Sicherheit
Sicherheit und Datenschutz
Wer sieht was, wenn eine KI über MCP auf Ihre Daten zugreift? Diese Seite benennt die vier Beteiligten, zeigt, wie die Daten fliessen, und erklärt, was Sie selbst steuern.
Einstieg
Was passiert eigentlich, wenn ich einen Kundennamen eintippe?
Sie tippen einen Namen in ChatGPT, Claude oder Gemini, und sofort kommt der Gedanke: Wandert das jetzt überallhin?
Nicht überallhin. Aber an mehr Stellen, als die meisten denken. Um zu verstehen, was wohin fliesst, muss klar sein, wer überhaupt beteiligt ist.
Beteiligte
Vier Beteiligte. Nicht zwei.
Wenn eine KI-Anwendung über MCP auf Daten zugreift, sind vier Beteiligte im Spiel. Jeder hat eine andere Rolle und sieht etwas anderes.
01
Sie
Die Person am Bildschirm. Was Sie eintippen, setzt alles in Gang. Sie entscheiden, welche MCP-Server verbunden werden, und bestätigen heikle Aktionen.
02
KI-Anwendung
Das Programm, in dem Sie arbeiten: ChatGPT, Claude, Perplexity, Gemini. Die Anwendung nimmt Ihre Eingabe entgegen, zeigt Ihnen die Antwort und stellt dem Sprachmodell die verfügbaren Funktionen der verbundenen MCP-Server zur Verfügung. Die Anwendung und das Sprachmodell dahinter stammen nicht immer von derselben Firma.
03
Sprachmodell und Anbieter
Das Modell, das Ihre Eingabe verarbeitet, und die Firma, auf deren Servern das geschieht. Das Modell wählt aus, welche Funktion es aufrufen will und mit welchen Angaben. ChatGPT nutzt GPT von OpenAI, Claude nutzt Modelle von Anthropic. Perplexity hingegen nutzt Modelle anderer Anbieter. Ihre Daten landen also nicht zwingend beim Hersteller der Anwendung, sondern beim Anbieter des Modells.
04
MCP-Server und Betreiber
Das Programm, das der Anwendung Daten oder Aktionen anbietet, und wer es betreibt. Was der Server zurückgibt, bestimmt sein Betreiber. Ein gut gebauter Server gibt nur zurück, was zur Anfrage gehört. Darauf müssen Sie sich beim Betreiber verlassen. Betreiber kann eine Firma sein, ein Open-Source-Projekt, oder Sie selbst.
Datenfluss
Was ändert sich am Datenfluss?
Ohne MCP fliesst nur das, was Sie eintippen, an die KI-Anwendung und den Modellanbieter. Mit MCP kommt etwas Neues dazu: Daten aus Ihren Diensten.
Was Sie in ChatGPT, Claude oder Gemini eintippen, durchläuft die KI-Anwendung und die Server des Modellanbieters. Das war schon vor MCP so. Daran ändert sich nichts.
Was sich ändert: Wenn Sie einen Dienst über MCP verbinden, etwa Ihr E-Mail-Postfach, dann fliessen auch Daten aus diesem Dienst durch die KI-Anwendung und das System des Modellanbieters. Nicht alles, nur das, was der MCP-Server auf eine konkrete Anfrage zurückgibt. Aber diese Daten existierten vorher nur in Ihrem Postfach. Jetzt durchlaufen sie zwei weitere Stationen.
Nur Ihre Eingabe fliesst über die KI-Anwendung zum Modellanbieter. Ihre Dienste bleiben unberührt.
Ein Beispiel: Ihr E-Mail-Postfach
Sie verbinden einen MCP-Server, der Zugriff auf Ihr geschäftliches E-Mail-Konto hat. Dann fragen Sie: «Gibt es eine Rechnung von Müller vom letzten Monat?»
- Die KI-Anwendung schickt Ihre Frage an das Sprachmodell auf den Servern des Anbieters, zusammen mit der Liste der Funktionen, die Ihre verbundenen MCP-Server anbieten.
- Das Sprachmodell erkennt, dass es im Postfach suchen muss, und fordert einen Aufruf an: «Suche E-Mails mit ‹Rechnung› und ‹Müller› aus dem letzten Monat.»
- Die KI-Anwendung leitet die Anfrage an den MCP-Server weiter. Der MCP-Server greift auf Ihr E-Mail-Konto zu und gibt die passenden Nachrichten zurück.
- Die Anwendung schickt das Ergebnis an das Sprachmodell. Der Inhalt dieser E-Mails durchläuft jetzt die Server des Modellanbieters.
- Das Modell formuliert die Antwort, und die Anwendung zeigt sie Ihnen.
