Model Context Protocol
MCP für Unternehmens
Das Model Context Protocol macht es einfach, einer KI-Anwendung eine Datenquelle zu geben. Genau darin liegt das Risiko: Ein MCP-Server, der nur eine Datenbank durchreicht, verlagert das Problem, statt es zu lösen.
Einordnung
MCP ist die Anschlussdose. Nicht die Leitung und nicht der Verteiler.
MCP ist ein offener Standard, über den KI-Anwendungen externe Werkzeuge und Datenquellen anbinden. Er regelt, wie ein Client erfährt, welche Werkzeuge es gibt, und wie er sie aufruft. Was ein Werkzeug tut und welche Grenzen es zieht, regelt er nicht – das ist Aufgabe des Servers.
Für Unternehmensdaten ist das der entscheidende Punkt. Der Standard nimmt Ihnen die Integrationsarbeit ab, aber keine einzige Entscheidung darüber, was ein Sprachmodell mit Ihrer Datenbank tun darf.
Wie ein MCP-Zugang im Alltag aussieht, zeigt unser eigenes Backoffice: Dort ist jede Funktion über MCP erreichbar, mit den Rechten des jeweiligen Kontos – MCP im eigenen Backoffice.
Die interessante Frage ist nicht, ob ein MCP-Server angebunden ist, sondern was er anbietet.
Zwei Serverentwürfe
Datenbank durchreichen oder Fachmodell anbieten.
Beide Varianten sind gültige MCP-Server. Sie unterscheiden sich darin, was das Sprachmodell in die Hand bekommt.
PostgreSQL und MySQL
MCP-Server für PostgreSQL und MySQL: zwei verschiedene Angebote.
Beide heißen im Alltag „MCP-Server für die Datenbank“. Was sie einer KI-Anwendung anbieten, ist grundverschieden.
- Ein Datenbank-MCP-Server
- Macht PostgreSQL oder MySQL technisch erreichbar: Tabellen auflisten, Abfragen ausführen. Für Entwicklungs- und Analysearbeit an einem Schema, das man selbst kennt, ist das ein gutes Werkzeug – und schnell angebunden.
- Nowl als MCP-Server
- Bietet das Fachmodell an statt der Tabellen. Zwischen Frage und Datenbank liegen die beschriebenen Begriffe, die Rechte der Rolle und die Prüfung des Abfrageplans. Umgesetzt für PostgreSQL und MySQL, MySQL zusätzlich in der Alpha erprobt.
- Der Unterschied in einem Satz
- Beim ersten formuliert das Sprachmodell die Abfrage. Beim zweiten formuliert es, was es wissen will – was daraus als Abfrage entsteht, entscheidet die Prüfschicht in Ihrer Infrastruktur.
Eigenschaften
Was diesen Server von einem SQL-Werkzeug unterscheidet.
Nicht der Funktionsumfang ist der Unterschied, sondern wogegen gearbeitet wird und wo die Grenze liegt. Diese fünf Eigenschaften sind für eine technische Bewertung die relevanten.
Fachmodell statt Tabellen
Das Sprachmodell plant auf beschriebenen Fachbegriffen, Beziehungen und Regeln – nicht auf Ihrer Tabellenstruktur. Bedeutung wird nachgeschlagen statt aus Spaltennamen abgeleitet. Die ausgeführte Abfrage wird zur Nachvollziehbarkeit mitgeliefert; dabei können Tabellen- und Spaltennamen sichtbar werden.
Prüfung vor Ausführung
Was das Sprachmodell abfragen möchte, wird gegen das Fachmodell und die Rechte der Rolle geprüft, bevor die Datenbank überhaupt angesprochen wird. Was dort nicht beschrieben oder nicht freigegeben ist, kommt nicht zur Ausführung.
Ausschließlich lesender Zugriff
Das Sprachmodell erhält keine Zugangsdaten, keine Netzwerkverbindung zur Datenbank und erzeugt kein SQL. Die Datenbankabfrage entsteht auf der Serverseite und ist lesend.
Herleitung zu jeder Antwort
Zurück gehen nicht nur Ergebniszeilen, sondern das vollständige Regelset mit fachlichen Definitionen, die aufgelösten Begriffe und Stichtage und die ausgeführte Abfrage im Wortlaut.
Protokollierung auf Ihrer Seite
Wer wann was gefragt hat und welche Abfrage tatsächlich lief, steht in Ihrem Netz. Umfang, Ort und Aufbewahrung sind Teil der Betriebsvereinbarung, kein Nebenprodukt.
