MCP: Wie KI-Assistenten sicher auf Ihre Firmendaten zugreifen – der neue Standard für KMU

Was MCP ist – in einer Sprache, die kein Informatiker braucht

Wenn Sie Claude oder ChatGPT nach etwas fragen, weiß das Modell zunächst nur das, was Sie ihm schreiben – und was es während des Trainings gelernt hat. Es kennt keine Ihrer Kunden. Es hat keine Ahnung, was in Ihrem Lager liegt. Es weiß nicht, welche Projekte gerade offen sind, welche Rechnungen überfällig sind oder was Ihr Mitbewerber letzte Woche veröffentlicht hat. Das ist kein Mangel des Modells, sondern eine strukturelle Eigenschaft: KI-Sprachmodelle sind, ohne externe Anbindung, vollständig von Ihren tatsächlichen Betriebsdaten abgeschnitten.

Das Model Context Protocol – kurz MCP – ist der Versuch, dieses Problem mit einem offenen Standard zu lösen. Anthropic hat MCP im November 2024 veröffentlicht, im Dezember 2025 die Weiterentwicklung an die Linux Foundation übergeben. OpenAI, Google und Microsoft traten kurz darauf als Co-Sponsoren bei. Was bedeutet das in der Praxis? Ein MCP-Server ist ein kleines Programm, das zwischen Ihren Firmendaten und dem KI-Assistenten sitzt. Es stellt dem Assistenten definierte „Werkzeuge" zur Verfügung: Zum Beispiel „Suche im Kundenstamm nach Name X", „Zeige mir alle offenen Projekte für Firma Y" oder „Starte den Workflow Angebotserstellung mit diesen Parametern". Der Assistent ruft diese Werkzeuge auf, wenn er eine Frage bekommt, die externe Daten erfordert, und erhält das Ergebnis zurück, ohne jemals direkt auf Ihre Datenbank zugreifen zu müssen.

Die USB-Analogie trifft das Prinzip gut: Früher hatte jedes Gerät einen eigenen Anschluss – serielle Ports, parallele Ports, proprietäre Stecker. Dann kam USB und vereinheitlichte das. Genauso hatten KI-Assistenten bisher entweder keine externe Anbindung oder anbieterspezifische, inkompatible Plug-ins. MCP schafft einen gemeinsamen Standard, den alle Clients und alle Server sprechen können. Ein MCP-Server, den Sie heute für Claude Desktop bauen, funktioniert morgen auch mit ChatGPT – sofern beide die Spezifikation korrekt implementieren.

Was bisher fehlte, war eine Spezifikation, die auch im Unternehmensumfeld gut funktioniert: mit vernünftiger Sicherheit, skalierbar hinter einem Lastverteiler betreibbar, und mit einer soliden Authentifizierungslösung. Genau das bringt die neue Version 2026-07-28, die am 28. Juli 2026 in der finalen Fassung erscheint – vier Tage nach dem Erscheinen dieses Artikels. Für KMU, die jetzt planen, lohnt es sich, diese Version abzuwarten oder direkt damit zu starten: Die Änderungen vereinfachen den Betrieb eines eigenen MCP-Servers erheblich.

Warum Ihr KI-Assistent ohne Firmendaten an Grenzen stößt

Die eigentliche Stärke moderner KI-Assistenten liegt nicht darin, allgemeines Wissen abzurufen – das kann Wikipedia auch. Sie liegt darin, mit konkreten Informationen strukturiert umzugehen: zusammenfassen, vergleichen, priorisieren, formulieren, Muster erkennen. Dafür braucht der Assistent aber Zugang zu den konkreten Informationen Ihres Betriebs. Ohne diesen Zugang gibt es in der Praxis zwei verbreitete Workarounds – und beide haben gravierende Nachteile.

