Ein MCP-Server ist ein kleines Stück Software, das eines Ihrer Systeme — eine Datenbank, ein CRM, eine interne API, einen Dokumentenordner — einem KI-Assistenten in einem Format zugänglich macht, mit dem dieser tatsächlich arbeiten kann. Es ist eine Übersetzungsschicht, kein Produkt. Und es ist genau das, was aus "unsere KI kann E-Mails schreiben" ein "unsere KI kann die letzten drei Rechnungen des Kunden nachschlagen und dann die E-Mail schreiben" macht.
Das zugrunde liegende Protokoll, das Model Context Protocol, wurde im November 2024 von Anthropic veröffentlicht und im Dezember 2025 an die Agentic AI Foundation der Linux Foundation übergeben — mitgetragen von AWS, Google, Microsoft, OpenAI, Bloomberg und Cloudflare. Diese Übergabe ist wichtiger, als sie klingt: Der Integrationsstandard, gegen den Sie entwickeln, ist damit keine Produktentscheidung eines einzelnen Anbieters mehr.
Wir haben vier davon gebaut — für Suchanalytik, für Content-Publishing, für eine Wissensdatenbank und für ein Whiteboard-Tool — und betreiben sie täglich. Das hier ist, was ein technischer Leiter wissen sollte, bevor er einen in Auftrag gibt.
Welches Problem löst ein MCP-Server überhaupt?
Vor MCP war jede KI-Tool-Integration eine Einzelanfertigung. Wollten Sie, dass ein Assistent aus Ihrem ERP liest, schrieb jemand Glue-Code für genau diesen Assistenten und genau dieses ERP. Assistent gewechselt, Code neu geschrieben. Die Branche landete bei einem M×N-Problem: jedes Modell mal jedes System.
MCP reduziert das auf M+N. Sie schreiben einen Server für Ihr ERP, und jeder MCP-fähige Client kann ihn nutzen — Claude, ChatGPT, Gemini, Copilot, ein selbst gebauter Agent, ein CLI-Werkzeug. Die Zahl der Integrationen, die Sie pflegen, entspricht der Zahl Ihrer eigenen Systeme — nicht der Zahl der Systeme mal der Zahl der KI-Werkzeuge, die Sie vielleicht ausprobieren.
Das ist der gesamte Pitch, und er ist wirklich gut. Er erklärt auch das Tempo der Verbreitung: Berichteten Zahlen zufolge stiegen die SDK-Downloads von rund 2 Millionen zum Start auf etwa 97 Millionen pro Monat innerhalb von sechzehn Monaten, bei inzwischen über 9.400 öffentlich gelisteten Servern.
Was steckt in einem MCP-Server?
Drei Dinge — und der Unterschied lohnt sich, weil sie sich in der Praxis unterschiedlich verhalten.
Tools sind Aktionen, die das Modell aufrufen kann: create_invoice, search_orders, send_reminder. Das Modell entscheidet, wann es sie mit welchen Argumenten aufruft. Das sind die mächtigen — und die gefährlichen.
Resources sind schreibgeschützte Inhalte, die der Client hereinholen kann: ein Dokument, eine Konfigurationsdatei, ein Datensatz. Passiv. Der Client holt sie; das Modell entscheidet das nicht.
Prompts sind wiederverwendbare Vorlagen, die der Server anbietet — als Slash-Befehle oder Shortcuts. Unterschätzt, und der billigste Weg, einen Server auch für nichttechnische Mitarbeitende nutzbar zu machen.
Die meisten Teams bauen einen Server, der zu 90 % aus Tools besteht, und lassen den Rest weg. Meist ein Fehler — gerade Prompts sind die Stelle, an der Sie "die richtige Art zu fragen" hinterlegen, damit nicht jede Abteilung sie neu erfindet.
Ist das nicht einfach eine API mit Extraschritten?
Nein, und genau darin liegt der Punkt.
Eine API ist für Entwicklerinnen geschrieben, die die Dokumentation gelesen haben, wissen, welchen Endpunkt sie aufrufen, und Fehler im Code behandeln. Ein MCP-Server ist für ein Modell geschrieben, das nichts außer Ihren Tool-Beschreibungen gelesen hat und spontan entscheidet, was es in welcher Reihenfolge aufruft.
Das verändert den Entwurf auf Weisen, die überraschen:
| Klassische API | MCP-Server | |---|---| | Namen dürfen knapp sein, Doku liegt woanders | Name und Beschreibung sind die Dokumentation | | Alles zurückgeben, der Client filtert | Das Minimum zurückgeben — jeder Token kostet Geld und Aufmerksamkeit | | Fehler sind Statuscodes | Fehler müssen Sätze sein, die dem Modell sagen, was als Nächstes zu tun ist | | Feingranulare Endpunkte sind gutes Design | Zu viele Tools verschlechtern die Trefferquote des Modells | | Idempotenz ist nice-to-have | Idempotenz ist eine Sicherheitsmaßnahme |
An den letzten beiden Punkten scheitern die meisten ersten Versuche. Wir haben einen Server mit einundvierzig Tools ausgeliefert und zugesehen, wie das Modell zuverlässig das falsche wählte. Die Konsolidierung auf neunzehn besser benannte Tools hat mehr Beschwerden über "KI-Qualität" beseitigt als jede Prompt-Änderung.
Was kostet der Bau?
Für ein einzelnes, sauber abgegrenztes internes System mit vorhandener API: wenige Tage bis zu einem funktionierenden Server, ein bis zwei Wochen bis zu etwas, das Sie eine nichttechnische Person unbeaufsichtigt nutzen lassen würden. Die SDKs (TypeScript, Python und weitere) erledigen das Protokoll; Sie schreiben die Tool-Definitionen und die Authentifizierung.
Die Kosten liegen nicht im Bau, sondern in diesen drei Punkten — sortiert danach, wie oft sie unterschätzt werden:
- Authentifizierung und Identität. Die schwierige Frage ist nicht, ob der Server das CRM erreicht, sondern als wer. Ein Server mit einem gemeinsamen Servicekonto hat gerade jedem Nutzer die Rechte des privilegiertesten gegeben. Sauber gelöst heißt das OAuth pro Nutzer — und das ist der Großteil der Entwicklungsarbeit.
- Entscheiden, was Sie nicht freigeben. Jede Schreibaktion ist etwas, das ein Agent um drei Uhr nachts falsch machen kann. Rein lesende Server sind deutlich günstiger zu governen und decken mehr Fälle ab, als man denkt.
- Pflege, während sich die Spezifikation bewegt. Die stabile Spezifikation trägt das Datum 25. November 2025, die nächste Revision wird für Mitte 2026 erwartet und ändert Transport und Session-Handling. Ein junger Standard unter aktiver Governance. Planen Sie Überarbeitungen ein.
Wo geht es schief?
Prompt Injection über Daten. Wenn Ihr Server Inhalte aus einer nicht vertrauenswürdigen Quelle zurückgibt — ein Support-Ticket, eine eingehende E-Mail, eine gescrapte Seite — können darin Anweisungen stehen, denen das Modell folgt. Ein Server, der zugleich "eingehende E-Mails lesen" und "Zahlung auslösen" anbietet, ist ein echtes Sicherheitsproblem, kein theoretisches. Trennen Sie Lesen-aus-unsicheren-Quellen und Schreiben-mit-Konsequenzen in verschiedene Server mit verschiedenen Rechten.
Zu breite Tools. run_sql_query ist leicht gebaut und unmöglich zu governen. get_orders_for_customer(customer_id, since_date) ist mehr Arbeit — und die Variante, die Sie tatsächlich freigeben können.
Kein Audit-Trail. Wenn ein Agent etwas falsch macht, lautet die erste Frage: welcher Tool-Aufruf, mit welchen Argumenten, im Auftrag von wem? Die meisten Server können sie nicht beantworten. Protokollieren Sie jeden Aufruf mit Nutzeridentität, bevor Sie live gehen — nicht nach dem Vorfall.
Es als KI-Projekt behandeln. Es ist ein Integrationsprojekt. Verantwortlich sollten die Leute sein, denen das darunterliegende System gehört — nicht das Innovationsteam.
Sollte Ihr Unternehmen einen bauen?
Ein brauchbarer Test, in dieser Reihenfolge:
- Stellen Menschen in Ihrem Unternehmen wiederholt Fragen, für die jemand etwas in einem System nachschlagen und abtippen muss? Wenn nein: hören Sie hier auf.
- Hat dieses System eine API oder wenigstens eine lesbare Datenbank? Wenn nein, ist der MCP-Server nicht Ihr erstes Problem.
- Können Sie die zehn Fragen benennen, die er beantworten soll? Wenn nicht, wuchert der Scope und die Tool-Zahl explodiert.
- Sind Sie bereit, ihn im ersten Monat rein lesend zu betreiben? Wenn nicht, seien Sie ehrlich: Sie starten ein Governance-Projekt, kein Produktivitätsprojekt.
Berichtete Zahlen setzen die MCP-Server-Einführung bei etwa 28 % der Fortune-500-Unternehmen Anfang 2026 an — gegenüber rund 80 %, die KI-Agenten in irgendeinem produktiven Prozess einsetzen. Interessant ist die Lücke zwischen diesen Zahlen: Die meisten Organisationen haben Agenten, die ihre eigenen Daten nicht erreichen. Genau das löst ein MCP-Server — und deshalb ist es einer der wenigen Begriffe in diesem Feld, dessen Suchvolumen weiter steigt, statt sich einzupendeln.
Häufige Fragen
Gehört MCP Anthropic? Nicht mehr. Anthropic hat es entwickelt und im Dezember 2025 an die Agentic AI Foundation der Linux Foundation übergeben. Die Governance läuft über einen Community-Prozess mit mehreren großen Unterstützern.
Brauche ich pro KI-Werkzeug einen eigenen Server? Nein. Genau darum geht es beim Standard — ein Server bedient jeden MCP-kompatiblen Client.
Kann ein MCP-Server vollständig im eigenen Netz laufen? Ja. Server können lokal oder selbst gehostet laufen; nichts zwingt Sie, sie ins öffentliche Internet zu stellen. Bei sensiblen Systemen ist das unsere Standardempfehlung.
Was ist der Unterschied zwischen einem MCP-Server und einem KI-Agenten? Der Agent entscheidet, was zu tun ist. Der MCP-Server ist das, was er erreichen kann. Ein Agent ohne Server kann nur reden; ein Server ohne Agent tut gar nichts.
Lohnt sich der Bau, wenn wir den KI-Anbieter wechseln könnten? Das ist eines der besseren Argumente dafür. Der Server überlebt die Modellwahl.
Quellen: Model Context Protocol — Spezifikation · MCP-Adoptionsstatistik 2026 · Analyse zur Enterprise-Adoption. Die Verbreitungszahlen sind Schätzungen Dritter und als Richtwerte zu lesen.