MCP-Schlüssel mit granularen Rechten: lesen, erstellen, ändern, löschen — pro Datenbereich

"Wir haben MCP aktiviert" klingt nach einem fertigen Häkchen — ist es aber nicht. Die eigentliche Arbeit beginnt erst danach: Wer darf über diesen Zugang eigentlich was tun? Genau da entscheidet sich, ob ein KI-Zugang zu deiner Website ein cleveres Werkzeug ist oder ein offenes Scheunentor.

Als ich den MCP-Zugang für btlabs Core gebaut habe, war für mich schnell klar: Ein einziger Generalschlüssel für alles wäre die bequemste Lösung — und die falsche. Genauso, wie du einem neuen Mitarbeiter nicht am ersten Tag den Generalschlüssel für alle Türen in die Hand drückst, sollte auch ein KI-Agent nur Zugang zu dem bekommen, was seine Aufgabe tatsächlich erfordert.

Warum reicht ein pauschaler MCP-Zugang nicht aus?

Ein pauschaler Zugang reicht nicht aus, weil er einem Agenten automatisch mehr erlaubt, als er für seine eigentliche Aufgabe braucht. Wenn ein KI-Agent deine Öffnungszeiten vorlesen soll, aber technisch auch deine Preisliste ändern könnte, hast du ein Risiko geschaffen, das mit der eigentlichen Aufgabe nichts zu tun hat — unabhängig davon, ob dieser Agent vertrauenswürdig ist oder fehlerhaft konfiguriert wurde. Das Prinzip dahinter ist so alt wie die IT-Sicherheit selbst: Zugriff nur auf das, was für die Aufgabe nötig ist. Bei KI-Agenten ist es nur dringlicher, weil sie autonom handeln, oft im Namen eines Nutzers, den du nie zu Gesicht bekommst.

Was heißt granularer Zugriff pro Datenbereich konkret?

Granularer Zugriff pro Datenbereich heißt, dass du für jeden Bereich deiner Inhalte — etwa Öffnungszeiten, Blog-Beiträge, Preise oder Kontaktanfragen — einzeln festlegst, ob ein Schlüssel dort lesen, erstellen, ändern oder löschen darf. Nicht "MCP an oder aus", sondern eine Matrix aus Bereich und Recht. Ein Schlüssel für die Öffentlichkeitsarbeit kann zum Beispiel Blog-Beiträge lesen und erstellen dürfen, aber Preise nur lesen und nirgends löschen. Ein zweiter Schlüssel, den nur du selbst benutzt, kann deutlich mehr dürfen — weil du am anderen Ende sitzt und die Verantwortung trägst.

• Lesen: Der Agent darf Daten abfragen, aber nichts verändern — die Basis für jede öffentliche KI-Antwort über dich.
• Erstellen: Der Agent darf neue Einträge anlegen, etwa Entwürfe oder neue Kontaktanfragen — bestehende Inhalte bleiben unangetastet.
• Ändern: Der Agent darf vorhandene Einträge bearbeiten — sinnvoll für die eigene Pflege, riskant für fremde Zugriffe.
• Löschen: Der Agent darf Einträge entfernen — das folgenschwerste Recht, das du am gezieltesten vergeben solltest.

Warum soll ein Agent, der Termine liest, nicht auch Preise ändern können?

Ein Agent, der Termine liest, soll keine Preise ändern können, weil beide Aufgaben nichts miteinander zu tun haben und ein einziger falsch konfigurierter oder kompromittierter Zugang sonst gleich mehrere Datenbereiche gefährdet. Stell dir vor, ein externer Terminplaner-Dienst bekommt Zugriff auf deinen Kalender — sinnvoll und praktisch. Hätte derselbe Schlüssel aus Bequemlichkeit auch Schreibrechte auf deine Produktpreise, würde ein Fehler in einem völlig unabhängigen System plötzlich dein Kerngeschäft betreffen. Getrennte, auf den Datenbereich zugeschnittene Rechte verhindern genau das: Ein Problem in einem Bereich bleibt auf diesen Bereich begrenzt.

Welche zwei Arten, MCP zu nutzen, solltest du auseinanderhalten?