Welche Werkzeuge der Server im Protokoll konkret anbietet und wie eine Prüfung intern abläuft, gehört in ein technisches Gespräch unter NDA – für die Bewertung des Ansatzes zählen die Eigenschaften oben.
Betriebsmodi
Über MCP entscheidet sich auch, wohin Ergebnisse gehen.
Wird eine externe KI-Anwendung über MCP angebunden, übernimmt deren Sprachmodell das Reasoning. Es plant die Schritte und bewertet Zwischenergebnisse – und dafür sieht es die Abfrageergebnisse, weil es sie beurteilen muss. Das ist keine Nebenwirkung, sondern die Funktionsweise.
Wenn Abfrageergebnisse nicht an ein Sprachmodell gehen dürfen, ist der Weg über die eigene Oberfläche der richtige. Dort erhält das Sprachmodell Ihre Frage und die Beschreibung des semantischen Modells – Begriffe, Beziehungen, Regeln –, nicht aber die Ergebnisse.
Die Wahl zwischen beiden Modi ist eine Datenschutzentscheidung, keine Komfortfrage.
Was ein Modellanbieter mit übermittelten Daten darf, steht in dessen Vertrag. Diese Seite benennt die Verantwortung, statt sie zu übernehmen: Wer Modus 2 wählt, sollte die Vertragslage seines Anbieters kennen.
Zerlegt die Frage in Schritte, wählt Begriffe, bewertet Zwischenergebnisse, korrigiert sich.
Weiß, was Ihre Begriffe bedeuten, welche Regeln gelten und wie Ihre Daten zusammenhängen.
Lässt nur zu, was im Modell beschrieben und für die Rolle freigegeben ist – und ausschließlich lesend.
Wie das mit der KI aussieht – Frage, Antwort und Herleitung: Beispiele ansehen →
Clients
Was in der Alpha erprobt ist und was der Standard möglich macht.
Hier steht bewusst getrennt, was getestet ist und was aus dem offenen Standard folgt.
- Erprobt
- Die Anbindung eines KI-Assistenten am Desktop. Dieser Weg ist in der Alpha erprobt.
- Möglich durch den Standard
- Weitere MCP-fähige Clients. Weil MCP offen ist, ist das technisch angelegt – eine getestete Zusage für einen bestimmten anderen Client ist es damit nicht.
- Eigene Oberfläche
- Umgesetzt, als Alternative zum externen Client. Relevant vor allem, wenn Abfrageergebnisse nicht an ein Sprachmodell gehen sollen.
- Sprachmodell
- Beschrieben wird hier die Leistungsklasse, nicht die Version: Für mehrstufige Fragen wird ein aktuelles Reasoning-Modell benötigt. Ein vollständig lokal betriebenes Modell ist in Arbeit und heute nicht Teil des Leistungsstands.
Der Weg einer Frage
Was über diese Schnittstelle tatsächlich läuft.
MCP ist der Anschluss, nicht die Leistung. Was über ihn läuft, ist ein geprüfter Abfrageplan: Das Modell beschreibt, was es wissen will, die Prüfschicht setzt es gegen Fachmodell und Rollenrechte um, und erst danach entsteht ein kontrollierter, lesender Datenbankzugriff.
Wer den Ablauf einmal vollständig sehen will – von der Frage über den Plan bis zur ausgeführten Abfrage im Wortlaut –, findet ihn an einem durchgerechneten Beispiel beschrieben.
Detailtiefe
Die Implementierung steht hier bewusst nicht.
Diese Seite beschreibt Eigenschaften und Grenzen, nicht den inneren Aufbau: nicht das Format der Abfragepläne, nicht den Werkzeugumfang des Servers, nicht die einzelnen Stufen der Prüfung. Für die Frage, ob der Ansatz zu Ihrem Haus passt, brauchen Sie diese Ebene nicht.
Für eine technische Freigabe brauchen Sie sie durchaus – dann aber vollständig und im Gespräch, statt als Auszug auf einer öffentlichen Seite. Fragen dieser Tiefe werden unter NDA beantwortet, und zwar konkret auf Ihre Umgebung bezogen.
Häufige Fragen
Fehlt Ihnen eine Frage? Ausführliche Antworten zu Betrieb und Datenzugriff stehen auf der Sicherheitsseite.
- Ist das ein KI-Agent auf unserer Unternehmensdatenbank?
Der Arbeitsweise nach ja: Ein Auftrag wird in Teilfragen zerlegt, die einzeln gestellt werden, und Zwischenergebnisse bestimmen die nächste Frage. Genau das ist der Grund, warum mehrstufige Auswertungen überhaupt funktionieren – in einem Zug übersetzen lassen sie sich nicht.