Der erste Workaround ist manuelles Copy-Paste: Die Mitarbeiterin sucht die relevante Kundennummer im CRM, kopiert die Adresse, die letzten drei Bestellungen und die offene Rechnung in das Chatfenster, gibt ihre Frage ein und arbeitet mit der Antwort weiter. Das funktioniert, ist aber zeitaufwendig und fehleranfällig. Vor allem aber: Es ist ein Datenschutzproblem. Wenn Kundendaten in ein externes SaaS-Tool kopiert werden, ohne dass ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorliegt und ohne dass klar ist, wie der Anbieter diese Daten verarbeitet, ist das eine Datenschutzverletzung – unabhängig davon, wie klein der Betrieb ist.

Der zweite Workaround ist die einmalige Übergabe großer Datenmengen an das Modell: Man lädt alle Preislisten, alle Produktdatenblätter, alle FAQ-Dokumente in den Kontext-Prompt hoch und hofft, dass das Modell die relevante Information findet. Das funktioniert für Dokumente bis zu einem gewissen Umfang – ist aber kein strukturierter Datenzugriff. Das Modell kann nicht filtern wie eine Datenbank, kann keine sortierten Listen zurückgeben, und bei vertraulichen Daten wie Kundenstammdaten verbietet sich dieser Ansatz aus denselben Datenschutzgründen wie das Copy-Paste.

MCP schließt diese Lücke, indem der Zugriff auf die Daten nicht beim Client (dem KI-Assistenten), sondern beim Server (Ihrer eigenen Infrastruktur) stattfindet. Das Modell stellt eine Anfrage, Ihr Server prüft die Berechtigung, führt die Abfrage aus und gibt nur das Ergebnis zurück – nicht die gesamte Datenbank.

Was der neue MCP-Standard 2026-07-28 konkret ändert

Die bisherige MCP-Spezifikation hatte einen bedeutenden Konstruktionsfehler für den Unternehmenseinsatz: Sie war zustandsabhängig. Jede Client-Server-Verbindung begann mit einem Initialize-Handshake und wurde dann über eine feste Session-ID aufrechterhalten. Das klingt harmlos, bedeutet aber in der Praxis: Wenn Ihr MCP-Server hinter einem Lastverteiler läuft – weil er mehrere KI-Clients gleichzeitig bedienen soll – muss jede Anfrage eines Clients immer beim gleichen Server-Knoten ankommen. Diese Anforderung, im Fachbegriff „Sticky Sessions", verkompliziert den Betrieb erheblich und macht horizontales Skalieren teuer.

Die neue Spezifikation 2026-07-28, deren Release Candidate am 21. Mai 2026 veröffentlicht wurde und deren finale Version am 28. Juli 2026 erscheint, löst dieses Problem durch einen vollständigen Architekturwechsel: Das Protokoll wird zustandslos. Der Initialize-Handshake entfällt, ebenso die Session-ID. Jede Anfrage ist in sich vollständig und kann auf einem beliebigen Server-Knoten landen. Für KMU bedeutet das: Ein MCP-Server lässt sich auf einer gewöhnlichen Virtual Machine oder einem Container betreiben, ohne spezielle Netzwerkkonfiguration. Der Betrieb wird einfacher und günstiger.

Ebenfalls neu ist die Integration von OAuth 2.1 als Authentifizierungsstandard. Bisher war die Frage, wie sich ein MCP-Client gegenüber einem MCP-Server authentifiziert, in der Spezifikation nicht vollständig geregelt – jeder Anbieter löste das auf eigene Weise. Mit OAuth 2.1 gibt es einen etablierten, sicheren Standard: Der KI-Client erhält nur Zugriff auf das, wozu er explizit berechtigt wurde, und diese Berechtigung lässt sich granular steuern und jederzeit entziehen. Das ist keine akademische Feinheit, sondern für den DSGVO-konformen Betrieb relevant: Die Fähigkeit, einem KI-Client präzise zu sagen, auf welche Daten er zugreifen darf und auf welche nicht, ist eine zentrale Voraussetzung für einen rechtskonformen Einsatz.

