Kurz gesagt: Ein MCP-Server stellt KI-Assistenten wie Claude Werkzeuge und Daten über das Model Context Protocol zur Verfügung, zum Beispiel Zugriff auf Ihr CRM, Ihre Dokumentation oder interne APIs. Läuft er nur auf Ihrem Rechner, nutzt er meist den stdio-Transport. Soll er dauerhaft und für mehrere Nutzer oder Agenten erreichbar sein, betreiben Sie ihn als Remote-Server mit Streamable HTTP auf einem Server. Dann gelten feste Sicherheitsregeln: Origin-Header prüfen, Authentifizierung (nach Spezifikation auf Basis von OAuth 2.1) und HTTPS.
Was ist ein MCP-Server?
Das Model Context Protocol (MCP) ist ein offenes Protokoll, über das KI-Anwendungen (MCP-Clients) mit externen Werkzeugen und Datenquellen (MCP-Servern) sprechen. Die Nachrichten sind JSON-RPC 2.0. Ein MCP-Server kann einem Assistenten zum Beispiel diese Fähigkeiten geben:
- Tools: Aktionen ausführen, etwa ein Ticket anlegen oder eine Datenbankabfrage starten
- Resources: Daten bereitstellen, etwa Dokumente oder Kundendaten
- Prompts: vorbereitete Arbeitsanweisungen
Lokal oder remote: die zwei Transporte
| stdio | Streamable HTTP | |
|---|---|---|
| Wo läuft der Server? | auf demselben Rechner wie der Client | auf einem Server, erreichbar über das Netz |
| Wie viele Clients? | typischerweise einer | typischerweise viele |
| Kommunikation | Standard-Ein- und -Ausgabe zwischen Prozessen | HTTP POST, optional mit Server-Sent Events für Streaming |
| Authentifizierung | nicht über die MCP-Autorisierung | über HTTP, nach MCP-Spezifikation auf Basis von OAuth 2.1 |
| Gut für | persönliche Werkzeuge, Entwicklung | Teams, Agenten, die rund um die Uhr laufen |
Quelle: MCP Architecture und Spezifikation, Revision 2026-07-28.
Einen MCP-Server zu „hosten" heißt in der Praxis: ihn als Streamable-HTTP-Server auf einem Server betreiben, damit Ihre KI-Clients ihn jederzeit erreichen, auch wenn Ihr Laptop aus ist.
Sicherheitsregeln aus der Spezifikation
Die MCP-Spezifikation formuliert für Streamable HTTP klare Pflichten:
- Origin-Header prüfen: Server müssen den
Origin-Header jeder eingehenden Verbindung validieren, um DNS-Rebinding-Angriffe zu verhindern. - Lokal nur an localhost binden: Läuft ein Server lokal, soll er an
127.0.0.1lauschen, nicht an0.0.0.0. - Authentifizierung für alle Verbindungen: Für HTTP-Transporte beschreibt die Spezifikation eine Autorisierung auf Basis von OAuth 2.1 (inklusive Protected Resource Metadata nach RFC 9728).
Dazu kommen die üblichen Regeln für jeden öffentlich erreichbaren Dienst:
- HTTPS über einen Reverse Proxy (Caddy, Traefik, nginx), kein unverschlüsseltes HTTP
- Geheimnisse nicht im Code: API-Schlüssel für Ihre angebundenen Systeme in Umgebungsvariablen oder einem Secret-Store
- Minimale Rechte: Der MCP-Server bekommt nur die Rechte, die seine Tools wirklich brauchen. Ein Tool, das Kundendaten nur lesen soll, bekommt keinen Schreibzugang.
- Protokollieren, welche Tools wann aufgerufen werden, ohne personenbezogene Daten unnötig mitzuschreiben
Schritt für Schritt: MCP-Server auf einem VPS
- Server vorbereiten: Linux-VPS, Firewall nur für Port 443 (und 80 für Zertifikate) öffnen.
- MCP-Server als Dienst starten: zum Beispiel als Docker-Container oder als systemd-Dienst, damit er nach einem Neustart automatisch wieder läuft. Binden Sie ihn an
127.0.0.1und einen internen Port. - Reverse Proxy mit TLS davor setzen, der Anfragen an den internen Port weiterreicht.
- Autorisierung einrichten: OAuth nach MCP-Spezifikation oder, für rein interne Nutzung, mindestens ein starker Zugangsschutz plus IP-Einschränkung.
- Client verbinden: In Ihrem MCP-Client tragen Sie die HTTPS-URL des Servers ein.
- Überwachen und aktualisieren: Updates der MCP-Bibliotheken einspielen, Logs prüfen, Erreichbarkeit überwachen.
Wie Sie Container sicher auf einem VPS betreiben, erklärt der Artikel Docker Hosting.
Typische Fehler
| Fehler | Folge |
|---|---|
Server lauscht auf 0.0.0.0 ohne Authentifizierung | jeder im Netz kann Ihre Tools aufrufen |
| Origin-Header wird nicht geprüft | DNS-Rebinding-Angriffe aus dem Browser möglich |
| API-Schlüssel mit vollen Admin-Rechten | ein fehlerhafter Tool-Aufruf kann großen Schaden anrichten |
| Kein Neustart nach Server-Reboot | Agenten verlieren ihre Werkzeuge, ohne dass es jemand merkt |
Datenschutz
Greift Ihr MCP-Server auf personenbezogene Daten zu, gelten die üblichen DSGVO-Pflichten: Wo steht der Server, wer hat Zugriff, gibt es einen Auftragsverarbeitungsvertrag mit dem Hoster? Beachten Sie außerdem, dass Daten, die ein Tool an den KI-Client zurückgibt, beim Anbieter des Sprachmodells landen können. Mehr dazu im Blog KI DSGVO-konform nutzen.
MCP-Server bei GB Hosting
Ein MCP-Server braucht wenig Rechenleistung, aber Verfügbarkeit rund um die Uhr, HTTPS und saubere Updates. Auf einem Managed VPS bei GB Hosting läuft er in Deutschland, mit Root-Zugriff, Browser-Terminal, täglichen Snapshots und einem AVV. Einen Überblick über KI-Agenten auf eigenen Servern finden Sie unter KI-Agenten hosten.
Häufige Fragen
Brauche ich für einen MCP-Server einen großen Server?
Meist nicht. Der MCP-Server selbst ist leichtgewichtig; der Ressourcenbedarf hängt davon ab, was seine Tools tun (zum Beispiel Datenbankabfragen oder Dateiverarbeitung).
Kann ich mehrere MCP-Server auf einem VPS betreiben?
Ja, etwa als getrennte Container hinter einem Reverse Proxy, jeweils mit eigener Subdomain oder eigenem Pfad und eigener Authentifizierung.
Funktioniert ein lokaler stdio-Server auch remote?
Nicht direkt. Er muss den Streamable-HTTP-Transport unterstützen oder über einen Adapter bereitgestellt werden.