# Was ist ein MCP-Server, und was hat er mit E-Mail zu tun? > MCP-Server einfach erklärt: Host, Client und Server, Tools, Ressourcen und Prompts, lokal oder gehostet, und was du bei E-Mail prüfen solltest. Stand: 2026-10-27 · Faktenprüfung: 2026-10-27 · Quelle: https://commandmail.app/de/wissen/was-ist-ein-mcp-server · English: https://commandmail.app/en/learn/what-is-an-mcp-server.md Ein MCP-Server ist ein Programm, das einer KI-Anwendung wie Claude Code oder Claude Desktop Werkzeuge und Daten über ein gemeinsames Protokoll anbietet, das Model Context Protocol (MCP). Bei E-Mail heißt das: Der Server stellt Werkzeuge wie „Mails suchen“, „Mail lesen“ oder „Entwurf anlegen“ bereit, und das Sprachmodell kann sie aufrufen. Was der Agent darf, legen der Server und die Rechte fest, die du beim Verbinden erteilst. ## Wofür es MCP gibt MCP ist ein offenes Protokoll, mit dem KI-Anwendungen externe Datenquellen und Werkzeuge einheitlich anbinden[^1]. MCP standardisiert die Schnittstelle zwischen KI-Anwendungen und angebundenen Diensten. Ein Anbieter schreibt ein Anbieter einen Server, den MCP-fähige Anwendungen nutzen können. Die Spezifikation vergleicht das mit dem Language Server Protocol, das Programmiersprachen einheitlich in Entwicklungsumgebungen bringt[^1]. Für dich als Nutzer bedeutet es: Derselbe E-Mail-Server kann in mehreren Anwendungen laufen, sofern diese eine passende MCP-Version und die benötigten Funktionen unterstützen. Die aktuelle Fassung der Spezifikation trägt die Version 2026-07-28. ## Host, Client und Server: wer was macht MCP kennt drei Rollen[^2]. Der Host ist die KI-Anwendung, mit der du arbeitest, etwa Claude Code oder Visual Studio Code. Für jeden verbundenen Server legt der Host einen eigenen Client an, der genau eine Verbindung hält. Der Server ist das Programm, das Werkzeuge und Daten liefert, egal ob es auf deinem Rechner oder beim Anbieter läuft. Die Nachrichten zwischen Client und Server sind JSON-RPC 2.0[^1]. Der Client fragt zuerst ab, was der Server kann, zum Beispiel mit `tools/list` die Liste der Werkzeuge, und ruft dann einzelne Werkzeuge mit `tools/call` auf[^2]. Das Modell selbst spricht nie direkt mit dem Server. Es schlägt einen Werkzeugaufruf vor, und der Host führt ihn aus. Diese Aufteilung ist für E-Mail wichtig. Der Host entscheidet, ob er dich vor einem Aufruf fragt. Der Server entscheidet, was er überhaupt ausführt. Das Modell dazwischen kann sich irren oder getäuscht werden. ## Werkzeuge, Ressourcen und Prompts Ein Server bietet drei Arten von Bausteinen an[^2]. Werkzeuge (Tools) sind Funktionen, die das Modell ausführen lässt, etwa eine Suche oder das Speichern eines Entwurfs. Ressourcen sind Daten, die als Kontext dienen, etwa der Inhalt einer Datei. Prompts sind wiederverwendbare Vorlagen für typische Aufgaben. Umgekehrt kann ein Server über Elicitation beim Nutzer nachfragen, etwa um eine Angabe oder die Bestätigung einer Aktion zu bekommen[^2]. Sampling, mit dem ein Server früher das Modell des Hosts aufrufen konnte, gilt seit Version 2026-07-28 als veraltet. Ein E-Mail-MCP-Server kann Werkzeuge zum Suchen, Lesen, Sortieren, Entwerfen und Senden anbieten. Welche davon verfügbar sind und wie fein sie getrennt sind, hängt vom Server ab. ## Lokal oder gehostet Ein lokaler