Model Context Protocol bindet KI sicher an Unternehmenssysteme an

KI Assistenten werden im Unternehmen erst dann nützlich, wenn sie mit echten Daten und Werkzeugen arbeiten. Das Model Context Protocol, kurz MCP, liefert dafür einen offenen Standard. Anthropic hat das Protokoll im November 2024 öffentlich vorgestellt und als Open Source freigegeben ^[1]. Seitdem haben es viele bekannte KI Anwendungen übernommen ^[2].

Dieser Beitrag erklärt, wie MCP aufgebaut ist und wo der Standard heute steht. Danach geht es um Rechte, Prompt Injection und Freigaben im laufenden Betrieb. Am Ende steht eine Liste mit Fragen, die vor dem Einsatz geklärt sein sollten.

MCP verbindet KI Modelle über eine gemeinsame Schnittstelle

Das Model Context Protocol ist ein offener Standard, über den KI Anwendungen mit externen Datenquellen und Werkzeugen sprechen. Ein System wird dabei einmal als MCP Server angebunden. Danach kann jede KI Anwendung darauf zugreifen, die das Protokoll unterstützt. Die Verbindung folgt dabei für alle Systeme denselben Regeln.

Einzelanschlüsse machen KI Projekte aufwendig

Vor MCP brauchte jede Verbindung zwischen Modell und System eine eigene Integration. Anthropic beschrieb das Problem bei der Vorstellung so: Jede neue Datenquelle erfordert eine eigene Implementierung ^[1]. Dadurch lassen sich vernetzte Systeme nur schwer skalieren. Bei drei KI Anwendungen und zehn Systemen entstehen im ungünstigsten Fall dreißig Einzelanschlüsse. Jeder davon muss einzeln gebaut, gepflegt, abgesichert und dokumentiert werden.

Mit MCP reicht ein Server pro System, den alle KI Anwendungen gemeinsam nutzen. Neue Anwendungen greifen auf die vorhandenen Server zu, ohne dass eine weitere Integration entsteht. Für Unternehmen entsteht damit eine zentrale Stelle, an der Sicherheitsregeln für ein System greifen.

Client, Server und Tools teilen sich die Arbeit

Auf der einen Seite steht der MCP Client. Das ist die KI Anwendung, mit der jemand arbeitet, etwa ein Chat Assistent oder eine Entwicklungsumgebung. Auf der anderen Seite steht der MCP Server, der ein System für die KI öffnet. Er beschreibt, welche Funktionen dort zur Verfügung stehen. Ein Server stellt dafür drei Arten von Bausteinen bereit.

• Tools sind Funktionen mit Namen, Beschreibung und festem Eingabeschema, etwa „Kunde suchen“ oder „Ticket anlegen“.
• Ressourcen sind lesbare Inhalte wie Dokumente, Datensätze oder Dateien.
• Prompts sind vorbereitete Vorlagen für wiederkehrende Aufgaben.

Das Modell sieht die Liste der Tools und wählt passend zur Anfrage eines aus. Der Client führt den Aufruf aus und gibt das Ergebnis an das Modell zurück ^[5]. Welche Rechte dabei gelten, legt das Unternehmen im Server und im Zielsystem fest. Das Protokoll liefert dafür Mechanismen wie eine Autorisierung auf Basis von OAuth ^[4].

Der Standard liegt heute bei einer neutralen Stiftung

Im Dezember 2025 hat Anthropic MCP an die neu gegründete Agentic AI Foundation übergeben ^[2]. Die Stiftung ist ein Fonds unter dem Dach der Linux Foundation. Mitgegründet haben sie Anthropic, Block und OpenAI gemeinsam. Damit hängt die Weiterentwicklung des Standards an keinem einzelnen Anbieter mehr.

Zum Zeitpunkt der Übergabe zählte Anthropic mehr als 10.000 aktive öffentliche MCP Server ^[2]. Für Python und TypeScript nannte das Unternehmen über 97 Millionen SDK Downloads pro Monat. MCP lief laut Anthropic bereits in ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code.

Seitdem ist die Nutzung weiter gewachsen. Zur neuen Spezifikation im Juli 2026 meldeten die Maintainer fast eine halbe Milliarde Downloads pro Monat ^[3]. Gemeint sind damit die wichtigsten offiziellen SDKs des Projekts. Die SDKs für TypeScript und Python haben jeweils mehr als eine Milliarde Downloads insgesamt erreicht.

