Was ist MCP (Model Context Protocol)? Funktionsweise, Änderungen in der Spezifikation 2026-07-28, Einrichtung in den Apps und Sicherheit

MCP (Model Context Protocol) ist eine offene Spezifikation, mit der KI-Apps (Claude Code, ChatGPT, VS Code und andere) externe Tools und Daten (GitHub, Datenbanken, interne Systeme usw.) auf einheitliche Weise nutzen. Wer ein Tool einmal als „MCP-Server“ baut, kann es aus jeder App heraus verwenden, die MCP unterstützt. Weil das wie ein Kabel funktioniert, das in jedes Gerät passt, wird MCP oft „das USB-C der KI“ genannt.

Anthropic hat MCP am 25. November 2024 veröffentlicht und im Dezember 2025 an die Agentic AI Foundation (AAIF) unter dem Dach der Linux Foundation übergeben. Die aktuelle Version der Spezifikation ist 2026-07-28; mit ihr ist MCP zustandslos (stateless) geworden – es gibt keine „Sitzung“ pro Verbindung mehr. Dieser Artikel erklärt, wie MCP funktioniert, was sich in der aktuellen Spezifikation geändert hat, wie Sie Server in den wichtigsten Apps eintragen, einen 10-Minuten-Praxistest und die offiziellen Sicherheitsregeln – auf Grundlage der MCP-Spezifikation und der offiziellen Dokumentation der Anbieter (geprüft am 12. November 2026).

Auf dem eigenen Rechner ist der Transport stdio, über das Netz Streamable HTTP. Die KI entscheidet, welches Tool sie wann nutzt, und der Host holt vor dem Aufruf die Zustimmung des Nutzers ein.

1. Was ist MCP? Eine gemeinsame Vereinbarung zwischen KI und Tools

Vor MCP verband sich jede KI-App auf ihre eigene Weise mit Tools. Um ein Tool „In Slack posten“ in drei Apps zu nutzen, musste man es dreimal bauen. MCP hat diese Verbindungsschicht zu einer einzigen Spezifikation gemacht. Bei M Apps und N Tools werden aus M×N Integrationen M+N Implementierungen. Die Spezifikation nennt selbst das Language Server Protocol (LSP) als Vorbild, das die Sprachunterstützung über Editoren hinweg vereinheitlicht hat.

Die drei Dinge, die ein Server bereitstellen kann

In umgekehrter Richtung kann der Client (die App-Seite) den Servern Elicitation anbieten: Damit kann ein Server den Nutzer um zusätzliche Angaben bitten. Roots (dem Server mitteilen, in welchen Ordnern er arbeiten darf) und Sampling (der Server lässt das Modell der App Text erzeugen), die es in früheren Versionen gab, sind in der aktuellen Version als veraltet markiert (Abschnitt 4).

2. Was in den zwei Jahren seit dem Start passiert ist

Die Versionen der MCP-Spezifikation tragen als Namen „das letzte Datum, an dem nicht abwärtskompatible Änderungen vorgenommen wurden“. Hier die wichtigsten Ereignisse neben diesen Versionen.

• 25. November 2024Anthropic veröffentlichte die Spezifikation und die SDKs. Die erste Version war 2024-11-05.
• 26. März 2025Version 2025-03-26 brachte Streamable HTTP für entfernte Server und eine Autorisierung auf Basis von OAuth und markierte den älteren Transport HTTP+SSE als veraltet. Am selben Tag (US-Zeit) kündigte Sam Altman von OpenAI an, OpenAI werde MCP in seinen Produkten unterstützen (Bericht von TechCrunch).
• 18. Juni 2025Version 2025-06-18 brachte strukturierte (typisierte) Tool-Ergebnisse und Elicitation.
• 25. November 2025Version 2025-11-25 brachte Tasks für lange Vorgänge (experimentell) und Client ID Metadata Documents, mit denen sich ein Client über eine URL ausweist.
• 9. Dezember 2025Anthropic übergab MCP an die AAIF, die Anthropic, Block und OpenAI gemeinsam gegründet haben und die von Google, Microsoft, AWS, Cloudflare und Bloomberg unterstützt wird. Die Ankündigung an diesem Tag nannte mehr als 10.000 aktive öffentliche MCP-Server und über 97 Millionen monatliche Downloads der SDKs für Python und TypeScript sowie ChatGPT, Cursor, Gemini, Microsoft Copilot und VS Code als Produkte, die MCP übernommen haben.
• 28. Juli 2026Die aktuelle Version 2026-07-28 hat den Handshake (initialize) und die Sitzungen abgeschafft und MCP zustandslos gemacht (Abschnitt 4).

