MCP wird zustandslos — das größte Update seit Erfindung des Protokolls

Wenn ein KI-Programm etwas tun soll, das über Reden hinausgeht — einen Termin eintragen, eine Notiz speichern, ein Bild erzeugen —, dann braucht es eine Sprache, in der es dem zuständigen Dienst sagen kann, was es will. Seit Ende 2024 gibt es dafür einen offenen Standard, das Model Context Protocol, kurz MCP. Er hat sich in erstaunlichem Tempo durchgesetzt: Die vier Haupt-Bibliotheken werden nach Angaben des Projekts inzwischen fast eine halbe Milliarde Mal pro Monat heruntergeladen.

Uns geht das direkt an. Der Verein betreibt einen solchen Server selbst — er sammelt die Werkzeuge unserer Apps an einer Stelle, prüft, wer sie aufrufen darf, und schreibt mit, was aufgerufen wurde. Am 28. Juli 2026 ist eine neue Fassung des Protokolls erschienen, die das Projekt selbst als die größte Änderung seit Einführung der Anmeldung bezeichnet. Wir haben nachgesehen, was sich ändert und was es uns kostet.

Was sich geändert hat

Bisher funktionierte MCP wie ein Telefonat. Zuerst wählte man, es gab eine Begrüßung, in der beide Seiten aushandelten, was sie können — und danach existierte eine Leitung, die beide offen halten mussten. Jede weitere Anfrage lief durch diese Leitung, und der Server merkte sich unter einer Kennung, mit wem er da eigentlich spricht.

Die neue Fassung schafft das Telefonat ab. Jede Anfrage ist ab jetzt ein Brief: Sie trägt selbst mit sich, welche Protokoll-Fassung sie spricht, wer sie schickt und was der Absender kann. Es gibt keine Begrüßung mehr, keine Sitzungs-Kennung und keinen dauerhaft offenen Kanal. Auch das gegenseitige „bist du noch da?“ ist ersatzlos verschwunden.

Das klingt nach einer Kleinigkeit und ist die eigentliche Nachricht. Ein Server, der sich zwischen zwei Anfragen nichts merken muss, ist ein gewöhnlicher Webdienst. Man kann ihn hinter jeden simplen Verteiler stellen, neu starten, verschieben oder vervielfachen, ohne dass jemand etwas davon bemerkt. Die alte Bauweise verlangte, dass jede Anfrage desselben Gesprächs wieder beim selben Rechner landet — und wer das über mehrere Rechner hinweg wollte, brauchte einen gemeinsamen Speicher dahinter. Der Chef des Sicherheits-Anbieters Stacklok bringt es in der Berichterstattung auf den Punkt: Der Sitzungs-Charakter sei ohnehin nie eine Entwurfs-Entscheidung gewesen, sondern ein Nebenprodukt der Herkunft — MCP wurde für Programme auf dem eigenen Rechner erfunden und erst danach ins Netz gehoben.

Damit trotzdem möglich bleibt, was die offene Leitung erlaubte, kommen drei Ersatz-Bauteile:

Zwischenfragen mitten im Aufruf. Braucht ein Server während der Arbeit eine Bestätigung oder eine fehlende Angabe, antwortet er nicht mehr über die Leitung zurück, sondern beendet die Anfrage mit „dazu brauche ich noch etwas“. Der Client holt die Angabe ein und wiederholt den kompletten Aufruf mit der Antwort im Gepäck.

Ein einziger Melde-Kanal, auf Wunsch. Wer über Änderungen unterrichtet werden will — neue Werkzeuge, veränderte Inhalte —, meldet sich für genau diese Arten von Nachrichten an und bekommt einen Strom. Vorher war das über mehrere Mechanismen verstreut.

Listen dürfen altern. Antworten auf „welche Werkzeuge hast du“ tragen jetzt eine Haltbarkeit und einen Vermerk, ob ein Zwischenspeicher sie teilen darf. Das spart den ewigen Nachfrage-Verkehr.

Dazu kommen zwei Änderungen, die man erst auf den zweiten Blick schätzt. Jede Anfrage trägt ab jetzt in ihren Kopfzeilen, welche Methode sie aufruft und welches Werkzeug sie meint. Damit können Schutzwälle, Zähler und Verteiler davor entscheiden, ohne den Inhalt der Nachricht aufschneiden zu müssen — für alle, die solche Dienste absichern, ist das eine spürbare Erleichterung. Und bei der Anmeldung zieht das Protokoll näher an die etablierten Standards heran: Ein Client muss künftig prüfen, ob eine Erlaubnis wirklich von der Stelle stammt, bei der er sie angefragt hat, und Zugangsdaten dürfen nicht mehr über verschiedene Anmelde-Stellen hinweg wiederverwendet werden.

Was verschwindet

Abgekündigt sind drei Fähigkeiten, mit denen der Server bisher in Richtung des Nutzers zurückgreifen konnte: sich beim Client ein Sprachmodell ausleihen, nach Verzeichnissen auf dem Rechner fragen, und der eingebaute Protokoll-Kanal. Sie funktionieren weiter, aber neue Umsetzungen sollen sie nicht mehr aufgreifen. Dazu kommt der alte Transportweg, der seit anderthalb Jahren als überholt galt, und die automatische Anmeldung von Clients, die durch ein schlankeres Verfahren ersetzt wird.

Ersatzlos gestrichen — nicht abgekündigt — ist die Möglichkeit, eine abgerissene Antwort dort fortzusetzen, wo sie abbrach. Wer unterbrochen wird, fragt neu.

Wie hart der Bruch wirklich ist

Härter, als die Beruhigungen vermuten lassen, und weicher, als die Überschriften klingen. Beide Richtungen sind abgesichert: Ein Server der neuen Fassung beantwortet die alte Begrüßung weiterhin, und ein Client der neuen Fassung fällt auf sie zurück, wenn er auf einen alten Server trifft. Bestehende Installationen laufen also am Stichtag unverändert weiter.

Ehrlich benannt hat das Anthropic-Mitglied David Soria Parra in der Berichterstattung, wo es weh tut: Wer eine eigene Umsetzung gebaut hat statt die fertige Bibliothek zu benutzen, habe erheblich zu tun, um sie korrekt zu bekommen. Und die Zwölf-Monats-Frist ist eine Frist und keine Gnade — sie verschiebt den Aufwand, sie erlässt ihn nicht.

Für uns ist das die richtige Reihenfolge: Wir haben ein Jahr Zeit, wir müssen den Dienst ohnehin anfassen, und wir gewinnen dabei etwas, das wir sonst mühsam selbst gebaut hätten.