Model Context Protocol
MCP für Unternehmensdaten und bestehende Software.
Das Model Context Protocol macht es einfach, einer KI-Anwendung eine Datenquelle zu geben. Genau darin liegt das Risiko: Ein MCP-Server, der nur eine Datenbank durchreicht, verlagert das Problem, statt es zu lösen.
Einordnung
MCP ist die Anschlussdose. Nicht die Leitung und nicht der Verteiler.
MCP ist ein offener Standard, über den KI-Anwendungen externe Werkzeuge und Datenquellen anbinden. Er regelt, wie ein Client erfährt, welche Werkzeuge es gibt, und wie er sie aufruft. Was ein Werkzeug tut und welche Grenzen es zieht, regelt er nicht – das ist Aufgabe des Servers.
Für Unternehmensdaten ist das der entscheidende Punkt. Der Standard nimmt Ihnen die Integrationsarbeit ab, aber keine einzige Entscheidung darüber, was ein Sprachmodell mit Ihrer Datenbank tun darf.
Die interessante Frage ist nicht, ob ein MCP-Server angebunden ist, sondern was er anbietet.
Zwei Serverentwürfe
Datenbank durchreichen oder Fachmodell anbieten.
Beide Varianten sind gültige MCP-Server. Sie unterscheiden sich darin, was das Sprachmodell in die Hand bekommt.
Eigenschaften
Was diesen Server von einem SQL-Werkzeug unterscheidet.
Nicht der Funktionsumfang ist der Unterschied, sondern wogegen gearbeitet wird und wo die Grenze liegt. Diese fünf Eigenschaften sind für eine technische Bewertung die relevanten.
Fachmodell statt Tabellen
Das Sprachmodell arbeitet auf beschriebenen Fachbegriffen, Beziehungen und Regeln – nicht auf Ihrer Tabellenstruktur. Bedeutung wird nachgeschlagen statt aus Spaltennamen abgeleitet.
Prüfung vor Ausführung
Was das Sprachmodell abfragen möchte, wird gegen das Fachmodell und die Rechte der Rolle geprüft, bevor die Datenbank überhaupt angesprochen wird. Was dort nicht beschrieben oder nicht freigegeben ist, kommt nicht zur Ausführung.
Ausschließlich lesender Zugriff
Das Sprachmodell erhält keine Zugangsdaten, keine Netzwerkverbindung zur Datenbank und erzeugt kein SQL. Die Datenbankabfrage entsteht auf der Serverseite und ist lesend.
Herleitung zu jeder Antwort
Zurück gehen nicht nur Ergebniszeilen, sondern das vollständige Regelset mit fachlichen Definitionen, die aufgelösten Begriffe und Stichtage und die ausgeführte Abfrage im Wortlaut.
Protokollierung auf Ihrer Seite
Wer wann was gefragt hat und welche Abfrage tatsächlich lief, steht in Ihrem Netz. Umfang, Ort und Aufbewahrung sind Teil der Betriebsvereinbarung, kein Nebenprodukt.
Welche Werkzeuge der Server im Protokoll konkret anbietet und wie eine Prüfung intern abläuft, gehört in ein technisches Gespräch unter NDA – für die Bewertung des Ansatzes zählen die Eigenschaften oben.
Betriebsmodi
Über MCP entscheidet sich auch, wohin Ergebnisse gehen.
Wird eine externe KI-Anwendung über MCP angebunden, übernimmt deren Sprachmodell das Reasoning. Es plant die Schritte und bewertet Zwischenergebnisse – und dafür sieht es die Abfrageergebnisse, weil es sie beurteilen muss. Das ist keine Nebenwirkung, sondern die Funktionsweise.
Wenn Abfrageergebnisse das Unternehmen nicht verlassen dürfen, ist der Weg über die eigene Oberfläche der richtige. Dort sieht das Sprachmodell nur die Beschreibung des semantischen Modells – Begriffe, Beziehungen, Regeln – und die Ergebnisse bleiben im Haus.
Die Wahl zwischen beiden Modi ist eine Datenschutzentscheidung, keine Komfortfrage.
Was ein Modellanbieter mit übermittelten Daten darf, steht in dessen Vertrag. Diese Seite benennt die Verantwortung, statt sie zu übernehmen: Wer Modus 2 wählt, sollte die Vertragslage seines Anbieters kennen.
Zerlegt die Frage in Schritte, wählt Begriffe, bewertet Zwischenergebnisse, korrigiert sich.
Weiß, was Ihre Begriffe bedeuten, welche Regeln gelten und wie Ihre Daten zusammenhängen.
Lässt nur zu, was im Modell beschrieben und für die Rolle freigegeben ist – und ausschließlich lesend.
Clients
Was erprobt ist und was der Standard möglich macht.
Hier steht bewusst getrennt, was getestet ist und was aus dem offenen Standard folgt.
- Erprobt
- Die Anbindung von Claude Desktop. Dieser Weg ist getestet und im Einsatz.
