Die MCP-Explosion
Das Model Context Protocol ist kein Experiment mehr. Ende 2025 hat Anthropic MCP an die AI and Data Foundation (AAIF) der Linux Foundation gespendet, wobei OpenAI und Block als Mitgründer beigetreten sind. Dieser einzelne Schritt verwandelte MCP von einem vielversprechenden offenen Standard in permanente Infrastruktur — gestützt von den Organisationen, die die meistgenutzten AI-Systeme der Welt bauen.
Die Adoptionszahlen erzählen den Rest der Geschichte. MCP-SDK-Downloads überschritten 97 Millionen pro Monat im Februar 2026. Die Zahl der öffentlich verfügbaren MCP-Server überstieg 10.000. Erstklassige MCP-Client-Unterstützung wird jetzt mit Claude, ChatGPT, Cursor, Gemini, GitHub Copilot und VS Code ausgeliefert. Jede große AI-Plattform behandelt MCP als Standard-Protokoll für Tool-Nutzung.
Dies ist die Trajektorie eines grundlegenden Standards, nicht eines Trends. MCP ist die Art, wie AI-Agenten sich für die absehbare Zukunft mit externen Systemen verbinden werden. Das Protokoll hat gewonnen.
Aber Protokolladoption ist der einfache Teil. Der schwierige Teil kommt danach: zu entscheiden, welchen der über 10.000 Server Sie tatsächlich genug vertrauen, um sie mit Ihren Produktionssystemen zu verbinden.
Das Sicherheitsproblem, über das niemand spricht
Auf der RSA Conference 2026 präsentierten Forscher Erkenntnisse über die wachsende Angriffsfläche durch ungeprüfte MCP-Server. Das Kernargument: Jeder MCP-Server, den Sie mit einem AI-Agenten verbinden, wird zu einer vertrauenswürdigen Erweiterung dieses Agenten. Er sieht Tool-Aufruf-Daten. Er greift auf Anmeldedaten zu. Er beobachtet Geschäftskontext, der durch die Konversation fließt. Je mehr Server Sie verbinden, desto größer Ihre Angriffsfläche.
Das ist nicht theoretisch. Community-erstellte MCP-Server werden von Einzelpersonen verfasst, die für Funktionalität optimieren, nicht für Sicherheit. Die meisten werden mit einer README und einer funktionierenden Demo veröffentlicht — genug, um Stars auf GitHub zu bekommen, nicht genug, um ein Sicherheitsaudit zu bestehen.
Betrachten Sie, was ein MCP-Server in der Produktion handhabt. Ein Salesforce-Server empfängt Deal-Daten, Kontaktinformationen und Umsatzzahlen als Tool-Argumente. Ein Stripe-Server verarbeitet Zahlungsbeträge und Kunden-IDs. Ein HRIS-Server berührt Mitarbeiterdaten und Vergütungsinformationen. Jeder Server sitzt zwischen dem AI-Modell und einem geschäftskritischen System und behandelt bei jedem Aufruf sensible Daten.
In einer Umfrage unter 200 populären Open-Source-MCP-Servern fehlte 73% eine ordnungsgemäße Input-Validierung, 61% ließen Anmeldedaten in Debug-Logs durchsickern, und 45% machten ausgehende Netzwerkaufrufe, die nicht in ihrer README dokumentiert waren. Für einen Entwickler in einer Sandbox ist das akzeptables Risiko. Für ein Unternehmen, das AI-Agenten mit Produktionssystemen verbindet, ist es ein Ausschlusskriterium.
Qualität statt Quantität: JieGous Ansatz
JieGous MCP-Marketplace listet derzeit 267 kuratierte Server in 16 Kategorien. Diese Zahl ist absichtlich klein.
Jeder Server im Marketplace hat automatisierte Tests bestanden, bevor er im Katalog erscheint. Keine Ausnahmen. Es gibt keine “ungeprüfte” Stufe. Die Baseline ist nicht “er läuft” — die Baseline ist “er funktioniert korrekt und vorhersehbar unter strukturierter Validierung.”
Der Marketplace verwendet ein dreistufiges Zertifizierungssystem, das die Qualitätsstufe jedes Servers sofort sichtbar macht:
Community-Stufe
Community-zertifizierte Server bestehen automatisierte Protokoll-Validierung:
- Schema-Validierung — Tool-Definitionen entsprechen der MCP-Spezifikation. Input-Schemata sind gültiges JSON Schema mit vollständigen Typ-Annotationen. Output-Schemata sind definiert und genau.
- Tool-Discovery — Der Server antwortet korrekt auf
tools/list-Anfragen. Tool-Namen, Beschreibungen und Parameterdefinitionen sind vollständig, wohlgeformt und konsistent mit der Dokumentation des Servers. - Basis-Aufruf — Jedes Tool kann mit gültigen Eingaben aufgerufen werden und gibt eine wohlgeformte Antwort zurück. Keine Abstürze, kein Hängenbleiben, kein undefiniertes Verhalten auf dem Happy Path.