Zusätzlich führt die neue Version eine Erweiterung namens Tasks ein, die lang laufende Aufgaben ermöglicht: Ein KI-Agent kann einen Prozess anstoßen, der mehrere Minuten dauert – etwa eine aufwendige Datenbankabfrage oder die Erstellung eines Berichts – und bekommt das Ergebnis zurück, ohne dass die Verbindung während der gesamten Laufzeit offen bleiben muss. Für Workflow-Automatisierungen, wie sie im n8n-Kontext häufig entstehen, ist das besonders praktisch.

n8n als MCP-Server: Ihre bestehenden Workflows für KI-Assistenten öffnen

Wer bereits mit n8n automatisiert, hat seit dem 29. April 2026 die Möglichkeit, seine n8n-Instanz direkt als MCP-Server zu betreiben – ohne zusätzliche Software, ohne eigene Programmierung. Die Funktion, die n8n als „Instance-Level MCP Server" in die Public Preview gebracht hat, funktioniert so: Sie wählen in Ihrer n8n-Instanz aus, welche Workflows als MCP-Tools nach außen freigegeben werden sollen. Jeder freigegebene Workflow erscheint für angebundene MCP-Clients – also zum Beispiel Claude Desktop auf dem Rechner Ihrer Mitarbeiterin – als eigenständiges Werkzeug mit einem Namen und einer kurzen Beschreibung.

Der KI-Assistent kann diese Werkzeuge dann eigenständig aufrufen, wenn er bei einer Anfrage des Nutzers erkennt, dass das Werkzeug relevant ist. Er muss dafür nicht wissen, wie der Workflow intern funktioniert – er braucht nur den Namen und die Eingabeparameter. Das Ergebnis, das der Workflow zurückgibt, fließt in die Antwort des Assistenten ein. Die Ausführungslogik, die Fehlerbehandlung und der Datenzugriff bleiben vollständig in Ihrer n8n-Instanz – außerhalb des Sichtbereichs des KI-Modells.

Seit Juni 2026 unterstützt n8n zusätzlich sogenannte Agentic Loops: Mehrere KI-Agenten-Knoten können Aufgaben untereinander delegieren. Das bedeutet, ein Workflow kann nicht nur von einem externen KI-Client aufgerufen werden, sondern intern selbst wieder auf andere Werkzeuge – einschließlich anderer MCP-Server – zugreifen. Für KMU ergibt sich daraus ein praktischer Vorteil: Wenn Sie verschiedene Systeme via MCP angebunden haben, kann n8n als Orchestrierungsschicht dienen, die Anfragen koordiniert und Ergebnisse zusammenführt.

Technisch läuft das so: Ihr Mitarbeiter öffnet Claude Desktop und schreibt: „Schau nach, ob Kunde Bauer GmbH eine offene Rechnung hat, und wenn ja, entwirft mir eine freundliche Zahlungserinnerung." Claude erkennt, dass er dafür das n8n-Tool „Kundenstatus prüfen" benötigt, ruft es auf, erhält das Ergebnis – „offene Rechnung 2.340 Euro, fällig seit 18 Tagen" – und erstellt daraus einen vollständigen Entwurf der Zahlungserinnerung. Alle Abfragen liefen über Ihren eigenen Server, keine Kundendaten haben die Infrastruktur verlassen.

CRM, DMS, Warenwirtschaft: welche Datenquellen sich lohnen

Nicht jede Datenquelle eignet sich gleich gut für die MCP-Anbindung. Der entscheidende Faktor ist, ob die Quelle strukturierte Daten mit einer definierten API bereitstellt und ob Anfragen klar formulierbar sind. Je unstrukturierter und kontextabhängiger die Informationen, desto eher ist ein anderer Ansatz – etwa Retrieval-Augmented Generation (RAG) über Dokumente – besser geeignet. Die MCP-Anbindung glänzt dort, wo Abfragen präzise sind und Ergebnisse einen definierten Typ haben.

