Standard macht daraus ein M-plus-N-Problem. Jedes Programm baut einen MCP-Service, jeder Assistent lernt MCP einmal. Danach passt alles zusammen. Die Analogie, die dafür am häufigsten genutzt wird, ist USB-C: ein Steckertyp für Laptop, Handy und Kopfhörer, statt für jedes Gerät ein eigenes Kabel.
Wirtschaftlich ist das ein großer Hebel. Wer eine Software verkauft, kann sie mit überschaubarem Aufwand an KI-Assistenten anschließen. Deshalb haben 2025 unter anderem OpenAI, Google und Microsoft angekündigt, MCP in ihren Produkten zu unterstützen. Ein offener Standard setzt sich meist dann durch, wenn die großen Anbieter ihn gemeinsam tragen.
Server, Client und die drei Bausteine
MCP kennt zwei Rollen. Der MCP-Server ist der Dienst, der etwas anbietet, etwa Zugriff auf eine Datenbank. Der MCP-Client sitzt in der Anwendung, in der die KI läuft, zum Beispiel in einem Chatprogramm oder einem Programmiereditor. Client und Server tauschen Nachrichten in einem festen Format aus. Meist läuft das lokal auf demselben Rechner, es geht aber auch über das Internet.
Ein Server kann drei Arten von Dingen anbieten. Ressourcen sind Daten zum Lesen, etwa der Inhalt einer Datei. Werkzeuge sind Aktionen, die etwas bewirken, etwa eine E-Mail abschicken oder einen Datensatz ändern. Prompts sind vorbereitete Textvorlagen für wiederkehrende Aufgaben. Beim Verbinden meldet der Server, was er alles kann. Diesen Vorgang nennt man Discovery.
Der Ablauf im Betrieb ist dann kurz. Das Sprachmodell entscheidet, dass es ein bestimmtes Werkzeug braucht. Der Client ruft es beim Server auf und bekommt ein Ergebnis zurück. Dieses Ergebnis fließt in den Text ein, mit dem das Modell weiterarbeitet. Wichtig ist: Das Modell selbst spricht nie direkt mit der Datenbank. Es formuliert nur den Wunsch, die eigentliche Ausführung übernimmt der Server.
MCP in Produkten und die offenen Risiken
Am häufigsten begegnet MCP heute Programmierern. Editoren wie Cursor oder Claude Code lassen sich über MCP-Services an Git-Repositories, Ticketsysteme oder Testdatenbanken anschließen. Es gibt inzwischen tausende öffentlich verfügbare Server, viele davon von Firmen wie GitHub, Stripe oder Slack selbst gepflegt. In News taucht der Begriff meist auf, wenn ein Anbieter meldet, sein Produkt sei jetzt MCP-fähig.
Ein verwandter Begriff ist Function Calling. Dabei beschreibt ein Entwickler dem Modell direkt im Programmcode, welche Funktionen es aufrufen darf. MCP ist die Stufe darüber: Die Werkzeuge stecken in einem eigenständigen Dienst und lassen sich ohne Codeänderung austauschen. Beides schließt sich nicht aus, MCP nutzt Function Calling im Hintergrund.
Kritisch diskutiert wird vor allem die Sicherheit. Ein MCP-Server mit Schreibrechten kann echten Schaden anrichten, wenn das Modell einer manipulierten Anweisung folgt. Solche versteckten Befehle in scheinbar harmlosen Texten heißen Prompt Injection. Deshalb fragen die meisten Anwendungen vor einer Aktion nach, und man sollte nur Servern vertrauen, deren Herkunft man kennt.