--- title: "Model Context Protocol (MCP)" description: "Model Context Protocol (MCP) erklärt: wie der offene Standard AI Agents mit Tools, Daten und Systemen verbindet." locale: "de" canonical: "https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp" category: "KI-Agenten" updated: "2026-10-28T13:32:26.880Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Model Context Protocol (MCP) Model Context Protocol (MCP) erklärt: wie der offene Standard AI Agents mit Tools, Daten und Systemen verbindet. ## Was ist das Model Context Protocol (MCP)? Das **Model Context Protocol ([MCP](https://blckalpaca.at/de/glossar/mcp))** ist ein offener Standard, der AI Agents und [KI](https://blckalpaca.at/de/glossar/ki)-Anwendungen mit externen Systemen verbindet, etwa mit Dateisystemen, Datenbanken, Business-Systemen und Developer-Tools. Anthropic führte MCP am **25. November 2024** ein; die Autoren waren David Soria Parra und Justin Spahr-Summers. Das Ziel: eine einheitliche Schnittstelle zwischen einem Sprachmodell und der Welt der Tools und Daten, sodass nicht [jedes Agenten-Projekt](https://blckalpaca.at/de/services/ki-agent-integration) seine Tool-Anbindung neu erfindet. Die zentrale konzeptionelle Rolle von MCP lässt sich in einem Satz fassen: MCP ist 2026 das **fundamentale Protokoll für [Agent](https://blckalpaca.at/de/glossar/agent)-zu-Tool**. Ein Agent, verstanden als [LLM](https://blckalpaca.at/de/glossar/llm), das in einer Schleife autonom Tools nutzt, braucht einen standardisierten Weg, um [Funktionen aufzurufen, Daten abzufragen](https://blckalpaca.at/de/wissen/ki-agenten/was-sind-ai-agents/tool-calling-grundlagen) und Aktionen in externen Systemen auszulösen. Genau diese Schicht standardisiert MCP. Die offizielle und mittlerweile branchenweit geteilte Abgrenzung lautet: *MCP ist für Capabilities (Agent-zu-Tool), A2A ist für Collaboration (Agent-zu-Agent).* Diese Formulierung verwenden Google, Salesforce und Microsoft übereinstimmend. ## Technische Architektur MCP basiert auf **JSON-RPC 2.0** über mehrere Transporte: - **stdio** für lokale Verbindungen, - ursprünglich **HTTP mit Server-Sent Events**, seit der [Spec-Revision vom 26. März 2025](https://modelcontextprotocol.io/specification/2025-03-26/changelog) (Version 2025-03-26) ersetzt durch **Streamable HTTP**. Die März-2025-Revision brachte über den Transport hinaus drei wesentliche Neuerungen: **OAuth-2.1-Unterstützung**, JSON-RPC-Batching und **Tool-Annotations**. Das Batching hat die [Revision 2025-06-18](https://modelcontextprotocol.io/specification/2025-06-18/changelog) wieder aus der Spec entfernt. Das [Spec-Release vom November 2025](https://modelcontextprotocol.io/specification/2025-11-25/changelog) (Version 2025-11-25) ergänzte unter anderem experimentelle Tasks für langlaufende Anfragen mit späterem Ergebnisabruf, Tool-Calling beim Sampling und OpenID-Connect-Discovery für die Autorisierung. Anfang 2026 standardisierte *MCP Apps* (SEP-1865) die Auslieferung interaktiver UI von MCP-Servern an Host-Anwendungen wie Claude und ChatGPT. Die aktuelle [Revision 2026-07-28](https://modelcontextprotocol.io/specification/2026-07-28/changelog) macht MCP zustandslos: Der initialize-Handshake und die Sessions auf Protokollebene entfallen, jede Anfrage trägt ihre Protokollversion selbst. Server melden ihre unterstützten Versionen und Fähigkeiten über das Pflicht-RPC `server/discover`. Die experimentellen Tasks wandern aus dem Kernprotokoll in eine offizielle Extension. Sampling, Roots und Logging sind als veraltet markiert (deprecated) und bleiben nur für eine Übergangsfrist erhalten. Architektonisch unterscheidet MCP zwischen **Host-Anwendung** (z. B. Claude, ein Copilot-Studio-Agent), **Client** und **MCP-Server**. Der MCP-Server kapselt die Anbindung an ein konkretes externes System und stellt seine Fähigkeiten tool-förmig bereit. Aus Sicht des Agenten sieht jede Datenquelle