MCP für BI.
Server, Rechte und Sicherheit.

Was ist MCP (Model Context Protocol)?

MCP, das Model Context Protocol, ist ein offener Standard, der festlegt, wie KI-Anwendungen sich mit Datenquellen, Werkzeugen und Abläufen verbinden (modelcontextprotocol.io, abgerufen am 02.11.2026). Ein MCP-Server stellt Werkzeuge bereit, ein MCP-Client im KI-Assistenten ruft sie auf. In der BI bedeutet das: Ein Assistent fragt ein Datenmodell ab, sucht Berichte oder ändert ein Modell, ohne dass je Hersteller eine eigene Schnittstelle entsteht. Rechte, Protokollierung und Datenfluss regelt weiterhin Ihr Unternehmen. Mehr zum Zusammenspiel mit Agenten: KI-Agenten in der BI.

Wer steht hinter MCP, und ist es ein offener Standard?

MCP ist ein offener Standard, den Anthropic im November 2024 veröffentlicht und am 09.12.2025 an die Agentic AI Foundation übergeben hat, einen Fonds unter dem Dach der Linux Foundation (Linux Foundation, Stand 09.12.2025). Platin-Mitglieder sind unter anderem Amazon Web Services, Google und Microsoft, Gold-Mitglieder unter anderem Salesforce, SAP und Snowflake. Die Linux Foundation nennt mehr als 10.000 veröffentlichte MCP-Server. Anthropic sagt, das Governance-Modell bleibe unverändert.

Welche BI-Werkzeuge bieten einen MCP-Server?

Laut Herstellerseiten bieten unter anderem Microsoft (Power BI), Tableau, Qlik Cloud, Databricks, Snowflake, Looker, Metabase, Apache Superset, ThoughtSpot, Zoho Analytics und dbt einen MCP-Server an (Stand 02.11.2026). Der Reifegrad unterscheidet sich: Fabric IQ MCP, der lokale Power BI Authoring Server und laut Qlik der Qlik MCP-Server (seit 10.02.2026) sind allgemein verfügbar, der gehostete Authoring Server ist Vorschau, das Looker-Angebot nennt eine Vorschauphase. Die Tabelle oben zeigt 11 Server alphabetisch. Prüfen Sie den Stand vor jedem Pilot.

Gibt es einen Power BI MCP-Server?

Ja, Microsoft nennt zwei Server für Power BI. Fabric IQ MCP ist lesend und allgemein verfügbar, beantwortet Fragen auf Berichten und semantischen Modellen mit den Rechten der angemeldeten Person, inklusive Zeilen- und Objektsicherheit. Der Power BI Authoring MCP Server ändert Modelle, lokal allgemein verfügbar, gehostet Vorschau (Microsoft Learn, Stand 21.10.2026 und 01.09.2026). Fabric IQ gibt es nicht in reinen Power-BI-Regionen und sovereign Clouds. Vor Änderungen am Modell rät Microsoft zur Sicherung.

Gibt es einen Tableau MCP-Server?

Ja, Tableau MCP ist ein Open-Source-Server unter Apache-2.0, den Tableau als offiziell bezeichnet. Für Tableau Cloud läuft er gehostet unter mcp.tableau.com mit OAuth 2.1 und den Rechten der angemeldeten Person, für Tableau Server gibt es die gehostete Variante nicht (Tableau, Stand 02.11.2026). Site-Admins können den Dienst nicht abschalten, aber Tool-Gruppen per EXCLUDE_TOOLS ausschließen. Pulse Insight Briefs und Tableau Knowledge brauchen Tableau+. Einen Reifegrad nennt die Dokumentation nicht.

Wie binde ich Databricks oder Snowflake per MCP an?

Beide Hersteller betreiben verwaltete MCP-Server. Databricks bietet Genie One MCP allgemein verfügbar sowie weitere Server in Unity Gateway Beta und Workspace-Endpunkte in Public Preview. Snowflake legt den Server per CREATE MCP SERVER an, stellt Cortex Analyst, Cortex Search, Cortex Agents und SQL bereit und ist seit 04.11.2025 allgemein verfügbar (Herstellerseiten, Stand 02.11.2026). Bei Snowflake braucht jedes Tool eine eigene Berechtigung, bei Databricks gelten Unity-Catalog-Rechte. Den Plattformvergleich finden Sie unter Databricks oder Snowflake.

Gelten Zeilenrechte auch bei MCP?