MCP hat sich verbreitet, weil die Spezifikation eine dünne, leicht umsetzbare Schicht über JSON-RPC 2.0 und JSON Schema ist, weil sie früh als offene Spezifikation erschien und weil sie durch die Übergabe keinem einzelnen Unternehmen mehr gehört. Da konkurrierende Anbieter auf derselben Spezifikation aufsetzen, müssen Tool-Entwickler nur einmal bauen.

3. So funktioniert es: Host, Client, Server und zwei Transporte

Die Spezifikation kennt drei Rollen. Der Host ist die KI-App, mit der der Nutzer arbeitet, ein Client ist der Connector, den der Host für jeden Server betreibt (einer pro Server), und der Server ist die Seite, die Tools und Daten bereitstellt. Nachrichten folgen JSON-RPC 2.0: Der Client erhält die Liste der Tools (tools/list), ruft das von der KI gewählte Tool mit Argumenten auf (tools/call) und bekommt das Ergebnis zurück.

4. Was sich in der aktuellen Spezifikation 2026-07-28 geändert hat

Laut der Versionsseite der Spezifikation ist die aktuelle Version (Current) 2026-07-28. Gegenüber der Vorgängerversion 2025-11-25 hat sich die Art der Verbindung stark verändert. Die wichtigsten Unterschiede laut Änderungsprotokoll:

Nach der Lebenszyklus-Richtlinie für Funktionen der Spezifikation bleiben veraltete Funktionen mindestens zwölf Monate erhalten, bevor sie entfernt werden dürfen (bei einem aktiven Sicherheitsrisiko, etwa einer veröffentlichten Schwachstelle oder tatsächlicher Ausnutzung ohne Abhilfe im Protokoll selbst, mindestens 90 Tage). Die Spezifikation beschreibt außerdem, wie man abwärtskompatibel mit Gegenstellen spricht, die noch den Handshake von 2025-11-25 und früher verwenden.

Was das für Nutzer und Entwickler bedeutet

• Nutzer

  Wenn Ihre App es unterstützt, müssen Sie nichts tun

  Claude Code unterstützt 2026-07-28 über seine „v2 runtime“ auf Basis des MCP TypeScript SDK 2.0. Es fragt jeden Server, ob er die neue Version unterstützt, und nutzt sie gegebenenfalls; andernfalls verbindet es sich mit dem bisherigen Handshake. Standard ist die v2 runtime ab v2.1.232 in Sitzungen, die Feature-Flags abrufen, und ab v2.1.274 in Sitzungen, die das nicht tun. Um beim älteren Protokoll zu bleiben, setzen Sie die Umgebungsvariable MCP_PROTOCOL_NEGOTIATION=legacy (MCP-Dokumentation von Claude Code).

• Entwickler

  Auf die 2.x-SDKs umsteigen und keine veralteten Funktionen neu einsetzen

  Das Python-SDK ist bei 2.x (mcp 2.3.0 auf PyPI, veröffentlicht am 2. Oktober 2026), und die 2.x-Reihe des TypeScript SDK unterstützt 2026-07-28. Ab 2.x sind die TypeScript-Pakete in @modelcontextprotocol/server und @modelcontextprotocol/client aufgeteilt (2.4.0 auf npm), während das bisherige @modelcontextprotocol/sdk bei 1.x bleibt (1.32.2). Übergeben Sie in neuen Servern Ordner über Tool-Argumente oder die Konfiguration statt über Roots, und protokollieren Sie über die Standardfehlerausgabe oder OpenTelemetry statt über Logging. Für Zustand über mehrere Aufrufe vergeben Sie nicht erratbare IDs und binden sie an den Nutzer (Abschnitt 9).

• Erweiterungen

  Optionale „Erweiterungen“ liegen jetzt außerhalb des Kerns

  Die Übersichtsseite der Spezifikation hebt Tasks für lange Vorgänge hervor, MCP Apps für Oberflächen wie Diagramme und Formulare direkt im Gespräch und Skills over MCP für die Verteilung von Agenten-Anleitungen über MCP (in einer Arbeitsgruppe in Diskussion). Eine Erweiterung wird nur genutzt, wenn Client und Server sie beide unterstützen.

5. Server in den wichtigsten Apps eintragen – und wo die Konfiguration liegt

Derselbe MCP-Server wird in jeder App anders eingetragen und in einer anderen Datei gespeichert. Das sagt die offizielle Dokumentation der Anbieter (geprüft am 12. November 2026).

