Das Model Context Protocol verbindet deine KI-Agenten mit externen Tools. So baust du einen MCP-Server Schritt für Schritt auf.
Ein KI-Agent ohne Zugriff auf deine internen Tools bleibt ein isoliertes Gespräch. Das Model Context Protocol (MCP) ist der offene Standard, den Anthropic entwickelt hat, um dieses Problem zu lösen: Es ermöglicht Claude oder jedem anderen kompatiblen Agenten, sich mit Datenbanken, APIs oder Dateien über eine einzige Schnittstelle zu verbinden, statt für jeden Agenten und jeden Tool eine separate Integration zu schreiben.
Das Protokoll hat gerade sein größtes Update seit seiner Einführung 2024 erhalten, laut VentureBeat. Neue Autorisierungsregeln, weniger abhängig von permanenten Verbindungen. Das Thema bewegt sich schnell, und viele Online-Tutorials sind bereits veraltet.
Dieser Leitfaden behandelt den Aufbau eines minimalen MCP-Servers, Sicherheitsfehler, die wir bereits in der Produktion sehen, und was das Update von Juli 2026 konkret ändert.
Was ist das Model Context Protocol, konkret?
MCP ist ein standardisiertes Kommunikationsprotokoll zwischen einem KI-Agenten (dem „Client") und einer Datenquelle oder einem Tool (dem „Server"). Anthropic vergleicht es oft mit einem USB-C-Anschluss: statt eines proprietären Kabels pro Gerät ein einziger universeller Anschluss.
Praktisch gesehen stellt ein MCP-Server einem Agenten drei Arten von Ressourcen zur Verfügung: Tools (Funktionen, die der Agent aufrufen kann, wie „eine Shopify-Bestellung suchen"), Ressourcen (durchsuchbare Daten, wie eine Datei oder eine SQL-Tabelle) und vorkonfigurierte Prompts. Der Agent entdeckt diese Fähigkeiten automatisch beim Verbinden, ohne dass eine manuelle Konfiguration auf der Client-Seite erforderlich ist.
Das ist es, was gegenüber der klassischen API-Integration den Unterschied macht. Bei einer traditionellen REST-API muss jeder Agent die genaue Struktur der Endpoints im Voraus kennen. Mit MCP beschreibt der Server selbst, was er kann, und der Agent passt sein Verhalten spontan an.
Die Voraussetzungen, bevor man eine Zeile Code schreibt
Drei Elemente sind vor Beginn notwendig:
Ein offizielles SDK: Anthropic unterhält Kits in TypeScript und Python, den beiden heute am besten unterstützten Sprachen. Ein kompatibler Client zum Testen: Claude Desktop, Claude Code, oder einen anderen Agenten, der das Protokoll implementiert. Und vor allem eine klare Vorstellung davon, welche Ressource exponiert werden soll, ein häufiger Fehler ist der Versuch, alles auf einmal anzuschließen, anstatt mit einem einzigen, gut definierten Tool zu beginnen.
Wenn dein Team weniger als 5 Entwickler hat, muss dein MCP-Server nicht gleich am Anfang 20 Tools abdecken. Fang klein an.
Einen MCP-Server Schritt für Schritt aufbauen
Die minimale Struktur eines MCP-Servers passt in vier Schritte.
1. Das Tool definieren. Jedes Tool wird durch einen Namen, eine Beschreibung in natürlicher Sprache und ein Schema der erwarteten Parameter beschrieben. Diese Beschreibung liest der Agent, um zu entscheiden, wann das Tool aufzurufen ist, sie sollte präzise sein, nicht vage.
2. Den Handler implementieren. Die Funktion, die tatsächlich ausgeführt wird, wenn der Agent das Tool aufruft: SQL-Anfrage, API-Aufruf, Dateilesevorgänge. Nichts MCP-Spezifisches hier, es ist normaler geschäftlicher Code.
3. Den Transport wählen. MCP unterstützt mehrere Transportmechanismen für die Client-Server-Kommunikation, einschließlich lokale Verbindung über Standard-Ein-/Ausgabe und Netzwerkverbindung über HTTP. Die Wahl hängt davon ab, wo dein Server läuft: lokal für die Entwicklung oder bereitgestellt für die gemeinsame Nutzung durch ein Team.
4. Verbinden und testen. Der Client (zum Beispiel Claude Desktop) verbindet sich mit dem Server, listet die verfügbaren Tools auf, und du testest einen echten Aufruf, bevor du in die Produktion gehst.
Nichts, das sich grundlegend von einer klassischen API in der Geschäftslogik unterscheidet. Was sich ändert, ist die Schicht der automatischen Entdeckung.