Ja, bei den geprüften Servern gelten die Rechte der angemeldeten Person: Fabric IQ wendet Zeilen- und Objektsicherheit an, ThoughtSpot Zeilen- und Spaltensicherheit, Looker vererbt die Rollen der Person, Metabase begrenzt Scopes auf die Metabase-Rechte (Hersteller, Stand 02.11.2026). Das gilt nur, wenn jeder Aufruf mit persönlicher Anmeldung läuft. Bei Sammelkonten oder Dienstprinzipalen, wie sie lokale Server erlauben, sieht jeder, was das Konto sieht. Testen Sie vor der Freigabe mit zwei Rollen.

Welche Sicherheitsrisiken hat MCP?

Die größten Risiken sind zu weite Rechte, falsch behandelte Token, Prompt-Injection, Datenabfluss zum Modellanbieter und ungeprüfte lokale Server. Der MCP-Sicherheitsleitfaden nennt unter anderem Confused Deputy, Token-Passthrough, Server-Side Request Forgery und kompromittierte lokale Server (modelcontextprotocol.io, abgerufen am 02.11.2026). Microsoft warnt, dass ein autonomer oder falsch konfigurierter Client zerstörerische Aktionen ausführen kann, und rät zu Minimalrechten. Acht Regeln mit Prüffragen stehen im Abschnitt zur Sicherheit.

Was ist Prompt-Injection bei MCP?

Prompt-Injection liegt vor, wenn Eingaben das Verhalten eines Sprachmodells unbeabsichtigt ändern, indirekt auch durch Inhalte aus Dateien oder Webseiten, die das Modell liest (OWASP, abgerufen am 02.11.2026). Bei MCP wird das kritisch, wenn der Assistent solche Inhalte liest und danach Werkzeuge mit Schreibrechten aufruft. OWASP nennt kein Verfahren, das sie vollständig verhindert, und empfiehlt Minimalrechte, menschliche Freigabe für privilegierte Aktionen und die Trennung fremder Inhalte. Geben Sie Assistenten deshalb zunächst nur Lesezugriff.

Wohin gehen meine Daten bei MCP?

Ein MCP-Server erweitert den Datenzugriff nicht, bewegt aber Daten: Metadaten, Schemas und Abfrageergebnisse gehen an den MCP-Client und können von dort an den Anbieter des Sprachmodells weitergegeben werden (Microsoft Learn, Stand 21.10.2026). Qlik weist darauf hin, dass freigegebene Inhalte dann unter der Kontrolle des Drittsystems verarbeitet werden, Zoho warnt vor der Weitergabe der Anfragedaten an das Modell. Klären Sie Client, Modell, Region und Auftragsverarbeitung vorab, mehr unter BI EU-Hosting und Copilot in Power BI Datenschutz.

Was kostet eine MCP-Anbindung?

Die geprüften Herstellerseiten nennen keinen eigenen Preis je MCP-Server. Kosten entstehen über Kontingente und Verbrauch: Qlik rechnet 5 Tool-Aufrufe als 1 Frage und schließt das KI-Modell aus, ThoughtSpot führt den Server als Add-on, Zoho berechnet API-Einheiten, bei dbt verbraucht nur text_to_sql das Copilot-Kontingent (Hersteller, Stand 02.11.2026). Hinzu kommt der einmalige Aufwand, im Rechenbeispiel 8 Beratertage zu 1.300 € gleich 10.400 € (Annahme, BDU). Weitere Beträge sind in der Demo zu klären.

Brauche ich einen Semantic Layer für MCP?

Ein Semantic Layer ist nicht Pflicht, macht die Antworten aber zuverlässiger. Laut Microsoft kann ein Fabric-IQ-Ergebnis unvollständig sein oder fehlschlagen, wenn das Modell Felder, Kennzahlen oder Beziehungen nicht bereitstellt, und Snowflake empfiehlt Semantic Views für Cortex Analyst (Hersteller, Stand 02.11.2026). Ohne Modell übersetzt der Assistent jede Frage neu in Abfragen auf Rohdaten. Definieren Sie Kennzahlen einmal im Modell und geben Sie dem Assistenten nur darauf Zugriff. Mehr im Semantic Layer.

Muss der Betriebsrat der MCP-Anbindung zustimmen?

Meist ist ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG zu prüfen, wenn ein Betriebsrat besteht, weil Assistenten und Server protokollieren können, wer was abfragt. Metabase etwa führt Autorisierungsprotokolle zu Registrierungen und Freigaben (Metabase, Stand 02.11.2026). Klären Sie Zweck, Protokolle und Löschfristen vor dem Pilot in einer Vereinbarung, mehr zu § 87 BetrVG. Das ist keine Rechtsberatung, Einzelheiten zu Copilot stehen unter Copilot in Power BI Datenschutz.