ChatGPT mit MCP-Servern verbinden: Ar­chi­tek­tur, In­te­gra­ti­on und Praxis-Use-Cases

Das Model Context Protocol (MCP) er­mög­licht die Anbindung von ChatGPT an externe An­wen­dun­gen, APIs und Da­ten­quel­len. Dadurch kann die KI bei­spiels­wei­se Un­ter­neh­mens­da­ten abrufen, Ent­wick­ler­tools nutzen oder Aktionen in an­ge­bun­de­nen Systemen ausführen. Eine MCP-In­te­gra­ti­on schafft damit die tech­ni­sche Grundlage, um ChatGPT kon­trol­liert um externe Daten und Funk­tio­nen zu erweitern.

Was ist eine ChatGPT-MCP-In­te­gra­ti­on?

Ein MCP-Server ist ein Programm, das über das Model Context Protocol de­fi­nier­te Daten und Funk­tio­nen für eine KI-Anwendung wie ChatGPT be­reit­stellt. Dazu kann er bei­spiels­wei­se auf externe Da­ten­quel­len, Ent­wick­ler­werk­zeu­ge oder APIs zugreifen. Das stan­dar­di­sier­te Protokoll legt fest, wie der MCP-Client der KI-Anwendung mit diesem Server kom­mu­ni­ziert.

Über eine MCP-In­te­gra­ti­on in ChatGPT lassen sich bei­spiels­wei­se interne Da­ten­ban­ken durch­su­chen, In­for­ma­tio­nen aus Ge­schäfts­an­wen­dun­gen abrufen oder de­fi­nier­te Aktionen in externen Systemen ausführen. Statt für jede KI-Anwendung eine in­di­vi­du­el­le Anbindung zu ent­wi­ckeln, stellt MCP ein stan­dar­di­sier­tes Protokoll für die Kom­mu­ni­ka­ti­on mit externen Tools und Daten bereit. ChatGPT un­ter­stützt solche In­te­gra­tio­nen über MCP-basierte Plugins. Das Apps SDK von OpenAI basiert ebenfalls auf MCP und erweitert das Protokoll um Funk­tio­nen für Plugins, die direkt innerhalb von ChatGPT aus­ge­führt werden.

Wie in­ter­agie­ren ChatGPT und MCP?

Das Model Context Protocol legt fest, wie KI-An­wen­dun­gen mit externen Systemen kom­mu­ni­zie­ren. Dabei sind die ei­gent­li­che KI-Anwendung und der Server, der Daten oder Funk­tio­nen be­reit­stellt, von­ein­an­der getrennt. Für das Ver­ständ­nis der Ar­chi­tek­tur sind ins­be­son­de­re folgende Kom­po­nen­ten wichtig:

• Host: Der Host ist die KI-Anwendung, in der MCP verwendet wird. Im vor­lie­gen­den Fall übernimmt ChatGPT diese Rolle.
• MCP-Client: Der Client ist Be­stand­teil der Host-Anwendung und stellt die Ver­bin­dung zum MCP-Server her. Er ver­ar­bei­tet die Kom­mu­ni­ka­ti­on ent­spre­chend dem Model Context Protocol.
• MCP-Server: Der Server stellt de­fi­nier­te Funk­tio­nen und Daten für den Client bereit. Ein Tool kann bei­spiels­wei­se In­for­ma­tio­nen aus einer Datenbank abrufen, eine Suche durch­füh­ren oder eine Aktion in einem externen System auslösen.
• Transport-Layer: Für entfernte MCP-Server kommt ins­be­son­de­re Strea­ma­ble HTTP zum Einsatz. Der Transport regelt, wie Nach­rich­ten zwischen Client und Server über­tra­gen werden. Der ältere HTTP+SSE-Transport wird aus Kom­pa­ti­bi­li­täts­grün­den weiterhin un­ter­stützt, gilt jedoch als veraltet.
• JSON-RPC: MCP verwendet JSON-RPC für die Struktur der aus­ge­tausch­ten Nach­rich­ten. JSON-RPC ist daher vom ei­gent­li­chen Trans­port­me­cha­nis­mus zu un­ter­schei­den.

Ver­ein­facht lässt sich der Da­ten­fluss fol­gen­der­ma­ßen dar­stel­len:

ChatGPT (Host) → MCP-Client → MCP-Server → externe Anwendung bzw. Da­ten­quel­le

Zwischen Client und Server kann zu­sätz­lich ein Gateway oder Proxy ein­ge­setzt werden. Dieser kann bei­spiels­wei­se Aufgaben wie die Au­then­ti­fi­zie­rung, Zu­griffs­kon­trol­len oder das Routing über­neh­men. Ein solcher Gateway ist jedoch kein zwin­gen­der Be­stand­teil der grund­le­gen­den MCP-Ar­chi­tek­tur.