Es gibt zwei grundverschiedene Arten, MCP zu nutzen, und beide brauchen jeweils eigene, passend zugeschnittene Rechte. Die erste: Ein externer KI-Dienst — ChatGPT, Perplexity, ein Assistent deines Kunden — liest öffentliche Daten über deinen Betrieb, um Fragen von Dritten zu beantworten. Hier braucht der Schlüssel in aller Regel nur Leserechte auf öffentlich sichtbare Bereiche, mehr nicht. Die zweite, oft übersehene Art: Du selbst — oder ein KI-Assistent deiner Wahl, den du dir eingerichtet hast — arbeitest direkt mit deiner eigenen Website. Du "sprichst" mit deinem System: Inhalte pflegen, eigene Daten abfragen, wiederkehrende Aufgaben delegieren, ohne dich durch ein Admin-Menü zu klicken.

Genau dieser zweite Fall ist einer der Kernvorteile von btlabs Core: Du bekommst nicht nur eine Website, die von außen KI-lesbar ist, sondern einen eigenen, abgesicherten Zugang, mit dem du selbst — oder deine bevorzugte KI in deinem Auftrag — die Website direkt verwaltet. Beide Nutzungsarten laufen über denselben offenen Standard, aber mit unterschiedlich weiten Rechten: großzügig für dich selbst, eng zugeschnitten für externe Dienste. Wie sich das ins größere Bild einer durchdachten KI-Automatisierung für deinen Betrieb einfügt, liest du auf der verlinkten Seite.

Wie sieht das in der Praxis für deinen Betrieb aus?

In der Praxis legst du gemeinsam mit uns fest, welcher Schlüssel auf welchen Datenbereich mit welchem Recht zugreifen darf — bevor der Zugang überhaupt aktiv wird. Ein Beispiel: Ein Schlüssel für einen externen Buchungsassistenten bekommt Leserechte auf Öffnungszeiten und Verfügbarkeiten, aber keinen Zugriff auf Kontaktdaten oder Preise. Dein eigener Schlüssel für die tägliche Pflege bekommt Lese-, Erstell- und Änderungsrechte auf Inhalte, aber bewusst kein automatisches Löschrecht auf Kundendaten. Jeder Zugriff wird protokolliert, sodass du jederzeit nachvollziehen kannst, wer wann worauf zugegriffen hat.

Wie unterscheidet sich das von "agent-bereit" sein?

Agent-bereit zu sein — also für externe KI-Agenten sauber lesbar zu sein — ist die eine Hälfte des Bildes, aber losgelöst davon, wer mit welchem Recht auf diese Daten zugreift. Granulare Rechte pro Datenbereich sind die Ebene darunter: die Zugriffskontrolle, die dafür sorgt, dass Lesbarkeit nicht gleichbedeutend mit unkontrolliertem Zugriff ist. Das eine macht dich auffindbar, das andere hält die Kontrolle in deiner Hand.

Wie läuft die Einrichtung eines solchen Zugangs konkret ab?

Die Einrichtung läuft in einem gemeinsamen Gespräch ab, in dem wir zuerst klären, wer diesen Zugang überhaupt nutzen soll, bevor überhaupt ein Schlüssel erzeugt wird. Am Anfang steht immer die Frage nach dem Zweck: Soll ein externer KI-Dienst deine Öffnungszeiten für Kundenanfragen lesen? Soll dein eigener KI-Assistent dir beim Pflegen von Blog-Beiträgen helfen? Erst aus dieser Antwort ergibt sich, welche Datenbereiche überhaupt relevant sind und welches der vier Rechte — lesen, erstellen, ändern, löschen — für den jeweiligen Bereich sinnvoll ist.

Danach entsteht ein Schlüssel, der genau auf diesen Zweck zugeschnitten ist, nicht mehr und nicht weniger. Braucht sich der Zweck später — etwa weil ein neuer KI-Dienst dazukommt oder du deinem eigenen Assistenten mehr Aufgaben übertragen willst —, passen wir die Rechte gezielt an, statt einen neuen Pauschalzugang zu vergeben. So bleibt die Übersicht erhalten: Du weißt jederzeit, welcher Schlüssel für wen gedacht ist und was er darf, auch wenn über die Zeit mehrere Zugänge für unterschiedliche Zwecke entstehen.

Wenn du herausfinden willst, wie granulare MCP-Rechte für deine eigenen Datenbereiche aussehen könnten — für externe KI-Dienste genauso wie für deinen eigenen KI-Assistenten —, lass uns in einem kurzen Klartext-Gespräch darüber sprechen.