Besonders geeignet ist das CRM-System. Kundenstammdaten, Kontakthistorie, Angebotsstatus und Auftragsvolumen lassen sich hervorragend als MCP-Tools abbilden: „Zeige alle Kunden, bei denen der letzte Kontakt länger als 60 Tage zurückliegt" oder „Welche Angebote wurden in den letzten 30 Tagen nicht angenommen?" sind Anfragen, die eine Datenbank sofort und präzise beantworten kann. Der KI-Assistent verarbeitet das Ergebnis und gibt dem Vertriebsmitarbeiter eine priorisierte Liste mit kontextualisierten Handlungsempfehlungen.

Warenwirtschaftssysteme bieten ebenfalls klare Anwendungsfälle: Lagerbestand, Lieferzeiten, Preise, Produkteigenschaften. Wenn Ihr KI-Assistent im Kundengespräch sofort auf Verfügbarkeit und Preis zugreifen kann, ohne dass der Mitarbeiter das System wechseln muss, spart das nicht nur Zeit – es reduziert auch Fehler. Ähnliches gilt für Kalender- und Projektmanagement-Systeme: Wer gerade an welchem Projekt arbeitet, wann eine Ressource frei ist, welche Meilensteine als nächstes anstehen.

Weniger gut geeignet für direkte MCP-Anbindung sind rein dokumentenbasierte Quellen wie unstrukturierte E-Mail-Archive, handgeschriebene Notizen oder PDFs ohne maschinenlesbare Metadaten. Hier ist der Overhead für die Vorbereitung hoch, und die Ergebnisqualität bleibt hinter dem zurück, was eine sauber strukturierte Datenbankanbindung leistet. In der Praxis empfiehlt sich daher eine hybride Lösung: Strukturierte Systeme über MCP, Dokumentenkorpora über einen separaten RAG-Mechanismus – und ein übergeordneter KI-Agent, der je nach Anfrage entscheidet, welches Werkzeug er benutzt.

Was MCP nicht kann – und wo die echten Grenzen liegen

MCP ist ein Protokoll, keine Lösung. Das klingt wie eine technische Spitzfindigkeit, hat aber praktische Konsequenzen. Der Standard regelt, wie KI-Clients und Server miteinander kommunizieren – nicht, was der Server zurückgibt, nicht wie gut die Qualität der Antworten ist, und nicht, ob der Einsatz DSGVO-konform ist. All das hängt von der konkreten Implementierung ab. Es gibt also keinen „MCP-Knopf", den man drückt und der dann funktioniert – es gibt ein Protokoll, das Implementierungsarbeit erfordert.

Ein häufig unterschätztes Risiko liegt in der Zugriffsdefinition. Ein MCP-Tool, das zu großzügig konfiguriert ist, gibt dem KI-Assistenten mehr Daten zurück als nötig – und damit potenziell dem Nutzer Einblick in Informationen, die er nicht sehen sollte. Ein MCP-Tool, das zu restriktiv konfiguriert ist, liefert keine nützlichen Antworten. Die Arbeit, den richtigen Scope zu finden – was darf der Assistent sehen, was nicht, welche Aktionen darf er auslösen und welche nicht – ist die eigentliche Designarbeit bei einer MCP-Implementierung, und sie erfordert ein gutes Verständnis sowohl der technischen Möglichkeiten als auch der betrieblichen Anforderungen.

Außerdem ist MCP 2026 noch ein reifender Standard. Die Python- und TypeScript-SDKs für die neue Spezifikation 2026-07-28 sind aktuell in der Beta-Phase. Wer heute mit diesen SDKs baut, muss mit kleineren Änderungen in der Beta-Phase rechnen – das ist kein Showstopper, aber bei produktionskritischen Systemen sollte man die stabile Freigabe abwarten oder eng mit der Changelog-Dokumentation arbeiten. Für Produktivbetrieb auf Basis älterer MCP-Versionen sind die vorhandenen SDKs dagegen bereits stabil.

Schließlich löst MCP keine Qualitätsprobleme bei den Daten. Wenn Ihr CRM lückenhaft gepflegt ist, wird der MCP-Server lückenhaft antworten. Wenn Ihre Artikeldaten fehlerhafte Einheiten haben, wird der KI-Assistent fehlerhafte Antworten geben. Datenqualität ist keine Voraussetzung, die MCP mitbringt – sie ist eine Voraussetzung, die Sie mitbringen müssen.