Quellen: die MCP-Dokumentation von Claude Code, Codex, Gemini CLI und VS Code. Connectoren (entfernte MCP-Server), die Sie in claude.ai hinzufügen, erscheinen auch in /mcp von Claude Code, werden aber nicht geladen, wenn Sie mit einem API-Schlüssel angemeldet sind (was zu tun ist, wenn Connectoren deaktiviert sind).

6. Server, die Sie sofort nutzen können, und wo Sie weitere finden

Zum Suchen beginnen Sie mit der MCP Registry, der Liste öffentlicher Server, und dem Anthropic Directory mit von Anthropic geprüften Connectoren. Das offizielle Repository enthält nur noch sieben Referenzserver (Everything, Fetch, Filesystem, Git, Memory, Sequential Thinking, Time); die README beschreibt sie als Lehrbeispiele für Entwickler eigener Server und fordert dazu auf, die eigenen Sicherheitsanforderungen selbst zu prüfen. Die Server für GitHub, PostgreSQL, Slack und andere, die früher dort lagen, sind nach servers-archived umgezogen (GitHub betreibt jetzt seinen eigenen Server, der Slack-Server wird von Zencoder gepflegt). Folgen Sie alten Anleitungen nicht unbesehen.

7. In 10 Minuten ausprobieren: Claude Code einen Ordner lesen lassen

Mit dem offiziellen filesystem-Server lassen Sie Claude Code nur einen von Ihnen gewählten Ordner lesen. Vorausgesetzt ist, dass Node.js (npx) installiert ist.

1. Testordner anlegen. Legen Sie einen leeren Ordner ohne wichtige Dateien an (zum Beispiel ~/mcp-test) und legen Sie eine kurze README.md hinein. Der Server kann nur in diesem Ordner arbeiten.
2. Server eintragen. Unter macOS und Linux führen Sie Folgendes aus. Alles nach -- wird unverändert als Startbefehl des Servers übergeben.

   claude mcp add --transport stdio files -- npx -y @modelcontextprotocol/server-filesystem ~/mcp-test

   Unter nativem Windows (nicht WSL) tragen Sie den Server genauso ein und schreiben den Ordner als C:\mcp-test. Startet npx nicht, umschließen Sie es mit cmd /c, wie es die README des Referenzservers für Windows zeigt.

   claude mcp add --transport stdio files -- cmd /c npx -y @modelcontextprotocol/server-filesystem C:\mcp-test

   Passen Sie den Ordnerpfad an Ihre Umgebung an.
3. Verbindung prüfen. Starten Sie Claude Code, öffnen Sie /mcp und prüfen Sie, ob files als connected erscheint. Steht dort failed, hilft Verbindungsfehler von MCP-Servern beheben.
4. Ausprobieren. Bitten Sie: „Fasse die README in mcp-test zusammen.“ Claude Code fragt vor der Nutzung des Tools um Erlaubnis; prüfen Sie Tool-Namen und Argumente, bevor Sie zustimmen.
5. Aufräumen. Wenn Sie fertig sind, entfernen Sie ihn mit claude mcp remove files.

Entfernte Server tragen Sie per URL ein (zum Beispiel claude mcp add --transport http notion https://mcp.notion.com/mcp) und schließen danach die Authentifizierung über /mcp ab. Es gibt drei Geltungsbereiche: Der Standard local gilt nur für Sie in diesem Projekt, --scope project schreibt in .mcp.json im Projektstamm zum Teilen im Team, und --scope user macht den Server in all Ihren Projekten verfügbar. Server mit Zugangsdaten, die nicht in die Versionsverwaltung sollen, bleiben in local.

8. Einen eigenen MCP-Server bauen: ein Minimalbeispiel

Schon das Nutzen von Servern hilft, seine eigentliche Stärke zeigt MCP aber, wenn Sie Ihre eigenen internen Tools für die KI öffnen. Mit dem Python-SDK (2.x) reichen rund ein Dutzend Zeilen. Das Beispiel ist ein Server, der „den aktuellen Lagerbestand zurückgibt“.

Installieren Sie das SDK mit uv add "mcp[cli]" (oder pip install "mcp[cli]"). Das Extra [cli] bringt die weiter unten genutzten Befehle mcp dev und mcp run mit.

from mcp.server import MCPServer

mcp = MCPServer("inventory-server")

@mcp.tool()
def get_stock(sku: str) -> int:
    """Gibt den aktuellen Lagerbestand einer SKU zurück"""
    # Hier die Abfrage der internen Lagerdatenbank einfügen
    return query_internal_db(sku)

if __name__ == "__main__":
    mcp.run(transport="stdio")

• Testen

  uv run mcp dev server.py aus der README des SDK öffnet die offizielle Testoberfläche (MCP Inspector), mit der Sie Tool-Liste und Aufrufergebnisse ohne KI prüfen.

