MCP-Server: Was er ist, wo er läuft und wie ein echter aussieht

MCP-Server: Was er ist, wo er läuft und wie ein echter aussieht

Ein MCP-Server ist ein Programm, das einer KI-Anwendung über das Model Context Protocol (MCP), einen offenen Standard, Werkzeuge, Daten und Prompt-Vorlagen anbietet. So können Claude, ChatGPT, Cursor oder ein anderer MCP-Client in einem System nachschlagen und handeln, an das sie sonst nicht herankämen. Der Server steht vor diesem System, etwa einem Ordner, einer Datenbank oder einem CRM, und legt fest, was die KI dort sehen und tun darf.

Anthropic hat MCP am 25. November 2024 als offenen Standard vorgestellt, um KI-Assistenten mit den Systemen zu verbinden, in denen Daten liegen. Seitdem unterstützen die großen KI-Clients das Protokoll, und viele Softwareanbieter betreiben eigene Server. Dieser Leitfaden erklärt die Bausteine verständlich und zeigt dann einen echten Server für Geschäftsdaten: den MCP-Server von Customermates, dem Open-Source-CRM, das diesen Artikel veröffentlicht.

Auf einen Blick

In einem Satz

Ein MCP-Server ist ein Programm, das KI-Clients Tools zum Aufrufen, Ressourcen zum Lesen und Prompts als Vorlage gibt, in einem einheitlichen Format.

Wo er läuft

Lokale Server laufen auf Ihrem eigenen Rechner und bedienen einen Client. Remote-Server laufen als Webdienst und bedienen viele Clients über HTTP.

Gegenüber einer API

Die API ist für Code, der den passenden Endpunkt schon kennt. Ein MCP-Server beschreibt seine Aktionen, damit eine KI sie selbst findet und aufruft.

Größtes Risiko

Eine verbundene KI handelt mit Ihren Rechten. Vertrauen Sie der Quelle, geben Sie den engsten Zugriff, der reicht, und lassen Sie Freigaben für Schreibzugriffe an.

Wie funktioniert MCP: Host, Client und Server?

Die Architekturübersicht von MCP unterscheidet drei Beteiligte:

• Host: die KI-Anwendung, in der Sie arbeiten, etwa Claude Desktop, ChatGPT, Cursor oder VS Code.
• Client: eine Komponente im Host, die genau eine Verbindung zu einem Server hält. Ein Host mit fünf verbundenen Servern betreibt fünf Clients.
• Server: das Programm, das Kontext und Aktionen bereitstellt, zum Beispiel ein Dateisystem-Server oder der MCP-Endpunkt eines CRM.

Technisch tauschen Client und Server Nachrichten im Format JSON-RPC 2.0 aus. Der Client fragt, was der Server anbietet; das KI-Modell wählt ein Tool, wenn Ihre Anfrage eines braucht; der Host schickt den Aufruf, und der Server liefert das Ergebnis zurück ins Gespräch. Sie schreiben „Finde die letzte E-Mail von Acme“, und das Modell entscheidet, welches Tool das beantwortet.

Was stellt ein MCP-Server bereit? Tools, Ressourcen und Prompts

Die MCP-Spezifikation kennt drei Dinge, die ein Server anbieten kann:

Alle drei sind auffindbar: Der Client ruft tools/list, resources/list oder prompts/list auf und erhält Namen, Beschreibungen und bei Tools ein JSON-Schema der Eingaben. Deshalb braucht ein MCP-Client keinen eigenen Integrationscode pro Server. Die meisten Server setzen vor allem auf Tools; Ressourcen und Prompts sind optional, und nicht jeder Client zeigt sie an.

Ist ein MCP-Server ein echter Server? Lokal oder remote

Ja und nein. „Server“ beschreibt die Rolle im Protokoll, nicht einen Rechner im Rechenzentrum. Die MCP-Dokumentation nennt einen Server „lokal“, wenn der Host ihn als Prozess auf Ihrem Computer startet und über Standardein- und -ausgabe (stdio) mit ihm spricht, und „remote“, wenn er als Webdienst läuft, den Clients über Streamable HTTP erreichen.

Für Geschäftsdaten haben sich Remote-Server durchgesetzt: nichts zu installieren, ein Ort für Updates, Anmeldung pro Person. Die benutzerdefinierten Connectoren in Claude sind zum Beispiel Remote-MCP-Server; lokale Server richten Sie getrennt davon in Claude Desktop ein.

MCP-Server oder API: Was ändert sich?

Ein MCP-Server ersetzt keine API. Meist sitzt er darauf: Jedes Tool ruft dieselbe Anwendungslogik oder denselben REST-Endpunkt auf, den auch ein Entwickler nutzen würde.

Nehmen Sie die API, wenn die Aufgabe genau feststeht, etwa ein nächtlicher Abgleich. Nehmen Sie MCP, wenn ein Mensch eine KI um Hilfe bittet und die KI die passenden Schritte selbst wählen soll. Customermates bietet beides nebeneinander: die REST-API mit OpenAPI-Spezifikation für Code und den MCP-Endpunkt für KI-Clients, beide mit denselben Berechtigungen.

