capinorium · Fachartikel · KI
Skills und MCP: Prozesswissen in Bausteine für KI-Agenten übertragen
Betriebliches Prozesswissen wird für KI-Agenten verlässlich nutzbar, wenn Sie es nach seiner Art trennen: Verfahren gehören in Agent Skills, der Zugriff auf Systeme und Daten in Server nach dem Model Context Protocol (MCP), umfangreiches Dokumentenwissen in eine Suche per Retrieval-Augmented Generation (RAG). Keiner dieser Standards macht einen Agenten von sich aus sicher oder fehlerfrei. Das leisten erst begrenzte Rechte, menschliche Freigaben und eine Pflege des Wissens mit klarer Verantwortung.
Die Frage wird praktisch. Von den Unternehmen, die KI nutzen, planen oder diskutieren, setzen laut Bitkom 11 Prozent bereits KI-Agenten ein, weitere 29 Prozent planen es. Anders als ein Chatbot erledigt ein Agent Aufgaben selbstständig. Damit stellt sich eine alte Frage neu: Wo steht eigentlich, wie in Ihrem Haus ein Prüfablauf oder eine Angebotskalkulation funktioniert? Oft in Köpfen, verstreuten Dokumenten und Gewohnheiten. Gartner prognostiziert, dass über 40 Prozent der Agentic-AI-Projekte bis Ende 2027 eingestellt werden, unter anderem wegen unklaren Nutzens und unzureichender Risikokontrollen. Sauber strukturiertes Prozesswissen setzt genau an diesen beiden Punkten an.
Vier Bausteine für vier Arten von Wissen
Skills und MCP lösen verschiedene Probleme. Ein Agent Skill ist laut Spezifikation ein Ordner mit einer Datei namens SKILL.md: Name, Beschreibung und Anweisungen in Markdown, optional ergänzt um Skripte, Referenzdokumente und Vorlagen. Der Agent liest zunächst nur Name und Beschreibung und lädt den Rest erst, wenn die Aufgabe ihn braucht. Skills transportieren Verfahrenswissen: die Reihenfolge von Prüfschritten, Toleranzregeln, Formatvorgaben.
MCP regelt dagegen den Zugriff. Die Spezifikation beschreibt ein offenes Protokoll, über das KI-Anwendungen Werkzeuge aufrufen und Daten abfragen, etwa aus ERP, PLM oder Dokumentenmanagement. Ein Konnektor wird einmal gebaut und kann von Anwendungen verschiedener Hersteller genutzt werden.
RAG holt Fakten zur Laufzeit aus Dokumentbeständen, ohne das Modell zu verändern. Fine-Tuning passt dagegen die Modellgewichte an. Das kann sich für dauerhafte Stil- oder Klassifikationsaufgaben lohnen, wird aber aufwendig, sobald sich das Wissen ändert.
Beide Standards stammen ursprünglich von Anthropic. MCP liegt seit Dezember 2025 bei der Agentic AI Foundation unter dem Dach der Linux Foundation, zu deren Mitgliedern auch OpenAI, Google, Microsoft und SAP gehören. Agent Skills sind seit dem 18. Dezember 2025 ein offener Standard, den laut agentskills.io Anwendungen zahlreicher Hersteller unterstützen. Stand Dezember 2025 gab es nach Angaben von Anthropic mehr als 10.000 öffentliche MCP-Server. Das senkt das Risiko der Abhängigkeit von einem Anbieter, doch die Spezifikation bewegt sich: Die aktuelle Version vom 28. Juli 2026 bringt grundlegende Änderungen. Eigene Server brauchen also Wartung.
Jeder Baustein gehört zur Software-Lieferkette
Skills und MCP-Server sind keine harmlosen Textbausteine. Die MCP-Spezifikation hält selbst fest, dass Tools beliebige Codeausführung bedeuten und das Protokoll seine Sicherheitsprinzipien nicht selbst durchsetzen kann. Autorisierung ist dort optional; wo sie umgesetzt wird, müssen Tokens an genau den jeweiligen Server gebunden sein.
