Model Context Protocol (MCP): Definition, Aufbau und Bedeutung für KI-Agenten

Das Model Context Protocol (MCP) ist ein Open-Source Standard zur Anbindung von KI-Modellen an externe Datenquellen, Werkzeuge und IT-Systeme. Der Claude-Entwickler Anthropic hat MCP am 25. November 2024 unter Open-Source-Spezifikation veröffentlicht. Innerhalb von wenigen Monaten hat sich das Model Context Protocol zum De-facto-Industriestandard für Agent-Integrationen entwickelt, mit kräftiger Unterstützung durch Claude, Microsoft, OpenAI sowie Tausende von Community-MCP-Servern. Für Unternehmen entstehen aus dem MCP-Einsatz neue Pflichten in Datenschutz, Governance und IT-Sicherheit, die in klassischen GRC-Frameworks bisher nur unzureichend abgebildet sind.

Was MCP technisch leistet

MCP löst das sogenannte MxN-Integrationsproblem: Statt für jede Kombination aus KI-Modell und externem System eine eigene Schnittstelle (API zu entwickeln, definiert MCP ein einheitliches Kommunikationsprotokoll zwischen MCP-Clients (z. B. Claude Desktop, Cursor, Microsoft Copilot Studio) und MCP-Servern (Brücken zu Datenbanken, CRM, Kalender, Ticketsystemen, Dateiablagen oder sonstigen Cloud-Services). Anthropic vergleicht MCP gerne mit einem „USB-C-Anschluss für KI-Anwendungen“, also einem universellen Standard für beliebige Kontextquellen. Das wird deutlich, seitdem auch bekannte Anbieter wie die Tracking-Software Matomo eigene MCP-Konnektoren anbietet.

Architektur und Aufbau des Model Context Protocol

1. MCP-Client: Die KI-Anwendung, die Aktionen anstößt (z. B. ein LLM-gestützter Assistent)
2. MCP-Server: Die Brücke zu einem konkreten System (Datenbank, API, Dateisystem, Fachanwendung)
3. Resources: Statische und dynamische Daten, die ein Server bereitstellt
4. Tools: Beschreibt Aktionen, die der Server ausführen kann (Schreiben, Löschen, API-Calls)
5. Prompts: Allgemein vordefinierte Templates für strukturierte Interaktionen mit Large Language Models

Warum MCP eine GRC-Frage ist

Der entscheidende Unterschied zu klassischen APIs liegt in der Dynamik der Ausführung. Bei einer klassischen Integration, z.B. via REST-API, legt der Entwickler vorab fest, welche Aufrufe in welcher Reihenfolge stattfinden. Bei MCP entscheidet das KI-Modell zur Laufzeit selbst, welche Werkzeuge mit welchen Parametern aufgerufen werden – auf Grundlage des Prompts, der Tool-Metadaten und der Antworten anderer Systeme. Damit verschiebt sich die Sicherheitsarchitektur grundlegend: Statische Codeanalysen, festgelegte Aufrufgraphen und Pre-Deployment-Reviews greifen nur noch eingeschränkt. Etablierte AI-Governance-Frameworks wie NIST AI RMF und ISO/IEC 42001 decken die spezifischen Risiken aus MCP-Architekturen bisher nicht in der erforderlichen Tiefe ab.

Drei zentrale Risiken bei der Nutzung von MCP

1. Prompt Injection in Daten: Schädliche Anweisungen werden in scheinbar legitimen Inhalten versteckt (E-Mails, Tickets, Dokumente) und durch den Agenten unbeabsichtigt ausgeführt
2. Supply-Chain-Risiken: Kompromittierte oder manipulierte MCP-Server aus öffentlichen Registries gelangen ungeprüft in produktive Umgebungen
3. Confused-Deputy-Problem & Agent-Overreach: Der Agent führt Aktionen aus, die der Nutzer weder beabsichtigt noch autorisiert hat, weil das Modell sie für angemessen hält

Praxisrelevanz für Unternehmen

MCP entfaltet seine GRC-Wirkung über die gesamte Datenverarbeitungskette. Sobald ein externer MCP-Server personenbezogene Daten verarbeitet, liegt eine Auftragsverarbeitung im Sinne von Art. 28 DSGVO vor – mit entsprechender Vertragspflicht. Verlässt der Datenfluss den EWR, greifen die Anforderungen an Drittlandtransfers nach Art. 44 ff. DSGVO. Aus Sicht des EU AI Act ist MCP regelmäßig Bestandteil eines KI-Systems oder einer KI-Wertschöpfungskette; Betreiberpflichten zu Risikomanagement, technischer Dokumentation und menschlicher Aufsicht erstrecken sich entsprechend auf die genutzten MCP-Server. Für kritische Infrastrukturen kommt die NIS-2-Richtlinie hinzu.

