Ein MCP-Server ist ein kleines Programm, das einem KI-Modell einen standardisierten Zugang zu einem externen System verschafft – etwa zu Ihren Dateien, einer Datenbank, GitHub, Slack oder einer Such-API –, sodass das Modell Daten lesen und Aktionen ausführen kann, ohne dass für jedes Tool eine maßgeschneiderte Integration gebaut werden muss. MCP steht für Model Context Protocol, einen offenen Standard, den Anthropic am 25. November 2024 veröffentlichte und der seither zur Standardmethode geworden ist, mit der KI-Apps wie Claude, ChatGPT und Cursor an den Rest Ihrer Software andocken. Kurz gesagt: Ein MCP-Server verwandelt jede Verbindung zwischen KI und Tool von einem einmaligen Programmierprojekt in etwas, das eher einem Stecker gleicht.
Was ist ein MCP-Server?
Ein MCP-Server ist die „Tool-Seite" des Model Context Protocol. Das Protokoll teilt jede KI-Integration in drei Rollen auf: den Host (die KI-App, die Sie nutzen, etwa Claude Desktop oder Cursor), den Client, den er ausführt, um das Protokoll zu sprechen, und den Server, ein Programm, das eine bestimmte Fähigkeit bereitstellt – zum Beispiel das Abfragen von Postgres oder das Anlegen eines GitHub-Issues. Das Problem, das er löst, ist alt und wenig aufregend: Vor MCP bedeutete das Verbinden von M KI-Apps mit N Datenquellen, dass M mal N eigene Integrationen gebaut werden mussten, jede davon fragil und einzigartig. MCP ersetzt das durch einen einzigen Standard, sodass Sie die Verbindung einmal schreiben und jede kompatible KI sie nutzen kann. Man nennt es oft einen „USB-C-Anschluss für KI", weil dieselbe Buchse zu vielen Geräten passt. Der Server erledigt die eigentliche Arbeit; die KI entdeckt lediglich, was verfügbar ist, und fordert es an.
Die drei Dinge, die jeder MCP-Server bereitstellt
Ein MCP-Server bietet seine Fähigkeiten über drei Bausteine an, und der Unterschied zwischen ihnen betrifft im Grunde die Frage, wer die Kontrolle hat. Genau diesen Teil überspringen die meisten, und genau darauf kommt es an, wenn Sie einen Server bauen oder debuggen.
| Primitive | Was es ist | Wer es steuert | Beispiel |
|---|---|---|---|
| Tools | Funktionen, die das Modell aufrufen kann, um etwas zu tun | Das Modell entscheidet, wann es aufgerufen wird | Eine SQL-Abfrage ausführen, eine Nachricht senden, einen Kalendereintrag anlegen |
| Resources | Nur lesbare Daten, die die App als Kontext heranziehen kann | Die Anwendung | Dateiinhalte, ein Datenbankschema, API-Dokumentation |
| Prompts | Wiederverwendbare Vorlagen, die einen Arbeitsablauf leiten | Der Nutzer (explizites Auslösen) | „Einen Urlaub planen", „Meine Meetings zusammenfassen" |
Tools sind der Star der Show. Jedes einzelne ist eine per Schema definierte Funktion mit typisierten Ein- und Ausgaben, in verständlicher Sprache beschrieben, damit das Modell selbst entscheiden kann, wann es darauf zurückgreift. Das Modell ruft tools/list auf, um zu sehen, was existiert, und dann tools/call, um eines auszuführen. Resources sind passive Daten, die der Host als Kontext liest, und Prompts sind vorgefertigte Vorlagen, die ein Nutzer gezielt auslöst. Ein einzelner Server kann alle drei anbieten, und ein Host kann sich mit vielen Servern gleichzeitig verbinden – etwa einen Datenbank-Server, einen Slack-Server und einen Dateisystem-Server in ein und derselben Unterhaltung kombinieren.
