mcp, freigaben & compliance - die begriffe.

MCP (Model Context Protocol)

Das Model Context Protocol (MCP) ist ein offener Standard, der KI-Modelle mit externen Tools, Datenquellen und Diensten verbindet - eingeführt von Anthropic im November 2024. Statt für jede Anwendung eine eigene Integration zu bauen, sprechen KI-Assistenten wie ChatGPT oder Claude über eine einheitliche Schnittstelle mit beliebigen Systemen.

Definition lesen →

MCP-Server

Ein MCP-Server ist ein Dienst, der einem KI-Agenten Tools über das Model Context Protocol anbietet - etwa „Bestellung suchen", „Rückerstattung auslösen" oder „Datensatz löschen". KI-Clients wie ChatGPT oder Claude verbinden sich mit dem Server, sehen die Tool-Liste und rufen die Tools im Auftrag des Nutzers auf.

Definition lesen →

MCP-Client

Ein MCP-Client ist die Anwendung, die sich mit MCP-Servern verbindet und deren Tools für ein KI-Modell nutzbar macht. Typische Clients sind ChatGPT, Claude (Desktop und Code), VS Code, Gemini CLI oder eigene Agenten-Frameworks. Der Client entdeckt die Tools und leitet Aufrufe des Modells an den Server weiter.

Definition lesen →

Tool-Call

Ein Tool-Call ist der einzelne Aufruf eines Tools durch einen KI-Agenten - mit konkreten Argumenten und einem Ergebnis. Beispiel: refund_order mit amount=180 €. Tool-Calls sind die Stelle, an der aus Sprache Handlung wird: Bestellungen, Rückerstattungen, Löschungen passieren als Tool-Calls, nicht als Chat-Nachrichten.

Definition lesen →

AI-Agent (KI-Agent)

Ein AI-Agent ist ein KI-System, das nicht nur antwortet, sondern selbstständig Aktionen ausführt: Es plant Schritte, ruft Tools auf und verfolgt Ziele über mehrere Interaktionen. Chat-Agenten, Voice-Agenten und autonome Workflows (etwa mit LangGraph oder n8n) sind Agenten - ihr gemeinsamer Hebel in die reale Welt sind Tool-Calls.

Definition lesen →

MCP-Gateway

Ein MCP-Gateway ist eine Infrastruktur-Komponente vor einem oder mehreren MCP-Servern, die Authentifizierung, Rate-Limits, Routing und Protokoll-Übersetzung übernimmt - vergleichbar mit einem API-Gateway. Ein Gateway regelt den technischen Zugang; die fachliche Frage, welche Aktion eine menschliche Freigabe braucht, beantwortet es typischerweise nicht.

Definition lesen →

Rug-Pull (MCP)

Ein Rug-Pull ist ein MCP-Sicherheitsrisiko: Ein MCP-Server ändert die Definition eines Tools, nachdem der Nutzer ihm vertraut hat. Ein harmlos wirkendes Tool „Wetter abfragen" kann nach einem Update plötzlich Daten exfiltrieren - der Client zeigt weiterhin denselben Tool-Namen an.

Definition lesen →

Tool-Poisoning

Tool-Poisoning ist ein Angriff, bei dem bösartige Anweisungen in der Beschreibung eines MCP-Tools versteckt werden. Das KI-Modell liest Tool-Beschreibungen als vertrauenswürdigen Kontext - eine präparierte Beschreibung kann es anweisen, Daten weiterzugeben oder andere Tools zu missbrauchen, ohne dass der Nutzer davon etwas sieht.

Definition lesen →

Human-in-the-Loop (HITL)

Human-in-the-Loop bedeutet: Ein Mensch entscheidet, bevor ein automatisiertes System eine kritische Aktion ausführt - nicht danach. Bei AI-Agenten heißt das konkret, dass definierte Tool-Calls angehalten werden, bis eine berechtigte Person sie freigibt oder ablehnt. Der Unterschied zu reiner Protokollierung: Der Mensch kann eingreifen, bevor etwas passiert.

Definition lesen →

Freigabe (Approval)

Eine Freigabe (Approval) ist die dokumentierte Entscheidung eines Menschen, dass eine angehaltene Aktion ausgeführt werden darf. Zur wirksamen Freigabe gehören die berechtigte Person, der vollständige Kontext (Tool, Argumente, auslösender Agent, greifende Regel) und ein dauerhafter Nachweis von Entscheidung und Zeitpunkt.

Definition lesen →

Hold

Ein Hold ist ein angehaltener Tool-Call: Der Aufruf eines Agenten wird vor der Ausführung gestoppt und wartet, bis ein Mensch entscheidet. Während des Holds ist die Aktion weder ausgeführt noch verworfen - sie liegt mit vollem Kontext (Tool, Argumente, Regel) in einer Freigabe-Inbox.

