DER TOOL-LAYER: MCP ALS NERVENSYSTEM DER AGENTEN

Ein Agent ohne Werkzeuge ist ein Chatbot. Ein Agent mit Werkzeugen ist ein System, das handelt. Die Frage, wie ein Modell an Werkzeuge kommt, ist deshalb keine Integrationsfrage. Sie ist die Architekturfrage der ganzen Agenten-Maschine.

Seit Ende 2024 hat diese Frage einen Standardkandidaten: das Model Context Protocol, kurz MCP.

DAS PROBLEM, DAS MCP LÖST

Als Anthropic MCP am 25. November 2024 vorstellte, lautete die Diagnose: Jede neue Datenquelle brauchte bisher eine eigene, maßgeschneiderte Integration. MCP sollte diese fragmentierten Integrationen durch ein einziges Protokoll ersetzen. Veröffentlicht wurden damals die Spezifikation mit SDKs, lokale MCP-Server-Unterstützung in den Claude-Desktop-Apps und ein Open-Source-Repository mit vorgefertigten Servern.

Strukturell ist das dieselbe Bewegung, die PromptGott bei Content beschreibt: weg vom Einzelstück, hin zur Schnittstelle. Wer n Modelle mit m Werkzeugen verbinden will, baut ohne Standard n mal m Adapter. Mit einem Protokoll baut jede Seite ihre Hälfte einmal.

DIE ARCHITEKTUR IN DREI ROLLEN

Die aktuelle Spezifikation (Version 2026-07-28) beschreibt drei Rollen, die über JSON-RPC 2.0 kommunizieren:

• Host: die LLM-Anwendung, die Verbindungen aufbaut, etwa ein Chat-Client oder eine IDE.
• Client: der Konnektor innerhalb des Hosts, einer pro Server-Verbindung.
• Server: der Dienst, der Kontext und Fähigkeiten bereitstellt.

Server bieten drei Arten von Fähigkeiten an: Resources (Kontext und Daten), Prompts (vorlagenbasierte Nachrichten und Workflows für Nutzer) und Tools (Funktionen, die das Modell ausführen kann). In der Gegenrichtung können Clients Servern unter anderem Elicitation anbieten, also die Möglichkeit, gezielt zusätzliche Informationen beim Nutzer anzufragen.

Die Spezifikation nennt das Language Server Protocol als Vorbild: So wie LSP die Unterstützung von Programmiersprachen über viele Editoren hinweg standardisiert, standardisiert MCP, wie Kontext und Werkzeuge in KI-Anwendungen kommen.

MACHINE NOTE Der Agent ist austauschbar. Der Tool-Layer ist die Infrastruktur.

VOM FIRMENPROJEKT ZUR NEUTRALEN INFRASTRUKTUR

Ein Protokoll ist nur so stabil wie seine Governance. Am 9. Dezember 2025 hat Anthropic MCP an die Agentic AI Foundation übergeben, einen Fonds unter dem Dach der Linux Foundation. Mitgründer sind laut MCP-Blog Anthropic, Block und OpenAI; als Unterstützer werden Google, Microsoft, AWS, Cloudflare und Bloomberg genannt. Neben MCP sind goose von Block und AGENTS.md von OpenAI Gründungsprojekte.

Wichtig für Systembauer: Die technische Richtung bestimmen laut dem Beitrag weiterhin die bisherigen Maintainer über den SEP-Prozess, die Linux Foundation stellt nur das neutrale Zuhause. Der Blog nannte zum Zeitpunkt der Übergabe über 97 Millionen monatliche SDK-Downloads und 10.000 aktive Server. Das sind Angaben des Projekts selbst, aber sie zeigen: Wer heute auf MCP baut, baut nicht auf ein Experiment.

DER TEIL, DEN DIE MEISTEN ÜBERSPRINGEN: SICHERHEIT

Hier wird es für Agenten-Systeme ernst. Die Spezifikation sagt unmissverständlich, dass Tools beliebige Codeausführung darstellen und mit entsprechender Vorsicht zu behandeln sind. Hosts müssen vor jedem Tool-Aufruf die ausdrückliche Zustimmung des Nutzers einholen. Und Beschreibungen des Tool-Verhaltens, etwa Annotationen, gelten als nicht vertrauenswürdig, solange sie nicht von einem vertrauenswürdigen Server stammen.