Eng verwandt mit der MCP-Frage ist die Frage nach dem richtigen Modell: Welches KI-Modell – Claude Opus 5, GPT-5.6 Terra oder ein günstigeres Tier – sollte der MCP-Client nutzen? Dazu gibt der Artikel zur KI-Modell-Auswahl für KMU einen strukturierten Überblick.

Wie sich das in der Praxis lösen lässt

Der sinnvolle Einstieg in MCP für die meisten KMU ist nicht ein vollständiger Datenbankzugriff auf alle Systeme, sondern ein gut definiertes, eng begrenztes Einzelwerkzeug. Ein erstes MCP-Tool könnte zum Beispiel sein: „Gib mir für Kundennummer X die letzten drei Bestellungen und den Zahlungsstatus." Mehr nicht. Dieses Werkzeug ist in einem Tag implementiert, sicher abgegrenzt und zeigt sofort, ob der Ansatz im täglichen Betrieb Nutzen bringt. Wenn ja, lässt er sich schrittweise ausbauen.

Für den technischen Unterbau gibt es heute mehrere Wege. Der direkteste Weg für KMU, die bereits n8n einsetzen: den nativen n8n-MCP-Server nutzen und einen vorhandenen Workflow als Tool freigeben. Kein zusätzlicher Server, keine zusätzliche Sprache, keine zusätzliche Infrastruktur. Wer kein n8n einsetzt oder komplexere Anforderungen hat, kann einen MCP-Server in Python oder TypeScript schreiben – die offiziellen SDKs sind gut dokumentiert und für erfahrene Entwickler in wenigen Stunden einsatzfähig. Für sehr einfache Anwendungsfälle gibt es inzwischen auch No-Code-Wrapper wie Zapier MCP, die bestehende Zapier-Zaps als MCP-Tools bereitstellen, ohne Programmierkenntnisse vorauszusetzen.

Der kritische Aspekt bei der Implementierung ist die Sicherheit. Ein MCP-Server, der intern betrieben wird und nur über ein lokales Netzwerk erreichbar ist, hat ein anderes Risikoprofil als einer, der über das Internet erreichbar ist. Wenn Claude Desktop auf einem Laptop im Büro auf einen Server im gleichen Netzwerk zugreift, reicht eine schlichte API-Key-Authentifizierung. Wenn der MCP-Server von überall erreichbar sein soll, ist OAuth 2.1 – wie in der neuen Spezifikation vorgesehen – die richtige Wahl, und zusätzlich sollte TLS und eine IP-Einschränkung konfiguriert sein.

Einen sauber konfigurierten, DSGVO-konformen MCP-Server für ein KMU aufzusetzen ist kein Tagewerk, aber auch kein Mehrwochenprojekt. Realistisch sind je nach Komplexität der angebundenen Systeme zwei bis fünf Tage Implementierungsaufwand. Die Entscheidungsarbeit davor – welche Daten soll der Assistent sehen, welche nicht, welche Aktionen soll er ausführen können – ist oft anspruchsvoller als die eigentliche Programmierung. Wer diese Fragen sorgfältig beantwortet, hat am Ende ein System, das zuverlässig und sicher funktioniert. Wer sie überspringt, baut schnell etwas, das er dann wieder einschränken muss.

Wenn Sie wissen möchten, welche Ihrer Systeme sich für eine MCP-Anbindung eignen und wie ein sinnvoller erster Schritt für Ihren Betrieb aussieht, schauen Sie sich die Leistungsseite zu KI-Agenten für wiederkehrende Aufgaben an – dort ist beschrieben, wie wir solche Integrationen angehen. Für Branchen mit besonders schutzbedürftigen Daten lohnt zusätzlich der Blick auf lokale LLMs mit Ollama — eine Kombination aus lokalem Modell und MCP-Server eliminiert jeden Drittlandtransfer.

Häufige Fragen zu MCP für KMU