MCP in der Praxis: wie Sie KI an Ihre Unternehmenssysteme anbinden

Was ist MCP, und was löst es tatsächlich?

MCP, das Model Context Protocol, ist ein offenes Protokoll. Es beschreibt in einheitlicher Form, welche Werkzeuge und Datenquellen ein KI-Agent erreichen kann. Der Nutzen ist organisatorisch: Sie schreiben die Anbindung einmal, danach kann jedes Modell und jedes Agenten-Framework sie verwenden. Berechtigungen und Datenqualität bleiben davon unberührt.

Der Ausgangspunkt ist eine Rechenaufgabe. Wer vier Modelle an fünf interne Systeme bindet, pflegt zwanzig Anbindungen. Wer vor jedes System einen MCP-Server stellt, pflegt neun: fünf Server und vier Client-Konfigurationen. Das ist das ganze Versprechen. Wenig, aber auch nicht nichts, denn jede dieser zwanzig Anbindungen trüge eine eigene Authentifizierung, eine eigene Fehlerbehandlung und eine eigene Protokollierung.

Anthropic hat MCP im November 2024 veröffentlicht, im Dezember 2025 ging es an die Agentic AI Foundation unter dem Dach der Linux Foundation. Die Governance ist damit herstellerneutral. Ich halte das für relevant, aber nicht für abgeschlossen. Ein Jahr neutrale Verwaltung macht aus einem Protokoll noch keinen Standard in dem Sinn, in dem SQL oder HTTP Standards sind. Wer heute auf MCP baut, sollte so bauen, dass die Fachlogik hinter dem Server auch ohne das Protokoll brauchbar bleibt.

Warum ist die Anbindung von KI an Unternehmenssysteme klassisch so aufwendig?

Drei Gründe wiederholen sich. Jede Anbindung ist ein Einzelstück, weil jedes Modell und jedes Framework Werkzeuge anders beschreibt. Die Rechte des angemeldeten Nutzers gehen nicht auf den Agenten über, da dieser meist unter einem eigenen technischen Konto läuft. Und es fehlt eine durchgängige Protokollspur, wer welchen Vorgang über die Maschine ausgelöst hat.

Jede Anbindung ist ein Einzelstück

Eine Werkzeugdefinition allein ist nicht kompliziert. Der Aufwand entsteht daneben: Authentifizierung, Umgang mit Rate Limits, Wiederholungen, Übersetzung von Fehlermeldungen, Versionierung der Schemata. Das alles wird in jeder Anbindung neu geschrieben, jedes Mal etwas anders. Ein Jahr später kann niemand mehr sagen, welche der sechs Partnersuchen nach Geschäftsbereich filtert und welche nicht.

Berechtigungen gehen nicht über

Diesen Punkt unterschätzen die meisten. In Ihren Fachsystemen ist über Jahre ein Berechtigungsmodell gewachsen, und der Agent geht mit einem technischen Konto daran vorbei. Ab da schützt die Chat-Oberfläche den Zugriff, und das ist kein Zugriffsschutz. Die OWASP-Liste für LLM-Risiken formuliert es klar: Der System-Prompt ist weder ein Geheimnis noch eine Sicherheitskontrolle, Autorisierung gehört in ein deterministisches System.

Es fehlt die Protokollspur

Steht im Log, dass der Integrationsnutzer einen Datensatz geändert hat, haben Sie im Streitfall nichts vorzulegen. Sie brauchen die Kennung der handelnden Person, den Namen des aufgerufenen Werkzeugs, die Parameter, die Antwort und die Modellversion. Von der Compliance abgesehen hängt daran auch die Fehlersuche, denn anders lässt sich der Ablauf nicht rekonstruieren.

Für den deutschen Markt kommt eine Zahl dazu, die den Bedarf gut beschreibt. Bitkom berichtete am 11.03.2026 aus einer telefonischen Befragung von 604 Unternehmen ab 20 Beschäftigten, dass 32 % das Potenzial ihrer vorhandenen Daten ausschöpfen und 61 % kaum oder gar nicht. Diese 61 % sind der Fall, für den eine Integrationsschicht überhaupt gebaut wird.

Wie funktioniert ein MCP-Server in der Praxis?