Die MCP-Spe­zi­fi­ka­ti­on vom Juli 2026 hat einen zu­stands­lo­sen Pro­to­koll­kern ein­ge­führt. An­wen­dun­gen können benötigte Zustände weiterhin über mehrere Aufrufe hinweg verwalten, müssen dies aber aus­drück­lich auf An­wen­dungs­ebe­ne umsetzen. Die neue Spe­zi­fi­ka­ti­on sagt für sich genommen nicht aus, welche Pro­to­koll­ver­si­on ChatGPT bei einer konkreten Ver­bin­dung bereits verwendet.

Schritt für Schritt: ChatGPT mit einem MCP-Server verbinden

Die Anbindung eines eigenen MCP-Servers erfolgt in ChatGPT über ein be­nut­zer­de­fi­nier­tes Plugin im Ent­wick­ler­mo­dus. Dafür werden ein funk­ti­ons­fä­hi­ger MCP-Server sowie ein Endpunkt benötigt, über den ChatGPT auf den Server zugreifen kann.

ChatGPT stellt dabei keine direkte Ver­bin­dung zu einem aus­schließ­lich lokal er­reich­ba­ren MCP-Server her. Läuft der Server auf einem Ent­wick­lungs­rech­ner, im Un­ter­neh­mens­netz­werk oder On-Premises, kann statt­des­sen ein Secure MCP Tunnel ein­ge­setzt werden. Damit lässt sich ein privater MCP-Server mit un­ter­stütz­ten OpenAI-Produkten verbinden, ohne ihn öf­fent­lich über das Internet be­reit­zu­stel­len. Benötigt werden hierfür:

• eine Tunnel-ID aus den OpenAI-Platform-Ein­stel­lun­gen
• ein API-Key für den tunnel-client
• die ent­spre­chen­den Tunnel-Be­rech­ti­gun­gen

Der tunnel-client läuft innerhalb des eigenen Netzwerks und baut eine aus­ge­hen­de HTTPS-Ver­bin­dung zu OpenAI auf. Beim Ein­rich­ten der MCP-Ver­bin­dung in ChatGPT wird an­schlie­ßend „Tunnel“ als Ver­bin­dungs­art aus­ge­wählt.

Schritt 1: MCP-Server vor­be­rei­ten

Grundlage der In­te­gra­ti­on ist ein MCP-Server, der die Ver­bin­dung zu den ge­wünsch­ten Da­ten­quel­len oder An­wen­dun­gen herstellt und deren Funk­tio­nen für ChatGPT be­reit­stellt. Dabei kann es sich um einen selbst ent­wi­ckel­ten oder um einen bereits vor­han­de­nen Server für einen be­stimm­ten Dienst handeln. Ein eigener Server lässt sich bei­spiels­wei­se mit einem MCP-SDK in Ty­pe­Script, Python, Go oder einer anderen un­ter­stütz­ten Pro­gram­mier­spra­che ent­wi­ckeln.

Der MCP-Server fungiert dabei als Ver­mitt­ler: Er greift auf eine Da­ten­quel­le oder Anwendung zu und legt fest, welche Funk­tio­nen ChatGPT darüber nutzen darf. Diese Funk­tio­nen werden in MCP als Tools be­zeich­net und können zum Beispiel folgende Aufgaben über­neh­men:

• Da­ten­sät­ze aus einer internen Datenbank abrufen
• Dokumente oder Dateien durch­su­chen
• In­for­ma­tio­nen aus einem CRM-System auslesen
• Daten über eine be­stehen­de API abrufen
• Aufgaben in einem Pro­jekt­ma­nage­ment­sys­tem anlegen
• Da­ten­sät­ze in einer an­ge­bun­de­nen Anwendung verändern

Die ver­füg­ba­ren Tools werden vom MCP-Server be­schrie­ben. Dazu gehören unter anderem der Name und die Be­schrei­bung eines Tools sowie das Schema der be­nö­tig­ten Ein­ga­be­pa­ra­me­ter. Der Client kann dadurch erkennen, welche Funk­tio­nen der Server be­reit­stellt und welche Angaben für deren Ver­wen­dung er­for­der­lich sind.

Für einen ent­fern­ten MCP-Server wird ein er­reich­ba­rer Endpunkt benötigt, zum Beispiel:

https://example.com/mcp

Die Kom­mu­ni­ka­ti­on zwischen Client und Server erfolgt per Remote Access über HTTP und die vom MCP-Protokoll de­fi­nier­ten Nach­rich­ten.

Schritt 2: Ent­wick­ler­mo­dus in ChatGPT ak­ti­vie­ren

Für die Anbindung eines MCP-Servers muss zunächst der Ent­wick­ler­mo­dus aktiviert werden:

1. Rufen Sie nach­ein­an­der „Ein­stel­lun­gen“ → „Si­cher­heit und Anmeldung“ → „Ent­wick­ler­mo­dus“ auf.
2. Ak­ti­vie­ren Sie dort den Ent­wick­ler­mo­dus.
3. Legen Sie an­schlie­ßend unter „Ein­stel­lun­gen“ → „Plugins“ ein neues be­nut­zer­de­fi­nier­tes Plugin an.

Schritt 3: MCP-Plugin kon­fi­gu­rie­ren und au­then­ti­fi­zie­ren

Über die Plus-Schalt­flä­che unter „ChatGPT Plugins“ wird der MCP-Server hin­zu­ge­fügt. Dafür geben Sie einen Namen und eine Be­schrei­bung sowie die voll­stän­di­ge URL des MCP-Endpunkts ein, z. B. https://example.com/mcp. Der Pfad /mcp ist üblich und wird in der OpenAI-Anleitung als Beispiel verwendet; maß­geb­lich ist der tat­säch­lich kon­fi­gu­rier­te Endpunkt Ihres Servers. Al­ter­na­tiv können Sie für einen privaten Server einen ver­füg­ba­ren Secure MCP Tunnel auswählen. An­schlie­ßend werden die vom Server be­reit­ge­stell­ten Tools und Metadaten erfasst.

Für nut­zer­be­zo­ge­ne Be­rech­ti­gun­gen kann bei­spiels­wei­se eine OAuth-basierte Au­then­ti­fi­zie­rung ein­ge­setzt werden. Verwendet der MCP-Server OAuth, erfolgt während der Ein­rich­tung ein ent­spre­chen­der Au­to­ri­sie­rungs­vor­gang. Bei einer OAuth-In­te­gra­ti­on sollte der ver­wen­de­te OAuth- bzw. OpenID-Connect-Anbieter außerdem Refresh Tokens ausgeben können (OpenID Connect: üb­li­cher­wei­se per offline_access). An­dern­falls kann nach Ablauf der ur­sprüng­li­chen Au­to­ri­sie­rung eine erneute Anmeldung er­for­der­lich werden.

Zu­gangs­da­ten, Tokens und API-Keys sollten grund­sätz­lich nicht in Prompts oder öf­fent­lich zu­gäng­li­chem Quellcode hin­ter­legt werden. Für sensible Zu­gangs­da­ten empfiehlt sich eine geeignete Secret-Ver­wal­tung mit aus­schließ­lich den tat­säch­lich er­for­der­li­chen Be­rech­ti­gun­gen.

Nach der Kon­fi­gu­ra­ti­on werden mit „Tools scannen“ die vom MCP-Server be­reit­ge­stell­ten Tools erfasst. Bei einer OAuth-Au­then­ti­fi­zie­rung muss zunächst die Au­to­ri­sie­rung ab­ge­schlos­sen werden. Sobald der Tool-Scan beendet ist, wird das Plugin mit „Erstellen“ angelegt.

Schritt 4: MCP-Plugin in ChatGPT testen

Nach der Ein­rich­tung kann das MCP-Plugin direkt in ChatGPT getestet werden:

1. Öffnen Sie einen neuen Chat.
2. Wählen Sie das erstellte Plugin im „Tools“-Menü aus oder erwähnen Sie das Plugin im Prompt.
3. Testen Sie ver­schie­de­ne Anfragen und die vom MCP-Server be­reit­ge­stell­ten Tools.
4. Be­stä­ti­gen Sie Aktionen, falls ChatGPT eine ent­spre­chen­de Be­stä­ti­gung anfordert.

Besonders bei Schreib- und Än­de­rungs­funk­tio­nen empfiehlt es sich, zunächst mit einfachen Test­fäl­len zu prüfen, ob die vor­ge­se­he­nen Be­rech­ti­gun­gen und Tools korrekt funk­tio­nie­ren.

MCP vs. klas­si­sche Custom Actions

Custom Actions verbinden Custom GPTs über eine OpenAPI-Spe­zi­fi­ka­ti­on mit externen APIs. OpenAI hat an­ge­kün­digt, Custom GPTs ein­zu­stel­len und einen Mi­gra­ti­ons­weg zu Plugins an­zu­bie­ten. Be­stehen­de GPTs können bis zum jeweils geltenden Ein­stel­lungs­ter­min weiter genutzt werden. Wer eine neue In­te­gra­ti­on plant, sollte deshalb prüfen, ob sich die be­nö­tig­ten Funk­tio­nen über ein vor­han­de­nes Plugin oder einen eigenen MCP-Server be­reit­stel­len lassen.

Si­cher­heit und Zu­griffs­kon­trol­le bei MCP-Servern

Die Anbindung externer Tools erweitert die Mög­lich­kei­ten von ChatGPT, schafft aber zugleich zu­sätz­li­che An­griffs­flä­chen. Das gilt ins­be­son­de­re, wenn ein MCP-Server Zugriff auf interne Da­ten­ban­ken, Un­ter­neh­mens­an­wen­dun­gen oder andere sensible Res­sour­cen besitzt. Ein un­zu­rei­chend ab­ge­si­cher­ter MCP-Server kann bei­spiels­wei­se dazu führen, dass un­be­rech­tigt Daten abgerufen oder un­er­wünsch­te Aktionen aus­ge­führt werden. Hinzu kommt das Risiko von Prompt-Injection-Angriffen, bei denen ma­ni­pu­lier­te Inhalte versuchen, das Verhalten des KI-Modells und damit ver­bun­de­ne Tool-Aufrufe zu be­ein­flus­sen. OpenAI weist bei be­nut­zer­de­fi­nier­ten MCP-Plugins aus­drück­lich auf dieses Risiko hin. Um diese Risiken zu begrenzen, sind ins­be­son­de­re die nach­fol­gen­den Si­cher­heits­maß­nah­men relevant.

Be­rech­ti­gun­gen nach dem Least-Privilege-Prinzip vergeben

Ein MCP-Server sollte nur die­je­ni­gen Be­rech­ti­gun­gen besitzen, die für seine konkrete Aufgabe er­for­der­lich sind. Dieses Vorgehen wird als Least-Privilege-Prinzip be­zeich­net. Soll ein Tool bei­spiels­wei­se aus­schließ­lich Pro­dukt­in­for­ma­tio­nen aus einer Datenbank abrufen, benötigt das ver­wen­de­te Da­ten­bank­kon­to keinen Schreib­zu­griff und keine Ad­mi­nis­tra­tor­rech­te. Re­strik­ti­ve Be­rech­ti­gun­gen begrenzen den möglichen Schaden, falls ein Tool kom­pro­mit­tiert oder un­be­ab­sich­tigt verwendet wird.

Read-Only-Zugriff be­vor­zu­gen

Neue MCP-In­te­gra­tio­nen sollten nach Mög­lich­keit zunächst aus­schließ­lich Le­se­zu­grif­fe erhalten. Das Abrufen oder Durch­su­chen von Daten birgt in der Regel geringere Risiken als das Verändern oder Löschen von In­for­ma­tio­nen. Schreib­rech­te sind nur für Tools sinnvoll, die diese tat­säch­lich benötigen. Bei Schreib- und Än­de­rungs­ak­tio­nen kann ChatGPT abhängig von den Plugin-Be­rech­ti­gun­gen und dem Kontext der Aktion eine zu­sätz­li­che Be­stä­ti­gung verlangen. Besonders riskante Aktionen können blockiert werden.

Prompt Injection be­rück­sich­ti­gen

Bei Prompt-Injection-Angriffen enthalten Daten, die von einem KI-Modell ver­ar­bei­tet werden, ver­steck­te oder ma­ni­pu­lier­te An­wei­sun­gen. Ein MCP-Tool könnte bei­spiels­wei­se ein externes Dokument abrufen, das eine solche Anweisung enthält. Daraus darf nicht au­to­ma­tisch eine Be­rech­ti­gung für weitere Tool-Aufrufe oder Aktionen entstehen. Si­cher­heits­ent­schei­dun­gen sollten deshalb nicht aus­schließ­lich dem Sprach­mo­dell über­las­sen werden. Der MCP-Server sollte un­ab­hän­gig davon kon­trol­lie­ren, ob ein Tool-Aufruf zulässig ist.