Notwendige Kontrollen im Unternehmenseinsatz

• Inventarisierung aller eingesetzten MCP-Server (im Rahmen des KI-Inventars)
• Scoped Authorization: Nutzerspezifische Berechtigungen statt globaler Zugriffsrechte einführen
• Sandboxing: Ausführung von MCP-Integrationen in isolierten Containern (z.B. Docker) mit kontrollierten Ein- und Ausgaben
• Provenance Tracking: Lückenlose Nachvollziehbarkeit, wer welche Aktion über welchen Server ausgelöst hat
• Gateway-Architektur: Zentrale Policy-Durchsetzung, DLP und Anomalieerkennung an einem Punkt
• Private Registries: Freigegebene MCP-Server statt unkontrollierter Bezug aus Community-Quellen

Rechtliche Einordnung

Das Model Context Protocol selbst ist eine technische Spezifikation und kein Rechtsakt. Die rechtlichen Pflichten entstehen aus dem Einsatz von MCP-Architekturen im Unternehmen, also insbesondere durch die Integration von Sprachmodellen direkt in digitale Prozesse oder Systeme eines Unternehmens. Maßgeblich sind dabei insbesondere:

• DSGVO: Art. 28 (Auftragsverarbeitung), Art. 32 (TOMs), Art. 35 (DSFA), Art. 44 ff. (Drittlandtransfer)
• EU AI Act: Insbesondere Art. 4 (KI-Kompetenz für die Bedienenden), Art. 26 (Betreiberpflichten), Risikoklassifikation des Gesamtsystems
• NIS-2: bei Einsatz in kritischen oder besonders wichtigen Einrichtungen
• Sektorale Regulierung (KWG, VAG, MaRisk): Für Banken und Versicherungen mit eigenen Anforderungen an Auslagerung und IT-Risikomanagement

MCP als Bestandteil moderner KI-Governance

MCP-Architekturen lassen sich nicht isoliert steuern. Sie greifen ineinander mit dem KI-Inventar nach EU AI Act, der internen KI-Richtlinie und der allgemeinen KI-Governance des Unternehmens. Wer MCP-Server einsetzt, sollte sie in derselben Tiefe dokumentieren wie andere Hochrisikokomponenten – mit klarer Rollenzuweisung, Risikobewertung und Auditspur.

Beratung zu MCP-Architekturen durch Elsen GRC

Elsen GRC verbindet bei MCP-Fragestellungen eine selten anzutreffende Kombination: 14 Jahre Software-Entwicklungauf der einen, TÜV-zertifizierte Datenschutz- und KI-Governance-Expertise auf der anderen Seite. Wir analysieren bestehende und geplante MCP-Architekturen, klassifizieren MCP-Server im Rahmen des AI Act Readiness Scans, prüfen DSGVO-Konformität und Drittlandtransfers im Privacy QuickCheck und entwickeln im Rahmen der KI Governance Beratung tragfähige Kontrollstrukturen für den produktiven Einsatz.

➞ Jetzt unverbindliche Beratung zu MCP & KI-Governance anfordern

---

Quellen:

• Anthropic: Introducing the Model Context Protocol
• MCP-Spezifikation und MCP Git-Repo
• Errico, Ngiam, Sojan: „Securing the Model Context Protocol (MCP): Risks, Controls, and Governance“, arXiv 2511.20920 (November 2025)
• CoSAI Workstream 4: „Model Context Protocol Security – Threats and Patterns“
• kes: Informationssicherheit: „Model Context Protocol (MCP)“

Bild: © Alex wrong – Unsplash.com