MCP-Roadmap 2026-2027: Spec 2026-07-28 und was danach kommt

Die MCP Roadmap 2026 beschreibt die Entwicklung des Model Context Protocol nach der Spec-Linie vom November 2025. Die Kernbewegung: weg von reiner Tool-Anbindung, hin zu Enterprise-Readiness mit Auth, Audit-Trails, Registry und Discovery. Die Spec 2025-11-25 brachte experimentelle Tasks für langlaufende Requests, URL-Mode-Elicitation, Tool-Calling in Sampling und Client ID Metadata Documents. Seit dem 28. Juli 2026 gilt die Spec 2026-07-28 mit zustandslosem Protokollkern, server/discover und Tasks als offizieller Extension. Was danach kommt, ist in diesem Artikel als Prognose markiert.

Dieser Beitrag gehört zum Hub Zukunft der Agentic AI (2026-2028) und vertieft die Integrations-Ebene, die fast jedes produktive Agenten-System in DACH-Unternehmen 2026 betrifft.

• Status heute (Stand Oktober 2026): MCP ist die De-facto-Integrationsschicht für Agent-to-Tool. Im Dezember 2025 meldete Anthropic über 10.000 aktive öffentliche Server und über 97 Mio. monatliche SDK-Downloads.
• Nächster Schritt: Die Roadmap der MCP-Maintainer vom August 2026 priorisiert Agent-Identität und Enterprise-Security, Nachrichten-Primitive für länger laufende Agenten und einen einheitlichen HTTP-Transport. Die Agentic AI Foundation (Linux Foundation) entscheidet seit Dezember 2025 über Budget und Strategie, nicht über die technische Richtung.
• Größte Baustelle: Security. Das Protokoll kann Tool-Beschreibungen nicht prüfen. Sandboxing, Least-Privilege und kontrollierte Registries bleiben deshalb Pflicht des Betreibers.

Die Ausgangslage: Was die Spec-Linie 2025-11-25 bedeutet

Anthropic hat das Model Context Protocol am 25. November 2024 als offenen Standard eingeführt, um KI-Anwendungen an externe Systeme wie Dateisysteme, Datenbanken, Business-Systeme und Dev-Tools anzubinden. Technisch ruht MCP auf JSON-RPC 2.0 über mehrere Transports: stdio für lokal, ursprünglich Server-Sent Events, seit der Revision 2025-03-26 Streamable HTTP.

Die Entwicklung verlief in klaren Schritten, die man kennen muss, um die Roadmap zu lesen:

• März 2025 (2025-03-26): OAuth 2.1, Streamable HTTP, JSON-RPC-Batching und Tool-Annotations kamen hinzu. Damit wurde MCP erstmals Auth-fähig im Enterprise-Sinn.
• Juni 2025 (2025-06-18): JSON-RPC-Batching wurde wieder entfernt. Neu waren strukturierter Tool-Output und Elicitation. MCP-Server gelten seitdem als OAuth Resource Server, und Clients müssen Resource Indicators nach RFC 8707 umsetzen.
• November 2025 (2025-11-25, die Referenz-Linie): experimentelle Tasks für langlaufende Requests mit Polling, URL-Mode-Elicitation, Tool-Calling in Sampling, Client ID Metadata Documents als empfohlene Client-Registrierung und OpenID-Connect-Discovery.
• Januar 2026: MCP Apps (SEP-1865) wurde am 26. Januar 2026 die erste offizielle Extension. Sie liefert interaktive UI von MCP-Servern an Host-Anwendungen wie Claude und ChatGPT aus.

Dazu kommt ein Governance-Ereignis: Am 9. Dezember 2025 hat Anthropic MCP an die neu gegründete Agentic AI Foundation (AAIF) gespendet, einen Directed Fund unter der Linux Foundation. Gegründet wurde die AAIF von Anthropic, Block und OpenAI; neben ihnen sind AWS, Bloomberg, Cloudflare, Google und Microsoft Platinum-Mitglieder, dazu kommen unter anderem Cisco, IBM, Okta, Oracle, SAP und Snowflake. Die technische Richtung und die Roadmap bleiben laut MCP-Projekt bei den Maintainern; das Foundation-Board entscheidet über strategische Investitionen, Budget und neue Mitglieder. Für DACH-Entscheider heißt das: MCP ist ein herstellerneutraler Standard und keine Wette auf einen einzelnen Anbieter mehr. Das senkt das Lock-in-Risiko bei der Beschaffung erheblich.