Die Spezifikation vom Juli 2026 macht MCP zustandslos

Seit Ende Juli 2026 gilt eine neue Fassung der Spezifikation ^[4]. Die Maintainer nennen sie die wichtigste Version seit dem Start von Remote MCP ^[3]. Im Kern arbeitet das Protokoll jetzt zustandslos. Der bisherige Handshake zu Beginn einer Verbindung entfällt, ebenso die Sessions auf Protokollebene. Jede Anfrage trägt ihre Version und die Fähigkeiten des Clients selbst mit ^[4]. Server lassen sich dadurch einfacher betreiben und auf mehrere Instanzen verteilen.

Neu ist außerdem ein Muster für Rückfragen während einer Anfrage. Braucht ein Server weitere Angaben, antwortet er mit einer Bitte um Eingaben. Der Client stellt die ursprüngliche Anfrage danach erneut, diesmal mit den fehlenden Informationen ^[4].

Die Autorisierung wird strenger

Für die Sicherheit zählen vor allem die Änderungen bei der Anmeldung. Clients müssen den Aussteller einer Antwort prüfen, bevor sie einen Autorisierungscode einlösen ^[4]. Zugangsdaten sind fest an den Autorisierungsserver gebunden, der sie ausgestellt hat. Die dynamische Registrierung von Clients gilt als veraltet und weicht sogenannten Client ID Metadata Documents. Roots, Sampling und Logging sind ebenfalls als veraltet markiert. Solche Funktionen bleiben nach den Projektregeln mindestens zwölf Monate erhalten.

Unternehmen steuern Zugänge zentral

Seit Juni 2026 gibt es Enterprise Managed Authorization als stabile Erweiterung ^[7]. Damit legt ein Unternehmen über seinen Identitätsanbieter fest, welche MCP Server Mitarbeitende nutzen dürfen. Der erste unterstützte Identitätsanbieter für diese Erweiterung ist Okta. Auf Clientseite unterstützen unter anderem Claude und Visual Studio Code die Erweiterung. Auf Serverseite sind zum Beispiel Asana, Atlassian, Figma und Linear dabei ^[7].

Die Roadmap vom August 2026 nennt Agentenidentität und Sicherheit für Unternehmen als einen von fünf Schwerpunkten ^[8]. Die heutige Autorisierung setzt voraus, dass ein Mensch den Zugriff im Browser bestätigt. Agenten laufen aber zunehmend als Dienste, ohne dass ein Nutzer anwesend ist ^[8].

Angriffe zielen auf Inhalte & Server mit weiten Rechten

Mit jedem angebundenen System wächst die Reichweite der KI und damit auch die Angriffsfläche. Drei Risiken stehen dabei im Vordergrund, wie die bekannten Vorfälle seit 2025 zeigen.

Prompt Injection kommt über gelesene Inhalte

Ein Modell trennt Anweisungen des Nutzers nicht zuverlässig von Text, den es bei der Arbeit liest. Versteckt jemand Befehle in einer Mail, einem Ticket oder einer Webseite, kann das Modell ihnen folgen. Für dieses Muster hat sich der Begriff indirekte Prompt Injection durchgesetzt ^[11].

Invariant Labs hat im Mai 2025 einen solchen Angriff auf den offiziellen GitHub MCP Server gezeigt ^[9]. Ein präpariertes Issue in einem öffentlichen Repository steuerte den Agenten eines Nutzers um. Der Agent las daraufhin private Repositories aus und schrieb die Daten in einen öffentlichen Pull Request. Im Versuch waren alle Tool Aufrufe auf „Immer erlauben“ gestellt. Laut den Forschern lag die Ursache im Zusammenspiel von breiten Rechten und fremden Inhalten ^[9].

Im Januar 2026 berichtete The Register über drei Lücken im offiziellen Git MCP Server von Anthropic ^[11]. Eine manipulierte README Datei konnte darüber zusammen mit dem Filesystem Server Code ausführen. Anthropic hatte die Fehler bereits im Dezember 2025 behoben. Hinweise auf Angriffe in freier Wildbahn fanden die Entdecker dabei nicht ^[11].

Server gehören zur Lieferkette

Ein MCP Server ist Software und kann deshalb selbst Schwachstellen enthalten. JFrog meldete im Juli 2025 eine kritische Lücke mit einem CVSS Wert von 9,6 ^[10]. Betroffen war ein Hilfspaket, das lokale Clients mit entfernten MCP Servern verbindet. Ein bösartiger Server konnte darüber Befehle auf dem Rechner des Nutzers ausführen.

Lokale Server laufen grundsätzlich mit den Rechten des Nutzers auf dessen Rechner. Die Security Best Practices verlangen deshalb einen Dialog, der vor der Einrichtung den exakten Startbefehl zeigt ^[6]. Zusätzlich empfehlen sie eine Sandbox mit wenigen Rechten für Dateisystem, Netzwerk und andere Systemressourcen.