MCP-Server läuft als Programm auf deinem Rechner. Häufig startet der Host ihn als Unterprozess und spricht mit ihm über stdio, also über die Standardein- und -ausgabe[^4]. Ein solcher Server bedient meist genau einen Client[^2]. Ein gehosteter Server läuft beim Anbieter und verwendet typischerweise Streamable HTTP. Er bedient meist viele Clients[^2]. Eine Anmeldung ist in MCP optional. Für HTTP-Server empfiehlt die Spezifikation ein Verfahren auf Basis von OAuth 2.1: Der MCP-Server ist die geschützte Ressource, und der Client erhält von einem Autorisierungsserver ein Zugriffstoken[^5]. Server über stdio sollen dieses Verfahren nicht verwenden und holen Zugangsdaten aus ihrer Umgebung[^5]. Bei E-Mail führt das zu einer praktischen Frage: Wo liegen die Zugangsdaten zu deinem Postfach? Bei einer passwortbasierten IMAP-Anbindung braucht der lokale Server dein Postfachpasswort oder ein App-Passwort. OAuth zwischen MCP-Client und MCP-Server regelt den Zugang des Agenten zum Server; wie der Server selbst auf dein Postfach zugreift, hängt von seiner Bauart ab. Beide Wege und ihre Abwägungen beschreibt die Seite [IMAP-MCP oder gehosteter MCP-Server](https://commandmail.app/de/wissen/imap-mcp-oder-gehosteter-mcp). ## Was ein E-Mail-MCP-Server tut Ein E-Mail-MCP-Server übersetzt die Werkzeugaufrufe des Agenten in Aktionen im Postfach. Fragt der Agent nach Rechnungen der letzten Woche, ruft der Host das Suchwerkzeug auf, und der Server liefert passende Mails zurück. Soll der Agent antworten, legt er über ein anderes Werkzeug einen Entwurf an oder sendet. Beim Lesen eingehender Mails gelangt fremder Text in das Modell. Steht darin eine versteckte Anweisung, kann das Modell sie für einen Auftrag halten. Wie das funktioniert und welche Gegenmittel es gibt, erklärt die Seite [Prompt Injection in E-Mails](https://commandmail.app/de/wissen/prompt-injection-in-e-mails). Lesen ist die Grundfunktion eines E-Mail-Servers. Unterschiede zeigen sich bei den Grenzen. Kann der Agent senden, ohne dass ein Mensch zustimmt? Kann er endgültig löschen? Gelten die Grenzen pro Postfach? Eine Übersicht verbreiteter Server findest du im [Vergleich der E-Mail-MCP-Server](https://commandmail.app/de/vergleich/beste-e-mail-mcp-server). ## Wer für Sicherheit sorgt Die Sicherheitsgrundsätze von MCP müssen die beteiligten Anwendungen umsetzen. Die Spezifikation nennt Grundsätze wie ausdrückliche Zustimmung, Kontrolle über Daten und Vorsicht bei Werkzeugen, sagt aber auch, dass das Protokoll sie nicht auf Protokollebene erzwingen kann[^1]. Umsetzen müssen sie Host und Server. Die Sicherheitsgrundsätze der Spezifikation verlangen, dass der Host vor Werkzeugaufrufen die ausdrückliche Zustimmung des Nutzers einholt[^1]. Die Tools-Spezifikation empfiehlt außerdem, dass immer ein Mensch beteiligt ist, der Aufrufe ablehnen kann[^3]. Beschreibungen eines Werkzeugs, etwa der Hinweis, es lese nur, gelten als nicht vertrauenswürdig, solange der Server nicht vertrauenswürdig ist[^3]. Für E-Mail ergeben sich daraus drei Prüffragen. Erstens: Welche Rechte verlangt der Server beim Verbinden, und kannst du einzelne abwählen? Zweitens: Verweigert der Server riskante Aktionen selbst, oder verlässt er sich auf die Rückfrage im Host? Drittens: Was passiert, wenn du in deiner