Entgelttransparenz

KI wird für Unternehmen erst dann wirklich folgenreich, wenn sie nicht mehr nur antwortet, sondern mit internen Systemen arbeitet. Genau diese Entwicklung macht das Model Context Protocol, kurz MCP, so bedeutsam. Denn mit MCP entsteht eine standardisierte Verbindungsebene, über die KI-Anwendungen kontrolliert auf Datenquellen, Dienste und Werkzeuge zugreifen können. Damit rückt nicht mehr nur die Leistungsfähigkeit der KI in den Mittelpunkt, sondern auch die Frage, wie Unternehmen Zugriffe, Berechtigungen, Protokollierung und Verantwortung sicher steuern. MCP ist weder ein KI-Modell noch ein einzelnes Softwareprodukt. Es handelt sich um ein technisches Kommunikationsprotokoll, mit dem KI-Anwendungen standardisiert mit externen Datenquellen, Diensten und Werkzeugen kommunizieren können. Vereinfacht gesagt schafft MCP eine Art geregelte Verbindungsebene zwischen KI-Systemen und der digitalen Arbeitswelt. Eine KI kann über MCP zum Beispiel mit einem Dokumentensystem, einem Ticketsystem, einer Datenbank, einem Kalender, einem Dateispeicher oder einer Fachanwendung verbunden werden und dort Informationen gezielt nutzen. Ein MCP-Server ist dabei vereinfacht gesagt die Komponente, die bestimmte Datenquellen oder Werkzeuge für eine KI-Anwendung bereitstellt. Er kann damit wie eine technisch steuerbare Vermittlungsstelle zwischen der KI-Anwendung und den angebundenen Systemen wirken. Damit ist MCP weit mehr als nur ein Thema für Entwickler. Es kann eine wichtige Ordnungsfunktion für Datenschutz, IT-Sicherheit und kontrollierte KI-Nutzung übernehmen. Denn die entscheidende Frage lautet nicht nur: Was kann die KI? Sondern vor allem: Worauf darf die KI zugreifen, was darf sie ausführen, wer kontrolliert das und wie wird es dokumentiert?

1. Warum MCP mehr ist als nur eine technische Schnittstelle

Auf den ersten Blick klingt MCP wie ein rein technisches Thema. Eine KI erhält über eine standardisierte Schnittstelle Zugriff auf Datenquellen oder Werkzeuge. Das klingt zunächst nach normaler IT-Integration in bestehende Unternehmenssysteme. Der eigentliche Unterschied liegt aber darin, dass KI-Systeme nicht nur starre Befehle ausführen. Sie können Informationen auswerten, Zusammenhänge herstellen, Arbeitsaufträge vorbereiten und je nach technischer Ausgestaltung auch Aktionen über angebundene Werkzeuge anstoßen. Damit verschiebt sich die Risikoperspektive. Es geht nicht mehr nur darum, ob ein Nutzer eine Datei in ein KI-System hochlädt. Es geht darum, ob eine KI künftig selbst auf Datenquellen zugreifen, Informationen abrufen, Vorgänge vorbereiten oder Funktionen in anderen Systemen nutzen kann. Genau deshalb ist MCP aus Datenschutz- und IT-Sicherheitssicht so wichtig. Eine solche technische Verbindungsschicht muss kontrolliert, begrenzt, protokolliert und abgesichert werden. Ohne klare Regeln kann aus einer nützlichen Schnittstelle schnell eine neue Angriffsfläche oder ein unübersichtlicher Datenfluss werden.

2. Die zentrale Datenschutzfrage:
    Welche Daten darf die KI überhaupt sehen?

Aus Sicht des Datenschutzes ist eine der wichtigsten Fragen: Welche personenbezogenen Daten werden einem KI-System zugänglich gemacht – und zu welchem Zweck? Ohne geordnete Schnittstellen besteht die Gefahr, dass KI-Anbindungen unkontrolliert wachsen. Einzelne Fachbereiche könnten eigene Lösungen einsetzen, Datenquellen direkt anbinden oder Dateien in KI-Systeme hochladen, ohne dass Rollen, Zwecke, Berechtigungen und Schutzmaßnahmen sauber und einheitlich geregelt sind. MCP kann hier eine wichtige ordnende Funktion übernehmen. Es kann helfen, den Zugriff von KI-Systemen auf Datenquellen nicht beliebig, sondern technisch strukturiert zu gestalten. Das bedeutet allerdings nicht, dass MCP Datenschutz automatisch garantiert. Entscheidend bleibt immer die konkrete Umsetzung. Ein offenes oder standardisiertes Protokoll ist nicht schon deshalb sicher oder datenschutzkonform, weil es offen dokumentiert ist. Datenschutz entsteht erst durch die Verbindung aus technischer Begrenzung, organisatorischer Kontrolle, sauberem Berechtigungskonzept, Zweckbindung, Protokollierung und regelmäßiger Überprüfung.

3. MCP kann Datenschutz beherrschbarer machen

Datenschutz scheitert in der Praxis selten daran, dass es keine abstrakten Regeln gibt. Datenschutz scheitert häufig daran, dass Datenflüsse unübersichtlich, Berechtigungen historisch gewachsen und Schnittstellen schlecht dokumentiert sind. Bei KI-Systemen verschärft sich dieses Problem. Denn KI kann Informationen aus unterschiedlichen Quellen zusammenführen, Zusammenhänge herstellen und Arbeitsschritte vorbereiten. Dadurch wird es noch wichtiger, genau zu steuern, welche Daten in welchem Kontext verarbeitet werden dürfen. MCP kann Datenschutz beherrschbarer machen, wenn es in ein klares Datenschutz-, Berechtigungs- und Sicherheitskonzept eingebettet wird. Daraus ergeben sich mehrere Vorteile:

• Zugriffe können klarer beschrieben werden. Es wird nachvollziehbarer, welche KI-Anwendung mit welchem MCP-Server verbunden ist und welche Ressourcen dort bereitgestellt werden.
• Berechtigungen können gezielter gesteuert werden. Nicht jedes KI-System muss Zugriff auf alle Daten erhalten. Zugriffe können auf bestimmte Funktionen, Datenbereiche, Nutzergruppen oder Werkzeuge begrenzt werden.
• Die Protokollierung kann verbessert werden. Wenn Zugriffe über definierte Schnittstellen erfolgen, lassen sie sich leichter dokumentieren und überwachen.
• Datenminimierung kann technisch unterstützt werden. Die KI muss nicht pauschal ganze Datenbestände erhalten, sondern kann gezielt nur die Informationen abrufen, die für einen konkreten Arbeitsschritt erforderlich sind.
• Zwecke können klarer abgegrenzt werden. Gerade bei personenbezogenen Daten ist es wichtig, dass Daten nicht beliebig für neue KI-Zwecke genutzt werden, sondern nur innerhalb eines vorher festgelegten und rechtlich geprüften Rahmens.

MCP kann für KI damit eine ähnliche Ordnungsfunktion übernehmen wie geregelte Schnittstellen, Rollenmodelle und Protokollierung in klassischen IT-Systemen: Zugriff soll nicht beliebig erfolgen, sondern kontrolliert, nachvollziehbar und begrenzbar.

4. MCP und IT-Sicherheit:
    Aus der Schnittstelle darf keine neue Angriffsfläche werden

Aus Sicht der IT-Sicherheit ist MCP ebenfalls bedeutsam. Eine standardisierte Schnittstelle ist nur dann ein Fortschritt, wenn sie nicht zu einer neuen unkontrollierten Angriffsfläche wird. Das ist besonders wichtig, weil KI-Systeme über MCP nicht nur Informationen abrufen, sondern je nach Ausgestaltung auch Werkzeuge bedienen können. Eine KI könnte also nicht nur Dokumente lesen, sondern unter Umständen auch Aktionen vorbereiten oder auslösen. Hier liegt ein erheblicher Unterschied. Ein lesender Zugriff auf ein Dokumentensystem ist bereits sensibel. Ein schreibender oder ausführender Zugriff auf ein Ticketsystem, ein E-Mail-System, ein CRM, ein HR-System oder ein Administrationswerkzeug ist deutlich riskanter. Je stärker MCP nicht nur Informationen bereitstellt, sondern Aktionen ermöglicht, desto höher werden die Anforderungen an Freigabeprozesse, Rechteprüfung, Protokollierung und menschliche Kontrolle. Besondere Aufmerksamkeit verdienen dabei unter anderem folgende Risiken:

