Stell dir zwei Chatbots auf zwei Kundenseiten vor. Der erste beantwortet Fragen zu Öffnungszeiten und Versandkosten – solide, aber wenn ein Kunde wissen will, wo sein Paket steckt, endet das Gespräch mit „Bitte wenden Sie sich an unseren Support". Der zweite kann genau das: Er fragt die Bestellnummer ab, schaut im Shopsystem nach dem Sendungsstatus und nennt das Datum der Zustellung. Für den Endkunden ist der Unterschied riesig. Für dich als Agentur ist er der Grund, warum ein einfacher FAQ-Bot in Zukunft schwerer zu verkaufen sein wird.
Der Baustein, der diesen Sprung möglich macht, hat einen sperrigen Namen: Model Context Protocol, kurz MCP. Innerhalb eines Jahres ist daraus ein Branchenstandard geworden, den praktisch alle großen KI-Anbieter unterstützen. Wer Chatbots für Kunden baut oder wartet, sollte verstehen, was dahintersteckt – auch weil mit den neuen Fähigkeiten neue Risiken kommen, für die am Ende du geradestehst.
MCP für Chatbots: was der neue Standard verändert
Bisher war jede Anbindung eines Chatbots an ein fremdes System Handarbeit. Sollte der Bot ins Shopsystem schauen, brauchte er eine eigene Schnittstelle. Sollte er zusätzlich Termine im Kalender prüfen, kam die nächste Sonderlösung dazu. Jede dieser Verbindungen war ein Stück Code, das du selbst gebaut, getestet und gewartet hast. Bei fünf Kunden mit je drei Systemen wird daraus schnell ein unübersichtlicher Wildwuchs.
Genau dieses Problem adressiert MCP. Anthropic hat den offenen Standard am 25. November 2024 vorgestellt und beschreibt ihn als „universellen, offenen Standard, um KI-Systeme mit Datenquellen zu verbinden" – mit dem Ziel, „fragmentierte Integrationen durch ein einziges Protokoll zu ersetzen". Statt für jede Kombination aus KI-Modell und Datenquelle eine eigene Brücke zu bauen, sprechen beide Seiten dieselbe Sprache. Ein System stellt seine Funktionen einmal über einen sogenannten MCP-Server bereit, und jeder MCP-fähige Chatbot kann sie nutzen.
Technisch liegt dem eine Client-Server-Architektur zugrunde: Der Chatbot ist der Host, der über einen Client mit einem oder mehreren MCP-Servern kommuniziert, wie die Übersicht auf Wikipedia beschreibt. Ein Server kann dem Bot dabei drei Dinge anbieten – Werkzeuge zum Handeln (etwa „Bestellstatus abfragen"), Ressourcen zum Nachlesen (etwa Produktdaten) und vorgefertigte Prompts. Wichtig ist der Unterschied zur reinen Wissensbasis: Beim klassischen Aufbau einer Chatbot-Wissensbasis liest der Bot Inhalte, um besser zu antworten. Über MCP kann er zusätzlich Aktionen auslösen – und das ist ein qualitativer Sprung.
Vom Nischen-Tool zum Branchenstandard in zwölf Monaten
Dass sich der Aufwand lohnt, sich mit MCP zu beschäftigen, liegt an der Geschwindigkeit, mit der sich der Standard durchgesetzt hat. Laut einer Analyse von The New Stack war der Wendepunkt im März 2025, als OpenAI-Chef Sam Altman die volle Unterstützung ankündigte. Im Mai 2025 folgte Google DeepMind für die Gemini-Modelle, Microsoft und GitHub traten dem Steuerungsgremium bei. Salesforce baute seine Agentenplattform um MCP herum. The New Stack fasst den Befund einer zitierten Untersuchung so zusammen: 70 Prozent der untersuchten großen SaaS-Marken bieten inzwischen einen MCP-Server an.
Für dich heißt das praktisch: Die Systeme, mit denen deine Kunden ohnehin arbeiten – Shops, CRMs, Buchungstools, Ticketsysteme – bringen zunehmend fertige MCP-Anbindungen mit. Du musst die Brücke nicht mehr selbst zimmern, sondern den vorhandenen Server einbinden. Das senkt den Aufwand pro Integration und macht Angebote realistisch, die vor einem Jahr noch unwirtschaftlich gewesen wären. Ein Chatbot, der Termine bucht oder Bestellungen nachschlägt, wird damit auch für kleine Kunden bezahlbar – und für dich zu einem Baustein mit wiederkehrendem Umsatz, ähnlich wie bei der klassischen Kalkulation eines Chatbot-Projekts.
Die Kehrseite: neue Fähigkeiten, neue Angriffsfläche
Hier kommt der Teil, den die meisten Marketing-Texte über MCP unterschlagen. In dem Moment, in dem ein Chatbot nicht mehr nur redet, sondern handelt – Daten abruft, Nachrichten verschickt, Einträge ändert –, wird er zu einem attraktiven Angriffsziel. Und die bisherigen Vorfälle zeigen, dass das keine graue Theorie ist.
Der Sicherheitsanbieter Checkmarx hat in seiner Übersicht zu MCP-Sicherheitsrisiken mehrere reale Vorfälle dokumentiert. Bei einer WhatsApp-Integration schleusten manipulierte Werkzeugbeschreibungen im November 2025 versteckte Anweisungen ein, die Nachrichtenverläufe unbemerkt an eine fremde Nummer umleiteten. Ein bösartiges npm-Paket namens Postmark-mcp setzte im September 2025 heimlich einen Blindkopie-Empfänger in E-Mails und schleuste so Passwörter, Rechnungen und interne Kommunikation aus. Und über die GitHub-Anbindung ließen sich im Mai 2025 durch präparierte Issues Agenten dazu bringen, private Repository-Inhalte offenzulegen.