Gut dokumentiert ist Tool Poisoning: Versteckte Anweisungen in Tool-Beschreibungen, die das Modell liest, der Nutzer aber nicht sieht, brachten einen Agenten in einer Demonstration dazu, Konfigurationsdateien und SSH-Schlüssel auszulesen. Eine Variante ändert die Beschreibung erst nach der Freigabe. Auch für Skills rät Anthropic, sie nur aus vertrauenswürdigen Quellen zu installieren. Die OWASP-Liste der zehn wichtigsten Risiken agentischer Anwendungen vom Dezember 2025 behandelt solche Lieferkettenrisiken als eigene Kategorie.
Daraus folgt: Schaden begrenzen, statt auf perfekte Erkennung zu hoffen. BSI und ANSSI empfehlen in ihren Zero-Trust-Designprinzipien, Zugriffsrechte auf das Nötige zu beschränken und kritische Entscheidungen von Menschen beaufsichtigen zu lassen. Praktisch heißt das: nur intern freigegebene Server und Skills, festgeschriebene Versionen, erneute Prüfung geänderter Tool-Beschreibungen, minimale Berechtigungen statt Vollzugriff, isoliert ausgeführte Skripte. Bestellungen, Kundenmails und Datenexporte laufen nur nach menschlicher Freigabe.
Governance entscheidet über die Verlässlichkeit
Ein Skill ist nur so gut wie das Verfahren, das er beschreibt. Sein Vorteil: Fachleute können ihn lesen. Laut agentskills.io sollen Skills mehrstufige Aufgaben in konsistente, prüfbare Abläufe übersetzen. Das gelingt nur, wenn jemand den Inhalt fachlich verantwortet, Änderungen versioniert und Freigaben dokumentiert.
Ein illustratives Beispiel, kein Praxisfall: Ein Zulieferer möchte die Erstmusterprüfung unterstützen. Der Skill enthält Prüfreihenfolge, Toleranzregeln und eine Protokollvorlage. Ein MCP-Server liest Bestelldaten und Zeichnungsstand ausschließlich lesend aus ERP und PLM. Interne Normauszüge erschließt eine RAG-Suche, sofern die Lizenzen das erlauben. Der Agent entwirft das Protokoll, die Qualitätssicherung gibt es frei.
Bevor ein solches Vorhaben den Pilotstatus verlässt, sollten einige Fragen beantwortet sein: Wer verantwortet den Skill fachlich? Gegen welche realen Testfälle wird das Ergebnis geprüft, und welcher Fehler wäre teuer? Welche Rechte hat der Agent, unter welcher Identität? Was geschieht, wenn sich Quellsystem oder Spezifikation ändern? Eine Leitlinie mehrerer angelsächsischer Sicherheitsbehörden rät ebenfalls, mit klar umrissenen Aufgaben geringen Risikos zu beginnen.
Fine-Tuning bleibt die letzte Option. Solange Skills, RAG und sauber berechtigte MCP-Server die Aufgabe lösen, bleibt Ihr Prozesswissen editierbar und nachvollziehbar, statt in Modellgewichten zu verschwinden.
Welcher Ihrer Abläufe sich als erster Testfall eignet, lässt sich in einer kurzen Machbarkeitsprüfung mit capinori klären.
Häufige Fragen zu Agent Skills und MCP
Was ist ein Agent Skill?
Ein Agent Skill ist ein Ordner mit einer Datei namens SKILL.md, die Name, Beschreibung und Anweisungen für einen KI-Agenten enthält, optional ergänzt um Skripte, Referenzdokumente und Vorlagen. Der Agent lädt den vollständigen Inhalt erst, wenn eine Aufgabe ihn erfordert. Seit dem 18. Dezember 2025 ist das Format ein offener Standard, den Anwendungen zahlreicher Hersteller unterstützen.
Was leistet das Model Context Protocol (MCP)?
