MCP im Unternehmen einführen: der Bastel-Phase entwachsen

Vor einem Jahr war das Model Context Protocol das Spielzeug der Early Adopters: ein Server auf dem Laptop, ein Agent, der plötzlich Tickets lesen kann, Staunen im Team-Call. Diese Phase ist vorbei. Die Zahlen aus dem Ökosystem sprechen von zehntausenden öffentlichen Servern und knapp hundert Millionen SDK-Downloads pro Monat; branchenübergreifende Umfragen sehen MCP-Server bei einem substanziellen Teil der Software-Organisationen in Produktion. Und seit diesem Sommer ist die Enterprise-Managed Authorization im Standard stabil.

Wer MCP im Unternehmen einführen will, hat damit erstmals die Bausteine für einen sauberen Produktivbetrieb — und eine neue Pflicht: es auch sauber zu tun. Der Abstand zwischen „läuft bei mir" und „läuft für hundert Mitarbeitende, auditierbar" ist genau der Teil, an dem Agenten-Projekte politisch sterben.

Was Enterprise-Auth wirklich löst

Bisher war Autorisierung die hässlichste Ecke von MCP im Team-Einsatz: jeder Server sein eigener Consent-Dialog, jede Freigabe beim Nutzer, keine zentrale Sicht darauf, wer worauf zugreift. Die Enterprise-Managed-Authorization-Erweiterung dreht das um — die Organisation kontrolliert den Zugriff auf MCP-Server zentral über ihren Identity Provider, statt Per-Server-Zustimmungen einzusammeln.

Praktisch heisst das: Onboarding und Offboarding laufen über die Gruppe im IdP statt über Zurufe. Der Audit-Trail hat eine einzige Quelle. Und die Frage „welche Agenten-Tools sind bei uns eigentlich im Einsatz?" hat erstmals eine abfragbare Antwort — dieselbe Frage, die im Governance-Minimal-Set das Tool-Register beantwortet, nur technisch durchgesetzt.

Wo es noch hakt

Ehrlichkeit gehört dazu, das steht auch so in der offiziellen Roadmap: Der Betrieb von Streamable HTTP in grossem Massstab hat Lücken aufgedeckt. Zustandsbehaftete Sessions vertragen sich schlecht mit Load Balancern, horizontales Skalieren braucht Workarounds, und es fehlt ein Standardweg, wie eine Registry erfährt, was ein Server kann, ohne sich zu verbinden. Nichts davon ist ein Show-Stopper — aber wer heute produktiv geht, plant diese Ecken bewusst ein, statt sie im Incident zu entdecken.

Die 5 Fragen vor dem ersten produktiven MCP-Server

Aus den Einführungen, die ich begleitet habe, die Checkliste, die vor dem Go-Live beantwortet sein muss:

1. Wer darf was — und wo steht das? Zugriff über den IdP (Gruppen, Rollen), nicht über geteilte Tokens. Wenn ein Mensch geht, muss sein Agenten-Zugriff mit ihm gehen.
2. Welche Daten sieht der Server — und welche nie? Ein MCP-Server ist eine Tür in deine Systeme. Definiere die Datenklassen, die durch diese Tür dürfen, bevor der erste Agent klopft.
3. Wo läuft er? Datenresidenz gilt auch für Tool-Aufrufe. Ein Server, der CRM-Daten an einen Agenten reicht, gehört auf Infrastruktur, deren Standort du im Vertrag festhalten kannst — für DACH-Kunden im Zweifel EU/CH.
4. Was wird geloggt? Jeder Tool-Aufruf mit Wer/Was/Wann, zentral, durchsuchbar. Ohne das ist der erste Vorfall unaufklärbar.
5. Wie stirbt er? Deprecation eingeplant: Versionierung, Kill-Switch, ein Owner mit Namen. Server ohne Owner werden Schatten-IT mit Root-Zugang.

Wer diese fünf Fragen beantworten kann, hat den unbequemen Teil hinter sich. Der Code ist — wie schon beim ersten eigenen Server — nicht das Problem.

Die Reihenfolge, die nicht in Schatten-IT endet

Der häufigste Fehler ist nicht Technik, sondern Reihenfolge: erst zwanzig Server wildwuchern lassen, dann Governance nachschieben. Umgekehrt wird ein Schuh draus — ein Use Case mit echtem Nutzen, sauber aufgesetzt (IdP-Zugriff, Logging, Owner), als Referenz-Implementierung. Danach skaliert das Muster, nicht das Chaos.

Was du diese Woche tun kannst

Inventarisiere, was schon da ist: Welche MCP-Server laufen in deinem Team — offiziell und inoffiziell? Wer hat sie aufgesetzt, wo laufen sie, was können sie erreichen? Die Liste ist in einer Stunde erstellt und fast immer länger als gedacht. Sie ist der Startpunkt für alles Weitere.

Und wenn ihr den Schritt vom Laptop in die Produktion nicht alleine gehen wollt — MCP-Architektur, IdP-Anbindung, auditierbarer Betrieb auf EU/CH-Infrastruktur ist genau die Art Auftrag, die wir übernehmen: hire@halvic.ch.