Das Tools-Kapitel wird noch konkreter:

• Es sollte immer einen Menschen in der Schleife geben, der Tool-Aufrufe ablehnen kann.
• Server müssen alle Eingaben validieren, Zugriffskontrollen umsetzen, Aufrufe begrenzen (Rate Limiting) und Ausgaben bereinigen.
• Clients sollten bei sensiblen Operationen bestätigen lassen, Tool-Eingaben vor dem Aufruf anzeigen, um Datenabfluss zu verhindern, Ergebnisse vor der Weitergabe ans Modell prüfen, Timeouts setzen und Aufrufe für Audits protokollieren.

Gleichzeitig hält die Spezifikation fest, dass MCP diese Prinzipien auf Protokollebene nicht erzwingen kann. Das Protokoll beschreibt die Leitungen. Die Sicherungen musst du selbst einbauen.

MACHINE NOTE Ein Standard für alle Werkzeuge ist auch ein Standard für alle Fehler. Wer den Tool-Layer baut, baut die Firewall mit.

DER SYSTEM-RAHMEN: DREI ZONEN FÜR DEINE TOOLS

Aus den Anforderungen der Spezifikation lässt sich eine einfache Architektur ableiten. Teile jedes Tool, das deine Agenten nutzen, in eine von drei Zonen ein:

Zone	Beispiele	Regel
Lesen	Suche, Datenbank-Abfrage, Dateien lesen	automatisch erlaubt, protokolliert, mit Rate Limit
Schreiben intern	Datei ändern, Entwurf anlegen, Commit	erlaubt mit Prüfregeln und Rücknahmeweg
Wirkung nach außen	Mail senden, veröffentlichen, bezahlen, löschen	nur mit menschlicher Bestätigung

Die Zonen sind kein Teil von MCP. Sie sind die Übersetzung seiner Sicherheitsregeln in eine Betriebsordnung. Drei Prinzipien halten sie zusammen:

Vertrauen kommt vom Server, nicht von der Beschreibung. Weil Annotationen und Beschreibungen nicht vertrauenswürdig sind, ordnest du Tools anhand der Herkunft und des tatsächlichen Verhaltens ein, nicht anhand dessen, was das Tool über sich behauptet.

Jeder Server bekommt nur, was er braucht. Die Spezifikation verlangt Zugriffskontrollen auf Serverseite. Für dich heißt das: getrennte Server und Zugangsdaten pro Zone, statt eines Super-Servers mit allen Rechten.

Das Protokoll ist dein Audit-Log. Wenn Clients Aufrufe protokollieren sollen, dann ist dieses Log die Datenbasis, um Agenten zu verbessern. Welche Tools werden aufgerufen, welche scheitern, wo lehnt der Mensch ab? Ein Agenten-System ohne dieses Log optimiert blind.

OPERATOR CHECKLIST: TOOL-LAYER

• Jedes Tool einer Zone zuordnen: Lesen, intern Schreiben, Wirkung nach außen.
• Wirkung nach außen nie ohne menschliche Bestätigung.
• Tool-Beschreibungen fremder Server als Daten behandeln, nicht als Anweisungen.
• Pro Server minimale Rechte und eigene Zugangsdaten.
• Eingaben serverseitig validieren, Aufrufe begrenzen, Ausgaben bereinigen.
• Timeouts und Audit-Log für jeden Aufruf.
• Spezifikationsversion festhalten und Änderungen bewusst übernehmen.

FINAL THESIS

MCP macht Werkzeuge austauschbar. Das ist sein Wert und sein Risiko zugleich.

Die Agenten-Systeme, die bleiben, werden nicht die mit den meisten Tools sein. Sondern die, deren Tool-Layer weiß, was er darf, was er protokolliert und wann er fragt.