KI-Anwendung „immer erlauben“ wählst? Grenzen, die der Server durchsetzt, gelten auch dann weiter. Welche Rechte ein Agent für welche Aufgabe braucht, steht auf der Seite [Scopes für E-Mail-Agenten](https://commandmail.app/de/wissen/scopes-fuer-e-mail-agenten). ## So sieht ein gehosteter E-Mail-Server bei Command Mail aus Command Mail ist unser Produkt; der MCP-Server dient hier als Beispiel für die Begriffe oben. Er ist gehostet, liegt unter `https://commandmail.app/mcp` und nutzt Streamable HTTP mit OAuth 2.1, PKCE und dynamischer Client-Registrierung[^6]. Ohne Token antwortet der Endpunkt mit HTTP 401 und verweist auf seine OAuth-Metadaten, die fünf Rechte auflisten: `mail:read`, `mail:draft`, `mail:send-approved`, `mail:send` und `mailboxes`[^7]. Laut Dokumentation kannst du beim Verbinden jedes Recht abwählen, und Senden ohne Freigabe ist anfangs ausgeschaltet[^6]. Die Dokumentation weist Agenten an, zu Beginn jeder Sitzung das Werkzeug `capabilities` aufzurufen. Es meldet Inhaber, erteilte Rechte, Postfächer mit ihrer Autonomiestufe, erlaubte Aktionen und Limits[^6]. Senden gibt es erst ab Pro; der kostenlose Tarif sendet nicht[^6]. Laut Dokumentation sendet das Werkzeug `send_approved_draft` mit dem Recht `mail:send-approved` genau die freigegebene Fassung eines Entwurfs. Ohne Freigabe braucht der Agent mindestens `mail:send` und ein Postfach auf der Stufe `auto`; laut Dokumentation gelten dann ein Tageslimit und höchstens 20 Empfänger je Mail[^6]. Ob Senden im Moment möglich ist, meldet `capabilities`. Für den lokalen Betrieb gibt es zusätzlich die CLI: Nach `commandmail login` startet `commandmail mcp` einen lokalen Server[^6]. In Claude Code verbindest du den gehosteten Server mit `claude mcp add --transport http commandmail https://commandmail.app/mcp`. Grenzen gibt es auch hier: `mail:read` liest alle Postfächer des Kontos, und die Erkennung von Prompt Injection markiert laut Dokumentation verdächtige Mails, ohne jeden Angriff garantiert zu erkennen. ## Prüfstand Stand: 2026-10-27. Die Seiten der MCP-Spezifikation (Version 2026-07-28) und die Command-Mail-Quellen wurden an diesem Tag abgerufen; den MCP-Endpunkt haben wir ohne Token aufgerufen und die 401-Antwort mit OAuth-Metadaten gesehen. Die Werkzeugnamen stammen aus dem App-Code im Commit `9cab1eb`. Einen vollständigen Agentenlauf haben wir für diese Seite nicht protokolliert. Du kannst [kostenlos starten](https://commandmail.app/login?signup=1) und deinen Agenten zuerst nur mit `mail:read` verbinden. ## Häufige Fragen ### Was ist ein MCP-Server in einem Satz? Ein MCP-Server ist ein Programm, das einer KI-Anwendung über das Model Context Protocol Werkzeuge, Daten und Vorlagen anbietet, etwa „Mails durchsuchen“ oder „Entwurf anlegen“. Die KI-Anwendung fragt ab, was der Server kann, und ruft die Werkzeuge dann im Auftrag des Modells auf. ### Brauche ich zum Nutzen eines MCP-Servers Programmierkenntnisse? Für einen gehosteten Server meist nicht: Du trägst eine Adresse in Claude Code, Claude Desktop oder einer anderen MCP-fähigen Anwendung ein und meldest dich an. Ein lokaler Server läuft als Programm auf deinem Rechner und braucht oft eine Konfigurationsdatei und manchmal Zugangsdaten. ### Ist ein MCP-Server automatisch sicher? Nein. Die Spezifikation