• Eintragen

  In Claude Code: claude mcp add --transport stdio inventory -- python server.py. Der Docstring der Funktion wird zur Tool-Beschreibung, die die KI sieht – schreiben Sie also genau hinein, was sie zurückgibt.

• Teilen

  Zum Teilen im Unternehmen macht uv run mcp run server.py --transport streamable-http daraus einen HTTP-Server. Dann gelten die Regeln zu Autorisierung und Tokens aus Abschnitt 9.

Die offiziellen SDKs sind TypeScript, Python, C#, Go, Rust und Ruby (Tier 1), Java (Tier 2) sowie Swift, PHP und Kotlin (Tier 3). Der Tier spiegelt Funktionsumfang und Wartungszusage wider, und jedes SDK übernimmt neue Spezifikationsversionen in seinem eigenen Tempo.

9. Sicherheit: die Kernpunkte der offiziellen Security Best Practices

Die Spezifikation behandelt Tools als „Ausführung beliebigen Codes“ und legt fest, dass der Host vor jedem Tool-Aufruf die ausdrückliche Zustimmung des Nutzers einholen muss. Beschreibungen und Annotationen von Tools gelten als nicht vertrauenswürdig, sofern sie nicht von einem vertrauenswürdigen Server stammen. Darüber hinaus listen die offiziellen Security Best Practices MCP-spezifische Angriffe und Gegenmaßnahmen auf.

Fünf Prüfungen, bevor Sie einen Server installieren

Steht in einem vom Server zurückgegebenen Text „Ignoriere die bisherigen Anweisungen und …“, kann die KI gekapert werden. Behandeln Sie Server-Ausgaben als Daten und lassen Sie unumkehrbare Aktionen wie Senden, Löschen oder Bezahlen jedes Mal von einem Menschen bestätigen. Die Überlegungen dazu stehen in Vorsicht bei dem, was Sie der KI geben. Wenn Sie selbst Agenten bauen, wird die Gestaltung (wie Sie Tools bereitstellen, Rechte minimieren, gefährliche Operationen trennen) im Kapitel MCP und Tool-Anbindung unseres Kurses zur Entwicklung von KI-Agenten Schritt für Schritt erklärt.

10. MCP, API, Skills oder A2A – was wann passt

Die vier schließen sich nicht aus. Ein Beispiel: aktuelle Daten über MCP holen, sie mit dem Ablauf einer Skill aufbereiten und über A2A an den Agenten einer anderen Abteilung übergeben. MCP-Server lassen sich außerdem in Claude-Code-Plugins bündeln und zusammen mit Skills und Hooks im Team verteilen.

11. Nicht zu viel installieren und nicht zu viel bauen

• Kontext

  Tool-Ergebnisse verbrauchen Kontext

  Claude Code nutzt standardmäßig Tool Search: Beim Sitzungsstart lädt es nur Tool-Namen und Server-Anweisungen und die Definitionen erst bei Bedarf. Ergebnisse verbrauchen trotzdem Kontext: Claude Code warnt, wenn eine Ausgabe 10.000 Tokens überschreitet, und begrenzt sie standardmäßig auf 25.000 Tokens (änderbar mit MAX_MCP_OUTPUT_TOKENS).

• Entwurf

  Nicht alles zu MCP machen

  Je mehr Tools eine Anfrage aufruft, desto mehr Zeit und Geld kostet sie. Muss die KI nichts auswählen, ist ein normales Programm oder ein API-Aufruf schneller und verlässlicher.

• Spezifikation

  Mit Änderungen der Spezifikation rechnen

  Manche Versionen wie 2026-07-28 ändern die Art der Verbindung. Veraltete Funktionen bleiben in der Regel mindestens zwölf Monate (bei einem aktiven Sicherheitsrisiko mindestens 90 Tage), prüfen Sie Ihre eigenen Server aber bei SDK-Updates.

• Einnahmen

  Lässt sich mit dem eigenen Server Geld verdienen?

  MCP selbst hat keinen Abrechnungsmechanismus. Vertriebswege und Gebühren vergleichen wir in Lassen sich MCP-Server monetarisieren?