- Möglich durch den Standard
- Weitere MCP-fähige Clients. Weil MCP offen ist, ist das technisch angelegt – eine getestete Zusage für einen bestimmten anderen Client ist es damit nicht.
- Eigene Oberfläche
- Umgesetzt und im Einsatz, als Alternative zum externen Client. Relevant vor allem, wenn Abfrageergebnisse das Haus nicht verlassen sollen.
- Sprachmodell
- Beschrieben wird hier die Leistungsklasse, nicht die Version: Für mehrstufige Fragen wird ein aktuelles Reasoning-Modell benötigt. Ein vollständig lokal betriebenes Modell ist in Arbeit und heute nicht Teil des Leistungsstands.
Detailtiefe
Die Implementierung steht hier bewusst nicht.
Diese Seite beschreibt Eigenschaften und Grenzen, nicht den inneren Aufbau: nicht das Format der Abfragepläne, nicht den Werkzeugumfang des Servers, nicht die einzelnen Stufen der Prüfung. Für die Frage, ob der Ansatz zu Ihrem Haus passt, brauchen Sie diese Ebene nicht.
Für eine technische Freigabe brauchen Sie sie durchaus – dann aber vollständig und im Gespräch, statt als Auszug auf einer öffentlichen Seite. Fragen dieser Tiefe werden unter NDA beantwortet, und zwar konkret auf Ihre Umgebung bezogen.
Häufige Fragen
Fehlt Ihnen eine Frage? Ausführliche Antworten zu Betrieb und Datenzugriff stehen auf der Sicherheitsseite.
- Warum nicht einfach ein MCP-Werkzeug, das SQL ausführt?
Weil damit beide Kernprobleme offen bleiben. Das Sprachmodell müsste die Bedeutung Ihrer Tabellen erraten – es kennt Ihre Regel für „offene Rechnung“ nicht und sieht Historisierung nicht als solche. Und die einzige Grenze wären die Rechte des Datenbankbenutzers.
Ein Prompt, der ein Modell bittet, nur zu lesen, ist eine Bitte. Eine Prüfschicht, die ausschließlich Lesepläne übersetzt, ist eine Regel. Für Unternehmensdaten ist dieser Unterschied der ganze Punkt.
- Was passiert, wenn das Modell zu etwas verleitet wird, das es nicht soll?
Was das Modell abfragen möchte, wird geprüft, bevor etwas ausgeführt wird – gegen das beschriebene Fachmodell und gegen die Rechte der Rolle. Die Grenze hängt damit nicht daran, dass sich das Sprachmodell korrekt verhält, sondern an einer Stelle, die es nicht beeinflusst. Alles, was nicht lesend ist, wird ohnehin nicht ausgeführt.
Was diese Grenze nicht leistet: Sie verhindert keine fachlich unglückliche Frage innerhalb der Rechte einer Rolle. Wer etwas sehen darf, sieht es auch dann, wenn er über einen Umweg danach fragt. Die Rollenrechte sind deshalb die eigentliche Stellschraube – und sie gehören in Ihre Hand, nicht in die des Anbieters.
- Könnten wir einen solchen MCP-Server nicht selbst bauen?
Einen MCP-Server, der Abfragen ausführt: ja, das ist überschaubar. Der Aufwand liegt nicht im Protokoll, sondern im semantischen Modell – jede Tabelle, jede Beziehung und jede Regel Ihres Systems müsste gelesen, verstanden und beschrieben werden.
Genau dieser Schritt dauert von Hand Wochen und ist der Grund, warum solche Vorhaben oft abgebrochen werden, bevor sie etwas zeigen. Deshalb wird das Modell hier KI-gestützt aus Sourcecode und Datenmodell erschlossen und anschließend fachlich validiert.
- Wo läuft der MCP-Server?
Auf Wunsch vollständig in Ihrer Infrastruktur, als Container-Deployment. Server, semantisches Modell, Prüfschicht und Datenbankzugang liegen dann in Ihrem Netz.
Ausgenommen ist das Sprachmodell, wenn Sie eine externe KI-Anwendung nutzen: Deren Modell läuft beim jeweiligen Anbieter. Welche Komponente wo läuft, ist auf der Seite zum Self-hosting einzeln aufgeschlüsselt.
Verwandte Themen
Angrenzende Fragen, jeweils auf einer eigenen Seite beantwortet.
Claude mit Unternehmensdaten verbinden
Was in Claude Desktop passiert, was der Anbieter dabei sieht und was im Haus bleibt.
Self-hosted KI für Unternehmensdaten
Welche Komponente wo läuft – und welcher Teil heute noch extern ist.
Sicherer KI-Datenbankzugriff
Warum das Sprachmodell keine Zugangsdaten erhält und die Grenze in der Architektur liegt.
Wenn Sie MCP schon einsetzen: Der interessante Teil beginnt bei der Frage, was der Server anbietet.