MCP und Agenten: Warum die nächste KI-Entscheidung Infrastruktur heißt

Am 25. November 2024 veröffentlicht Anthropic eine Ankündigung, die weniger spektakulär klingt als ein neues Spitzenmodell: das Model Context Protocol, kurz MCP. Kein Roboter läuft über eine Bühne. Kein Chatbot muss mit einer verblüffenden Antwort beeindrucken. Stattdessen geht es um Verbindungen zu Daten und Werkzeugen.

Gerade darin liegt die wirtschaftliche Sprengkraft. Ein Sprachmodell kann einen Wartungsbericht erklären. Einen freigegebenen Reparaturauftrag im richtigen System anzulegen, ist eine andere Aufgabe. Zwischen beiden liegt keine bessere Formulierung, sondern eine technische und organisatorische Brücke.

Wer Foundation Models – breit vortrainierte Modelle für unterschiedliche Aufgaben – produktiv einsetzen will, muss deshalb genauer auf diese Übergänge schauen. Die strategische Frage lautet nicht nur: Welcher Anbieter liefert die klügsten Antworten? Sondern: Wie wird aus einer Antwort eine verlässliche Handlung?

Redaktionelle Einordnung zum 28. September 2026: Diese Trendanalyse stützt sich auf die verlinkten Veröffentlichungen aus 2024 und 2025. Eine tagesaktuelle Nachrichtenrangfolge oder spätere Produktänderungen wurden nicht live verifiziert.

MCP: Der unscheinbare Anschluss mit großer Hebelwirkung

Anthropic stellte MCP als offenen Standard vor, der Anwendungen mit externen Datenquellen und Werkzeugen verbindet. Vereinfacht gesagt: Eine Seite stellt Funktionen oder Informationen bereit; die andere kann sie über eine gemeinsame technische Sprache entdecken und nutzen.

Das klingt nach Installationshandbuch. Tatsächlich berührt es einen Engpass vieler Unternehmensprojekte. Wo jede Anwendung eine eigene Verbindung zu jedem Fachsystem benötigt, wachsen Sonderlösungen. Ändert sich eine Schnittstelle, beginnt die Reparaturarbeit.

Ein gemeinsames Protokoll kann diesen Aufwand verringern. Es ersetzt allerdings weder die Geschäftslogik noch die Prüfung, welche Daten überhaupt verfügbar sein dürfen. Der passende Stecker garantiert noch keinen sicheren Stromkreis.

Der überraschende Punkt: Nicht nur das Modell kann wiederverwendbar werden, sondern auch sein Zugang zur Arbeitswelt. Ein sorgfältig entwickelter Anschluss lässt sich potenziell in mehreren kompatiblen Anwendungen einsetzen. Genau dort entsteht ein möglicher Infrastrukturvorteil – vorausgesetzt, Implementierungen, Berechtigungen und Versionen passen tatsächlich zusammen.

OpenAI: Vom Antwortfenster zum Werkzeugkasten

Am 11. März 2025 stellte OpenAI die Responses API und weitere Werkzeuge für Agenten vor. Eine API ist eine Programmierschnittstelle, über die Software Funktionen eines anderen Systems aufruft. Zum angekündigten Angebot gehörten unter anderem Websuche, Dateisuche und Computerbedienung sowie ein Entwicklungsbaukasten namens Agents SDK.

Ein Agent ist hier kein digitales Wesen mit eigenen Absichten. Gemeint ist Software, die ein Modell nutzt, um innerhalb vorgegebener Grenzen Arbeitsschritte auszuwählen und Werkzeuge aufzurufen.

Im Mai 2025 ergänzte OpenAI die Responses API um Unterstützung für entfernte MCP-Server. Solche Server stellen Funktionen über eine Netzwerkverbindung bereit. Damit griff ein weiterer großer Anbieter das von Anthropic initiierte Protokoll auf.

Für die Architektur ist das bemerkenswert: Die Herkunft einer Schnittstelle muss nicht mehr bestimmen, welches Modell sie verwendet. Daraus folgt noch keine reibungslose Austauschbarkeit. Aber es eröffnet die Möglichkeit, Integrationen unabhängiger vom gewählten Anbieter zu planen. Der vermeintliche Zubehöranschluss wird zur strategischen Entscheidung.

Agenten-Protokolle: Werkzeuge sind noch keine Zusammenarbeit

Eine Verbindung zur Dokumentensuche löst nicht automatisch die Koordination zwischen zwei digitalen Spezialisten. Genau hier lohnt eine begriffliche Trennung.

Google stellte am 9. April 2025 Agent2Agent, kurz A2A, vor. Das angekündigte Protokoll sollte die Zusammenarbeit unterschiedlicher Agenten ermöglichen. MCP adressiert dagegen vor allem den Zugang zu Werkzeugen und Kontext, also den für eine Aufgabe relevanten Informationen.

Anschaulich gesprochen: Die eine Verbindung öffnet den Werkzeugschrank. Die andere hilft, einen Auftrag zwischen Arbeitsgruppen weiterzugeben. Das ist eine Vereinfachung, keine starre technische Grenzziehung.

Warum ist sie wichtig? Weil Unternehmen sonst aus einem gelungenen Einzelanschluss vorschnell auf eine funktionierende digitale Belegschaft schließen könnten. Aufgabenübergabe braucht zusätzlich klare Zuständigkeiten, verständliche Ergebnisse und Regeln für Fehlerfälle.

Die eigentliche Überraschung liegt zwischen den Komponenten: Selbst wenn jeder Beteiligte einzeln gut arbeitet, kann die gemeinsame Prozesskette scheitern. Ein verlässlicher Übergang ist eine eigene Entwicklungsaufgabe, kein Nebenprodukt hoher Modellleistung.

Sicherheit: Ein offener Standard ist kein Freifahrtschein

Je leichter sich Funktionen anbinden lassen, desto wichtiger wird die Frage: Wer darf sie unter welchen Bedingungen ausführen?

Ein Sprachmodell verarbeitet häufig fremde Inhalte – beispielsweise Dokumente oder Webseiten. Darin können Anweisungen stehen, die den vorgesehenen Auftrag umlenken sollen. Dieser Angriff heißt Prompt Injection: Nicht vertrauenswürdiger Inhalt versucht, als steuernde Anweisung wirksam zu werden.

MCP allein beseitigt dieses Problem nicht. Ebenso wenig garantiert ein standardisiertes Werkzeug, dass seine Nutzung angemessen ist. Eine korrekt übertragene Löschanfrage bleibt gefährlich, wenn sie nicht hätte gestellt werden dürfen.

Sinnvolle Schutzmaßnahmen beginnen deshalb außerhalb des Antworttextes: minimale Zugriffsrechte, getrennte Lese- und Schreibfunktionen, nachvollziehbare Protokolle und menschliche Freigaben für folgenreiche Schritte. Berechtigungen sollten möglichst technisch durchgesetzt werden, statt nur als freundliche Bitte im Systemprompt zu stehen.

Der Perspektivwechsel ist entscheidend: Mehr Autonomie verlangt nicht weniger Prozessdisziplin, sondern präzisere Grenzen. Die leistungsfähigste Verbindung kann zugleich der riskanteste Übergang sein, wenn Kontrolle lediglich angenommen wird.

Was bedeutet das für Unternehmen?

Die erste Investitionsfrage sollte nicht lauten: Wie viele Agenten können wir starten? Besser ist: Welchen begrenzten Ablauf können wir messbar verbessern, ohne die Kontrolle zu verlieren?

Erstens: Aufgaben vor Produkten auswählen. Ein geeigneter Einstieg hat erkennbare Eingaben, überprüfbare Ergebnisse und überschaubare Folgen. Als ausdrücklich hypothetisches Beispiel eignet sich die Vorbereitung eines internen Beschaffungsvorgangs besser als dessen vollständig autonome Freigabe.

Zweitens: Anschluss und Verantwortung gemeinsam planen. Für jedes Werkzeug braucht es einen fachlich Verantwortlichen, definierte Zugriffsrechte und einen sicheren Ausweg, wenn etwas schiefgeht. Offene Standards sparen keine Zuständigkeitsklärung.

Drittens: Den gesamten Ablauf testen. Relevant sind nicht nur richtige Antworten, sondern auch unzulässige Aktionen, notwendige Korrekturen, Bearbeitungszeit und Kosten pro erfolgreich abgeschlossenem Vorgang. Die schönste Demonstration ist wertlos, wenn Ausnahmefälle den Betrieb blockieren.

Viertens: Qualifizierung als Teil der Einführung behandeln. Ein kompaktes Lernprogramm sollte drei Fähigkeiten aufbauen: Modellgrenzen erkennen, Werkzeugrechte verstehen und Fehler systematisch auswerten. Dazu passt eine Übung in einer isolierten Testumgebung: Teams vergleichen einen hilfreichen Dokumentinhalt mit einer eingeschleusten Handlungsanweisung und prüfen, ob die Anwendung beides auseinanderhält.

Das überraschende Ergebnis einer solchen Schulung muss kein besserer Prompt sein. Vielleicht zeigt sie, dass ein Schreibrecht ganz entfallen sollte. Genau diese Erkenntnis kann wirtschaftlich wertvoller sein als zusätzliche Automatisierung.

Fazit: Der Wettbewerb wandert an die Übergänge

Die belegten Ankündigungen markieren einen Architekturtrend: Anbieter entwickeln nicht nur leistungsfähigere Sprachmodelle, sondern auch gemeinsame Wege zu Daten, Funktionen und anderen Softwareakteuren.

Wie umfassend sich einzelne Protokolle langfristig durchsetzen, bleibt offen. Ebenso wenig lässt sich aus ihrer Unterstützung bereits ein belastbarer Produktivitätsgewinn ableiten. Dafür braucht es Messungen im konkreten Betrieb.

Die Richtung ist dennoch strategisch relevant. Unternehmen sollten Integrationen so entwerfen, dass sie überprüfbar, begrenzbar und möglichst austauschbar bleiben. Der entscheidende Vorsprung könnte weniger im exklusiven Zugang zum nächsten Spitzenmodell liegen als in der Fähigkeit, vorhandene Systeme verantwortungsvoll zusammenzuführen. Nicht das lauteste Modell gewinnt automatisch – sondern die besser beherrschte Prozesskette.

Häufige Fragen

Ist MCP selbst ein Sprachmodell?

Nein. Es ist ein Protokoll zur Verbindung von Anwendungen mit Daten und Werkzeugen. Die Qualität des eingesetzten Modells und die Zuverlässigkeit der angebundenen Funktionen bleiben getrennte Fragen.

Verhindern offene Schnittstellen eine Anbieterabhängigkeit?

Sie können Wechsel erleichtern. Vollständig beseitigen sie die Bindung nicht: Besondere Funktionen, Datenhaltung, Betriebsprozesse und Vertragsbedingungen können einen Umstieg weiterhin aufwendig machen.

Womit sollte ein Team praktisch beginnen?

Mit einem eng begrenzten, zunächst nur lesenden Ablauf in einer Testumgebung. Erst wenn Ergebnisqualität, Zugriffsgrenzen und Fehlerbehandlung nachvollziehbar geprüft sind, sollten weitergehende Aktionen hinzukommen.