Model Context Protocol (MCP): Verbindung von KI mit Ihren Tools

Zuletzt aktualisiert: June 28, 2026

MCP — das Model Context Protocol — ist ein offener Standard von Anthropic, der Ende 2024 veröffentlicht wurde, um AI-Assistenten und Agenten mit externen Datenquellen und Tools zu verbinden. Anstatt für jedes Modell und jedes Tool eine individuelle Integration zu schreiben, exponieren Sie einen MCP-Server, und jeder MCP-kompatible Client kann ihn nutzen. Letzte Woche habe ich einen Filesystem-Server und einen GitHub-Server mit Claude Code verbunden, und der Unterschied in dem, was der Agent tatsächlich tun konnte, war sofort ersichtlich. Dieser Beitrag behandelt, was MCP ist, wie das Client-Server-Modell funktioniert, welche Kernfähigkeiten es gibt und wie man Server in eigenen Setups betreibt.

Kurzantwort: Was ist MCP?

MCP ist ein auf JSON-RPC 2.0 basierendes Protokoll, das die Verbindung zwischen einer AI Host Application (dem MCP Client, wie Claude Desktop oder Claude Code) und externen Servern standardisiert, welche Daten und Aktionen exponieren. Ein einzelner MCP Server kann drei Fähigkeitsarten gegenüber Clients werben:

• Tools — Funktionen, die das Modell aufrufen kann (Datenbank abfragen, Nachricht senden, Repo durchsuchen).
• Resources — strukturierte Daten, die das Modell lesen kann (Dateiinhalte, API-Antworten, Datensätze).
• Prompts — wiederverwendbare, parametrisierte Prompt-Vorlagen, die der Benutzer aufrufen kann.

Das Ziel ist ein „USB-C für AI Integrations“: Ein Server, viele Clients, kein Klebeband pro Modell. Die Spezifikation und SDKs sind Open Source und werden unter modelcontextprotocol auf GitHub gewartet, mit der kanonischen Dokumentation unter modelcontextprotocol.io.

Warum existiert MCP?

Vor MCP war jede Tool-Integration eine einmalige Sache. Wenn Sie wollten, dass ein Assistent Ihre GitHub Issues liest und gleichzeitig Postgres abfragt, schrieben Sie zwei benutzerdefinierte Konnektoren und mussten diese dann umschreiben, als Sie die Modelle oder Hosts wechselten. Die erklärte Motivation von Anthropic ist es, diese Duplizierung mit einem gemeinsamen Protokoll zu beenden — in den offiziellen Dokumentationen wird es beschrieben, dass es den Modellen einen „standardisierten Zugriff“ auf lokale Dateien, Datenbanken und APIs gibt.

Diese Rahmung ist besonders für agentische Workflows wichtig. Ein Agent, der nur chatten kann, ist ein Chatbot; ein Agent, der Ihr Repo lesen, eine Abfrage ausführen und in einer Schleife ein Tool aufrufen kann, ist ein echter Arbeiter. MCP ist die Infrastruktur, die das Zweite portabel macht. Wenn Sie den größeren Überblick darüber wünschen, wo dies im Agenten-Design passt, sehen Sie unseren Beitrag zur AI agent automation.

Wie funktioniert das Client-Server-Modell?

MCP folgt einer Host-Client-Server Topologie:

• Host — die Anwendung, die der Benutzer ausführt (Claude Desktop, Claude Code, eine IDE Extension).
• Client — lebt innerhalb des Hosts und pflegt eine 1:1-Sitzung mit einem Server.
• Server — ein Prozess, der Fähigkeiten über einen Transport exponiert.

Ein Host kann viele Clients ausführen, von denen jeder mit einem Server spricht. Das Protokoll ist JSON-RPC 2.0, mit drei Lebenszyklusphasen, die ich jedes Mal teste, wenn ich einen neuen Server hinzufüge:

1. Initialize — der Client sendet Protokollversion, Fähigkeiten, Client-Info; der Server antwortet mit seinen eigenen Informationen.
2. Capability negotiation — beide Seiten deklarieren, was sie unterstützen (Tools, Resources, Prompts, Sampling, Roots).
3. Operation — der Client fordert Tool-Listen an, ruft Tools auf, liest Ressourcen und der Server streamt die Ergebnisse zurück.

Transportoptionen

stdio ist der Standard für lokale Setups und das, was claude mcp add verwendet, es sei denn, Sie übergeben eine HTTP URL. Für einen tieferen Durchgang von claude mcp add und der stdio-vs-HTTP Entscheidung sehen Sie unseres Claude Code MCP Integration Guide.

Was sind die drei Fähigkeitsarten in der Praxis?

Der größte Wert von MCP liegt in den drei Fähigkeitsarten. Hier ist, wie jede einzelne tatsächlich funktioniert, wenn ein Modell sie verwendet.

Tools (model-invoked)

Tools sind das Arbeitstier. Das Modell entscheidet anhand des Gesprächs, ob es diese aufrufen soll. Ich habe einen Server ausgeführt, der ein search_logs Tool exponierte, und das Modell rief es ohne Aufforderung auf, sobald ich fragte: „Warum ist der Deploy um 2 Uhr morgens fehlgeschlagen?“ Tool-Definitionen enthalten ein JSON Schema für Argumente, sodass das Modell typisierte, validierte Eingaben erhält.

Resources (app-controlled)

Resources werden über URIs angesprochen und sind normalerweise vom Benutzer ausgewählt, nicht vom Modell — der Benutzer fügt eine Ressource wie eine Datei oder einen Datensatz bei, und der Host injiziert sie in den Kontext. Das ist wichtig für die Scope-Kontrolle: das Modell kann nur sehen, was Sie ihm explizit übergeben.