Zusammenfassung

• MCP ist eine offene Spezifikation, die KI-Apps mit externen Tools und Daten verbindet. Anthropic hat sie im November 2024 veröffentlicht und im Dezember 2025 an die AAIF unter dem Dach der Linux Foundation übergeben.
• Die Rollen sind Host, Client und Server. Server stellen Tools, Resources und Prompts bereit, über stdio oder Streamable HTTP.
• Die aktuelle Version ist 2026-07-28. Sie hat Handshake und Sitzungen abgeschafft, ist zustandslos und markiert Roots, Sampling und Logging als veraltet.
• Claude Code, Codex und Gemini CLI tragen Server mit einem mcp add-Befehl ein, Claude Desktop über eine Konfigurationsdatei und VS Code über die Befehlspalette.
• Probieren Sie zuerst den Referenzserver filesystem mit einem leeren Ordner aus und prüfen Sie die Verbindung mit /mcp.
• Ein eigener Server braucht mit dem Python-SDK rund ein Dutzend Zeilen. Testen Sie ihn im MCP Inspector, bevor Sie ihn eintragen.
• Die offiziellen Security Best Practices verlangen, den vollständigen Startbefehl anzuzeigen und eine Zustimmung einzuholen, nicht für den Server ausgestellte Tokens abzulehnen, nicht erratbare IDs und minimale Berechtigungen.

FAQ

F1. Braucht man besondere Vorkenntnisse, um MCP zu nutzen?

Zum Nutzen nicht. In Claude Code genügt eine Zeile claude mcp add, in Claude Desktop ein paar Zeilen in einer Konfigurationsdatei. Auch beim eigenen Server übernimmt das SDK die Details von JSON-RPC, sodass Sie mit einer Funktion und einem Decorator beginnen können.

F2. Kann man MCP in ChatGPT nutzen?

Ja. Laut der am 12. November 2026 geprüften OpenAI-Hilfe lassen sich eigene MCP-Server mit ChatGPT verbinden (volle MCP-Unterstützung einschließlich Schreibaktionen), und zwar in ChatGPT Business, Enterprise und Edu im Web. Unter Plugins fügen Sie mit „Add custom MCP server“ den öffentlichen HTTPS-Endpunkt des Servers (oder einen Secure MCP Tunnel) hinzu und bestätigen den Risikohinweis; der Entwicklermodus muss nicht vorher aktiviert werden. In Business können nur Admins und Inhaber Server verbinden; in Enterprise und Edu können Admins diese Berechtigung über rollenbasierte Zugriffssteuerung (RBAC) auch ausgewählten Mitgliedern geben. Im Workspace veröffentlichen können nur Admins und Inhaber, und vom Smartphone aus lässt sich nichts verbinden. Details in der OpenAI-Hilfe.

F3. Funktionieren ältere Server mit Version 2026-07-28 nicht mehr?

Nicht von heute auf morgen. Die Spezifikation enthält ein abwärtskompatibles Verfahren für Gegenstellen mit dem Handshake von 2025-11-25 und früher, und Claude Code verbindet sich mit Servern, die die neue Version nicht unterstützen, über das ältere Protokoll. Veraltete Funktionen bleiben zudem in der Regel mindestens zwölf Monate in der Spezifikation (nur bei einem aktiven Sicherheitsrisiko mindestens 90 Tage). Prüfen Sie bei eigenen Servern beim Umstieg auf das 2.x-SDK, ob sie sich auf Roots, Sampling oder Logging stützen.

F4. Ist es sicher, eine interne Datenbank per MCP für die KI zu öffnen?

Das hängt vom Berechtigungsdesign ab. Mit einer Nur-Lese-Verbindung und ausschließlich festen Abfragen mit streng geprüften Argumenten als Tools ist es weit sicherer, als die KI freies SQL schreiben zu lassen. Ein Tool, das „beliebiges SQL ausführen kann“, ist gefährlich. Teilen Sie den Server über HTTP, nehmen Sie nur für Ihren Server ausgestellte Tokens an, halten Sie Berechtigungen minimal und führen Sie Protokolle, wie in Abschnitt 9 beschrieben.

F5. Sind MCP und Function Calling (Tool-Aufrufe) dasselbe?

Sie liegen auf verschiedenen Ebenen. Function Calling ist das Format innerhalb einer Modell-API, um „Ich möchte diese Funktion mit diesen Argumenten aufrufen“ auszudrücken, MCP dagegen die Kommunikationsvereinbarung zwischen einer App und externen Servern. Eine MCP-fähige App reicht die von den Servern erhaltene Tool-Liste im Tool-Calling-Format an das Modell weiter und sendet den vom Modell gewählten Aufruf per MCP an den Server.