Den Rechten nach ausdrücklich nein, und dieser Teil ist wichtiger: Der Agent handelt nicht auf Ihrer Datenbank, er stellt Fragen an eine Prüfschicht. Er erhält keine Zugangsdaten und keine Verbindung, was nicht lesend ist, kommt nicht zur Ausführung, und jeder Schritt läuft gegen Fachmodell und Rollenrechte.
Eine Grenze gehört dazu: Die Protokollspur unterscheidet im aktuellen Stand nicht zwischen der Entscheidung eines Menschen und der eines Agenten – beide erscheinen unter derselben Kennung. Was lief, ist damit belegt; wer es angestoßen hat, nicht in jedem Fall.
- Warum nicht einfach ein MCP-Werkzeug, das SQL ausführt?
Weil damit beide Kernprobleme offen bleiben. Das Sprachmodell müsste die Bedeutung Ihrer Tabellen erraten – es kennt Ihre Regel für „offene Rechnung“ nicht und sieht Historisierung nicht als solche. Und die einzige Grenze wären die Rechte des Datenbankbenutzers.
Ein Prompt, der ein Modell bittet, nur zu lesen, ist eine Bitte. Eine Prüfschicht, die ausschließlich Lesepläne übersetzt, ist eine Regel. Für Unternehmensdaten ist dieser Unterschied der ganze Punkt.
- Was passiert, wenn das Modell zu etwas verleitet wird, das es nicht soll?
Was das Modell abfragen möchte, wird geprüft, bevor etwas ausgeführt wird – gegen das beschriebene Fachmodell und gegen die Rechte der Rolle. Die Grenze hängt damit nicht daran, dass sich das Sprachmodell korrekt verhält, sondern an einer Stelle, die es nicht beeinflusst. Alles, was nicht lesend ist, wird ohnehin nicht ausgeführt.
Was diese Grenze nicht leistet: Sie verhindert keine fachlich unglückliche Frage innerhalb der Rechte einer Rolle. Wer etwas sehen darf, sieht es auch dann, wenn er über einen Umweg danach fragt. Die Rollenrechte sind deshalb die eigentliche Stellschraube – und sie gehören in Ihre Hand, nicht in die des Anbieters.
- Könnten wir einen solchen MCP-Server nicht selbst bauen?
Einen MCP-Server, der Abfragen ausführt: ja, das ist überschaubar. Der Aufwand liegt nicht im Protokoll, sondern im semantischen Modell – jede Tabelle, jede Beziehung und jede Regel Ihres Systems müsste gelesen, verstanden und beschrieben werden.
Genau dieser Schritt dauert von Hand Wochen und ist der Grund, warum solche Vorhaben oft abgebrochen werden, bevor sie etwas zeigen. Deshalb wird das Modell hier KI-gestützt aus Sourcecode und Datenmodell erschlossen und anschließend fachlich validiert.
- Wo läuft der MCP-Server?
Auf Wunsch vollständig in Ihrer Infrastruktur; der Betrieb (Container) wird im Pilotprojekt gemeinsam aufgesetzt. Server, semantisches Modell, Prüfschicht und Datenbankzugang liegen dann in Ihrem Netz.
Ausgenommen ist das Sprachmodell, wenn Sie eine externe KI-Anwendung nutzen: Deren Modell läuft beim jeweiligen Anbieter. Welche Komponente wo läuft, ist auf der Seite zum Self-hosting einzeln aufgeschlüsselt.
Verwandte Themen
Angrenzende Fragen, jeweils auf einer eigenen Seite beantwortet.
KI-Assistenten mit Unternehmens
Was im KI-Assistenten passiert, was der Anbieter dabei sieht und was im Haus bleibt.
ChatGPT für die Unternehmens
Warum ein Sprachmodell keinen Datenbankzugang braucht – und welcher Zugang heute erprobt ist.
PostgreSQL & MySQL mit KI abfragen
Wie der lesende Datenbankzugang aussieht und was mit gewachsenen Schemata passiert.
Self-hosted KI für Unternehmens
Welche Komponente wo läuft – und welcher Teil heute noch extern ist.
Sicherer KI-Datenbank
Warum das Sprachmodell keine Zugangsdaten erhält und die Grenze in der Architektur liegt.
Wenn Sie MCP schon einsetzen: Der interessante Teil beginnt bei der Frage, was der Server anbietet.
Oder direkt anrufen: 0151 235 331 19 · oder schreiben Sie uns: