MCP (Model Context Protocol): Definition und Funktionsweise

Beispiel aus der Praxis

Gemeint ist hier das Model Context Protocol aus der KI-Entwicklung, nicht das Medikament MCP (Metoclopramid). Ein konkreter Einsatz ist die Wissensbasis mit RAG und MCP-Server, die Ozan Orhan in n8n umgesetzt hat. Interne Dokumente werden dort in einem eigenen Workflow in Abschnitte zerlegt, als Embeddings in PostgreSQL mit Vektor-Erweiterung gespeichert und über einen zweiten Workflow abgefragt.

Der zweite Workflow ist ein MCP-Server mit genau einem Werkzeug: semantische Suche in der Wissensbasis, nur lesend. Jeder MCP-fähige Agent kann dieses Werkzeug nutzen, ohne Datenbankzugang oder eigene Retrieval-Logik zu bekommen. Ändert sich das Chunking oder das Embedding-Modell, wirkt das zentral für alle angebundenen Clients.

Ein zweites Beispiel ist der Hermes Pocket AI Agent, ein selbst gehosteter Sprachagent mit Handgerät. Der Agent auf dem Server ruft Todoist, Notion, Google Workspace und Spotify über MCP auf. Das Gerät selbst kennt keine dieser Integrationen. Neue Werkzeuge kommen auf dem Server hinzu, ohne dass die Firmware geändert werden muss.

Wie funktioniert das Model Context Protocol?

MCP beschreibt drei Rollen. Der Host ist die KI-Anwendung, etwa ein Chat-Assistent oder eine Entwicklungsumgebung. Der Client ist die Verbindungskomponente innerhalb des Hosts. Der Server stellt Kontext und Fähigkeiten bereit (MCP-Spezifikation, Version 2026-07-28).

Die Nachrichten zwischen Client und Server sind im Format JSON-RPC 2.0 kodiert. Als Vorbild nennt die Spezifikation das Language Server Protocol: So wie dieses Programmiersprachen einheitlich in Editoren einbindet, bindet MCP Werkzeuge und Daten einheitlich in KI-Anwendungen ein.

Für den Transport definiert die Spezifikation zwei Standardwege. Bei stdio startet der Client den Server als lokalen Unterprozess und tauscht Nachrichten über Standardein- und Standardausgabe aus. Bei Streamable HTTP schickt der Client jede Nachricht als HTTP-POST an einen MCP-Endpunkt, und der Server antwortet mit JSON oder einem SSE-Stream.

Eine typische Anfrage läuft so ab: Der Client fragt beim Server ab, welche Werkzeuge es gibt. Das Sprachmodell sieht Namen, Beschreibungen und Eingabeschemas und entscheidet, ob es ein Werkzeug braucht. Der Host ruft das Werkzeug über den Client auf und gibt das Ergebnis an das Modell zurück.

Welche Bausteine stellt ein MCP-Server bereit?

Ein MCP-Server kann laut Spezifikation drei Arten von Fähigkeiten anbieten:

Baustein	Was er liefert	Wer ihn nutzt	Beispiel
Tools	Funktionen, die das Modell ausführen kann	Das Modell entscheidet über den Aufruf	Suche in einer Wissensbasis, Entwurf im CMS anlegen
Resources	Kontext und Daten	Nutzer oder Modell	Dateiinhalte, Datensätze
Prompts	Vorlagen für Nachrichten und Abläufe	Nutzer wählen sie aus	Vorlage zum Prüfen eines Artikels

In der Praxis sind Tools der wichtigste Baustein. Ihre Beschreibung ist die Schnittstelle zum Modell: Sie legt fest, wann das Modell ein Werkzeug nutzt und welche Eingaben es übergibt. In der Wissensbasis oben werden Name, Beschreibung, Eingabeschema und Rückgabeformat deshalb wie eine API-Schnittstelle behandelt.

In n8n übernimmt der Node MCP Server Trigger die Rolle des Servers. Er unterstützt SSE und Streamable HTTP, aber kein stdio (n8n Docs). Wie man damit einen eigenen Server baut und absichert, zeigt die Anleitung n8n MCP Server erstellen und sicher an Claude anbinden.

MCP vs. Tool Calling: Was ist der Unterschied?