Definition lesen →

Monitor-Mode

Im Monitor-Mode beobachtet eine Kontrollschicht den Verkehr zu einem MCP-Server, ohne einzugreifen: Jeder Tool-Call wird aufgezeichnet, nichts wird geblockt. Fällt die Schicht aus, läuft der Verkehr weiter (fail-open). Monitor-Mode ist der risikofreie Einstieg - er macht zum ersten Mal sichtbar, was Agenten tatsächlich tun.

Definition lesen →

Enforce-Mode

Im Enforce-Mode setzt eine Kontrollschicht Regeln physisch durch: Kritische Tool-Calls werden angehalten, bis ein Mensch entscheidet, verbotene Calls werden abgelehnt. Fällt die Schicht aus, geht keine ungeprüfte Aktion durch (fail-closed). Enforce-Mode ist der Unterschied zwischen Konvention („der Agent soll nicht") und Durchsetzung („der Agent kann nicht").

Definition lesen →

Fail-open / Fail-closed

Fail-open und fail-closed beschreiben, wie sich ein Kontrollsystem bei einem Ausfall verhält: Fail-open lässt den Verkehr ungeprüft weiterlaufen (Verfügbarkeit vor Kontrolle), fail-closed stoppt ihn (Kontrolle vor Verfügbarkeit). Welches Verhalten richtig ist, hängt vom Risiko der geschützten Aktionen ab.

Definition lesen →

Eskalationskette

Eine Eskalationskette regelt, was mit einer offenen Freigabe passiert, wenn der zuständige Entscheider nicht reagiert: Nach Ablauf einer Frist wandert die Anfrage automatisch zur nächsten Person oder Rolle - etwa vom Teamlead nach 30 Minuten zur Bereitschaft. So bleibt keine kritische Aktion unbeantwortet liegen.

Definition lesen →

Vier-Augen-Prinzip

Das Vier-Augen-Prinzip verlangt, dass kritische Vorgänge von zwei unabhängigen Personen geprüft werden, bevor sie wirksam werden. In internen Kontrollsystemen (IKS) ist es Standard für Zahlungen und unumkehrbare Änderungen - und es überträgt sich direkt auf AI-Agenten: Ein Zahllauf, den ein Agent vorbereitet, wird erst nach zwei unabhängigen Freigaben ausgeführt.

Definition lesen →

EU AI Act Artikel 14

Artikel 14 der EU-KI-Verordnung (Verordnung (EU) 2024/1689) verlangt, dass Hochrisiko-KI-Systeme so gestaltet sind, dass Menschen sie wirksam beaufsichtigen können - inklusive der Fähigkeit, einzugreifen, das System zu unterbrechen oder eine Ausgabe zu verwerfen. Logs allein genügen nicht: Aufsicht muss vor der Wirkung ansetzen können.

Definition lesen →

ISO/IEC 42001

ISO/IEC 42001 ist die internationale Norm für KI-Managementsysteme (AIMS), veröffentlicht 2023. Sie verlangt von Organisationen, Risiken ihrer KI-Systeme systematisch zu steuern - mit definierten Verantwortlichkeiten, Kontrollen über den Lebenszyklus und belegbaren Prozessen. Zertifizierbar wie ISO 27001, zunehmend Bestandteil von B2B-Anforderungen.

Definition lesen →

AVV (Auftragsverarbeitungsvertrag)

Ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO regelt, wie ein Dienstleister personenbezogene Daten im Auftrag eines Unternehmens verarbeitet: Zweck, Weisungsbindung, technische und organisatorische Maßnahmen, Unterauftragnehmer, Löschpflichten. Ohne AVV ist der Einsatz eines datenverarbeitenden SaaS-Dienstes in der EU regelmäßig nicht DSGVO-konform.

Definition lesen →

Hash-Chain

Eine Hash-Chain ist eine Folge von Datensätzen, in der jeder Eintrag den kryptografischen Hash (z. B. SHA-256) seines Vorgängers enthält. Wird ein alter Eintrag nachträglich verändert, stimmen alle folgenden Hashes nicht mehr - Manipulation wird mathematisch nachweisbar. Hash-Chains machen Protokolle revisionssicher, ohne eine Blockchain zu benötigen.

Definition lesen →

Audit-Trail

Ein Audit-Trail ist die lückenlose, chronologische Aufzeichnung aller relevanten Ereignisse eines Systems - bei AI-Agenten: jeder Tool-Call mit Argumenten und Ergebnis, jede Regeländerung, jede Freigabe und Ablehnung mit Person, Kanal und Zeitstempel. Revisionssicher wird der Trail erst, wenn nachträgliche Änderungen erkennbar sind.

Definition lesen →