MCP-Server vs. API: der eigentliche Unterschied
Das ist die häufigste Frage, und die ehrliche Antwort lautet: MCP ersetzt APIs nicht, sondern setzt auf ihnen auf. Eine API ist für einen menschlichen Entwickler gemacht, der die Dokumentation liest und Code schreibt, um feste Endpunkte aufzurufen. Ein MCP-Server ist für ein Modell gemacht, das zur Laufzeit entdeckt, was verfügbar ist, und in verständlicher Sprache entscheidet, was es aufruft – wobei ein Mensch jede Aktion genehmigen oder ablehnen kann.
| Traditionelle API | MCP-Server | |
|---|---|---|
| Wer sie aufruft | Der Code eines Entwicklers | Das KI-Modell, zur Laufzeit |
| Discovery | Doku lesen, Endpunkte fest verdrahten | Selbstbeschreibend (tools/list) |
| Integrationsaufwand | M x N eigene Bauten | Einmal schreiben, jeder Client nutzt es wieder |
| Schnittstelle | REST-/GraphQL-Endpunkte | Tools, Resources, Prompts über JSON-RPC |
| Wer den Aufruf entscheidet | Ihr Programm | Das Modell, idealerweise mit menschlicher Freigabe |
Unter der Haube umhüllt ein MCP-Server meist einfach bestehende APIs. Der Mehrwert liegt nicht in einem neuen Transportweg, sondern in einer konsistenten, selbstbeschreibenden Oberfläche, durch die sich eine KI bewegen kann, ohne dass Sie für jeden Dienst Klebe-Code schreiben müssen. Genau deshalb existieren MCP und APIs nebeneinander, statt zu konkurrieren.
Wofür Menschen MCP-Server tatsächlich einsetzen
Die praktischen Beispiele sind unspektakulär und nützlich: ein Dateisystem-Server, damit ein Assistent einen Projektordner lesen kann, ein Postgres- oder Datenbank-Server für Live-Abfragen, ein GitHub-Server zum Öffnen von Pull Requests, ein Slack-Server zum Posten von Updates und ein Browser- oder Such-Server, damit das Modell aktuelle Informationen beschaffen kann. Anthropic und die Community veröffentlichen quelloffene Referenz-Server für viele davon, und öffentliche Registries listen inzwischen zehntausende weitere.
Wir betreiben MCP-Server als Teil des Aufbaus dieser Website, insofern ist dies ein Beispiel aus erster Hand und keine Hypothese. Die Keyword- und Live-SERP-Daten hinter genau diesem Artikel kamen über einen DataForSEO-MCP-Server, der innerhalb von Claude Code läuft: Das Modell rief ein keyword_overview-Tool auf, erhielt strukturierte Zahlen zu Suchvolumen und Schwierigkeit zurück und nutzte sie, um das Thema auszuwählen – und das alles, ohne dass jemand API-Antworten von Hand einfügen musste. Das ist das ganze Versprechen im Kleinen. Dasselbe Muster treibt die KI-Coding-Assistenten an, die wir verglichen haben, die als MCP-Hosts fungieren, sowie die agentischen Automatisierungstools wie n8n und Make, die zunehmend MCP-Unterstützung mitbringen, damit ihre Workflows dieselben Tools aufrufen können wie eine KI.
So richten Sie Ihren ersten MCP-Server ein
Sie bauen zu Beginn nur selten einen von Grund auf. Der schnellste Weg:
- Wählen Sie einen Host, der MCP spricht – Claude Desktop, Cursor, Windsurf oder Claude Code kommen alle infrage.
- Wählen Sie einen vorgefertigten Server aus dem offiziellen Repository oder einer Registry (Dateisystem, GitHub und Postgres sind gute erste Wahlen).