Community-Zertifizierung ist vollständig automatisiert und dauert Minuten. Sie bestätigt, dass der Server das tut, was er behauptet. Sie validiert keine Sicherheitseigenschaften — dafür sind die höheren Stufen da.
Verified-Stufe
Verified-Server bestehen die vollständige funktionale Testsuite, die weit über Happy-Path-Validierung hinausgeht:
- Aufruf-Vollständigkeit — Jedes Tool wird mit gültigen Eingaben, Grenzfall-Eingaben (leere Strings, Maximalwerte, Unicode, Sonderzeichen) und ungültigen Eingaben getestet. Der Server muss alle drei Kategorien behandeln, ohne abzustürzen oder fehlerhafte Antworten zurückzugeben.
- Fehlerbehandlung — Ungültige Eingaben produzieren strukturierte MCP-Fehlerantworten mit angemessenen Fehlercodes. Keine Stack-Traces, kein interner Zustand, keine Implementierungsdetails in Fehlermeldungen.
- Idempotenz — Leseoperationen werden als idempotent verifiziert. Schreiboperationen, die Idempotenz beanspruchen, werden durch mehrfaches Ausführen identischer Aufrufe getestet und auf konsistente Ergebnisse validiert. Nicht-idempotente Schreibvorgänge werden als solche dokumentiert.
- Verbindungslebenszyklus — Der Server behandelt Connect, Disconnect und Reconnect graceful. Simulierte Netzwerkausfälle (abrupte Trennungen) hinterlassen keine verwaisten Ressourcen oder korrupten Zustand.
Die Verified-Zertifizierung umfasst neben automatisierten Tests auch ein manuelles Review durch einen JieGou-Ingenieur. Ein Mensch liest den Code, führt die Suite aus und gibt die Freigabe, bevor der Server befördert wird.
Enterprise-Stufe
Enterprise-zertifizierte Server bestehen alles in der Verified-Stufe plus ein dediziertes Sicherheits-Review. Dies ist die Stufe, die für regulierte Branchen, sensible Daten und Produktionsbereitstellung im großen Maßstab relevant ist.
Was Enterprise-Zertifizierung bedeutet
Enterprise-Zertifizierung ist kein Badge, das man durch Ausfüllen eines Formulars verdient. Es ist ein strukturiertes Sicherheits-Review über sechs spezifische Domänen, jede mit konkreten Testkriterien.
1. Input-Sanitisierung. MCP-Tool-Argumente stammen von AI-Modellen, was bedeutet, dass sie alles enthalten können — einschließlich adversarialer Eingaben. Enterprise-Zertifizierung testet auf SQL-Injection, Path-Traversal, XSS, Command-Injection und übergroße Eingaben, die Out-of-Memory-Zustände auslösen sollen. Allowlist-basierte Validierung ist erforderlich. Denylist-only-Filterung besteht nicht.
2. Anmeldedaten-Behandlung. Enterprise-Zertifizierung verifiziert, dass Anmeldedaten (API-Schlüssel, OAuth-Tokens, Service-Account-Schlüssel) niemals auf irgendeiner Verbositätsstufe protokolliert werden, nur für die aktive Verbindung im Speicher gehalten werden, korrekt rotiert werden, ohne laufende Anfragen zu verlieren, und dass Anmeldedaten-Fehler handlungsfähige Meldungen zurückgeben, ohne den Anmeldedaten-Wert preiszugeben.
3. Rate-Limiting. Ein MCP-Server, der mit einem Batch-Workflow verbunden ist, kann das API-Kontingent einer Organisation in Minuten erschöpfen, wenn kein Rate-Limiting vorhanden ist. Enterprise-Zertifizierung validiert, dass die Limits des Servers mit den dokumentierten Kontingenten des Anbieters übereinstimmen, dass Rate-Limit-Antworten Retry-After-Metadaten enthalten und dass anhaltende Last eine graceful Degradation statt harter Ausfälle auslöst.
4. Datengrenze (Kein Phone-Home). Die wichtigste Trust-Domäne. Enterprise-zertifizierte Server machen keine ausgehenden Netzwerkaufrufe über dokumentierte API-Endpunkte hinaus. Keine Telemetrie, keine Analytics, kein Phone-Home-Verhalten. Benutzerdaten werden nicht über die aktuelle Anfrage hinaus gecacht oder gespeichert. Keine Daten werden zwischen Verbindungen verschiedener Konten geteilt. Verifiziert durch Netzwerk-Traffic-Analyse.
5. Idempotenz-Garantien. Enterprise-Zertifizierung untersucht Verhalten unter Produktions-Retry-Szenarien — Netzwerk-Timeouts, die automatische Retries auslösen, Workflow-Engines, die fehlgeschlagene Schritte wiederholen, gleichzeitige Aufrufe mit identischen Argumenten. Server müssen sicher idempotent sein oder klar dokumentieren, welche Operationen es nicht sind.
6. Fehlerbehandlung unter adversarialen Bedingungen. Testet Fehlerpfade, die funktionale Tests übersehen: fehlerhafte Upstream-API-Antworten, Teilausfälle in Multi-Ressourcen-Operationen, Timeout-Verhalten unter Service-Degradation und gleichzeitige Fehlerbedingungen. Der Server muss vorhersehbar ausfallen und strukturierte Fehler zurückgeben, über die das AI-Modell logisch urteilen kann.
Jeder Enterprise-zertifizierte Server erhält einen Sicherheits-Score, der aus seiner Leistung über diese sechs Domänen abgeleitet wird. Das ist nicht kosmetisch. Es ist der Unterschied zwischen “dieser Server funktioniert” und “dieser Server ist sicher genug, um ihn mit Ihrer Produktions-Salesforce-Org, Ihrem Stripe-Konto und Ihrer Mitarbeiterdatenbank zu verbinden.”
Die Community-Pipeline
Ein kuratierter Marketplace bedeutet keinen geschlossenen Marketplace. JieGous Community-Einreichungssystem ermöglicht qualitätskontrolliertes Wachstum ohne ungefilterte Verbreitung.
Der Prozess: Ein Entwickler reicht eine Repository-URL zusammen mit Server-Metadaten ein. Die Einreichung durchläuft die automatisierte Community-Zertifizierungs-Pipeline — Schema-Validierung, Tool-Discovery und Basis-Aufruf-Tests laufen automatisch. Wenn sie besteht, kommt der Server in die Admin-Review-Queue für Katalog-Qualitätsprüfungen vor der Beförderung in den öffentlichen Marketplace.
Server, die zusätzliches Review bestehen, werden zu Verified befördert. Server, die das vollständige Sicherheits-Review bestehen, werden zu Enterprise befördert. Die Stufe ist immer auf der Marketplace-Karte des Servers sichtbar.
Mitwirkende, deren Server akzeptiert werden, erhalten Anerkennung durch das Mitwirkenden-Badge-System: Bronze für einen ersten akzeptierten Server, Silver für drei oder mehr akzeptierte Server und Gold für Mitwirkende mit Enterprise-zertifizierten Servern. Diese Badges werden auf dem Profil des Mitwirkenden und auf jeder von ihm verfassten Server-Karte angezeigt.
Diese Pipeline hat den Marketplace von 50 Servern im Januar auf heute 267 gebracht. Aber das Wachstum war bewusst. Jeder Server, der in den Marketplace aufgenommen wird, erfüllt dieselbe Mindestanforderung. Es gibt keinen Schnellweg, der die Validierung überspringt.
Warum 267 größer als 10.000 ist
In Enterprise-Software lautet die Frage nie “Wie viele Integrationen haben Sie?” Die Frage lautet “Wie vielen Integrationen kann ich vertrauen?”
Ein CISO, der MCP-Marketplace-Optionen evaluiert, möchte keine 10.000 Server. Er möchte wissen, welche Server getestet wurden, welche ein Sicherheits-Review hatten und welche sicher genug sind, um sie mit Systemen zu verbinden, die Kundendaten, Finanztransaktionen und Mitarbeiterdaten verarbeiten. Er möchte wissen, dass der Marketplace-Betreiber einen Prozess hat — nicht nur ein Verzeichnis.
JieGous 267 Server repräsentieren einen spezifischen Satz von Garantien:
- Jeder Server hat automatisierte Protokoll-Validierung bestanden. Schema-Konformität, Tool-Discovery und Basis-Aufruf sind verifiziert, bevor etwas im Marketplace erscheint.
- Jeder Verified-Server hat funktionale Tests bestanden, die Grenzfälle, Fehlerbehandlung, Idempotenz und Verbindungslebenszyklus-Validierung umfassen — überprüft und freigegeben von einem menschlichen Ingenieur.
- Jeder Enterprise-Server hat ein Sicherheits-Review bestanden, das Input-Sanitisierung, Anmeldedaten-Behandlung, Rate-Limiting, Datengrenzen, Idempotenz unter Retry-Bedingungen und adversariale Fehlerbehandlung abdeckt. Jeder trägt einen Sicherheits-Score.
- Jede Verbindung wird protokolliert. Nutzungsanalysen verfolgen, welche Tools aufgerufen werden, wie oft und mit welchen Erfolgsraten — und geben Admins Einblick in ihren MCP-Integrationsfußabdruck.
Zehntausend ungeprüfte Server sind ein Verzeichnis. Zweihundertsiebenundsechzig kuratierte, getestete und zertifizierte Server sind ein Marketplace, den Sie mit der Produktion verbinden können.
Den vollständigen Katalog durchstöbern auf dem MCP Marketplace oder eine kostenlose Testversion starten, um Ihren ersten Server zu verbinden.