Der Agent ist der Client, der Prozess vor dem Fachsystem ist der Server. Ein Server veröffentlicht drei Arten von Dingen: Werkzeuge (ausführbare Vorgänge mit JSON-Schema), Ressourcen (lesbare Inhalte mit URI) und Prompts (serverseitige Vorlagen). Das Modell liest die Werkzeugbeschreibungen und entscheidet daraus, was es aufruft.

Eine Werkzeugbeschreibung ist damit Teil des Prompts, keine Dokumentation. Technisch ist ein Werkzeug eine Funktion mit Namen, Eingabeschema und einer Beschreibung in natürlicher Sprache. Das Schema sorgt dafür, dass das Modell keinen freien Text erzeugt, sondern einen auswertbaren Aufruf. So sieht ein bewusst eng geschnittenes Lesewerkzeug vor einem ERP aus:

{
  "name": "bestand_abfragen",
  "description": "Gibt den aktuell freien Bestand einer Artikelnummer in einem Lager zurueck. Liefert nur Lager, fuer die der aufrufende Nutzer berechtigt ist. Gibt keine Preise und keine Partnerdaten zurueck.",
  "inputSchema": {
    "type": "object",
    "properties": {
      "artikelnummer": { "type": "string", "pattern": "^[A-Z0-9-]{3,24}$" },
      "lager_code": { "type": "string", "enum": ["HAM01", "MUC01", "BUD01"] }
    },
    "required": ["artikelnummer"],
    "additionalProperties": false
  }
}

Vier Dinge daran sind Absicht. Der Name benennt einen fachlichen Vorgang, keinen Tabellenzugriff. Die Beschreibung sagt auch, was das Werkzeug nicht zurückgibt. Das Schema grenzt die Eingabe über Regex und Enum ein, das Modell kann also keine beliebigen Werte senden. Und additionalProperties: false verhindert, dass ein kreativ formulierter Aufruf zusätzliche Felder einschmuggelt.

Werkzeug, Ressource oder Prompt: was wann

Die drei Primitive zu vermischen ist der häufigste Entwurfsfehler. Ein Werkzeug tut etwas, eine Ressource ist lesbarer Inhalt, ein Prompt ist eine auf dem Server abgelegte Vorlage. Wer alles zum Werkzeug macht, zwingt das Modell für jede Kleinigkeit zu einem Aufruf. Die Zahl der Aufrufe treibt Kosten und Latenz.

Was die Spezifikation vom 28.07.2026 gebracht hat

Die Roadmap für 2026 behandelt Audit Trail, SSO-Anbindung und Gateway-Verhalten ausdrücklich als Erweiterungen und nicht als Teil des Protokollkerns. Von den Maintainern ist das eine ehrliche Position. Für Sie heißt es, dass ein Teil Ihrer Anforderungen weiterhin selbst gebaut werden muss.

Welche Werkzeuge sollte ein MCP-Server vor einem ERP freigeben?

Wenige, einzeln benannt, mit scharfer Trennung von Lesen und Schreiben. Praktisch bewährt sich der Betrieb von zwei Servern: ein lesender, den ein breiter Kreis nutzt, und ein schreibender mit wenigen Vorgängen, eigener Authentifizierung und Freigabeschritt. Ein Werkzeug ist immer ein fachlicher Vorgang, nie ein roher Datenbankzugriff.

Vier Regeln, die langfristig zählen

1. Ein Werkzeug bildet einen fachlichen Vorgang ab. Heißt es wie eine Tabelle oder ein technisches Objekt, stimmt die Ebene nicht, und das Modell muss Fachwissen ergänzen, über das es nicht verfügt.
2. Der Rückgabewert bleibt schmal. Geben Sie nicht den ganzen Datensatz zurück, sondern die benötigten Felder. Das ist gleichzeitig eine Kosten- und eine Datenschutzfrage.
3. Es gibt keinen universellen Notausgang. Ein einziges execute oder run_query hebt jede andere Einschränkung wieder auf.
4. Halten Sie die Zahl der Werkzeuge niedrig. Jede Beschreibung landet bei jedem Aufruf im Prompt. Bei sechzig Werkzeugen bezahlen Sie diese Beschreibungen bei jeder einzelnen Frage.