- Fügen Sie ihn der Konfiguration des Hosts hinzu – typischerweise ein kleiner JSON-Eintrag, der den Befehl zum Starten des Servers und die benötigten Zugangsdaten benennt. Lokal laufen Server über stdio (der Host startet den Prozess direkt); Remote-Server nutzen HTTP, sodass sie in der Cloud liegen können.
- Starten Sie den Host neu und prüfen Sie die Tool-Liste – hat sich der Server registriert, tauchen seine Tools auf und das Modell kann sie aufrufen.
- Genehmigen Sie die ersten Aufrufe manuell, damit Sie genau sehen, was er tut, bevor Sie ihm vertrauen.
Einen eigenen zu bauen ist ein Schritt weiter, aber kein großer: Die offiziellen SDKs (TypeScript, Python und weitere) erlauben es Ihnen, ein Tool, sein Eingabeschema und eine Handler-Funktion zu deklarieren, während die Protokollschicht Discovery und Transport übernimmt. Wenn Sie einen API-Endpunkt schreiben können, können Sie auch ein Tool schreiben.
Die Sicherheitsrisiken, die die meisten Leitfäden auslassen
Hier kommt der Abschnitt, den die Erklärstücke der Anbieter gern überspringen. Einem Modell die Fähigkeit zu geben, auf Ihren Systemen zu handeln, ist genau so gefährlich, wie es klingt, und die Bequemlichkeit von MCP ist ein zweischneidiges Schwert. Ein Scan der Sicherheitsfirma Equixly vom März 2025 ergab, dass 43 % der getesteten MCP-Server-Implementierungen Schwachstellen für Command Injection aufwiesen, 22 % Path Traversal zuließen und 30 % Server-Side Request Forgery ermöglichten – bei einem Protokoll, das standardmäßig keinerlei Authentifizierung verwendet. Der charakteristische, MCP-spezifische Angriff ist Tool Poisoning: Ein bösartiger Server liefert ein Tool aus, dessen Beschreibung oder Ausgabe Anweisungen verbirgt, die das Modell dann als vertrauenswürdig behandelt – eine Form der indirekten Prompt Injection. Weil das Modell Tool-Beschreibungen in verständlicher Sprache liest, um zu entscheiden, was es verwendet, ist dieser Text eine Angriffsfläche.
Drei Schutzmaßnahmen zählen am meisten. Installieren Sie nur Server, denen Sie vertrauen, und lesen Sie nach, was ihre Tools tatsächlich tun. Behalten Sie bei allem Zerstörerischen oder Unumkehrbaren einen Menschen im Entscheidungsprozess – was die Spezifikation ausdrücklich empfiehlt. Und nutzen Sie auf der Server-Seite eine ordentliche Authentifizierung, validieren Sie jede Eingabe und geben Sie jedem Server die engsten Berechtigungen, die er braucht, statt breiten Zugriff auf alles. Bequemlichkeit ist kein Grund, die langweiligen Kontrollen zu überspringen.
Wohin sich MCP 2026 entwickelt
Was als Standard eines einzelnen Unternehmens begann, ist heute der Standard der Branche. OpenAI übernahm MCP im März 2025 in seinen Produkten, einschließlich der ChatGPT-Desktop-App, und Google fügte im Laufe des Jahres 2025 Unterstützung für seine eigenen Dienste hinzu. Im Dezember 2025 übergab Anthropic MCP an ein Projekt der Linux Foundation, das gemeinsam mit Block und OpenAI gegründet wurde, und nahm es damit aus der Hand eines einzelnen Anbieters. Die Verbreitungszahlen untermauern den Hype: Zum Zeitpunkt des Ökosystem-Updates von Anthropic im Dezember 2025 hatte MCP die Marke von 97 Millionen monatlichen SDK-Downloads über Python und TypeScript überschritten, bei mehr als 10.000 aktiven öffentlichen Servern. Ein Vorbehalt, den man im Hinterkopf behalten sollte: Forschung und Praktiker weisen darauf hin, dass die Bereitstellung von zu vielen Tools für ein Modell dessen Fähigkeit beeinträchtigt, das richtige auszuwählen – mehr Server sind also nicht automatisch besser. Das erfolgreiche Setup im Jahr 2026 ist eine kleine Auswahl vertrauenswürdiger, klar abgegrenzter Server, keine Kramschublade voll davon.