Zu den wich­tigs­ten Schutz­maß­nah­men gehören:

• Ein­ga­be­pa­ra­me­ter anhand de­fi­nier­ter Schemas va­li­die­ren
• Benutzer- und Zu­griffs­rech­te ser­ver­sei­tig kon­trol­lie­ren
• erlaubte Aktionen und Res­sour­cen möglichst über Allow-Lists be­schrän­ken
• Schreib- und Lösch­ope­ra­tio­nen besonders absichern
• externe Inhalte grund­sätz­lich als nicht ver­trau­ens­wür­dig behandeln
• si­cher­heits­re­le­van­te Tool-Aufrufe pro­to­kol­lie­ren

MCP-Endpunkte und Zu­gangs­da­ten absichern

Auch die Ver­bin­dung zum MCP-Server muss geschützt werden. Ein öf­fent­lich er­reich­ba­rer MCP-Endpunkt sollte nur au­then­ti­fi­zier­te und au­to­ri­sier­te Anfragen ak­zep­tie­ren. API-Schlüssel, Access Tokens und andere Secrets sollten nicht im Quellcode, in Prompts oder in öf­fent­lich zu­gäng­li­chen Kon­fi­gu­ra­ti­ons­da­tei­en ge­spei­chert werden. Statt­des­sen bieten sich geeignete Secret Stores oder Um­ge­bungs­va­ria­blen mit ent­spre­chend ein­ge­schränk­ten Zu­griffs­rech­ten an.

Bei privaten oder lokalen MCP-Servern ist außerdem davon abzuraten, den Server öf­fent­lich über das Internet er­reich­bar zu machen. ChatGPT verbindet sich nicht direkt mit lokalen MCP-Servern. Für Server in privaten Netz­wer­ken, On-Premises oder auf Ent­wick­lungs­rech­nern nennt OpenAI den Secure MCP Tunnel als Ver­bin­dungs­mög­lich­keit.

Praxis-Use-Cases für ChatGPT und MCP

MCP eignet sich ins­be­son­de­re für An­wen­dungs­fäl­le, in denen ChatGPT nicht aus­schließ­lich auf sein Mo­dell­wis­sen zu­rück­grei­fen, sondern aktuelle oder un­ter­neh­mens­in­ter­ne In­for­ma­tio­nen verwenden oder mit anderen An­wen­dun­gen in­ter­agie­ren soll.

• Interne Wis­sens­da­ten­ban­ken: Ein MCP-Server kann ChatGPT gezielten Zugriff auf frei­ge­ge­be­ne Un­ter­neh­mens­in­for­ma­tio­nen er­mög­li­chen. Relevante In­for­ma­tio­nen lassen sich dadurch abrufen, ohne Dokumente für jede Anfrage manuell in den Chat kopieren zu müssen.
• Soft­ware­ent­wick­lung: Über MCP können bei­spiels­wei­se Do­ku­men­ta­tio­nen, Ent­wick­lungs­werk­zeu­ge oder Pro­jekt­da­ten an­ge­bun­den werden. Benötigte In­for­ma­tio­nen werden bei Bedarf über die de­fi­nier­ten MCP-Tools abgerufen.
• Da­ten­ban­ken: Statt ChatGPT einen un­ein­ge­schränk­ten Da­ten­bank­zu­griff zu gewähren, kann ein MCP-Server gezielte Funk­tio­nen be­reit­stel­len. Ein Tool könnte bei­spiels­wei­se aus­schließ­lich In­for­ma­tio­nen zu einer be­stimm­ten Be­stel­lung anhand einer Be­stell­num­mer abrufen.
• Kun­den­sup­port: Über MCP lassen sich frei­ge­ge­be­ne Produkt-, Kunden- oder Sup­port­in­for­ma­tio­nen be­reit­stel­len. ChatGPT kann relevante Daten abrufen und bei der Be­ar­bei­tung einer Anfrage be­rück­sich­ti­gen.
• Au­to­ma­ti­sier­te Workflows: Besitzt ein MCP-Plugin ent­spre­chen­de Schreib­rech­te, kann ChatGPT nicht nur In­for­ma­tio­nen abrufen, sondern auch Aktionen auslösen. Bei­spiels­wei­se können Daten aus einem System abgerufen und auf dieser Grundlage Aufgaben oder Einträge in einem anderen System erstellt werden. OpenAI nennt unter anderem das Erstellen von Pro­jekt­ma­nage­ment-Aufgaben und Ak­tua­li­sie­ren von CRM-Daten als mögliche MCP-An­wen­dungs­fäl­le.