Der entscheidende Schritt ist der vierte: Was der MCP-Server zurückgibt, durchläuft die KI-Anwendung und das System des Modellanbieters. Beide können diese Daten technisch speichern oder protokollieren. Ob sie das tun und tun dürfen, regeln ihre Nutzungsbedingungen und Ihre Kontoeinstellungen. Das ist kein Unterschied zu anderen Diensten: Auch Ihr E-Mail-Anbieter verarbeitet Ihre Nachrichten auf seinen Servern. Aber Sie sollten wissen, welche Daten Sie über welchen Weg fliessen lassen.
Anmeldung
Wie weiss der MCP-Server, wer Sie sind?
Der MCP-Server gehört in der Regel zum Dienst, den er anbindet. Der MCP-Server für Ihr E-Mail-Postfach wird vom E-Mail-Anbieter betrieben, so wie dessen App oder Weboberfläche.
Damit der Server weiss, wessen Daten er herausgeben darf, melden Sie sich beim Verbinden an. Auf einem Freigabebildschirm sehen Sie, welche Rechte verlangt werden. Sie entscheiden: zustimmen oder nicht verbinden.
- Ihre Identität bestimmt, was der Server sieht. Dieselben Zugriffsrechte wie im Dienst gelten weiter. Wenn Sie nur Ihr eigenes Postfach sehen, sieht auch der MCP-Server nur Ihr Postfach.
- Welche Rechte verlangt werden, legt der Betreiber fest. Sie können auf dem Freigabebildschirm nur annehmen oder ablehnen. Wenn ein Server mehr verlangt, als Sie für seinen Zweck erwarten: nicht verbinden.
- Trennen und Widerrufen sind zwei Schritte. Trennen in der KI-Anwendung beendet die Nutzung. Den Zugang selbst widerrufen Sie beim Dienst, etwa im Google-Konto unter «Apps mit Zugriff».
Bei einem lokalen MCP-Server auf Ihrem eigenen Rechner gibt es keine Anmeldung. Der Server läuft mit den Rechten Ihres Benutzerkontos und kann lesen, was Sie lesen können.
Ein Missverständnis
Heisst eingerichtet gleich, die KI kennt jetzt meine Daten?
Nein. Ein verbundener MCP-Server heisst: Die Anwendung darf nachfragen. Das Sprachmodell weiss nichts über Ihre Daten, bis eine Anfrage tatsächlich läuft, und aus einer einzelnen Anfrage lernt es nichts dauerhaft.
Davon zu trennen: Das Ergebnis jeder Anfrage durchläuft das System des Modellanbieters, damit das Sprachmodell antworten kann. Ob der Anbieter das Gespräch speichert, für Training nutzt oder Ihnen später als «Erinnerung» anzeigt, regeln seine Nutzungsbedingungen und Ihre Kontoeinstellungen. Wo Sie das einstellen, beschreiben die Anbieter selbst: ChatGPT, Claude, Gemini. MCP hat darauf keinen Einfluss.
Zugriff heisst: nachfragen dürfen. Was zurückkommt, sieht der Modellanbieter.
Ihre Kontrolle
Was steuere ich selbst, und was entscheidet wer?
Sie geben den Rahmen vor. Innerhalb davon arbeiten die Anwendung und das Sprachmodell zusammen.
Sie entscheiden
- Welche MCP-Server verbunden werden.
- Ob eine heikle Aktion ausgeführt wird. In den meisten Anwendungen bestätigen Sie solche Aktionen einzeln.
- Sie können jede Verbindung in der Anwendung trennen.
Das Sprachmodell entscheidet im Moment
- Welche Funktion es aufrufen will und mit welchen Angaben.
- Die KI-Anwendung führt den Aufruf dann aus, oder fragt Sie vorher.
- Immer nur innerhalb der Funktionen, die Ihre verbundenen MCP-Server anbieten.
In den meisten Anwendungen gibt es dabei eine Bremse: Bei Aktionen, die etwas verändern, also etwas senden, ändern oder löschen, fragt die Anwendung nach. Lesende Zugriffe laufen oft ohne Rückfrage.
In vielen Anwendungen können Sie das pro Funktion einstellen: immer fragen, immer erlauben oder ganz unterbinden. So legen Sie fest, welche Fähigkeiten eines MCP-Servers die KI-Anwendung nutzen darf, ohne dass Sie jedes Mal bestätigen müssen, und welche Sie lieber sperren. Die genauen Einstellungen finden Sie in Ihrer KI-Anwendung, oft unter «Verbindungen» oder «Connectors».
Situationen, die Sie kennen sollten
Welche Risiken gibt es bei MCP?