sagt selbst, dass MCP seine Sicherheitsgrundsätze auf Protokollebene nicht durchsetzen kann. Zustimmung, Rechte und Grenzen müssen die KI-Anwendung und der Server umsetzen. Bei E-Mail zählt deshalb, welche Rechte du erteilst und was der Server serverseitig verweigert. ### Was ist der Unterschied zwischen einem lokalen und einem gehosteten MCP-Server? Ein lokaler Server läuft auf deinem Rechner und wird häufig über stdio angebunden, meist für einen einzelnen Client. Ein gehosteter Server läuft beim Anbieter, wird typischerweise über Streamable HTTP erreicht und bedient viele Clients. Eine Anmeldung ist in MCP optional; für HTTP-Server empfiehlt die Spezifikation ein Verfahren auf Basis von OAuth 2.1. ### Kann ein MCP-Server für E-Mail Mails senden? Das hängt vom Server und von deinen Rechten ab. Manche bieten ein Sendewerkzeug, das sofort sendet, andere nur Entwürfe. Bei Command Mail sendet der kostenlose Tarif nicht; ab Pro ist Senden ein eigenes Recht. Freigegebene Entwürfe sendet der Agent mit mail:send-approved, ohne Freigabe nur mit mail:send aus Postfächern auf der Stufe auto, und dieses Recht ist beim Verbinden zunächst abgeschaltet. ## Quellen 1. [Model Context Protocol: Specification, Version 2026-07-28](https://modelcontextprotocol.io/specification/2026-07-28), abgerufen am 2026-10-27 2. [Model Context Protocol: Architecture overview](https://modelcontextprotocol.io/docs/learn/architecture), abgerufen am 2026-10-27 3. [Model Context Protocol: Tools](https://modelcontextprotocol.io/specification/2026-07-28/server/tools), abgerufen am 2026-10-27 4. [Model Context Protocol: Transports](https://modelcontextprotocol.io/specification/2026-07-28/basic/transports), abgerufen am 2026-10-27 5. [Model Context Protocol: Authorization](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization), abgerufen am 2026-10-27 6. [Command Mail: llms.txt](https://commandmail.app/llms.txt), abgerufen am 2026-10-27 7. [Command Mail: OAuth Protected Resource Metadata des MCP-Endpunkts](https://commandmail.app/.well-known/oauth-protected-resource/mcp), abgerufen am 2026-10-27 [^1]: [Model Context Protocol: Specification, Version 2026-07-28](https://modelcontextprotocol.io/specification/2026-07-28), abgerufen am 2026-10-27 [^2]: [Model Context Protocol: Architecture overview](https://modelcontextprotocol.io/docs/learn/architecture), abgerufen am 2026-10-27 [^3]: [Model Context Protocol: Tools](https://modelcontextprotocol.io/specification/2026-07-28/server/tools), abgerufen am 2026-10-27 [^4]: [Model Context Protocol: Transports](https://modelcontextprotocol.io/specification/2026-07-28/basic/transports), abgerufen am 2026-10-27 [^5]: [Model Context Protocol: Authorization](https://modelcontextprotocol.io/specification/2026-07-28/basic/authorization), abgerufen am 2026-10-27 [^6]: [Command Mail: llms.txt](https://commandmail.app/llms.txt), abgerufen am 2026-10-27 [^7]: [Command Mail: OAuth Protected Resource Metadata des MCP-Endpunkts](https://commandmail.app/.well-known/oauth-protected-resource/mcp), abgerufen am 2026-10-27 --- Command Mail: ein Postfach für dich und deinen KI-Agenten. Kostenlos starten: https://commandmail.app/login?signup=1 · Agent verbinden: https://commandmail.app/de/agents · MCP: https://commandmail.app/mcp