• Prompt Injection:
  Manipulierte Inhalte oder Anweisungen können versuchen, die KI zu unerwünschten Werkzeugaufrufen zu bewegen.
• Überprivilegierte Konnektoren:
  Ein MCP-Server erhält mehr Rechte, als für den konkreten Zweck erforderlich sind.
• Unbemerkter Datenabfluss:
  Die KI erhält Zugriff auf Daten, die für die jeweilige Aufgabe nicht benötigt werden.
• Fehlerhafte Rollen- und Rechteprüfung:
  Ein Nutzer kann über die KI Informationen abrufen oder Aktionen auslösen, die ihm im Fachsystem selbst nicht erlaubt wären.
• Unzureichende Protokollierung:
  Es ist später nicht nachvollziehbar, welche Daten abgerufen oder welche Aktionen durch die KI vorbereitet wurden.
• Ungeprüfte Drittanbieter-Server:
  Externe MCP-Server werden eingebunden, ohne ihre Sicherheits- und Datenschutzfolgen ausreichend zu prüfen.
• Manipulierte Werkzeugbeschreibungen:
  Angebundene Werkzeuge oder deren Beschreibungen können so gestaltet oder verändert werden, dass die KI zu falschen oder unerwünschten Handlungen verleitet wird.
• Automatisierte Aktionen ohne menschliche Kontrolle:
  Die KI kann Vorgänge anstoßen, ohne dass ein verantwortlicher Mensch den Vorgang vorher prüft und freigibt.

Gerade diese Risiken zeigen: Nicht das Protokoll als solches ist das Problem. Riskant wird MCP, wenn es ohne Sicherheitsarchitektur, ohne Berechtigungskonzept und ohne Governance eingesetzt wird.

5. Der entscheidende Unterschied:
    KI-Zugriff darf kein Schatten-IT-Projekt werden

Viele Unternehmen stehen derzeit vor einer gefährlichen Entwicklung. Fachbereiche entdecken KI-Werkzeuge schneller, als Organisationen ihre Governance-Strukturen anpassen können. Dadurch entsteht ein Risiko: KI wird praktisch genutzt, bevor klar geregelt ist, welche Daten verwendet werden dürfen, welche Systeme angebunden werden, wer verantwortlich ist und wie die Nutzung dokumentiert wird. Gerade hier kann MCP eine wichtige Rolle spielen. MCP kann helfen, KI-Anbindungen aus der informellen Schatten-IT herauszuholen und in eine geregelte Unternehmensarchitektur zu überführen. Statt unkontrollierter Einzelverbindungen kann eine zentral bewertete, dokumentierte und abgesicherte Schnittstellenlandschaft entstehen. Für Datenschutz und IT-Sicherheit ist das ein erheblicher Unterschied.

6. Ohne Governance wird MCP zum Risiko

MCP ist kein Ersatz für Datenschutzkonzept, IT-Sicherheitskonzept oder Berechtigungskonzept. Das Protokoll kann nur so sicher sein wie seine konkrete Umsetzung. Unternehmen sollten deshalb frühzeitig klare organisatorische Regeln festlegen. Dabei geht es insbesondere um vier zentrale Prüfbereiche.

6.1 Technische Freigabe

• Welche MCP-Server dürfen eingesetzt werden?
• Wer darf MCP-Server freigeben?
• Welche Datenquellen und Werkzeuge dürfen über MCP angebunden werden?
• Werden externe MCP-Server vor dem Einsatz technisch, datenschutzrechtlich, vertraglich und organisatorisch geprüft?

6.2 Daten- und Zweckprüfung

• Welche personenbezogenen Daten dürfen über MCP verarbeitet werden?
• Welche Zwecke sind zulässig?
• Welche Datenquellen enthalten besondere Kategorien personenbezogener Daten nach Art. 9 DS-GVO, Beschäftigtendaten, Entgeltdaten oder andere besonders sensible Informationen wie Geschäftsgeheimnisse?
• Werden nur die Daten bereitgestellt, die für den konkreten Zweck erforderlich sind?

