MCP, Model Context Protocol

Ein Assistent, der MCP spricht, bekommt vom angebundenen System eine Liste von Werkzeugen und ruft sie auf, statt Texte über eine Zwischenablage hin und her zu schieben. Anthropic hat das Protokoll im November 2024 veröffentlicht und im Dezember 2025 an die Agentic AI Foundation unter der Linux Foundation abgegeben, mitgegründet von Anthropic, Block und OpenAI. OpenAI selbst zog im März 2025 nach, Google DeepMind im April. Der Standard gehört damit keinem einzelnen Anbieter.

Drei Rollen stecken darin. Der Host ist die KI-Anwendung, für jede Verbindung erzeugt er einen Client, und am anderen Ende läuft der Server. Was ein Server anbietet, teilt sich in Werkzeuge zum Handeln, Ressourcen zum Lesen und Vorlagen für Prompts. Gesprochen wird JSON-RPC 2.0, und die Spezifikation auf modelcontextprotocol.io kennt genau zwei Transportwege: stdio für einen lokalen Prozess, Streamable HTTP für einen entfernten Server. MCP ist damit die Steckernorm, nicht das Gerät. Sie legt fest, wie der Stecker aussieht, nicht ob hinter der Dose etwas Sinnvolles passiert.

In Octibiz läuft der Server als eigener Prozess über stdio, als dünne Schicht über /api/v1. Er hat kein eigenes Fachwissen und keinen Datenbankzugriff, sondern ruft die REST-API auf wie jeder andere Client. Der Werkzeug-Katalog entsteht aus dem OpenAPI-Dokument: 2.168 Operationen, gezählt am 15. September 2026, und jede davon ist zugleich ein Werkzeug. Eine zweite Liste, die veralten könnte, gibt es nicht.

Ein Client sieht trotzdem keine 2.168 Werkzeuge. Das würde jedes Kontextfenster füllen, bevor die erste Frage gestellt ist. Der Standardsatz hat deshalb 22 kuratierte Werkzeuge für die täglichen Wege, darunter search, get_customer, create_work_item und list_time_entries. Dazu kommen drei generische: list_operations sucht eine Operation, describe_operation liefert ihre Signatur, invoke_operation führt sie aus. Damit ist jede der 2.168 erreichbar, ohne dass eine zusätzliche Beschreibung im Kontext liegt.

Rechte binden in der API, nicht im Werkzeug. Die KI bekommt einen eigenen Benutzer, kein persönliches Konto, und ihr Token gilt ohne andere Angabe 30 Tage; gespeichert wird nur der Hash. Fehlt ein Recht, antwortet die Operation mit 403, auch bei gültigem Token. Jedes schreibende Werkzeug trägt einen Bestätigungs-Riegel, und jede schreibende Aktion landet mit der Urheber-Art ai im Audit-Protokoll.

Die Grenze: Das Protokoll regelt den Weg, nicht das Urteil. Ein Sprachmodell kann das falsche Werkzeug greifen, einen Parameter falsch füllen oder zweimal aufrufen, was einmal gehört hätte. Daran ändert MCP nichts, deshalb der Riegel vor dem Schreiben und die Spur danach. Anonyme Aufrufe auf eine Instanz gibt es nicht, auch lesend nicht. Und die Bootstrap-Strecken bleiben bewusst draußen: Anmeldung, öffentliche Formulare und Webhook-Empfänger stehen nicht als Werkzeug zur Verfügung.