Bewegt eine Aufgabe viele Zwischendaten, lohnt der Blick auf das Muster der Codeausführung: Statt einzelne Werkzeugaufrufe zu ketten, schreibt der Agent Code, der die MCP-Server als API nutzt, und die Filterung passiert in der Sandbox. In der Messung von Anthropic fiel eine Kopieraufgabe von Drive nach Salesforce so von 150.000 auf 2.000 Token. Das passt nicht zu jeder Aufgabe. Beim Datentransport ist der Unterschied eine Größenordnung.

Wie erbt der Agent die Berechtigungen des angemeldeten Nutzers?

Indem der Werkzeugaufruf unter der Identität des Endnutzers läuft und nicht unter einem gemeinsamen technischen Konto. Praktisch reichen Sie das Token des angemeldeten Nutzers an das Backend durch, on-behalf-of. Ohne das fällt Ihr Berechtigungsmodell aus der Betrachtung, und der Agent wird zum am höchsten privilegierten Nutzer im Haus.

Sehen Sie sich die Dienstkonto-Falle genau an. Der Agent liest mit einem technischen Konto, das überall Rechte hat, weil das der schnellste Start war. Ab da schützt die Finanzdaten der Umstand, dass das Marketing nicht weiß, wonach es fragen müsste. Das ist keine Kontrolle. Und im Audit-Log steht, dass der Integrationsnutzer den Partnerstamm abgefragt hat, was in einer Untersuchung nach einer Datenschutzverletzung nichts wert ist.

Der Sicherheitsteil, den Ihr Kunde im Termin ansprechen wird

Zu Recht. Werkzeugbeschreibungen liest das Modell selbst, also lassen sich versteckte Anweisungen darin platzieren. Das ist Tool Poisoning. Die Arbeit von 2026 zum MCPTox-Benchmark fand bei den meisten der sieben untersuchten MCP-Clients unzureichende statische Prüfung. Zusätzlich erlaubten nicht authentifizierte Instanzen des MCP Inspector beliebige Befehlsausführung (CVE-2025-49596, CVSS 9,4).

Die Abwehr ist architektonisch und keine Inhaltsfilterung. Simon Willison beschreibt es so: Ein Agent wird ausnutzbar, sobald drei Fähigkeiten gleichzeitig vorliegen. Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigem Inhalt, und die Möglichkeit, nach außen zu kommunizieren. Nehmen Sie ein Bein weg, schließt sich der Angriff nicht. Schreibende und nach außen sendende Werkzeuge gehören deshalb in einen Agenten, der weder eingehende E-Mails noch Webinhalte liest.

Ein Punkt, der in deutschen Ausschreibungen früh kommt: Reicht Ihr MCP-Server personenbezogene Daten an ein Modell weiter, ist das Auftragsverarbeitung. Art. 28 DSGVO verlangt dafür einen Auftragsverarbeitungsvertrag samt Regelung der Unterauftragsverarbeiter. Die Liste der Modellanbieter und Hoster hinter Ihrem Server ist also zuerst eine Vertragsfrage und erst danach eine Architekturfrage. Als ungarisches EU-Unternehmen arbeiten wir dabei ohne Drittlandtransfer, Standardvertragsklauseln entfallen.

Wann darf ein KI-Agent in ein Produktivsystem schreiben?

Wenn der Vorgang eng definiert ist, seine Wirkung messbar bleibt und fünf Kontrollen zusammen greifen: menschliche Freigabe bei nicht umkehrbaren Schritten, im Code hinterlegte Betrags- und Mengengrenzen, ein widerrufbarer Zwischenstand, ein Idempotenzschlüssel je Aufruf und ein vollständiges Audit-Log. Fehlt eine davon, bleibt der Agent lesend.

Idempotenz: die billigste Kontrolle, und die am häufigsten fehlende

Agenten laufen in Schleifen, und Schleifen wiederholen. Verliert das Netz die Antwort nach einem erfolgreichen Schreibvorgang, startet die nächste Runde denselben Vorgang erneut. Jedes schreibende Werkzeug bekommt deshalb einen vom Client erzeugten Schlüssel, und der Server liefert auf denselben Schlüssel das erste Ergebnis zurück, ohne einen neuen Datensatz anzulegen. Sonst stehen irgendwann zwei identische Lieferscheine im System, ohne klare Zuordnung zum Lauf.