Prompts (user-invoked)

Prompts sind Vorlagen mit Argumenten, die in der UI des Hosts als Slash-Befehle oder Menüpunkte erscheinen. Dies ist die am wenigsten genutzte Fähigkeit — ich verwende sie, um „überprüfe diesen PR gegen unseren Style Guide“ zu kodieren, damit ich nicht jedes Mal dieselben Anweisungen einfügen muss.

Wie richte ich einen MCP Server ein?

Konkretes Setup, unter Verwendung von Claude Code als Host. Dieselbe Serverkonfiguration funktioniert in der JSON-Datei von Claude Desktop.

1. Node.js 20+ installieren (oder Python 3.10+ mit uv).
2. Einen Referenzserver hinzufügen, z. B. den Filesystem-Server: npx -y @modelcontextprotocol/server-filesystem /Users/you/projects
3. Ihn in Claude Code registrieren: claude mcp add filesystem -- npx -y @modelcontextprotocol/server-filesystem /Users/you/projects
4. Die Verbindung überprüfen: claude mcp list und dann claude mcp get filesystem
5. Den Host neu starten und nach den Tools des Servers in der Sitzung suchen.

Das ist die gesamte Schleife. Referenzserver im GitHub Org decken Filesystem, Git, GitHub, Postgres, SQLite, Slack, Google Drive, Puppeteer und mehr ab.

Ein minimaler benutzerdefinierter Server (Python)

from mcp.server.fastmcp import FastMCP

mcp = FastMCP("status")

@mcp.tool()
def healthcheck(service: str) -> str:
    """Return the current status of a service."""
    return f"{service}: ok"

if __name__ == "__main__":
    mcp.run(transport="stdio")

Ich habe dies gegen einen Staging-Endpunkt in etwa zehn Minuten getestet, einschließlich der Verknüpfung mit Claude Code. Für breitere Muster zur Exposition interner Dienste als agentenaufrufbare APIs geht unser AI API development guide tiefer auf Auth und Rate-Limiting ein.

Wie sieht das Ökosystem im Jahr 2026 aus?

Das Ökosystem hat sich um das offizielle Verzeichnis und eine Handvoll gut gewarteter Referenzserver verfestigt. Ich halte eine kurze Liste derjenigen bereit, denen ich in Produktion wirklich vertraue:

• filesystem — lokales Datei-Lese-/Schreiben mit Root-Einschränkungen.
• github — Issues, PRs, Suche, Dateibearbeitungen.
• postgres / sqlite — standardmäßig nur lesend, Schema-Introspektion.
• puppeteer / playwright — Browser-Automatisierung für Agenten.
• slack — Kanal-Lesevorgänge und Nachrichten senden.

Für die Orchestrierung mehrerer Server hinter Subagenten — ein Subagent besitzt die Datenbank, ein anderer den Browser — skizziert unser Beitrag zu Claude Code subagents das Team-Muster.

Worauf sollte man achten?

Dies ist der Teil, den die meisten Intros überspringen. MCP Server laufen mit Ihren Anmeldeinformationen und Ihrem Filesystemzugriff, daher ist der Scope entscheidend.

• Behandeln Sie jeden Server wie eine Abhängigkeit. Pinnen Sie Versionen, prüfen Sie die Quelle, bevor Sie npx auf einem fremden Repo ausführen. Ein bösartiges Tool kann alles exfiltrieren, was das Modell sieht.
• Einschränken Sie Roots. Der Filesystem-Server ist nur so sicher wie das Verzeichnis, auf das Sie ihn zeigen — niemals / übergeben.
• Bevorzugen Sie read-only Datenbankkonfigurationen, bis Sie einen konkreten Grund haben, Writes zu aktivieren.
• Achten Sie auf Prompt Injection. Wenn ein Tool Inhalt zurückgibt, den das Modell dann verarbeitet, kann unvertraute Eingabe Anweisungen werden. Gehen Sie davon aus, dass jede Ressource feindselig ist.
• Scope OAuth Tokens. Slack und GitHub Tokens sollten den minimalen Scope sein, den der Server benötigt, nicht Ihr persönliches Token.

Ich starte jeden neuen Server in einem Sandbox-Konto und beobachte die ersten Tool-Aufrufe, bevor ich ihm in einer echten Sitzung vertraue.

Wichtigste Erkenntnis (Key takeaway)

MCP ist ein kleines Protokoll, das ein echtes Problem löst: Es ermöglicht einem Server, Tools, Ressourcen und Prompts für jeden kompatiblen AI Host zu exponieren und damit die N-mal-M Integrationssteuer abzuschaffen. Die Mechanik ist einfach — Initialisieren, Verhandeln, über stdio oder HTTP betreiben — aber die Sicherheitslage ist der Teil, der bestimmt, ob es in Ihren Workflow gehört. Führen Sie Server aus, die Sie auditieren können, begrenzen Sie deren Anmeldeinformationen streng und gehen Sie davon aus, dass unvertraute Eingaben feindselig sind. Tun Sie das, und MCP ist der sauberste Weg, einen Assistenten in einen Agenten zu verwandeln, der tatsächlich mit Ihren Systemen interagieren kann.

Bildquellen (Image credits)

• Source code displayed on a monitor screen — photo by Markus Spiske on Pexels
• A developer typing on a laptop while configuring a server in a terminal — photo by Vlada Karpovich on Pexels
• Abstract circuit-board composition symbolizing layered architecture — photo by Christina Morillo on Pexels