MCP für Kanzleien: Was das Model Context Protocol ist und worauf es ankommt

Wer einen KI-Assistenten mit Besprechungsnotizen oder Dokumenten verbinden will, landet schnell beim Model Context Protocol (MCP). Dieser Beitrag erklärt das Protokoll für IT- und DATEV-Verantwortliche in Kanzleien und nennt die Punkte, die vor dem ersten Anschluss geklärt sein müssen.

Was ist das Model Context Protocol?

MCP ist ein offener Standard, über den KI-Anwendungen mit externen Systemen verbunden werden. Die Projektseite vergleicht ihn mit USB-C: ein einheitlicher Anschluss statt einer Sonderlösung je Gerät. Baut ein Dienst einen MCP-Server, kann ihn im Grundsatz jeder Assistent ansprechen, der MCP unterstützt.

Die Spezifikation kennt drei Rollen. Der Host ist die KI-Anwendung, also der Assistent. Der Client ist die Verbindungskomponente im Host. Der Server ist der Dienst, der Daten und Funktionen bereitstellt, etwa eine Besprechungsablage. Ein Server kann drei Arten von Angeboten machen: Resources (Daten und Kontext), Prompts (Vorlagen) und Tools (Funktionen, die das Sprachmodell ausführt). Die aktuelle Fassung trägt die Version 2026-07-28.

Wie läuft ein Zugriff über MCP ab?

Das Sprachmodell wählt ein Tool, der Client ruft es beim Server auf, und das Ergebnis geht zurück an das Modell. Fragt eine Mitarbeiterin nach den offenen Punkten aus dem letzten Mandantengespräch, ruft das Modell ein passendes Tool auf, der Server liefert den Text, und das Modell formuliert daraus die Antwort.

Tools sind modellgesteuert: Das Modell entscheidet anhand der Anfrage, was es aufruft. Die Spezifikation empfiehlt deshalb, dass immer ein Mensch Aufrufe ablehnen kann. Außerdem ist der Datenfluss ungleich verteilt. Nach den Architekturprinzipien erhält der Server nur die nötigen Informationen, der vollständige Gesprächsverlauf bleibt beim Host. Was der Server liefert, geht dagegen an den Host und an das Modell.

Schützt MCP die Daten von selbst?

Nein, MCP beschreibt Grundsätze, kann sie aber nicht erzwingen. Die Spezifikation verlangt, dass Nutzer Datenzugriffen ausdrücklich zustimmen und die Kontrolle behalten. Sie hält aber auch fest, dass MCP diese Grundsätze auf Protokollebene nicht durchsetzen kann. Die Umsetzung liegt bei den Herstellern von Server und Assistent.

Auch die Autorisierung ist optional. Wird sie bei HTTP-Verbindungen genutzt, beruht sie auf OAuth 2.1: Die Person meldet sich im Browser an, der Assistent erhält ein Zugriffstoken, und der Server prüft, ob dieses Token für ihn ausgestellt wurde.

Vorsicht gilt bei Etiketten. Ein Tool kann sich mit dem Hinweis readOnlyHint als nur lesend ausweisen, doch solche Annotationen sind laut Schema nur Hinweise und keine verlässliche Beschreibung. Ob ein Server wirklich nur liest, muss auf dem Server selbst durchgesetzt sein.

Was prüft die Kanzlei vor dem Anschluss an Besprechungsdaten?

Sie prüft für jeden Server und jeden Assistenten einzeln, wer was lesen kann, wie der Zugriff freigegeben wird und wer die Inhalte am Ende erhält.

Reicht ein Lesezugriff aus?

Nein, denn ein Lesezugriff schützt das Quellsystem vor Änderungen, aber nicht die gelesenen Inhalte. Er verhindert, dass ein Assistent über diesen Server Daten ändert oder etwas verschickt. Er verhindert nicht, dass der gelesene Text die Kanzlei verlässt.