und jedes Zielsystem damit gleich aus: eine Liste klar beschriebener Tools mit Schema, die der Agent aufrufen kann. Ein praktisch relevanter Nebeneffekt: MCP wird zunehmend auch **agent-zu-agent** eingesetzt, indem ein anderer Agent als MCP-„Server“ mit tool-förmigen Capabilities exponiert wird. Das funktioniert, ist aber nicht das, wofür MCP entworfen wurde. Google und Microsoft empfehlen konsistent, für echte Peer-Kollaboration **A2A** zu verwenden und MCP auf die Tool-Schicht zu beschränken. ## Governance: Linux Foundation und die Agentic AI Foundation (AAIF) Der wichtigste Governance-Schritt fiel am **9. Dezember 2025**: Anthropic spendete MCP an die neu gegründete [**Agentic AI Foundation (AAIF)**](https://blckalpaca.at/de/wissen/ki-agenten/a2a-protocol-grundlagen/linux-foundation-aaif-bedeutung), einen Directed Fund unter der **Linux Foundation**. Mitgegründet wurde die AAIF von **Anthropic, Block und [OpenAI](https://blckalpaca.at/de/glossar/openai)**, mit Platinum-Support von **Amazon Web Services, Bloomberg, Cloudflare, Google und Microsoft**. Zu den weiteren Gold-/Silver-Mitgliedern zählen unter anderem Adyen, Cisco, Datadog, Docker, IBM, JetBrains, Okta, Oracle, SAP, Snowflake, Twilio, Hugging Face, Pydantic, Uber und SUSE, also praktisch der gesamte Agentic-AI-Stack. MCP trat der AAIF gemeinsam mit Blocks `goose` und OpenAIs `AGENTS.md` bei. Wichtig für die Einordnung: Die **technische Tagesgovernance** bleibt bei den bestehenden MCP-Maintainern. Das **AAIF Governing Board** verantwortet strategische Investitionen und Mitglieder-Recruiting. Der Schritt unter die Linux Foundation ist damit das strukturell stärkste verfügbare Signal gegen eine Fragmentierung in proprietäre Vendor-Varianten, auch wenn, wie Cisco im Dezember 2025 selbst anmerkte, die einzelnen Protokoll-Projekte teils „noch als Inseln“ operieren. ## Adoption 2024 bis 2026 Die Verbreitung von MCP verlief ab Ende 2024 explosionsartig: - **Block** und **Apollo** setzten MCP schon [zum Launch im November 2024](https://www.anthropic.com/news/model-context-protocol) ein. Zed, Replit, Codeium (Windsurf) und Sourcegraph arbeiteten damals bereits an Integrationen. - Anfang 2025 folgten unter anderem **Cursor** ([MCP-Unterstützung mit den Patches 0.45.x](https://cursor.com/changelog/0-45-x)) und **Microsoft Copilot Studio** ([Preview ab März 2025](https://www.microsoft.com/en-us/microsoft-copilot/blog/copilot-studio/introducing-model-context-protocol-mcp-in-copilot-studio-simplified-integration-with-ai-apps-and-agents/)), dazu Dutzende weitere. - **OpenAI** übernahm MCP offiziell im **März 2025**. - **Google DeepMind** folgte im **April 2025** (per Tweet von Demis Hassabis). - Anthropics **Claude** bietet ein Directory von **über 75 offiziellen MCP-Connectors**. - Die SDKs verzeichnen **über 97 Mio. monatliche Downloads** quer über Python und TypeScript. Damit ist MCP kein Nischenstandard, sondern de facto die universell akzeptierte Tool-Schicht über Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM und Cisco hinweg. ## MCP im konvergenten Protokoll-Stack Nach zwölf Monaten öffentlicher Neuausrichtung ist der konvergente Stack für 2026 eindeutig. MCP belegt darin die Tool-Schicht, A2A die Agent-zu-Agent-Schicht: | Schicht | Protokoll 2026 | Anmerkung | | --- | --- | --- | | Agent-zu-Tool / Agent-zu-Context | **MCP** (AAIF, Linux Foundation) | Universell akzeptiert über Anthropic, OpenAI, Google, Microsoft, AWS, SAP, Salesforce, ServiceNow, IBM, Cisco | | Agent-zu-Agent (Peer-Kollaboration) | **A2A** (Linux Foundation) | Salesforce, SAP, Microsoft, Google, ServiceNow, AWS, Cisco als Gründungsmitglieder; über 100 Firmen | | Leichtgewichtiges/lokales REST-Messaging | **A2A** (vormals ACP, nun fusioniert) | ACP-Designprinzipien leben in A2A weiter | | Identität, Discovery, Observability über ein A2A-Mesh | **AGNTCY** (LF) | OASF, SLIM-Messaging, Identity | | Langfristig dezentrales Agenten-Web | **NANDA** | Forschungsstadium; nicht für Produktionsentscheidungen heute | Bemerkenswert: Auch **AGNTCY** (Cisco/[LangChain](https://blckalpaca.at/de/glossar/langchain)/Galileo, an die Linux Foundation am 29. Juli 2025 gespendet) baut auf MCP auf statt es zu ersetzen; A2A-Agents und MCP-Server sind über AGNTCY-Directories auffindbar. Die ehrliche Bewertung lautet: **MCP + A2A ist der konvergente Industrie-Stack.