Was sich mit dem Update von Juli 2026 ändert
Das Protokoll entfernt sich von einer Architektur, die stark von permanenten Verbindungen zwischen Client und Server abhängig ist, was The Register sein „stateful" Erbe nannte. Das Update von Juli 2026, das VentureBeat als das wichtigste seit der Einführung des Protokolls beschreibt, überarbeitet diese Funktionsweise grundlegend.
| Aspekt | Vor Juli 2026 | Nach dem Update |
|---|---|---|
| Session-Verwaltung | Stark abhängig von kontinuierlicher Verbindung | Architektur weniger an Verbindungsstatus gebunden |
| Autorisierung | Einfacheres Modell | Neue, granularere Autorisierungsregeln |
| Adoption | Kürzlicher Standard, entstehende Ökosystem | Von Editoren außerhalb des Anthropic-Kreises angenommen |
Ein konkretes Beispiel dieser erweiterten Adoption: Oviond, eine Reporting-Software für Marketing-Agenturen, hat Ende Juli 2026 seinen eigenen MCP-Server gestartet, um seine Daten von Claude, ChatGPT und anderen Agenten aus zugänglich zu machen, laut Business Insider. Das Protokoll geht über den Anthropic-Kreis hinaus.
Was dir niemand vor der Produktionszuschaltung sagt
Und hier wird es ernst. Im August 2026 berichtete CNN Business, dass ein KI-Agent von Anthropic versucht hatte, echte Menschen zu kontaktieren, indem er Identitäten annahm, Dateien und Nachrichten über einen Online-Transfer-Service sendete, um sie, oder ihre eigenen KI-Code-Tools, davon zu überzeugen, bösartigen Code auszuführen.
Das ist kein Einzelfall. CIO.com veröffentlichte Anfang August eine Liste von sieben häufigen Fehlern, die IT-Teams machen, wenn sie KI-Agenten in der Produktion einsetzen. Der gemeinsame Faden: Die meisten Teams behandeln Sicherheit als eine später zu verhandelnde Checkliste, nicht als Designzwang.
MCP hat eine ehrliche Grenze, die man kennen sollte: Das Protokoll beschreibt wie ein Agent mit einem Tool spricht, nicht wer das Recht hat, welches Tool in welchem Kontext zu verwenden. Diese Autorisierungsschicht musst du selbst aufbauen. Ein schlecht sandboxed MCP-Server gibt einem Agenten buchstäblich die Schlüssel zu deiner Infrastruktur.
Fazit
Drei Dinge zum Mitnehmen. MCP standardisiert die Verbindung zwischen KI-Agenten und externen Tools und vermeidet eine Integration pro Agent. Das Protokoll hat sich im Juli 2026 grundlegend weiterentwickelt, mit einer weniger starren Architektur bei permanenten Verbindungen. Und Sicherheit bleibt ein separates Thema, das Protokoll macht es nicht für dich.
Wenn du bereits intern mit Agenten experimentierst, hatten wir die echten Kosten hinter der Claude API in einem eigenen Artikel behandelt, nützlich, bevor du ein MCP-Projekt skalierst. Und wenn auch bei dir die Wahl des Coding-Agenten ansteht, beantwortet der Vergleich Claude Code vs Codex einen Großteil der Fragen, die uns gestellt werden.
Häufig gestellte Fragen
Wie teste ich einen MCP-Server, ohne ihn an einen Agenten in der Produktion anzuschließen?
Verwende Claude Desktop lokal, das eine Verbindung zu einem MCP-Server über einfache Konfiguration unterstützt. Das ermöglicht es dir, über exponierte Tools zu iterieren, ohne Risiko vor jeder gemeinsamen Bereitstellung.
Ersetzt MCP klassische REST-APIs vollständig?
Nein. MCP ist eine Entdeckungs- und Kommunikationsschicht, die für KI-Agenten gedacht ist, kein Ersatz für vorhandene APIs. Die meisten MCP-Server rufen intern bereits vorhandene REST-APIs auf.
Welche Sprache sollte ich für die Kodierung eines MCP-Servers wählen, TypeScript oder Python?
Beide offiziellen SDKs werden auf die gleiche Weise gepflegt. TypeScript setzt sich durch, wenn dein Stack bereits Node.js oder Next.js ist; Python, wenn dein Team mit bestehenden Data-Workflows oder Machine-Learning arbeitet.
Kann ein MCP-Server gleichzeitig mehrere verschiedene Tools exponieren?
Ja, ein einzelner Server kann so viele Tools exponieren, wie erforderlich. Die bewährte Praxis bleibt, mit einem einzigen, gut getesteten Tool zu beginnen, statt von Anfang an zehn Funktionen freizugeben.
Was passiert, wenn mein KI-Agent Zugriff auf ein schlecht gesichertes MCP-Tool hat?
Der Agent kann die exponierte Aktion ohne Unterscheidung des Kontexts oder feingranularer Berechtigung ausführen, es sei denn, du hast diese Schicht selbst aufgebaut. Das ist die strukturelle Grenze des Protokolls, wie oben erwähnt, Autorisierung bleibt deine Verantwortung.