Im April 2026 legte OX Security ein Problem im STDIO Transport der offiziellen SDKs offen ^[12]. Konfigurationswerte landeten dort ungeprüft in der Shell des Betriebssystems. Die Cloud Security Alliance schätzte die Zahl verwundbarer Installationen auf rund 200.000 ^[12]. Bis zum 23.04.2026 waren mindestens 14 CVEs zu dieser Schwachstelle vergeben.

Wer eigene Server mit Vibe Coding baut, braucht dieselben Prüfungen wie bei Software von Dritten. Dazu gehören Code Reviews, Tests und ein Prozess für Sicherheitsupdates.

Breite Tokens vergrößern den Schaden

Die Security Best Practices des Projekts warnen vor Tokens mit Sammelrechten ^[6]. Beispiele sind Vollzugriff auf alle Dateien, eine ganze Datenbank oder umfassende Adminrechte. Gerät ein solches Token in falsche Hände, kann ein Angreifer alles nutzen, was der Server erreicht. Auch das Widerrufen wird schwierig, weil es alle Abläufe gleichzeitig unterbricht ^[6].

Freigaben & knappe Rechte begrenzen das Risiko

Die Spezifikation formuliert für Tools eine klare Leitlinie zur Kontrolle. Aus Gründen der Sicherheit soll immer ein Mensch beteiligt sein, der Tool Aufrufe ablehnen kann ^[5]. Anwendungen sollen zeigen, welche Tools die KI nutzen kann, und jeden Aufruf sichtbar machen. Bei sensiblen Vorgängen sollen sie vorher eine Bestätigung des Nutzers einholen. Tool Aufrufe sollen außerdem Zeitlimits haben und für spätere Audits protokolliert werden ^[5]. Ergebnisse eines Servers sollen Clients prüfen, bevor sie an das Modell gehen.

Für Server, Clients und Berechtigungen legen Spezifikation und Security Best Practices unterschiedliche Pflichten fest ^{[5] [6]}.

In der Praxis heißt das vor allem, Lesen und Schreiben sauber zu trennen. Ein Tool, das Kundendaten anzeigt, birgt ein anderes Risiko als eines, das Rabatte vergibt. Schreibende und unumkehrbare Aktionen gehören deshalb hinter eine Freigabe durch einen Menschen.

Vor dem Start klärt ein Unternehmen neun Fragen zur Anbindung

Bevor KI per MCP an Unternehmenssysteme angebunden wird, sollten diese Punkte geklärt sein. Sie leiten sich aus den Vorgaben der Spezifikation und den bekannten Vorfällen ab.

• Anwendungsfall: Welche Aufgabe übernimmt die KI, und welche Systeme braucht sie dafür?
• Rechte: Welche Daten darf sie lesen, was darf sie ändern, und gibt es eigene Konten mit minimalen Rechten?
• Freigaben: Welche Aktionen laufen automatisch, welche erst nach Bestätigung durch einen Menschen?
• Herkunft: Stammt ein Server vom Hersteller des Systems, aus eigener Entwicklung oder von Dritten?
• Updates: Wer beobachtet Sicherheitsmeldungen und spielt neue Versionen zeitnah ein?
• Identität: Läuft die Anmeldung über den bestehenden Identitätsanbieter, damit Zugänge zentral vergeben und entzogen werden?
• Protokollierung: Wird jeder Tool Aufruf mit Nutzer, Zeitpunkt und Ergebnis gespeichert?
• Datenschutz: Welche Daten verlassen das Unternehmen, und bestehen Verträge zur Auftragsverarbeitung?
• Angriffstest: Wurde die Anbindung vor dem Livegang mit manipulierten Inhalten getestet?

Für KI Agenten im Unternehmen gelten dieselben Fragen, weil Agenten Tools selbstständig nacheinander aufrufen. Je mehr Schritte ohne Bestätigung laufen, desto wichtiger werden Rechte und Protokollierung.

Klare Regeln machen die Anbindung belastbar

MCP vereinfacht die Anbindung von KI an Unternehmenssysteme und schafft dafür einheitliche Regeln. Die Sicherheit entsteht durch knappe Rechte, Freigaben für kritische Aktionen, geprüfte Server und Tests mit Angriffen. Eigene MCP Server und Schnittstellen entstehen bei uns in der Entwicklung mit Tests und Prüfern. Für die Auswahl passender Anwendungsfälle und Systeme unterstützt dich unsere KI Beratung.