Bei allen vier Situationen gilt: Das Sprachmodell reagiert auf das, was ein MCP-Server zurückgibt, auch wenn es fehlerhaft oder absichtlich manipuliert ist. Darum bleibt die Bestätigung wichtiger Aktionen beim Menschen, und darum verbindet man nur MCP-Server, deren Betreibern man vertraut.
Mythos und Wirklichkeit
Was macht MCP gerade nicht?
MCP prüft die Server auf Seriosität, wie eine Art TÜV.
Es gibt keinen TÜV. Wer einen MCP-Server verbindet, entscheidet selbst, wem er vertraut.
MCP verschlüsselt alles, meine Daten werden quasi unsichtbar.
Daten gehen wirklich zu den MCP-Servern, die Sie verbinden, und zum Modellanbieter. MCP regelt, wie die Verbindung abläuft, es macht die Daten nicht unsichtbar.
Mit MCP bleiben meine Daten auf jeden Fall privat.
Wie privat es bleibt, hängt davon ab, wo jede Station läuft: der MCP-Server, das Sprachmodell, die Anwendung. Bei ChatGPT, Claude oder Gemini läuft das Modell auf den Servern des Anbieters.
MCP entscheidet schon, ob eine Aktion in Ordnung ist.
MCP regelt die Verbindung, nicht die Freigabe. Ob eine Aktion ausgeführt wird, entscheidet die Anwendung, oft mit Ihrer Bestätigung.
Checkliste
Was sollte ich prüfen, bevor ich einen MCP-Server verbinde?
- 1
Wer betreibt diesen MCP-Server?
Steckt eine Firma, eine Privatperson oder offener Quellcode dahinter? Ist erkennbar, wer den Server betreibt und wo die Organisation sitzt?
- 2
Welche meiner Daten kann der Server sehen?
Nur die eine Sache, für die Sie ihn brauchen, oder gleich Ihr ganzes Postfach, Ihren ganzen Kalender, Ihre ganze Ablage?
- 3
Darf er nur lesen, oder auch ändern, löschen, verschicken?
Nur Lesen ist sicherer. Wenn ein Server, der eigentlich nur Mails zusammenfassen soll, auch senden will, lohnt sich ein zweiter Blick.
- 4
Welche Rechte verlangt der Server beim Anmelden?
Auf dem Freigabebildschirm sehen Sie, was der Server können will. Wenn er mehr verlangt, als sein Zweck erfordert, ist das ein Warnzeichen.
- 5
Kann ich die Verbindung wieder trennen, und wo?
Trennen in der Anwendung beendet die Nutzung. Ob der Betreiber noch Zugang zu Ihrem Konto hat, sehen und beenden Sie beim Dienst selbst, etwa im Google-Konto unter «Apps mit Zugriff».
Wo Sie die verbundenen MCP-Server finden? In den Einstellungen Ihrer KI-Anwendung, oft unter «Verbindungen» oder «Connectors».
Verantwortung
Ändert MCP etwas an der Verantwortung?
Wenn Sie MCP nutzen
MCP ist ein Verbindungsstandard. Das Schweizer Datenschutzgesetz (revDSG) richtet sich nicht an ein Protokoll, sondern an die Personen und Unternehmen, die Daten bearbeiten. Wer eine KI-Anwendung einsetzt und einen MCP-Server verbindet, trägt die Verantwortung für den Umgang mit den Daten. Daran ändert MCP nichts.
Wo die Daten landen, bestimmt Ihre Wahl des Anbieters und des Modells. Bei ChatGPT, Claude oder Gemini laufen die Daten über Server im Ausland, mit oder ohne MCP.
Wenn Sie einen MCP-Server bauen oder betreiben
Für den Betreiber eines MCP-Servers gelten dieselben Pflichten wie für jede andere Schnittstelle, die Daten verarbeitet. Authentifizierung, Zugriffsrechte, Datensparsamkeit, Protokollierung: Was für eine REST-API gilt, gilt auch für einen MCP-Server.
MCP bringt dafür eigene Mechanismen mit. Die Spezifikation schreibt OAuth 2.1 für die Anmeldung vor, verlangt HTTPS für alle Verbindungen und verbietet, dass ein MCP-Server erhaltene Zugangsschlüssel an andere Dienste weiterreicht. Diese Vorgaben ersetzen aber keine eigene Sicherheitsprüfung. Sie sind ein Fundament, kein Ersatz.
Behandeln Sie jeden MCP-Server wie einen neuen Mitarbeiter, dem Sie einen Schlüssel geben: Was darf er sehen, was darf er tun, und wem vertrauen Sie damit Ihre Daten an?
Mehr dazu, was MCP bewusst nicht leistet, lesen Sie auf Was MCP nicht ist →