Freigabe: wo sie tatsächlich stattfindet

Auf Protokollebene liefert sie der MRTR-Mechanismus der Spezifikation vom 28.07.2026: Der Server antwortet mit input_required, der Client setzt mit der Freigabe fort, ohne eine Verbindung offen zu halten. Auf Framework-Ebene leistet das Paar aus interrupt() und Command(resume=...) in LangGraph dasselbe mit einem dauerhaften Checkpoint, die Freigabe kann also am nächsten Tag eintreffen. Entscheidend ist, dass die Freigabe im Code erzwungen und nicht im Prompt erbeten wird.

Halten Sie den Inhalt des Audit-Logs fest: wer ausgelöst hat, welches Werkzeug lief, mit welchen Parametern, was zurückkam, welches Modell und welche Prompt-Version entschieden haben. Tracing-Werkzeuge liefern das je Lauf, über die Auswahl haben wir im Vergleich von Langfuse und LangSmith geschrieben. Für alles, was Kunden erreicht, gilt zusätzlich: Die Transparenzpflichten nach Art. 50 der KI-Verordnung greifen seit dem 02.08.2026, Sie müssen also offenlegen, wenn eine KI antwortet.

Was tun, wenn das System keine brauchbare Schnittstelle hat?

Für Lesezugriffe bauen Sie eine Read-Replica, und der Server liest Sichten statt Tabellen. Für Schreibzugriffe nutzen Sie die Importfunktion des Herstellers über einen Dateiaustausch, damit die Validierung im ERP bleibt. RPA ist die letzte Möglichkeit und nicht die erste Idee. Bei älterer Warenwirtschaft mit Windows-Client ist die Datenbank oft der einzige Einstiegspunkt.

Die Sicht ist hier der Vertrag. Liest der MCP-Server direkt Tabellen, erklären Sie sich nach dem ersten ERP-Update. Liest er über Sichten, wird die Definition der Sicht zu der Schnittstelle, die Sie versionieren, testen und dokumentieren. Für den dateibasierten Weg gilt dasselbe: Das Dateiformat ist der Vertrag, und das Ergebnis der Verarbeitung muss zurücklesbar sein, sonst arbeitet der Agent blind.

Zu RPA ist meine Meinung deutlich: Es funktioniert, und es bricht um zwei Uhr nachts als Erstes, ohne jeden Schutz gegen Dopplungen bei einer Wiederholung. Bleibt es die einzige Option, geben Sie ihm einen eigenen Agenten, ein Tageslimit und einen Screenshot jedes Laufs im Protokoll. Migration und Parallelbetrieb haben wir auf der Seite zur Systemintegration ausführlicher beschrieben.

Was kostet eine MCP-Schicht, und was muss betrieben werden?

Der Aufbau liegt in unserem Band für Prozessautomatisierung: eine Mehrsystem-Integration mit Fehlerbehandlung bei 1.400 bis 6.900 EUR, eine komplexe KI-gesteuerte Automatisierung mit Freigabeprozess bei 6.900 bis 27.500 EUR, der Betrieb bei 80 bis 410 EUR im Monat. Grundlage ist unsere Preisliste in Forint, umgerechnet mit 363,28 HUF je Euro (MNB, 14.08.2026). Die Euro-Angaben sind Richtwerte.

Im Betrieb überraschen zwei Posten. Der eine ist die Schemaänderung im Backend, die sich nie vorher ankündigt. Der andere ist die Kostenkontrolle: Eine Monatsobergrenze schützt nicht, weil sie im Nachhinein greift und der teure Lauf längst durch ist. Sie brauchen eine Obergrenze je Lauf in Token oder Euro, in Echtzeit, dazu ein Schrittlimit und ein Timeout. TechCrunch berichtete im Juni 2026, dass Uber sein Jahresbudget für KI-gestütztes Programmieren bereits im April aufgebraucht hatte. Das ist kein MCP-Problem, es zeigt aber, wie schnell ein in Schleifen laufendes System davonläuft.

Wann brauchen Sie kein MCP?