6.3 Berechtigungen und Protokollierung

• Welche Nutzergruppen dürfen welche Funktionen verwenden?
• Wie wird technisch verhindert, dass Nutzer über die KI mehr Rechte erhalten als im angebundenen Fachsystem?
• Welche Zugriffe und Werkzeugaufrufe werden protokolliert?
• Wer wertet Protokolle aus?
• Wie lange werden Protokolle aufbewahrt?

6.4 Menschliche Kontrolle und Sicherheitsprüfung

• Wann ist eine zusätzliche Freigabe durch einen Menschen erforderlich?
• Wie werden Risiken durch Prompt Injection, Fehlbedienung, manipulierte Werkzeugbeschreibungen oder übermäßige Datenfreigabe reduziert?
• Wie wird sichergestellt, dass die KI keine unzulässigen Entscheidungen trifft?
• Welche Vorgänge dürfen keinesfalls ohne vorherige menschliche Prüfung und Freigabe automatisiert ausgeführt werden?

Diese Fragen sollten nicht erst beantwortet werden, wenn MCP bereits produktiv eingesetzt wird. Sie gehören in die Vorbereitung jeder kontrollierten KI-Architektur.

7. Datenschutzrechtliche Einordnung:
    MCP als Teil technischer und organisatorischer Maßnahmen

Aus Sicht der DS-GVO ist MCP besonders interessant, weil es eng mit technischen und organisatorischen Maßnahmen verbunden ist. Nach Art. 5 Abs. 2 DS-GVO muss der Verantwortliche die Einhaltung der Datenschutzgrundsätze nachweisen können. Nach Art. 24 DS-GVO muss er geeignete technische und organisatorische Maßnahmen umsetzen, um sicherzustellen und nachweisen zu können, dass die Verarbeitung personenbezogener Daten datenschutzkonform erfolgt. Hinzu kommen weitere zentrale Datenschutzgrundsätze:

• Art. 5 Abs. 1 lit. b DS-GVO verlangt Zweckbindung. Personenbezogene Daten dürfen nicht beliebig für neue Zwecke verwendet werden.
• Art. 5 Abs. 1 lit. c DS-GVO verlangt Datenminimierung. Es dürfen nur die personenbezogenen Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind.
• Art. 5 Abs. 1 lit. f DS-GVO verlangt Integrität und Vertraulichkeit. Personenbezogene Daten müssen durch geeignete technische und organisatorische Maßnahmen geschützt werden.
• Art. 25 DS-GVO fordert Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen.
• Art. 32 DS-GVO verlangt eine angemessene Sicherheit der Verarbeitung.
• Art. 30 DS-GVO verlangt ein Verzeichnis von Verarbeitungstätigkeiten, wenn die jeweiligen Voraussetzungen erfüllt sind.
• Art. 35 DS-GVO kann eine Datenschutz-Folgenabschätzung erforderlich machen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, insbesondere bei sensiblen KI-Zugriffen.

MCP kann in diesem Zusammenhang ein Baustein sein, um KI-Zugriffe auf personenbezogene Daten kontrollierter, nachvollziehbarer und begrenzbarer zu gestalten. Entscheidend ist, dass MCP nicht isoliert betrachtet wird. Es muss eingebettet werden in Berechtigungskonzepte, Rollenmodelle, Protokollierung, Datenschutz-Folgenabschätzungen, Verarbeitungsverzeichnisse, Löschkonzepte, Schulungen und klare Verantwortlichkeiten. In der Praxis betrifft dies insbesondere das Verzeichnis von Verarbeitungstätigkeiten (VVT), die technischen und organisatorischen Maßnahmen (TOM), Berechtigungskonzepte, Löschkonzepte, Schulungsunterlagen und gegebenenfalls Datenschutz-Folgenabschätzungen.

8. Verantwortlich bleibt das Unternehmen

Ein besonders wichtiger Punkt darf nicht übersehen werden: Soweit das Unternehmen über Zwecke und wesentliche Mittel der Verarbeitung entscheidet, bleibt es datenschutzrechtlich Verantwortlicher. Der Einsatz externer KI-Anbieter, Cloud-Dienste oder MCP-Konnektoren verlagert diese Verantwortung nicht automatisch auf den Dienstleister. Deshalb muss vor dem Einsatz geprüft werden, welche datenschutzrechtliche Rolle die beteiligten Stellen einnehmen:

• Handelt es sich um einen Auftragsverarbeiter?
• Liegt eine gemeinsame Verantwortlichkeit vor?
• Gibt es eigenständig Verantwortliche?
• Welche Verträge, Prüfungen und Dokumentationen sind erforderlich?
• Welche Daten verlassen das Unternehmen?
• Welche Daten werden nur intern verarbeitet?
• Welche Protokolle entstehen?
• Wer kann auf diese Protokolle zugreifen?

Gerade bei KI-Anbindungen darf die Rollenklärung nicht nachträglich erfolgen. Sie ist Teil der datenschutzrechtlichen Grundprüfung.

9. Was Unternehmen jetzt prüfen sollten

Unternehmen müssen MCP nicht vorschnell einsetzen. Sie sollten aber verstehen, welche Bedeutung solche Protokolle für die künftige KI-Nutzung haben können. Sinnvoll ist deshalb eine frühe Bestandsaufnahme vor dem produktiven Einsatz. Unternehmen sollten insbesondere folgende Punkte prüfen:

9.1 KI-Nutzung

• Welche KI-Systeme werden bereits eingesetzt?
• Welche Fachbereiche nutzen KI bereits praktisch?
• Welche KI-Nutzung findet möglicherweise außerhalb geregelter IT- und Datenschutzprozesse statt?

9.2 Datenquellen

• Welche Datenquellen sollen künftig mit KI verbunden werden?
• Welche Systeme enthalten personenbezogene Daten, besondere Kategorien personenbezogener Daten nach Art. 9 DS-GVO, Beschäftigtendaten, Entgeltdaten oder andere besonders sensible Informationen wie Geschäftsgeheimnisse?
• Welche Daten dürfen einer KI-Anwendung überhaupt zugänglich gemacht werden?

9.3 Anbindungen

• Gibt es bereits Konnektoren, Plugins, Schnittstellen oder Automatisierungen?
• Wer entscheidet über die Freigabe solcher Anbindungen?
• Wer prüft MCP-Server technisch, datenschutzrechtlich, vertraglich und organisatorisch?

9.4 Berechtigungen

• Gibt es ein Berechtigungskonzept für KI-Zugriffe?
• Ist technisch sichergestellt, dass Nutzer über die KI nicht mehr Rechte erhalten als im angebundenen Fachsystem?
• Werden lesende, schreibende und ausführende Zugriffe getrennt betrachtet?

9.5 Nachweisbarkeit

• Werden KI-Zugriffe protokolliert?
• Ist nachvollziehbar, welche Daten eine KI abgerufen hat?
• Ist nachvollziehbar, welche Werkzeuge durch eine KI verwendet oder vorbereitet wurden?
• Werden Protokolle regelmäßig geprüft?

9.6 Menschliche Kontrolle

• Welche Aktionen dürfen nur nach menschlicher Freigabe erfolgen?
• Welche Vorgänge darf eine KI lediglich vorbereiten?
• Welche Vorgänge dürfen keinesfalls ohne vorherige menschliche Prüfung und Freigabe automatisiert ausgeführt werden?

9.7 Datenschutzdokumentation

• Muss das Verzeichnis von Verarbeitungstätigkeiten (VVT) angepasst werden?
• Müssen technische und organisatorische Maßnahmen (TOM) ergänzt werden?
• Ist eine Datenschutz-Folgenabschätzung erforderlich?
• Müssen Löschkonzepte, Berechtigungskonzepte oder interne Richtlinien angepasst werden?

9.8 Schulung

• Sind Beschäftigte, Administratoren und fachliche Freigabeverantwortliche ausreichend geschult?
• Verstehen Fachbereiche den Unterschied zwischen einer normalen KI-Nutzung und einer KI-Anbindung an Unternehmenssysteme?
• Gibt es klare Vorgaben, welche KI-Werkzeuge und Anbindungen genutzt werden dürfen?

Diese Fragen zeigen: MCP ist kein isoliertes Technikthema. MCP gehört in die Schnittmenge aus IT-Architektur, Datenschutz, Informationssicherheit, Compliance und Unternehmensorganisation.

10. Warum Geschäftsleitungen MCP ernst nehmen sollten

Für Geschäftsleitungen ist MCP kein reines Entwickler- oder Administratorenthema. MCP kann die Art verändern, wie KI künftig in Unternehmensprozesse eingebunden wird. Wenn KI-Systeme über standardisierte Anbindungen auf Werkzeuge und Daten zugreifen, entstehen neue Möglichkeiten: Routineaufgaben können vorbereitet, Informationen aus verschiedenen Systemen zusammengeführt, Entscheidungsvorlagen erstellt, Dokumentationsprozesse unterstützt und Arbeitsketten teilweise automatisiert werden. Fachbereiche können schneller auf interne Informationen zugreifen und Arbeitsergebnisse vorbereiten lassen. Gleichzeitig steigen aber die Anforderungen an Governance, Datenschutz und IT-Sicherheit. Wer MCP nur als technische Spielerei betrachtet, unterschätzt die Entwicklung. Wer MCP dagegen frühzeitig in Datenschutz- und Sicherheitskonzepte einordnet, kann die Vorteile von KI kontrollierter nutzen.

11. MCP ist noch jung: Aktualität und konkrete Umsetzung prüfen

MCP ist ein noch junges technisches Protokoll. Unternehmen sollten deshalb vor einem produktiven Einsatz immer die jeweils aktuelle Spezifikation, die Dokumentation des eingesetzten KI-Anbieters sowie die Sicherheitsdokumentation der verwendeten MCP-Server prüfen. Gerade bei neuen KI-Schnittstellen können sich technische Standards, Sicherheitsanforderungen, Anbieterfunktionen und bewährte Vorgehensweisen schnell weiterentwickeln. Eine einmalige Prüfung reicht deshalb in der Regel nicht aus. Erforderlich ist eine laufende Bewertung, ob die eingesetzten Komponenten weiterhin zum Datenschutz-, Sicherheits- und Berechtigungskonzept des Unternehmens passen und wirksam umgesetzt bleiben. Wichtig ist auch: MCP schützt nicht automatisch vor Fehlkonfiguration, unsicheren Servern, übermäßigen Berechtigungen oder missbräuchlichen Werkzeugaufrufen. Diese Risiken müssen durch konkrete technische und organisatorische Maßnahmen beherrscht werden.

12. Die eigentliche Chance: kontrollierte KI statt Schatten-IT

Das größte Potenzial von MCP liegt nicht darin, KI einfach „mächtiger“ zu machen. Das größte Potenzial liegt darin, KI kontrolliert anschlussfähig zu machen. Damit erfüllt MCP eine wichtige Aufgabe: Es kann dazu beitragen, KI-Nutzung nicht zufällig, informell und schwer überprüfbar wachsen zu lassen, sondern sie in eine geordnete technische und organisatorische Struktur zu bringen.

13. Fazit: MCP kann ein wichtiger Baustein für sichere KI-Nutzung werden

Das Model Context Protocol ist ein wichtiger Entwicklungsschritt für den praktischen Einsatz von KI in Unternehmen. Es schafft eine standardisierte Möglichkeit, KI-Systeme mit Datenquellen, Anwendungen und Werkzeugen zu verbinden. Gerade deshalb ist MCP auch aus Datenschutz- und IT-Sicherheitssicht relevant. Richtig umgesetzt kann MCP dazu beitragen, KI-Zugriffe besser zu steuern, Berechtigungen klarer zu begrenzen, Datenflüsse nachvollziehbarer zu machen und Sicherheitsanforderungen strukturierter und überprüfbarer umzusetzen. Falsch konfiguriert oder unkontrolliert eingesetzt kann MCP dagegen neue Risiken schaffen: unübersichtliche Zugriffe, unzureichende Berechtigungen, fehlende Protokollierung, Datenabfluss oder missbräuchliche Werkzeugnutzung. Oder anders formuliert: Nicht die Verbindung von KI mit Unternehmenssystemen ist das eigentliche Risiko – sondern eine Verbindung ohne klare Regeln, ohne Kontrolle und ohne Nachweisbarkeit.