Zwei Angriffsmuster stecken hinter fast allen Fällen. Das erste ist die schon von normalen Chatbots bekannte Prompt Injection, bei der schädliche Anweisungen im verarbeiteten Text stecken. Das zweite ist neu und heißt Tool Poisoning: Die Beschreibung eines Werkzeugs selbst enthält versteckte Befehle, die der Bot ausführt, ohne dass der Nutzer es merkt. Dazu kommt das „Confused Deputy"-Problem – der Server handelt mit höheren Rechten, als der einzelne Nutzer eigentlich haben dürfte, und öffnet so eine Hintertür.
So bindest du MCP verantwortungsvoll ein
Die gute Nachricht: Die Gegenmaßnahmen sind bekannt und für eine Agentur umsetzbar, wenn du sie von Anfang an mitdenkst. Checkmarx nennt mehrere Grundregeln, die sich für den Agentur-Alltag verdichten lassen.
Erstens das Prinzip der minimalen Rechte. Ein Werkzeug, das nur lesen soll, darf keine Schreibrechte haben, und ein Werkzeug für das Shopsystem darf nicht nebenbei die E-Mails erreichen. Vergib enge Berechtigungen und kurzlebige Zugangstokens, statt einen Generalschlüssel weiterzureichen.
Zweitens der Mensch als Kontrollinstanz bei kritischen Aktionen. Alles, was nach außen wirkt oder Daten verändert – eine E-Mail versenden, eine Bestellung stornieren, einen Datensatz löschen –, sollte eine ausdrückliche Bestätigung erfordern, statt vom Bot allein entschieden zu werden.
Drittens Sorgfalt bei der Lieferkette. Ein MCP-Server ist fremder Code mit weitreichenden Rechten. Prüfe Herkunft und Ruf des Anbieters, friere die eingesetzte Version ein und lass dich über Änderungen informieren – der Postmark-Fall war im Kern ein Supply-Chain-Angriff, wie du ihn aus dem npm-Umfeld kennst. Und viertens Protokollierung: Wer welches Werkzeug wann mit welchen Daten aufgerufen hat, gehört mitgeschnitten, damit ein Missbrauch überhaupt auffällt.
An dieser Stelle greift auch ein Gedanke, der Ragnova zugrunde liegt: Je weniger der Bot frei entscheiden darf und je stärker seine Antworten an belegbare Kundeninhalte gebunden sind, desto kleiner ist die Fläche, auf der eingeschleuste Anweisungen überhaupt Wirkung entfalten können. Handlungsfähigkeit und enge Leitplanken sind kein Widerspruch, sondern gehören zusammen.
Der DSGVO-Blick, den du nicht vergessen darfst
Sobald ein Chatbot über MCP auf personenbezogene Daten zugreift – Bestellungen, Kundenkonten, Nachrichtenverläufe –, ist das eine Datenverarbeitung mit allem, was dazugehört. Für jeden eingebundenen Dienst brauchst du in der Regel einen Auftragsverarbeitungsvertrag, und der Zugriff muss von einer Rechtsgrundlage gedeckt sein. Wo genau die Daten verarbeitet werden, ist ebenfalls relevant, gerade wenn ein MCP-Server hinter den Kulissen einen US-Dienst anspricht. Das ist eine fachliche Einordnung und keine Rechtsberatung; bei konkreten Pflichten im Kundenprojekt gehört ein Fachanwalt hinzugezogen. Praktisch heißt es aber schon jetzt: Kläre vor der Anbindung, welche Daten fließen, wohin sie fließen und ob die Verträge stehen.
Was du daraus mitnimmst
MCP verschiebt die Grenze dessen, was ein Chatbot für deine Kunden leisten kann – vom reinen Auskunftsgeben zum tatsächlichen Erledigen. Das ist eine echte Chance, weil es Projekte aufwertet und wiederkehrende Umsätze plausibler macht. Es ist zugleich eine Verantwortung, weil jede neue Fähigkeit eine neue Angriffsfläche schafft. Der Mittelweg ist kein Zögern, sondern bewusstes Bauen: klein anfangen mit lesenden Zugriffen, kritische Aktionen absichern, Berechtigungen eng halten und die Herkunft jedes Servers prüfen. Wer das beherzigt, kann seinen Kunden 2026 etwas anbieten, das sich spürbar von der FAQ-Box abhebt – ohne dabei ein Sicherheitsrisiko einzubauen, das später auf die eigene Agentur zurückfällt.
- Das Model Context Protocol (MCP) ist der neue offene Standard, mit dem Chatbots nicht nur antworten, sondern Aktionen in Kundensystemen auslösen können – etwa Bestellstatus abfragen oder Termine buchen.
- MCP hat sich binnen eines Jahres durchgesetzt: OpenAI, Google DeepMind, Microsoft und Salesforce unterstützen den Standard; laut The New Stack bieten 70 Prozent großer SaaS-Marken einen MCP-Server an.
- Handelnde Bots vergrößern die Angriffsfläche: Reale Vorfälle 2025 reichten von Tool Poisoning über eine WhatsApp-Integration bis zu einem bösartigen npm-Paket, das E-Mails per Blindkopie ausleitete.
- Verantwortungsvoll einbinden heißt: minimale Rechte, menschliche Freigabe bei kritischen Aktionen, geprüfte Server-Herkunft mit fixierter Version und lückenlose Protokollierung.
- Jeder MCP-Zugriff auf personenbezogene Daten ist eine Datenverarbeitung – AVV und Rechtsgrundlage vorab klären (keine Rechtsberatung).