Spec 2026-07-28: Was nach 2025-11-25 tatsächlich gekommen ist

Die Nachfolge-Spec ist kein Ausblick mehr. Der Release Candidate erschien am 21. Mai 2026, die finale Spec 2026-07-28 am 28. Juli 2026, zusammen mit aktualisierten Tier-1-SDKs für TypeScript, Python, Go und C#. Die wichtigsten Änderungen laut offiziellem Changelog:

• Zustandsloser Kern: Der Handshake aus initialize und notifications/initialized entfällt, ebenso der Header Mcp-Session-Id. Jeder Request trägt Protokollversion und Client-Capabilities selbst mit. Braucht ein Server Zustand über mehrere Aufrufe, gibt er dafür eigene Handles aus, die als normale Tool-Argumente zurückkommen.
• server/discover: Jeder Server muss diese RPC anbieten und darüber Protokollversionen, Capabilities und seine Identität melden. Clients können sie vor dem ersten Request aufrufen.
• Extensions-Framework: Client und Server handeln optionale Erweiterungen über ein eigenes Feld in ihren Capabilities aus. Tasks wandern aus dem experimentellen Kern in die offizielle Extension io.modelcontextprotocol/tasks. Das blockierende tasks/result entfällt; Ergebnisse holt der Client nur noch per Polling über tasks/get.
• Multi Round-Trip Requests (MRTR): Statt eigener Server-Requests für Roots, Sampling oder Elicitation liefert der Server ein Zwischenergebnis mit dem Status input_required. Der Client wiederholt den ursprünglichen Request mit den fehlenden Angaben.
• Deprecations: Roots, Sampling und Logging sind abgekündigt, funktionieren aber noch mindestens zwölf Monate. Dynamic Client Registration ist zugunsten der Client ID Metadata Documents abgekündigt. Der schon seit 2025-03-26 abgelöste Transport HTTP+SSE bekommt formell den Status Deprecated.

Das ist der eigentliche Sprung vom Tool-Calling-Protokoll zum Infrastruktur-Baustein. Laut der aktuellen Roadmap der Maintainer unterscheidet sich ein Remote-MCP-Server jetzt nicht mehr von jedem anderen HTTP-Workload. Wer einen Server von 2025-11-25 auf 2026-07-28 umstellt, muss vor allem Session-Logik und serverseitige Requests umbauen.

Wo MCP heute steht (Stand Oktober 2026)

Die Zahlen belegen, dass MCP die Experimentierphase verlassen hat. Bei der Übergabe an die Agentic AI Foundation am 9. Dezember 2025 nannte Anthropic über 10.000 aktive öffentliche MCP-Server und über 97 Mio. monatliche SDK-Downloads in Python und TypeScript.

Praktisch bedeutet das: SAP Joule Studio 2.0 integriert MCP nativ (MCP-Server für ABAP, LeanIX, Integration Suite), und Microsoft 365 Copilot, Copilot Studio, Salesforce Agentforce, n8n, LangGraph, Mastra und PydanticAI sprechen MCP. Wer 2026 ein Agenten-Projekt startet, schreibt oder konsumiert MCP-Server, ob geplant oder nicht.

Wichtig für die Architektur-Entscheidung ist die Abgrenzung zu A2A (Agent-to-Agent). MCP ist die Grundlage für Agent-to-Tool. Es lässt sich zwar zweckentfremden, um einen Agenten als "Server" mit werkzeugförmigen Fähigkeiten zu exponieren, dafür war es aber nicht gebaut. Das A2A-Projekt unter der Linux Foundation, zu dessen Gründungsmitgliedern Google und Microsoft gehören, grenzt beide Protokolle in seiner Dokumentation so ab: MCP verbindet einen Agenten mit seinen Tools, A2A verbindet Agenten untereinander.

Die MCP-Roadmap 2026-2027: Prioritäten und Prognose

Die Prioritäten der Maintainer sind veröffentlicht, die Etappen danach sind Prognose, kein Faktum. Bei KI-Roadmaps ist das Timing deutlich unsicherer als die Richtung.

Die Roadmap der MCP-Maintainer vom 9. März 2026 setzte vier Schwerpunkte, darunter Enterprise-Readiness mit vier Lücken: Audit-Trails, SSO-integrierte Auth, Gateway-Verhalten und Konfigurations-Portabilität. Laut den Maintainern gab es seither in allen vier Schwerpunkten deutliche Fortschritte; der Großteil dieser Änderungen landete in der Spec 2026-07-28. Für Enterprise-Readiness war das vor allem Auth-Arbeit: Client ID Metadata Documents sind jetzt der bevorzugte Registrierungsweg, Dynamic Client Registration ist abgekündigt, und Enterprise-Managed Authorization steht als stabile Extension bereit. Zu Audit-Trails, Gateway-Verhalten und Konfigurations-Portabilität nennt die neue Roadmap keinen Stand. Die Roadmap vom 22. August 2026 setzt fünf Prioritäten:

• Nachrichten-Primitive für Agenten: serverseitige Events über Webhooks und Channels; die Tasks-Extension soll so weit reifen, dass sie in die Spec aufgenommen werden kann.
• Einheitlicher HTTP-Transport: Auch lokale Server sollen künftig Streamable HTTP sprechen, übertragen über stdio, damit nur ein Transport übrig bleibt.
• Agent-Identität und Enterprise-Security: ein Standard für vertrauenswürdige Agenten-Identitäten, aufgebaut auf DPoP und Workload Identity Federation statt auf eingefügten API-Keys und langlebigen Tokens.
• Verbesserte Primitive: ein einheitliches Format für Tool-Ergebnisse und schrittweise Tool-Discovery.
• Bessere SDKs: Ergonomie, Spec-Konformität und Dokumentation.

Daraus lässt sich der erwartete Verlauf ableiten:

Unsere Einschätzung der nächsten Etappen:

• 2027: MCP-Server werden zur Standard-Enterprise-Integration. Enterprise-Readiness-Erweiterungen (SSO, Audit-Trails, Gateway-Policies) stabilisieren sich. Unternehmen sollten erwarten, dass ihre großen SaaS-Anbieter offizielle Remote-MCP-Server als Beschaffungs-Default mitliefern.
• 2028: MCP-äquivalente Muster greifen auf Nicht-LLM-KI über (Vision, Voice-nativ, Robotik). Die "Agentic-Mesh"-Architektur konsolidiert sich: MCP für Agent-to-Tool, A2A oder Nachfolge-Protokolle für Agent-to-Agent.

Die offenen Baustellen: Security, Registry, Vertrauen

Die größte ungelöste Frage ist Sicherheit. Die 2025 dokumentierten Angriffe zielen meist auf dieselbe Schwäche: Hosts reichen Tool-Beschreibungen ungeprüft an das Modell weiter. Invariant Labs kritisierte im April 2025, das Sicherheitsmodell von MCP setze vertrauenswürdige Tool-Beschreibungen voraus. Die Spec 2026-07-28 hält fest, dass Beschreibungen des Tool-Verhaltens als nicht vertrauenswürdig gelten sollen, solange sie nicht von einem vertrauenswürdigen Server stammen. Durchsetzen kann MCP das auf Protokollebene nicht. Syntaktisch korrekte Beschreibungen gehen deshalb leicht als sicher durch, auch wenn sie versteckte Anweisungen enthalten. Die wichtigsten Angriffsmuster:

• Indirekte Prompt-Injection über MCP-Server-Beschreibungen.
• Tool-Poisoning: Invariant Labs demonstrierte dies im April 2025 an einem WhatsApp-Proof-of-Concept.
• Look-alike Server-Squatting: täuschend ähnlich benannte Server.
• Full-Schema-Poisoning (CyberArk): Jeder Teil eines Tool-Schemas ist ein potenzieller Injection-Punkt, auch außerhalb der Beschreibung.
• GitHub-MCP "Toxic Agent Flow": ein bösartiges GitHub-Issue verleitet den Agenten dazu, aus privaten Repos zu leaken.

Die Absicherung ist Stand 2026 Verantwortung des Betreibers, nicht des Protokolls: Sandboxing, scope-limitierte Tokens, Least-Privilege und vor allem keine autonome Installation von MCP-Servern aus ungeprüfter Registry. Genau hier setzt die zweite Baustelle an: Registry und Discovery. Konzerne betreiben heute interne MCP-Server-Registries mit strenger Zugriffskontrolle und stellen Server hinter OAuth 2.1. Für die anbieterübergreifende Auffindbarkeit zeichnet sich das OASF-Directory von AGNTCY als plausible Form ab, noch mit Watchlist-Status, nicht als gesetzter Standard.

Praxisbeispiel: MCP-Tool-Layer in einem DACH-Konzern

Wie das konkret aussieht, zeigt das Referenz-Setup für einen DACH-Konzern (AI Center of Excellence, 10-30 FTE, Hub-and-Spoke). Der Tool-Layer wird hier durchgängig über MCP gebaut, mit interner Registry und OAuth 2.1 als Pflicht. Unsere empfohlene Einführungs-Sequenz:

1. MCP-Server-Policy standardisieren (Registry, Zugriff, OAuth 2.1).
2. A2A zunächst innerhalb einer Estate einführen (z. B. nur Salesforce).
3. Auf eine zweite Estate ausweiten (z. B. SAP).
4. Eine AgentCard-Registry veröffentlichen.
5. Cross-Vendor-Identity (AGNTCY) erst ergänzen, wenn das Volumen es rechtfertigt.

Ein praktischer Pflicht-Schritt von Tag eins an: eine einzige Trace-ID durch jeden A2A-Task und jeden MCP-Call schieben. Sonst entstehen Audit-Lücken, in denen sich die Logs einer Estate nicht mit denen einer anderen korrelieren lassen. Ohne diese Disziplin ist ein Multi-Agenten-System unter einer Aufsichts-Anfrage faktisch nicht untersuchbar. Die Kosten für das erste Plattform-Jahr hängen vor allem davon ab, ob ein Single-Vendor-Setup erweitert oder ein echtes Cross-Vendor-Mesh mit souveränem Hosting gebaut wird.

Was das für Agenturen und B2B bedeutet

Für Agenturen und AI-native Produktanbieter ist MCP der Hebel zur Produktisierung: ein geteiltes MCP-Server-Repository über alle Kundenprojekte hinweg, plus vertikale Custom-Server (etwa ein SEO-Keyword-Research-Server oder ein interner CMS-Server). Wer hier sauber baut, verkauft Integrationen statt Einzellösungen.

Für B2B-Entscheider ist die Beschaffungsfrage zentral: Garantiert der Vertrag mit Agentforce, Joule oder Copilot Studio die Einhaltung der MCP-Standards, und was passiert beim Exit? MCP als herstellerneutraler Standard unter der Linux Foundation ist das beste verfügbare Gegenmittel gegen Plattform-Lock-in, aber nur, wenn Registry-Governance, OAuth-2.1-Absicherung und Audit-Trail-Disziplin von Anfang an mitgedacht werden. Wie wir das in Projekten umsetzen, zeigt unsere Seite zur KI-Agent-Integration für Unternehmen.

Wer den weiteren Verlauf der MCP-Roadmap, der Spec-Releases und der Security-Diskussion verfolgen will, ohne jede Woche selbst zu recherchieren: Unser Newsletter bündelt die relevanten Entwicklungen rund um Agentic AI für den DACH-Markt. Präzise, ohne Hype, mit klarer Trennung zwischen Fakt und Prognose.