Tool Calling, auch Function Calling genannt, und MCP werden oft verwechselt, lösen aber verschiedene Aufgaben. Tool Calling ist die Fähigkeit eines Sprachmodells, statt Text einen strukturierten Werkzeugaufruf auszugeben. MCP regelt, wie eine Anwendung Werkzeuge verschiedener Anbieter findet, aufruft und einbindet.

Merkmal	Tool Calling	MCP
Ebene	Fähigkeit des Modells	Protokoll zwischen Anwendung und Server
Ort der Werkzeugdefinition	Im Code der jeweiligen Anwendung	Auf dem MCP-Server
Wiederverwendung	Pro Anwendung neu umgesetzt	Ein Server für alle MCP-fähigen Clients
Festgelegt durch	Den jeweiligen Modellanbieter	Eine offene Spezifikation

Beides ergänzt sich. Ein KI-Agent nutzt Tool Calling, um zu entscheiden, welches Werkzeug er braucht, und MCP, um es zu erreichen. Wie Agenten über MCP mehrere Wissensquellen kombinieren, beschreibt der Beitrag Agentic RAG mit MCP.

Wer entwickelt MCP und wem gehört der Standard?

Anthropic hat MCP am 25. November 2024 als offenen Standard vorgestellt, zusammen mit Spezifikation, SDKs und fertigen Servern unter anderem für Google Drive, Slack, GitHub und Postgres (Anthropic, 2024). Ziel war, einzelne Integrationen pro Datenquelle durch ein gemeinsames Protokoll zu ersetzen.

Am 9. Dezember 2025 hat Anthropic MCP an die Agentic AI Foundation übergeben, einen Directed Fund unter dem Dach der Linux Foundation, den Anthropic, Block und OpenAI gemeinsam gegründet haben (Anthropic, 2025). Das Governance-Modell von MCP bleibt laut Anthropic dabei unverändert.

Zum Zeitpunkt der Übergabe nannte Anthropic mehr als 10.000 aktive öffentliche MCP-Server und Unterstützung in ChatGPT, Cursor, Gemini, Microsoft Copilot und Visual Studio Code (Anthropic, 2025). Die Spezifikation erscheint in datierten Versionen; Stand Oktober 2026 ist die Fassung 2026-07-28 aktuell.

Welche Fehler passieren beim Einsatz von MCP?

Zu breite Werkzeuge. Ein Werkzeug, das beliebige API-Aufrufe erlaubt, gibt dem Modell alle Rechte des dahinterliegenden Zugangsschlüssels. Besser ist ein Werkzeug pro Aufgabe, etwa „Entwurf anlegen“ statt „CMS bearbeiten“, und gar kein Werkzeug zum Löschen, wenn es nicht gebraucht wird.

Regeln nur im Prompt. Eine Werkzeugbeschreibung wie „nur nach Bestätigung aufrufen“ ist eine Bitte, keine Grenze. Die Spezifikation verlangt, dass Hosts vor jedem Werkzeugaufruf die ausdrückliche Zustimmung der Nutzer einholen, und stuft Werkzeugbeschreibungen nicht vertrauenswürdiger Server als unzuverlässig ein (MCP-Spezifikation, Version 2026-07-28).

Prompt Injection unterschätzt. Liest ein Agent über MCP Webseiten, Dokumente oder E-Mails, können darin versteckte Anweisungen stehen. OWASP führt Prompt Injection an erster Stelle der Top 10 für LLM-Anwendungen 2025 und empfiehlt minimale Rechte sowie Human-in-the-Loop für privilegierte Aktionen (OWASP, 2025).

Entfernte Server ohne Zugangsschutz. Ein öffentlich erreichbarer MCP-Endpunkt ohne Authentifizierung ist eine offene Tür zu allem, was seine Werkzeuge können. Für HTTP-basierte Server beschreibt die Spezifikation eine optionale Autorisierung auf Basis von OAuth 2.1; der MCP Server Trigger in n8n bietet Bearer- und Header-Authentifizierung an (n8n Docs).

Zugangsdaten an der falschen Stelle. Der Schlüssel für das Zielsystem gehört auf den Server, nicht in den Chat und nicht ins Projekt-Repository. Für lokale Server, die über stdio laufen, sieht die Spezifikation vor, Zugangsdaten aus der Umgebung zu lesen.