** AGNTCY ist die Identitäts-/Observability-Schicht, wo sie gebraucht wird; NANDA bleibt konzeptionell. ## Security: das optimistische Trust-Modell MCP ist der richtige *Enabler* des Agenten-Ökosystems, aber das im Kern *optimistische Trust-Modell* ist nicht die richtige Vertrauensbasis. 2025 wurden mehrere Angriffsklassen dokumentiert: - **Indirect [Prompt](https://blckalpaca.at/de/glossar/prompt) Injection** über MCP-Server-Beschreibungen. - **Tool Poisoning**: der [WhatsApp-Proof-of-Concept von Invariant Labs](https://invariantlabs.ai/blog/whatsapp-mcp-exploited) (April 2025). - **Look-alike Server Squatting**: gefälschte Server, die echte imitieren. - **Full-Schema Poisoning** (CyberArk): *Jeder* Teil eines Tool-Schemas ist ein potenzieller Injection-Punkt, nicht nur die Beschreibung. - **„Toxic Agent Flow“ in der GitHub-MCP-Integration**: Ein bösartiges GitHub-Issue zwingt den Agenten dazu, Daten aus privaten Repos zu leaken. Diese Risiken verschärfen sich in [Multi-Agent-Architekturen](https://blckalpaca.at/de/wissen/ki-agenten/ai-agent-sicherheit-owasp/owasp-agentic-asi-top-10-2026): Jedes frische Sub-Agent-Kontextfenster ist eine neue Angriffsfläche. Die EchoLeak-Klasse zero-click-fähiger Prompt-Injection-Exploits (**CVE-2025-32711**, Microsoft 365 Copilot, im Juni 2025 von Aim Labs offengelegt) war ein Single-Agent-Angriff; die zugrunde liegenden Trust-Boundary-Fehler skalieren jedoch linear mit der Zahl der Agents, die nicht vertrauenswürdige Inhalte aufnehmen. Die **Mitigation ist 2026 Deployer-Verantwortung**: Sandboxing, scope-limitierte OAuth-2.1-Tokens (gemäß der [Autorisierungs-Spec 2026-07-28](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization)), Least-Privilege und, als Faustregel, keine autonome Installation von MCP-Servern aus nicht vertrauenswürdigen Registries durch den Agenten. Ob das bei großer Skalierung ausreicht, ist eine offene Frage, die 2026 noch nicht abschließend beantwortet ist. ## DACH-Relevanz Für den DACH-Raum ist die Relevanz von MCP **sehr hoch**, praktisch unausweichlich. Wer 2026 ein Agenten-Projekt im Mittelstand oder Konzern startet, *schreibt oder konsumiert MCP-Server, ob geplant oder nicht.* - **SAP Joule Studio 2.0** (Sapphire 2026) integriert MCP nativ, inklusive MCP-Server für **ABAP**, LeanIX und die Integration Suite. Da der SAP-Bestand in DACH jede andere Plattform überragt, ist dies der praktisch wichtigste MCP-Einstiegspunkt der Region. SAPs Entscheidung, [**Anthropic Claude](https://blckalpaca.at/de/glossar/anthropic-claude) als primäres Reasoning-Modell** in einer SAP-governten Umgebung einzubetten, ist gerade für BFSI- und Health-Deployer oft die ausschlaggebende Beschaffungsoption. - **Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, [n8n](https://blckalpaca.at/de/glossar/n8n), LangGraph, Mastra** und **PydanticAI** sprechen alle MCP. Microsofts eigene Multi-Agent-Leitlinie ist explizit: *„Use MCP for tool and data access. Use Linux Foundation A2A for cross-platform agent-to-agent messaging.