Enterprise MCP Gateway

Sichere KI-zu-Business-Tool-Infrastruktur auf Basis des Model Context Protocol.

Ein produktionsorientiertes MCP-Gateway, das es einem KI-Agenten ermöglicht, mit CRM-, Auftrags-, Support- und Automatisierungssystemen zu arbeiten – mit Authentifizierung, RBAC, einer Policy-Engine, Prompt-Injection-Schutz, Audit-Logging, Rate-Limiting, Idempotenz, Observability, n8n-Integration und einem entfernten Streamable-HTTP-Transport.

Status: in aktiver Entwicklung. docs/implementation-status.md dokumentiert genau, welche Phasen abgeschlossen und verifiziert sind. Es wird hier nichts behauptet, was nicht umgesetzt wurde.

Was MCP ist, in einem Absatz

Das Model Context Protocol ist ein offenes Protokoll, das es einem KI-Host ermöglicht, von einem Server bereitgestellte Fähigkeiten zu entdecken und aufzurufen: Tools (Aktionen und Abfragen), Ressourcen (maßgeblicher, schreibgeschützter Kontext) und Prompts (wiederverwendbare, parametrisierte Anweisungen). Es standardisiert das Übertragungsformat, sodass jeder kompatible Host mit jedem kompatiblen Server kommunizieren kann. Was es bewusst nicht tut, ist zu entscheiden, wer was aufrufen darf – das ist die Aufgabe des Servers, und genau darum geht es in diesem Projekt.

Related MCP server: AI-Assisted CRM MCP Server

Was dieses Projekt löst

Ein LLM mit echten Geschäftssystemen zu verbinden, ist kein Tooling-Problem, sondern ein Problem der Vertrauensgrenze. