„Model Context Protocol“ (MCP) verständlich erklärt

Wer in Claude den Kalender verbinden will, landet bei den „Konnektoren“. In ChatGPT steht in bestimmten Tarifen unter „Plugins“ die Option „Benutzerdefinierten MCP-Server hinzufügen“. Hinter beidem steckt meist derselbe offene Standard: das Model Context Protocol, kurz MCP. Ein MCP-Server ist die Software, über die ein Dienst einer KI-Anwendung bestimmte Daten und Funktionen bereitstellt.

Kurz erklärt: Was ist MCP?

MCP steht für Model Context Protocol. Der offene Standard verbindet KI-Anwendungen mit Daten, Tools und Abläufen anderer Dienste. Das MCP-Projekt vergleicht ihn mit einem USB-C-Anschluss: So wie ein Kabel an viele Geräte passt, verbinden sich KI-Anwendungen über MCP nach denselben Regeln mit vielen Diensten. Anthropic veröffentlichte MCP im November 2024. Seit Dezember 2025 liegt das Projekt bei der Agentic AI Foundation unter dem Dach der Linux Foundation, gegründet von Anthropic, Block und OpenAI. Über die technische Weiterentwicklung entscheidet laut MCP-Blog weiter das Team, das den Standard betreut.

Welches Problem MCP löst

Ohne gemeinsamen Standard braucht jede KI-Anwendung für jeden Dienst eine eigene Anbindung. Bei drei KI-Anwendungen und vier Diensten sind das zwölf Anbindungen. Mit MCP baut ein Dienst einen Server, und jede KI-Anwendung, die MCP unterstützt, kann ihn nutzen. Im selben Beispiel reichen vier Server. Jede der drei Anwendungen muss MCP dafür nur einmal unterstützen und kann dann alle vier nutzen.

Ein Beispiel: Claude liest über einen Konnektor Kalendertermine und schlägt freie Zeiten vor. ChatGPT legt über ein Plugin eine Aufgabe in einem Projekttool an. Die Art des Zugriffs unterscheidet sich dabei. Im ersten Fall liest die KI nur Daten aus. Im zweiten Fall führt sie aktiv eine Änderung durch. Was möglich ist, legen der Server und die Rechte fest, die du ihm gibst.

So funktioniert ein MCP-Server

Host, Client und Server

Der Host ist die KI-Anwendung, etwa Claude oder ChatGPT. Laut MCP-Dokumentation legt der Host für jeden verbundenen MCP-Server einen eigenen Client an, der die Verbindung hält. Der MCP-Server ist das Programm, das Daten und Funktionen eines Dienstes bereitstellt, egal ob es auf deinem Rechner oder im Internet läuft. Er beschreibt, was er kann, und gibt die Daten in einer Form weiter, mit der die KI arbeiten kann.

Fragst du nach deinen Terminen, entscheidet das KI-Modell, ein Tool des Kalender-Servers aufzurufen. Die KI-Anwendung schickt diesen Aufruf über ihren Client an den Server, und das Ergebnis geht zurück an das Modell, das daraus die Antwort schreibt.

Tools, Resources und Prompts

Ein MCP-Server bietet laut MCP-Projekt bis zu drei Arten von Bausteinen an:

• Tools sind ausführbare Aktionen. Ein Tool sucht Flüge oder blockt einen Termin im Kalender. Das KI-Modell entscheidet, wann es ein Tool aufruft; die Anwendung kann vorher um deine Freigabe bitten.
• Resources sind Daten, die die Anwendung der KI als Kontext mitgibt, etwa Dateien, Datenbankeinträge oder Kalender. Welche Daten das sind, entscheidet die Anwendung oder du selbst.
• Prompts sind vorbereitete Anweisungen. Nutzende wählen diese Vorlagen aus, um wiederkehrende Aufgaben wie eine Reiseplanung schnell zu starten.

Ein Server muss nicht alle drei Bausteine anbieten. Bei Tools lohnt ein genauer Blick, weil sie etwas auslösen: Eine Suche hat andere Folgen als der Versand einer E-Mail.

Lokal oder im Internet

Ein lokaler MCP-Server läuft direkt auf deinem eigenen Rechner. Lokale Server installierst du als Programm oder Erweiterung, etwa in der Desktop-App von Claude, und sie können auf Dateien deines Rechners zugreifen. Ein entfernter Server läuft im Internet, etwa beim Anbieter des Dienstes selbst; in Claude und ChatGPT verbindest du ihn im Browser über seine Internetadresse. Für die Anmeldung empfiehlt MCP OAuth, das übliche Verfahren hinter „Mit Konto anmelden“. Du meldest dich direkt beim Dienst an und bestätigst, welche Rechte die Verbindung bekommt. Dein Passwort bekommt die KI dabei nicht.

Begriffe auseinanderhalten: MCP, API, Plugin, A2A

• API: Eine API ist die grundlegende Programmierschnittstelle eines Dienstes. MCP baut laut Codecademy darauf auf und legt eine einheitliche Schicht darüber, die der KI beschreibt, welche Funktionen es gibt.
• Plugin oder Konnektor: So heißen die Verbindungen in der Oberfläche: in Claude „Konnektoren“, in ChatGPT „Plugins“. Der Name sagt noch nichts über die Rechte einer Verbindung.
• Function Calling: Damit ruft ein KI-Modell gezielt Funktionen auf. Das Format dafür unterscheidet sich je nach Modellanbieter, solche Anbindungen sind laut Descope an einen Anbieter gebunden. MCP nutzt Function Calling, legt aber fest, wie Anwendungen die Funktionen beliebiger Server finden und aufrufen. Ein MCP-Server lässt sich so von vielen Anwendungen nutzen.
• A2A: Das Protokoll Agent2Agent regelt, wie KI-Agenten untereinander kommunizieren. MCP verbindet einen Agenten mit Tools und Daten. Beide ergänzen sich.

Wer MCP unterstützt

Laut Linux Foundation unterstützten im Dezember 2025 unter anderem Claude, ChatGPT, Microsoft Copilot, Gemini, Cursor und VS Code den Standard. Welche Verbindungen sich einrichten lassen, hängt vom Produkt ab: Microsoft bietet MCP in Copilot Studio an, bei Google binden Admins in Gemini Enterprise eigene MCP-Server an.

Auch Automatisierungsdienste wie Zapier, Make und n8n bieten MCP an, n8n zum Beispiel mit einem eigenen MCP-Server. Über den MCP-Server von Make startest du etwa ein aktives Make-Szenario, das auf Abruf eingestellt ist, direkt aus dem Chat. Bei Zapier kostet laut Anbieter jeder Tool-Aufruf über MCP zwei Zapier-Tasks.

Anthropic nannte im Dezember 2025 mehr als 10.000 aktive öffentliche MCP-Server. Eine aktuelle offizielle Gesamtzahl gibt es nicht; das offizielle Verzeichnis, die MCP Registry, ist noch im Preview-Status und prüft die gelisteten Server nicht auf Sicherheit.

So findest du MCP in Claude und ChatGPT

Die Klickwege stammen aus der deutschen Oberfläche vom 25. Oktober 2026. Menüs und Tarife ändern sich häufig.

Claude: Konnektoren

1. Klicke in der Seitenleiste auf „Anpassungen“ und wähle „Konnektoren“.
2. Im Reiter „Entdecken“ siehst du fertige Konnektoren, die du mit dem Pluszeichen und der Anmeldung beim Dienst verbindest. Ein Häkchen am Namen heißt, dass Anthropic die Tools getestet hat; Konnektoren, die die Anthropic-Dokumentation als „Community“ kennzeichnet, hat Anthropic nur grob geprüft. Fertige Konnektoren für den Browser gibt es laut Claude-Hilfe mit Stand Oktober 2026 nur in den bezahlten Tarifen Pro, Max, Team und Enterprise. Fertige Desktop-Erweiterungen, also lokale Server für die Desktop-App von Claude, gibt es auch im Gratis-Tarif. Neue Konnektoren fügst du am Computer hinzu, in der App am Handy stehen sie danach bereit.

3. Für einen eigenen entfernten Server klickst du auf „Hinzufügen“ und „Benutzerdefinierten Konnektor hinzufügen“. Trage dort „Name“ und „MCP-Server-URL“ ein. In den Tarifen Team und Enterprise legt laut Claude-Hilfe zuerst ein Owner den Konnektor für die Organisation an, danach verbindest du ihn nur noch.

4. Kontrolliere nach dem Verbinden die „Tool-Berechtigungen“ des Konnektors. Für jedes Tool oder eine ganze Gruppe wie „Interaktive Tools“ wählst du zwischen „Immer erlauben“, „Genehmigung erforderlich“ und „Blockiert“.

Eigene Konnektoren gibt es laut Claude-Hilfe mit Stand Oktober 2026 in allen Tarifen, im Gratis-Tarif allerdings nur einen. Anthropic prüft solche Server nicht und rät, Claude nur mit Servern von Organisationen zu verbinden, denen du vertraust. Wie du Claude Schritt für Schritt tiefer in die Arbeit holst, zeigt unser Ratgeber Claude KI im Arbeitsalltag.

ChatGPT: Plugins

1. Öffne die „Einstellungen“ und wechsle zu „Plugins“.
2. Kontrolliere die „Standardberechtigung“. Zur Wahl stehen „Immer fragen“, „Tools mit reinem Lesezugriff zulassen“ und „Tools mit geringem Risiko zulassen“.

3. Einen eigenen Server richtest du unter „Plugins“ über „Hinzufügen“ und „Benutzerdefinierten MCP-Server hinzufügen“ ein. ChatGPT fragt nach Name, Server-URL und Anmeldeart und verlangt, dass du den Risikohinweis bestätigst.

Die volle Unterstützung eigener MCP-Server ist laut OpenAI-Hilfe mit Stand Oktober 2026 an die Tarife Business, Enterprise und Edu gebunden. In Business richten nur „Admins“ und „Owner“ solche Server ein. Mit Pro lassen sich eigene Server nur mit Lese- und Abrufrechten verbinden, für Free und Plus nennt die Hilfe keine Möglichkeit. OpenAI schreibt in seiner Dokumentation selbst, dass es fremde MCP-Server weder entwickelt noch prüft.

Risiken: Was beim Verbinden schiefgehen kann

Jede Verbindung erweitert, was die KI sehen und tun kann. Über sie gelangen auch Inhalte aus fremden Quellen in den Chat, etwa eine E-Mail oder eine Webseite, und können die nächsten Schritte des Modells beeinflussen. Solche eingeschleusten Anweisungen heißen Prompt Injection. Was die KI über einen Konnektor liest, landet im Chat und damit beim Anbieter der KI-Anwendung. Der Betreiber des Servers sieht wiederum, was die KI bei ihm abfragt; wie er mit diesen Daten umgeht, kontrolliert laut Anthropic nicht Anthropic.

• Manipulierte Tool-Beschreibungen: Invariant Labs zeigte im April 2025, dass sich das KI-Modell durch versteckte Anweisungen in Tool-Beschreibungen manipulieren lässt. Diese Methode heißt Tool Poisoning. Das Modell liest die Anweisungen, du siehst sie nicht.
• Präparierte Inhalte: Im Mai 2025 zeigte Invariant Labs, wie ein manipulierter Eintrag in einem öffentlichen GitHub-Projekt einen KI-Agenten über den offiziellen GitHub-MCP-Server dazu brachte, Daten aus privaten Projekten zu veröffentlichen. Die Einstellung „Immer erlauben“ machte das leichter. Im Juli 2026 zeigte Manifold Security dasselbe Muster beim offiziellen Azure-DevOps-Server von Microsoft: Ein unsichtbarer Kommentar in einem Pull Request brachte den KI-Agenten der prüfenden Person dazu, eine vertrauliche Wiki-Seite offenzulegen.
• Bösartiger Server: The Hacker News berichtete im September 2025 über das Paket „postmark-mcp“, den ersten bekannten bösartigen MCP-Server. Ab Version 1.0.16 schickte er jede versendete E-Mail heimlich als Blindkopie an eine fremde Adresse.

Der Entwickler Simon Willison warnte im Juni 2025 vor der Mischung aus privaten Daten, fremden Inhalten und einem Weg nach außen: Kommen alle drei zusammen, können Daten abfließen. MCP macht es laut Willison leicht, Tools aus verschiedenen Quellen ungewollt so zu kombinieren. Die US-Behörde NSA riet im Mai 2026 Organisationen, die MCP in kritischen oder produktiven Umgebungen einsetzen, zu Vorsicht.

Selbst hinzugefügte Server prüfen weder Anthropic noch OpenAI. Auch ein Eintrag in einem Verzeichnis ist keine Sicherheitsprüfung: Claude markiert getestete Konnektoren mit einem Häkchen, laut Anthropic ist das aber kein Sicherheitsaudit. Was du beim Einsatz von KI-Tools mit Firmendaten beachten musst, zeigt unser Beitrag Welche Daten dürfen in KI-Tools und welche nicht?.

Fünf Regeln für sichere Verbindungen

1. Wähle vertrauenswürdige Betreiber. Nutze bevorzugt Server, die der Anbieter des Dienstes selbst betreibt. In Claude steht der Betreiber unter dem Namen des Konnektors, etwa „von Google“ oder „von Slack“; das Häkchen zeigt zusätzlich, dass Anthropic die Tools getestet hat. Installiere keine Server-Pakete aus unbekannten Quellen.
2. Prüfe die Rechte bei der Anmeldung. Lies beim Verbinden, auf welche Daten die Verbindung zugreifen und welche Aktionen sie ausführen darf.
3. Lass Schreibaktionen bestätigen. Stelle in Claude Tools, die Daten ändern, löschen oder Nachrichten verschicken, auf „Genehmigung erforderlich“, und wähle in ChatGPT als Standardberechtigung „Immer fragen“. „Immer erlauben“ passt höchstens für reine Lese-Tools von Servern, denen du vertraust.
4. Teste neue Konnektoren zuerst ohne Aktion. Lass dir von der KI auflisten, was die Verbindung kann, bevor du sie nutzt. Die Liste beruht auf den Angaben des Servers und ersetzt keine Prüfung:

Liste alle Tools auf, die dir über den Konnektor NAME zur Verfügung stehen. Schreib zu jedem Tool, ob es nur liest oder etwas ändert, löscht oder verschickt. Führe dabei kein Tool aus.

Anschließend testest du den reinen Lesezugriff mit dieser Anweisung:

Nutze den Konnektor NAME nur lesend. Zeig mir die letzten drei Einträge zu THEMA und ändere nichts. Frag nach, bevor du irgendeine Aktion ausführst.

5. Trenne ungenutzte Verbindungen. Ein Konnektor, den du nicht mehr brauchst, sollte keinen Zugriff auf deine Konten behalten. In Claude trennst du ihn in den Details des Konnektors mit „Trennen“.

Häufige Fragen

Fazit

MCP vereinheitlicht, wie KI-Anwendungen mit anderen Diensten sprechen. Ein MCP-Server legt fest, welche Daten und Funktionen eines Dienstes die KI nutzen kann. Neben dem Nutzen zählt deshalb vor allem, welchem Server du welche Rechte gibst. Starte mit Konnektoren, die der Dienst selbst anbietet, und lass alles bestätigen, was etwas ändert oder verschickt.

Zum Mitnehmen: MCP auf einer A4-Seite. Darauf stehen Host, Client und Server, die drei Bausteine und die Menüwege in Claude und ChatGPT mit Tarifen (Stand Oktober 2026), dazu die fünf Regeln und die zwei Test-Prompts. Als PDF herunterladen oder als Bild speichern.

Claude ist eine Marke von Anthropic, ChatGPT ist eine Marke von OpenAI. Screenshots: KI Kompass, Oktober 2026.

Tools, die im Artikel erwähnt wurden

Claude

9,1/10

Anthropic (USA)

KI-Chatbots & Assistenten

Claude ist für uns das Werkzeug für die lange Form. Wo ein Vertrag, ein Bericht oder eine Codebasis am Stück gelesen werden soll, spielt das Kontextfenster seine Stärke aus, und die Argumentation bleibt sauberer als bei den Allroundern. ChatGPT deckt mehr Disziplinen ab und erzeugt Bilder, Claude nicht. Für Einzelpersonen halten wir Pro für die sinnvolle Stufe. Unternehmen raten wir ab zwei Personen zu Team, weil dort das Training mit den eigenen Inhalten wegfällt. Wer den ganzen Tag im Tool arbeitet, sollte die Fünf-Stunden-Fenster einkalkulieren, sonst steht er am Nachmittag.

Zum Testbericht Website besuchen

ChatGPT

9,1/10

OpenAI (USA)

KI-Chatbots & Assistenten

ChatGPT ist für uns weiterhin das Standardwerkzeug, wenn ein einzelnes Tool möglichst viel abdecken soll. In der Breite kommt nur Claude heran, und bei Bildgenerierung und Agentenaufgaben bleibt ChatGPT vorn. Schneller einsatzbereit ist ohnehin keiner. Genau diese Breite ist die Schwäche: Bei quellenbasierter Recherche liefert Perplexity die sauberere Belegkette, bei langen Analysen arbeitet Claude strukturierter. Für Einzelpersonen halten wir Plus für die sinnvolle Stufe, Free und Go sind zu knapp bemessen. Unternehmen raten wir klar zu Business, weil erst dort das Modelltraining mit den eigenen Daten standardmäßig abgeschaltet ist. Wer Kundendaten in den Gratistarif tippt, spart an der falschen Stelle.

Zum Testbericht Website besuchen

Zapier

7,7/10

Zapier Inc. (USA)

Workflow Automatisierung

Wer wiederkehrende Handgriffe loswerden will und keine IT-Abteilung hat, kommt mit Zapier am schnellsten ans Ziel: über 9.000 angebundene Anwendungen, Einrichtung per Klick, und mit den Agenten endet das nicht mehr bei starren Wenn-Dann-Ketten. Die Rechnung macht die Zähleinheit. Als Aufgabe zählt jeder Schritt, deshalb treiben verzweigte Abläufe den Betrag, der bei 19,99 US-Dollar im Monat für 750 Aufgaben beginnt. Genau dort spielt Make seinen Vorteil aus, weil es nach Operationen rechnet und mehr davon in die Tarife packt. Zwei Dinge schließen Zapier aus: eine Belegschaft ohne Englisch und Daten, die die EU nicht verlassen dürfen.

Zum Testbericht Website besuchen

Make

8,9/10

Celonis SE (Deutschland)

Workflow Automatisierung

Zwischen den einfachen Verknüpfungswerkzeugen und echter Programmierung liegt eine Lücke, und genau dort sitzt Make. Abläufe entstehen als Diagramm, lassen sich aber mit Bedingungen, Schleifen und eigenen Datenstrukturen so weit treiben, wie es sonst nur Code erlaubt. Für einen mittelständischen Betrieb ist das der Punkt, an dem Automatisierung ohne Entwicklungsabteilung möglich wird. Der Einstieg ist mit dem Gratistarif gefahrlos. Wer allerdings nur zwei Programme miteinander sprechen lassen will, braucht diese Tiefe nicht und ist mit einem schlichteren Werkzeug schneller fertig.

Zum Testbericht Website besuchen

n8n

8,2/10

n8n GmbH (Deutschland)

Workflow Automatisierung

Wer Automatisierung im eigenen Haus betreiben will und technisches Personal dafür hat, findet derzeit nichts Besseres als n8n. Abgerechnet wird nach Durchläufen, nicht nach Schritten, und damit bleiben lange, verzweigte Abläufe bezahlbar: 20 Euro im Monat für 2.500 Durchläufe, 50 Euro für 10.000, danach klafft eine Lücke bis zu 667 Euro für Business. Den Eigenbetrieb rechnen wir hoch an, er beantwortet die Standortfrage ohne Zusatzvertrag. Wem die Tiefe reicht, der eigene Server aber zu viel ist, landet bei Make. Teams ohne technische Betreuung, die nur zwei Anwendungen koppeln möchten, verbrennen hier Zeit.

Zum Testbericht Website besuchen