Das Model Context Protocol (MCP) ist ein offenes Protokoll, über das KI-Anwendungen auf Werkzeuge und Daten zugreifen, etwa auf ERP-, PLM- oder Dokumentenmanagementsysteme. Ein MCP-Server wird einmal gebaut und kann von Anwendungen verschiedener Hersteller genutzt werden. MCP regelt den Zugriff, nicht das Verfahren. Die aktuelle Spezifikation stammt vom 28. Juli 2026.
Worin unterscheiden sich Agent Skills, MCP, RAG und Fine-Tuning?
Agent Skills beschreiben, wie eine Aufgabe zu erledigen ist. Das Model Context Protocol (MCP) stellt Zugriff auf Systeme und Daten her. Retrieval-Augmented Generation (RAG) holt Fakten zur Laufzeit aus Dokumentbeständen, ohne das Modell zu verändern. Fine-Tuning passt die Modellgewichte an und ist bei häufig wechselndem Wissen am aufwendigsten. Die vier Ansätze ergänzen sich und schließen einander nicht aus.
Was ist Tool Poisoning bei MCP-Servern?
Tool Poisoning bezeichnet versteckte Anweisungen in den Beschreibungen von Werkzeugen eines MCP-Servers, die das KI-Modell liest, der Nutzer aber nicht sieht. In einer Demonstration von Invariant Labs brachte ein manipuliertes Werkzeug einen Agenten dazu, SSH-Schlüssel auszulesen. Schutz bieten nur geprüfte Server, festgeschriebene Versionen, minimale Berechtigungen und menschliche Freigaben für folgenreiche Aktionen.
Wie verbreitet sind KI-Agenten in deutschen Unternehmen?
KI-Agenten sind in Deutschland noch die Ausnahme. Laut Bitkom 2026 setzen 11 Prozent der Unternehmen, die KI nutzen, planen oder diskutieren, bereits KI-Agenten ein; 29 Prozent planen den Einsatz. Die Basis von 572 Unternehmen umfasst nur Firmen, die sich mit KI befassen. Der Anteil an allen Unternehmen ist nicht ausgewiesen.
Wie sollte ein mittelständisches Unternehmen mit Agent Skills und MCP beginnen?
Ein mittelständisches Unternehmen sollte mit einem klar umrissenen Ablauf geringen Risikos beginnen, etwa einem Prüfprotokoll. Vorab gehören fest: eine fachlich verantwortliche Person für den Agent Skill, reale Testfälle mit Abnahmekriterien, minimale Rechte für den MCP-Server und eine menschliche Freigabe vor folgenreichen Aktionen. Fine-Tuning kommt erst infrage, wenn diese Bausteine nachweislich nicht genügen.
Quellen (11)
- Bitkom: Künstliche Intelligenz in der Wirtschaft 2026, Präsentation, 14.09.2026
- Gartner: Over 40% of Agentic AI Projects Will Be Canceled by End of 2027, 25.06.2025
- Agent Skills: Website und Specification, abgerufen 15.10.2026
- Anthropic: Equipping agents for the real world with Agent Skills, 16.10.2025, Update 18.12.2025
- Anthropic: Donating the Model Context Protocol and establishing the Agentic AI Foundation, 09.12.2025
- Linux Foundation: Formation of the Agentic AI Foundation, 09.12.2025
- Model Context Protocol: Specification, Changelog 2026-07-28, Authorization und Security Best Practices, abgerufen 15.10.2026
- Invariant Labs: MCP Security Notification: Tool Poisoning Attacks, 01.04.2025
- OWASP GenAI Security Project: Top 10 for Agentic Applications for 2026, 09.12.2025
- ANSSI und BSI: Design Principles for LLM-based Systems with Zero Trust, 11.08.2025
- Mayer Brown: Multi-Agency Guidance on Securing Agentic AI Systems, 10.06.2026 (Zusammenfassung von „Careful Adoption of Agentic AI Services“, NSA u. a., 30.04.2026)
Rudy Winklhofer ist Inhaber und Director R&D der capinori GmbH.
Weitere Beiträge von Rudy Winklhofer