Wenn Sie ein System an einen Agenten binden und die Verzweigungen des Prozesses vorher zeichenbar sind, ist MCP eine Schicht zu viel. Ein direkter API-Client hat weniger bewegliche Teile. MCP beginnt sich zu rechnen, sobald mehrere Verbraucher dieselben Daten nutzen oder Modellunabhängigkeit und zentrale Protokollierung zur Anforderung werden.

Es lohnt sich, die Zahlen danebenzulegen. Gartner prognostizierte am 25.06.2025, dass bis Ende 2027 mehr als 40 % der agentenbasierten KI-Projekte abgebrochen werden, typischerweise wegen Kosten, unklarem Geschäftsnutzen oder unzureichendem Risikomanagement. Die Erhebung von MIT Project NANDA aus dem Sommer 2025 fand, dass 95 % der generativen KI-Pilotprojekte in Unternehmen keine messbare Wirkung auf die Gewinn- und Verlustrechnung hatten. Dieselbe Untersuchung maß eine Erfolgsquote von 67 %, wenn interne Fachleute und ein externer Partner zusammenarbeiteten, gegenüber 22 % bei Projekten, die allein die interne IT gebaut hat.

Für mich folgt daraus, dass sich die Frage nach der Integrationsschicht nicht isoliert entscheiden lässt. Ohne messbares Ziel und ohne Messung ist die Protokollwahl Ihre kleinste Sorge. Über die Wahl zwischen Agent, Chatbot und Workflow haben wir im Vergleich von Agent, Chatbot, RPA und n8n geschrieben, über die Schritte der Einführung in KI-Integration in Bestandssysteme.

Zusammenfassung und häufige Fragen

Wenn Sie ein ERP oder ein CRM betreiben und gerade abwägen, was ein Agent darauf tun darf: Auf unserer Seite zur Prozessautomatisierung steht, wie wir so etwas üblicherweise aufbauen, und die Preisliste zeigt die Bänder ohne Registrierung. Ein Gespräch von 30 Minuten reicht meist, um zu klären, ob bei Ihnen eine MCP-Schicht oder ein direkter API-Client die richtige Antwort ist.

Quellen

• Model Context Protocol: Spezifikationsrelease vom 28.07.2026 (zustandsloser Kern, MRTR, Header-Routing, EMA)
• Model Context Protocol: Roadmap 2026 und Governance (Agentic AI Foundation, Linux Foundation)
• Anthropic: Code execution with MCP, von 150.000 auf 2.000 Token (04.11.2025)
• Anthropic: Building Effective Agents, die Wahl zwischen Workflow und Agent (19.12.2024)
• MCPTox: Benchmark für Tool Poisoning bei MCP-Clients (arXiv 2603.22489)
• Überblick zur MCP-Sicherheit, CVE-2025-49596 (CVSS 9,4)
• Simon Willison: the lethal trifecta (16.06.2025)
• OWASP LLM01:2025 Prompt Injection: der System-Prompt ist keine Sicherheitskontrolle
• § 14 UStG: Begriff der elektronischen Rechnung, europäische Norm zur Richtlinie 2014/55/EU
• § 27 Abs. 38 UStG: Übergangsregelungen zur Ausstellung bis 31.12.2026 bzw. 31.12.2027
• Art. 28 DSGVO: Auftragsverarbeiter und die Pflichtinhalte des AVV
• Bitkom, 11.03.2026: Befragung von 604 Unternehmen ab 20 Beschäftigten, Datenpotenzial und KI-Nutzung
• Langfuse-Preisliste: Eigenbetrieb unter MIT-Lizenz, Core 29 USD im Monat
• LangSmith-Preisliste: Plus 39 USD je Nutzer und Monat, 14 Tage Basisaufbewahrung
• Anthropic-Preisliste: Claude Sonnet 5, Input 2 USD je 1 Mio. Token
• Gartner: mehr als 40 % der agentenbasierten KI-Projekte werden bis Ende 2027 abgebrochen (25.06.2025)
• MIT Project NANDA: The GenAI Divide, State of AI in Business (07/2025)
• TechCrunch: die Tokenrechnung kommt, mit den Beispielen Uber und Priceline (05.06.2026)
• Zusammenfassung der MCP-Adoptionszahlen, darin der Wert von 41 % von Stacklok (Sekundärquelle)
• EUR-Lex: Verordnung (EU) 2026/1744, Digital Omnibus on AI