Hängen am selben Assistenten weitere Server, etwa für E-Mail, steuert der Host, was zwischen ihnen passiert. Die Spezifikation empfiehlt, Tool-Eingaben vor dem Aufruf anzuzeigen, um ungewollten Datenabfluss zu vermeiden. Die Kanzlei prüft deshalb die gesamte Konfiguration eines Assistenten.

Was erhält der Anbieter des Assistenten?

Er erhält, was der Server zurückgibt und das Modell verarbeitet, bei Besprechungsdaten also auch vertrauliche Inhalte. Damit ist der Anbieter des Assistenten ein eigener Dienstleister, und die Kanzlei muss ihn gesondert prüfen. Der Vertrag mit dem Anbieter des MCP-Servers deckt ihn nicht ab.

Für Steuerberater gilt § 62a StBerG: sorgfältige Auswahl, Vertrag in Textform mit Verschwiegenheitspflicht und bei Leistungen im Ausland ein vergleichbares Schutzniveau. Für Rechtsanwälte regelt das § 43e BRAO, für Wirtschaftsprüfer § 50a WPO. Die FAQ der Bundessteuerberaterkammer (BStBK) verlangt, KI-Anbieter zu verpflichten, bevor sie Kenntnis von den Daten erlangen. Dazu gehören ein Auftragsverarbeitungsvertrag, eine Regelung zur Speicherdauer und die Klärung, ob Eingaben zum Training dienen. Läuft das Sprachmodell bei einem weiteren Unternehmen, gehört auch dieses in die Prüfung.

Private Accounts scheiden aus. Die BStBK rät zu betrieblichen Accounts und wertet es ohne ausreichende vertragliche Absicherung als Verstoß gegen die Verschwiegenheitspflicht, wenn Mandantendaten in öffentliche KI-Dienste gelangen. Dient der Einsatz unmittelbar einem einzelnen Mandat, verlangt § 62a Abs. 5 StBerG zudem die Einwilligung des Mandanten. Ob das für KI gilt, ist laut BStBK nicht zweifelsfrei zu beantworten. Sie rät deshalb, die Einwilligung vorher einzuholen oder Daten zu anonymisieren. Prüfen sollte die Kanzlei auch, ob Datenschutzinformation und Einwilligungstexte diesen Empfänger abdecken.

Wie setzt TaxMeet das um?

TaxMeet (Next Intelligence GmbH, Berlin) stellt Besprechungsdaten über einen MCP-Server nur lesend bereit, und jeder Aufruf wird protokolliert. Die MCP-Anleitung nennt als Assistenten Claude, Langdock, Copilot Studio, ChatGPT und Claude Code, wobei die Option bei ChatGPT in EU-Workspaces noch nicht überall verfügbar ist. Jede Person verbindet ihren eigenen Assistenten, meldet sich mit ihrem TaxMeet-Konto an und gibt den Lesezugriff einmal frei. Sie sieht ihre eigenen und die in der Kanzlei geteilten Besprechungen.

Protokolliert werden Werkzeug, Besprechung, Ergebnis und Dauer, ohne Inhalt. Eigentümer und Admins können den externen KI-Zugriff für die Kanzlei abschalten, der standardmäßig an ist, und festlegen, ob Assistenten Transkripttext lesen dürfen oder nur Notizen und Zusammenfassungen. E-Mails senden, Termine anlegen oder nach DATEV ablegen bleibt in der TaxMeet-App mit Freigabe.

Die Inhalte gehen an den Anbieter, den die Kanzlei gewählt hat, unter ihrem Vertrag mit ihm. Diese Entscheidung trifft die Kanzlei zusammen mit dem Datenschutzbeauftragten. Prüffragen stehen im Beitrag Worauf achte ich bei der Auswahl eines Anbieters?, die Position der Kammer in der BStBK-FAQ in 12 Punkten. Wie Besprechungsdaten entstehen und was dabei zu prüfen ist, behandelt Warum ein Meeting-Bot im Mandantengespräch stört.