Nutzt ChatGPT MCP? Und Claude, Cursor und Gemini?

Ja. Stand der Prüfung: 30. Oktober 2026.

• Claude: Benutzerdefinierte Connectoren sind Remote-MCP-Server. Laut Anthropic-Hilfecenter gibt es sie in den Tarifen Free (ein Connector), Pro, Max, Team und Enterprise, auf claude.ai, in Claude Desktop und in den Mobil-Apps. Claude Desktop startet zusätzlich lokale Server aus seiner Konfigurationsdatei, Claude Code verbindet sich mit beiden Arten.
• ChatGPT: ChatGPT verbindet sich über HTTPS mit eigenen Remote-MCP-Servern. Die Entwicklerdokumentation von OpenAI beschreibt das Hinzufügen als „custom MCP server“; welche Tarife das dürfen und wie die Funktion heißt, hat sich mehrfach geändert, prüfen Sie also die aktuelle OpenAI-Seite für Ihren Tarif. Auch die API von OpenAI nimmt Remote-MCP-Server als Tool an und fragt standardmäßig nach einer Freigabe, bevor Daten an einen Server gehen.
• Cursor, VS Code, Gemini CLI, Codex: Alle arbeiten als MCP-Host. Die MCP-Dokumentation selbst nutzt VS Code als Beispiel-Host.

Ein Server nach Spezifikation funktioniert mit allen, doch die Clients unterstützen nicht alles gleich. Manche zeigen nur Tools und ignorieren Ressourcen und Prompts, und Freigaben handhaben sie unterschiedlich.

Brauchen Sie einen eigenen MCP-Server?

Meist nicht. Sie verbinden die Server, die Ihre Softwareanbieter bereits betreiben, ähnlich wie eine App. Einen eigenen Server brauchen Sie nur, wenn ein internes System oder ein Nischenwerkzeug keinen hat und eine KI damit arbeiten soll.

Bevor Sie den Server eines Anbieters verbinden, prüfen Sie drei Dinge: ob es der offizielle Server ist oder ein Community-Projekt, was er schreiben oder löschen kann und welchen Tarif er auf beiden Seiten voraussetzt. Unsere Leitfäden zum HubSpot MCP-Server und zu Salesforce MCP zeigen, wie verschieden zwei offizielle Server sein können; der Leitfaden zu Claude und CRM vergleicht die Connectoren mehrerer CRMs.

Ein echter MCP-Server für Geschäftsdaten, von Anfang bis Ende

Die meisten Erklärungen enden bei einem Wetter-Tool. So sieht ein produktiver Server für Kundendaten aus, am Beispiel Customermates. Alle Angaben stammen aus der öffentlichen MCP-Referenz.

Der Endpunkt. Customermates betreibt einen Remote-Server unter /api/v1/mcp auf der Adresse, unter der Sie die App öffnen, dazu eine eigene URL pro Arbeitsbereich mit denselben Tools, fest an diesen Arbeitsbereich gebunden. Er spricht Streamable HTTP. Der Endpunkt gehört zu jedem Cloud-Tarif und zu selbst gehosteten Installationen; wenn Sie die Open-Source-Edition selbst betreiben, bleibt es ein Remote-Server, nur auf Ihrer eigenen Infrastruktur.

Verbinden. In Claude und ChatGPT fügen Sie die URL als benutzerdefinierten Connector hinzu, melden sich an und bestätigen (Einrichtung als Connector). Claude Code, Codex, Cursor und Gemini CLI verbinden sich mit einem API-Schlüssel im Header x-api-key (Einrichtung für CLI-Clients). In beiden Fällen handelt der Client als genau ein Nutzer in genau einem Arbeitsbereich, und die Rolle dieses Nutzers braucht Lesezugriff auf API & Webhooks.

Was er bereitstellt. Alle drei Bausteine:

• Tools: bis zu 58 Tools für Datensätze, das Datenmodell, gespeicherte Ansichten, die Wissensdatenbank, Dashboards, Routinen, Webhooks, Verwaltung, Nachrichten und Social-Media-Beiträge. Die Tools für Nachrichten, Kalender und Social Media funktionieren ab Pro in Customermates Cloud. Der URL-Parameter ?toolsets= schränkt die Liste auf die Gruppen ein, die ein Client braucht.
• Ressourcen: ein Katalog der Wissensdatenbank, den Clients mit Ressourcen-Unterstützung auflisten und lesen.
• Prompts: ein Prompt get-started, der den Arbeitsbereich für den Einstieg zusammenfasst.

Eine typische Anfrage. Sie schreiben: „Finde Acme und lege eine Aufgabe an, ihnen das überarbeitete Angebot zu schicken.“ Der Client ruft zuerst get_workspace_context auf, um Nutzer, Rollen und die Vorgaben des Unternehmens zu kennen, dann search_crm_records, um Acme zu finden, get_record_model, um die Felder der Aufgabenliste zu sehen, und schließlich mutate_crm_record, um die Aufgabe anzulegen und mit Acme zu verknüpfen. Jeder Aufruf läuft mit Ihren Berechtigungen: Eine Liste, die Sie in der App nicht bearbeiten dürfen, bearbeiten Sie auch über MCP nicht.