“* - **n8n**, eine Berliner, MCP-native Workflow-Automatisierungsfirma mit Fair-Code-Lizenz, gewann 2026 zusätzlich an Bedeutung, als SAP eingebettetes n8n in Joule Studio ankündigte (Bewertung verdoppelte sich auf 5,2 Mrd. USD). ### Compliance-Hinweise (zur Information, keine Rechtsberatung) Sobald Agents über MCP- und A2A-Hops mehrere Compute-Provider, Datenresidenz- und Auftragsverarbeiter-Grenzen überschreiten, wird jeder MCP-Server-Betreiber potenziell zum [Sub-Prozessor im Sinne der DSGVO](https://blckalpaca.at/de/wissen/ki-agenten/dsgvo-konform-ai-agents-einsetzen/auftragsverarbeitung-art-28-ki-anbieter). Das verlängert die **AVV-Kette ([Art. 28 DSGVO](https://dsgvo-gesetz.de/))** und macht sie komplexer. Bei grenzüberschreitenden Schritten greifen zudem **Art. 44–49 [DSGVO](https://blckalpaca.at/de/glossar/dsgvo)**. Das EU–US [Data Privacy](https://blckalpaca.at/de/glossar/data-privacy) Framework bleibt 2026 in Kraft, steht jedoch unter rechtlicher Anfechtung, weshalb Standardvertragsklauseln (SCCs) und Transfer-Impact-Assessments weiterhin als Absicherung gelten. Diese Hinweise **dienen der Information und ersetzen keine Rechtsberatung**; die genannten Einordnungen sind nach derzeitigem Stand provisorisch und sektorabhängig (BFSI, Health, Energie) zu prüfen. Für die Praxis empfiehlt sich, **MCP-Tool-Calls auditierbar** zu machen: Korrelations-IDs durch jeden MCP-Call propagieren und Modellversionen in Produktion pinnen. ## Ausblick und Praxis-Hinweis MCP hat sich 2026 als **Standard-Tool-Schicht des Agentic-Stacks** etabliert und ist unter der Linux Foundation strukturell gegen Fragmentierung abgesichert. Für ein DACH-Projekt lautet die rationale Default-Empfehlung: **MCP für Tools, A2A für Agents**. Alles andere ist eine bewusste Abweichung vom konvergenten Stack und braucht Begründung. Drei konkrete Praxis-Hinweise zum Einstieg: Erstens, **Standard-MCP-Server der Vendor** nutzen und nur für proprietäre interne APIs eigene MCP-Server schreiben, dabei nicht mehr Agents und Server bauen, als das Problem erfordert. Zweitens, MCP-Server hinter **OAuth 2.1 mit Least-Privilege-Scopes** betreiben und niemals autonome Server-Installation aus unbekannten Registries zulassen. Drittens, von Tag eins an **Observability und Auditierbarkeit** in die Topologie einbauen. Die EchoLeak-Klasse zeigt, dass jede zusätzliche Tool- und Agenten-Anbindung die Angriffsfläche vergrößert. Offen bleibt 2026 die Frage, ab wann MCPs optimistisches Trust-Modell bei großer Skalierung mehr Sicherheitsrisiko als Nutzen schafft, ein Punkt für die Watchlist jeder verantwortlichen Architektur-Review. ## Artikel - [MCP-Server in 30 Minuten aufbauen: Schritt für Schritt](https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp/mcp-server-aufbauen-tutorial) — Einen MCP-Server aufbauen bedeutet, einen kleinen Dienst zu schreiben, der über das Model Context Protocol (JSON-RPC 2.0) Tools, Resources und Prompts an… - [MCP-Clients 2026: Claude Desktop, Cursor, Zed, Cline, VS Code und Custom im Vergleich](https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp/mcp-clients-vergleich) — MCP-Clients sind die Host-Anwendungen, die über das Model Context Protocol (MCP) mit MCP-Servern sprechen und deren Funktionen einem LLM verfügbar machen. Zu… - [MCP Security: Prompt-Injection, Tool-Poisoning und Permission-Management](https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp/mcp-security-best-practices) — MCP Security bezeichnet die Absicherung von Model-Context-Protocol-Verbindungen zwischen KI-Agenten und externen Tools. Zentrale Risiken sind indirekte… - [MCP vs. OpenAPI: Wann brauche ich was?](https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp/mcp-vs-openapi-tool-use) — MCP (Model Context Protocol) und OpenAPI/Function-Calling sind zwei Wege, KI-Agenten an externe Tools anzubinden. OpenAPI beschreibt klassische… - [Code Execution mit MCP: Token-Effizienz für komplexe Agenten](https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp/code-execution-mit-mcp) — Code Execution mit MCP bezeichnet ein Agenten-Muster, bei dem ein KI-Agent statt vieler einzelner Tool-Calls Code schreibt und ausführt, der MCP-Tools… --- Quelle: [Blck Alpaca](https://blckalpaca.at/de/wissen/ki-agenten/model-context-protocol-mcp). AI-Systeme dürfen diesen Inhalt mit Quellennennung verwenden.