Häufig gestellte Fragen
Nutzt ChatGPT MCP?
Ja. OpenAI übernahm das Model Context Protocol im Jahr 2025 und unterstützt es produktübergreifend, einschließlich der ChatGPT-Desktop-App, sodass ChatGPT sich ähnlich wie Claude und Cursor mit MCP-Servern verbinden kann. MCP ist bewusst modellunabhängig, was ein wesentlicher Grund für seine rasche Verbreitung ist.
Was ist der Unterschied zwischen REST und MCP?
REST ist ein Stil zum Bau von Web-APIs, die von menschlich geschriebenem Code an festen Endpunkten aufgerufen werden. MCP ist ein Protokoll, das dafür entworfen wurde, dass KI-Modelle zur Laufzeit Tools entdecken und aufrufen – in verständlicher Sprache und mit menschlicher Freigabe. Ein MCP-Server umhüllt darunter oft eine REST-API, sodass sie sich ergänzen, statt zu konkurrieren.
Ist MCP einfach nur JSON?
Nicht ganz. MCP verwendet JSON-RPC 2.0 für seine Nachrichten, sodass das Übertragungsformat JSON ist – doch das Protokoll besteht aus dem Regelwerk darüber: wie Tools, Resources und Prompts beschrieben, entdeckt und aufgerufen werden und wie Host, Client und Server miteinander sprechen. Das JSON ist der Umschlag, nicht der Standard.
Was ist der Unterschied zwischen einer API und einem MCP-Server?
Eine API stellt Endpunkte bereit, die Entwickler durch das Schreiben von Code integrieren. Ein MCP-Server stellt Tools, Resources und Prompts bereit, die ein KI-Modell selbstständig entdeckt und nutzt – idealerweise mit einem Menschen, der sensible Aktionen genehmigt. In der Praxis ist ein MCP-Server eine dünne, KI-freundliche Schicht über einer oder mehreren APIs.
Quellen
- Anthropic — Introducing the Model Context Protocol: Veröffentlichungsdatum (25. Nov. 2024), das M-x-N-Integrationsproblem und die frühen Anwender.
- Model Context Protocol — Understanding MCP servers: die Primitive Tools, Resources und Prompts, wer sie jeweils steuert und wie Discovery funktioniert.
- Wikipedia — Model Context Protocol: der zeitliche Ablauf der Übernahme durch OpenAI und Google sowie die Übergabe an die Linux Foundation.
- DigitalApplied — MCP Adoption Statistics 2026: die über 97 Mio. monatlichen SDK-Downloads und über 10.000 Server aus dem Update von Anthropic vom Dezember 2025.
- Equixly — MCP Servers: The New Security Nightmare: der Scan vom März 2025, der Quoten von 43 % Command Injection, 22 % Path Traversal und 30 % SSRF meldet.
- OWASP — MCP Tool Poisoning: der Angriff durch Tool Poisoning bzw. indirekte Prompt Injection.
Waqas Ahmed Waseer
Waqas Ahmed Waseer ist Entwickler und Automation-Builder mit über 8 Jahren Erfahrung im Aufbau von Produktivsystemen, die von mehr als 100.000 Menschen genutzt werden. Er baut individuelle Multi-Tenant-SaaS, KI-Automatisierung (n8n, LLM-Workflows, WhatsApp-Bots) und Hosting-Infrastruktur (WHM/cPanel, CloudLinux) — und ist der Macher von WaSphere, FlowMaticX und der Hosting-Marke WaseerHost. Über 100 Projekte für KMU, Agenturen und finanzierte Start-ups umgesetzt.