Leitplanken und was sie nicht sind. Der Katalog kennzeichnet, welche Tools nur lesen und welche Daten löschen können. Gelöschte Datensätze landen 30 Tage im Papierkorb, und preview_crm_deletion zeigt die Auswirkung vorher. Von Menschen geschriebener Text wie Notizen und E-Mails kommt zwischen Markierungen für nicht vertrauenswürdige Inhalte zurück, damit das Modell ihn als Daten behandelt und nicht als Anweisung. Außerdem weist der Server Clients an, vor dem Löschen oder Senden beim Nutzer nachzufragen. Das ist ein Hinweis an den Client, keine Sperre im Server: Ruft ein berechtigter Client ein Tool auf, läuft es. Stellen Sie die Freigaben in Ihrem Client entsprechend ein.

Wer die KI bezahlt. Ein externer Client wie Claude oder ChatGPT nutzt Ihr eigenes KI-Abonnement. Das CRM betreibt das Modell nicht.

Customermates ist die falsche Wahl, wenn Sie nur eine KI an Ihr bestehendes CRM anbinden wollen; nutzen Sie dann den Server dieses CRM. Es passt, wenn Sie ein CRM auswählen und MCP-Server, Daten und offenen Quellcode in einem Produkt haben möchten.

Welche Sicherheitsrisiken haben MCP-Server?

Die Spezifikation hält fest, dass Tools beliebige Codeausführung bedeuten können und Tool-Beschreibungen als nicht vertrauenswürdig gelten, solange sie nicht von einem vertrauenswürdigen Server stammen. Die Sicherheitsempfehlungen von MCP, Anthropic und OpenAI nennen diese Risiken:

• Prompt Injection. Ein bösartiger Server oder präparierter Text in Ihren eigenen Daten kann versteckte Anweisungen enthalten, die das Modell steuern, etwa Daten an Dritte zu schicken.
• Zu viel Zugriff. Ein Token mit weiten Berechtigungen oder ein Nutzer mit Adminrechten gibt der KI alles, was dieses Konto darf.
• Lokale Codeausführung. Ein lokaler Server ist ein Programm auf Ihrem Rechner. Ein manipuliertes Paket oder ein schädlicher Startbefehl in einer Konfigurationsdatei läuft mit Ihren Rechten.
• Veränderte Tools. Der Betreiber kann ändern, was ein Tool tut, nachdem Sie es freigegeben haben.
• Missbrauchte Tokens. Server, die Tokens annehmen oder weiterreichen, die nicht für sie ausgestellt wurden, durchbrechen die Sicherheitsgrenze; die Autorisierungsspezifikation verbietet dieses „Token Passthrough“.
• Daten verlassen Ihre Kontrolle. Was der KI-Client liest, verarbeitet sein KI-Anbieter, zu dessen Bedingungen.

Sicherheits-Checkliste, bevor Sie einen Server verbinden

1. Nutzen Sie offizielle Server von Anbietern, denen Sie vertrauen. Bei Community-Servern lesen Sie Code oder Paket, bevor Sie sie starten.
2. Verbinden Sie sich als Nutzer mit genau den Rechten, die die Aufgabe braucht. Die KI erbt sie; ein API-Schlüssel trägt oft alle Rechte seines Nutzers.
3. Beginnen Sie mit Lesezugriffen. Schreibzugriffe erst, wenn das Lesen sauber läuft; Löschen und Senden bleiben hinter einer Bestätigung im Client.
4. Schränken Sie die Tool-Liste ein, wo der Server das erlaubt, und schalten Sie Tools ab, die eine Aufgabe nicht braucht.
5. „Immer erlauben“ nur für reine Lese-Tools. Prüfen Sie jeden Schreibaufruf, zumindest am Anfang.
6. Lesen Sie bei lokalen Servern den genauen Startbefehl und nutzen Sie nach Möglichkeit eine Sandbox oder einen Container.
7. Prüfen Sie OAuth-Zustimmungsseiten und lehnen Sie Berechtigungen ab, die unnötig wirken.
8. Klären Sie, wohin die Daten gehen. Prüfen Sie bei Kundendaten in der EU die Verarbeitungsbedingungen des KI-Anbieters und Ihr Verzeichnis der Verarbeitungstätigkeiten, bevor Sie verbinden.
9. Entziehen Sie, was Sie nicht mehr nutzen. Löschen Sie alte API-Schlüssel und trennen Sie ungenutzte Connectoren.

Häufige Fragen

Quellen: am 30. Oktober 2026 geprüft in der MCP-Spezifikation, der MCP-Architekturübersicht, den MCP-Sicherheitsempfehlungen, Anthropics Ankündigung von MCP, Anthropics Anleitung zu benutzerdefinierten Connectoren mit Remote-MCP, OpenAIs Anleitung zum Verbinden eines MCP-Servers in ChatGPT und OpenAIs Leitfaden zu MCP-Servern in der API.