Überall, wo über KI-Agenten gesprochen wird, taucht inzwischen die Abkürzung MCP auf. Dieser Beitrag konzentriert sich weniger auf die technischen Einzelheiten des Konzepts als auf die Frage, die ein Unternehmer stellen sollte: Was riskiere ich, wenn ich KI mit meinen Daten verbinde?
Was ist MCP?
Das Model Context Protocol (MCP) ist ein offenes Protokoll, das standardisiert, wie KI-Anwendungen sich mit externen Werkzeugen und Datenquellen verbinden. Anthropic hat das Protokoll am 26. November 2024 vorgestellt. Ende 2025 wurde es an die Agentic AI Foundation unter dem Dach der Linux Foundation übergeben. Heute unterstützen viele KI-Anwendungen MCP, darunter Claude und ChatGPT.
Die Logik ist einfach: Statt für jedes Werkzeug eine eigene Integration zu schreiben, verbindet sich die KI-Anwendung über MCP auf dieselbe Weise mit Ressourcen wie Kalender, CRM oder Dateiablage. So wie USB-C ein einziger Anschluss für unterschiedliche Geräte ist.
Was bedeutet das für ein Unternehmen?
Ein KI-Agent unterscheidet sich vom Chatbot dadurch, dass er in Ihrem Namen handeln kann. MCP erleichtert es, diese Handlungsfähigkeit einzurichten: Über die angebundenen Werkzeuge kann der Agent Termine anlegen, Einträge lesen und E-Mail-Entwürfe vorbereiten.
Wenn Sie n8n nutzen, hilft Ihnen das unmittelbar. Der MCP Server Trigger-Node in n8n stellt die Werkzeuge eines Workflows MCP-Clients zur Verfügung. Der MCP Client Tool-Node ermöglicht es einem KI-Agenten, Werkzeuge auf externen MCP-Servern zu nutzen.
Einfachere Verbindungen, wachsendes Risiko
Sobald Sie einem Modell Werkzeuge geben, kann ein Fehler aufhören, eine falsche Antwort zu sein, und zu einer echten Aktion werden. Die in Sicherheitsstudien hervorstechenden Risiken sind diese:
- Prompt Injection: Anweisungen, die in einer E-Mail, einem Dokument oder einer Webseite versteckt sind, die das Modell liest. Bei einem Agenten, der Werkzeuge nutzt, kann das mehr als eine falsche Antwort bedeuten: dass eine nicht autorisierte Aktion ausgeführt wird.
- Tool Poisoning: Bösartige Anweisungen, die in Werkzeugbeschreibungen eingebettet sind. Das Modell sieht diese Beschreibungen, dem Nutzer werden sie normalerweise nicht angezeigt.
- Übermäßige Berechtigungen: Wird eine Verbindung mit weiter reichenden Lese- und Schreibrechten als nötig eingerichtet, kann sich ein Fehler des Modells oder eine Übernahme auf Ihre gesamten Daten ausweiten.
- Nicht vertrauenswürdige MCP-Server: Ein Server eines Drittanbieters kann mit Ihren Berechtigungen laufen. Liegen Zugangsschlüssel in Klartext-Konfigurationsdateien, besteht die Gefahr, dass sie abfließen.
Die KVKK-Dimension
Kundendaten, die über MCP an ein KI-Modell gehen, können auf den Servern des Modellanbieters verarbeitet werden. Das kann bedeuten, dass die Daten ins Ausland übermittelt werden. Deshalb müssen Sie wissen, welche Daten an das Modell gehen, und bei Bedarf eine rechtliche Bewertung einholen. Einzelheiten finden Sie in unserem Beitrag zur KVKK-konformen Automatisierung. Die einfachste Schutzmaßnahme: Felder wie Personalausweisnummer (TCKN), IBAN und Steuernummer gar nicht erst an das Modell senden.
Sechs Fragen vor dem Verbinden
- Welche Daten darf der Agent lesen? Geben Sie nur, was für seine Aufgabe nötig ist (minimale Berechtigung).
- Ist Schreibzugriff wirklich nötig? In der ersten Phase mit reinem Lesezugriff zu starten, ist sicherer.
- Gibt es bei schwer umkehrbaren Aktionen eine menschliche Freigabe? Machen Sie Aktionen wie Löschen, Zahlungen und das Versenden von E-Mails nach außen von einer Freigabe abhängig.
- Woher stammt der MCP-Server? Verbinden Sie keinen Server mit Firmensystemen, dessen Herkunft Sie nicht kennen.
- Erfahren Sie, wenn sich eine Werkzeugbeschreibung ändert? Eine still veränderte Werkzeugbeschreibung ist einer der Wege für Tool Poisoning.
- Wird protokolliert, wer wann worauf zugegriffen hat? Ohne Nachvollziehbarkeit finden Sie bei einem Problem nicht heraus, was schiefgelaufen ist.
Häufige Fragen
Was ist MCP (Model Context Protocol)?
MCP ist ein offenes Protokoll, das standardisiert, wie sich KI-Anwendungen mit externen Werkzeugen und Datenquellen verbinden. Es wurde am 26. November 2024 von Anthropic vorgestellt.
Ist die Nutzung von MCP sicher?
Das Protokoll selbst gibt keine Sicherheitsgarantie; die Sicherheit hängt davon ab, wie Sie es einrichten. Minimale Berechtigung, menschliche Freigabe bei schwer umkehrbaren Aktionen und Zugriffsprotokollierung sind die wichtigsten Maßnahmen, die die Risiken senken.
Lässt sich MCP mit n8n nutzen?
Ja. Der MCP Server Trigger-Node stellt die Werkzeuge eines Workflows MCP-Clients zur Verfügung, und der MCP Client Tool-Node ermöglicht es einem KI-Agenten, die Werkzeuge externer MCP-Server zu nutzen.
Quellen: Anthropic, Introducing the Model Context Protocol · n8n Docs, MCP Server Trigger · n8n Docs, MCP Client Tool · Simon Willison, Model Context Protocol has prompt injection security problems
Verbinden wir KI sicher mit Ihren Daten
Lassen Sie uns gemeinsam klären, welche Systeme sich sinnvoll an einen KI-Agenten anbinden lassen und welche Berechtigungen vergeben werden sollten.