Das Model Context Protocol (MCP) ist keine Laborkuriosität mehr. Die Spezifikation vom 28. Juli 2026 stabilisiert seine Grundlagen, und öffentliche Verzeichnisse führen inzwischen mehr als 9.000 Server. Für Teams, die Agenten an reale Werkzeuge anbinden, markiert diese Version den Übergang vom experimentellen Protokoll zur Infrastrukturabhängigkeit.
Was die Spezifikation 2026-07-28 enthält
| Neuerung | Praktische Wirkung |
|---|---|
| Zustandsloser Kern | Einfacheres Hosting hinter Standard-HTTP und unkomplizierte horizontale Skalierung |
| MCP Apps | Vollständige Anwendungen lassen sich bereitstellen, nicht nur einzelne Werkzeuge |
| Tasks-Erweiterung | Geregelte Unterstützung langlaufender und asynchroner Verarbeitung |
| Deprecation-Policy | Expliziter Rahmen für die Weiterentwicklung ohne unangekündigte Brüche |
Von stdio zu HTTP, von API-Schlüsseln zu OAuth 2.1
Der stdio-Transport, praktisch für lokale Prototypen, weicht gehostetem HTTP. Im selben Zug ersetzen OAuth 2.1 die statischen API-Schlüssel; für entfernte Server ist es nun vorgeschrieben. Die Einrichtung wird aufwendiger, die Begründung ist jedoch schwer zu bestreiten: Ein entfernter MCP-Server stellt Werkzeuge bereit, die in reale Systeme schreiben — Datenbanken, CMS, Analysewerkzeuge. Diese Zugriffstiefe schützt man nicht mit einer fest hinterlegten Zeichenkette.
Folgen für Teams, die MCP bereits einsetzen
Über stdio mit API-Schlüssel prototypisierte Server funktionieren weiter, doch die Richtung des Protokolls ist eindeutig: zustandsloses HTTP und OAuth. Kurzfristig wird keine Migration erzwungen; jeder heute neu geschriebene Server sollte dieses Ziel jedoch direkt anpeilen, sonst folgt später eine Neuschreibung.
Was bleibt
Die Spezifikation vom 28. Juli bringt keine spektakuläre Funktion. Sie bringt, was zum Daraufaufbauen fehlte: einen zustandslosen Kern, Standardauthentifizierung und einen angekündigten Weiterentwicklungsrahmen. Das ist das Vokabular eines Infrastrukturbausteins, nicht eines Prototyps.
Ich betreibe seit über einem Jahr MCP-gesteuerte redaktionelle Routinen im Produktivbetrieb. Der Umstieg auf OAuth 2.1 kostete einen halben Tag Konfiguration pro Server — der bestbezahlte halbe Tag, den ich in dieses Thema gesteckt habe: Fest hinterlegte API-Schlüssel waren der einzige Teil der Kette, über den ich in einem Audit nicht hätte sprechen wollen. — Simon Janvier
Weiterführend
Die vollständige Spezifikation steht auf der offiziellen Website des Model Context Protocol.
Ebenfalls auf Mail Studio
- TypeScript 7.0: der in Go neu geschriebene Compiler
- Redaktionelle Agenten im Produktivbetrieb: was hält und was bricht
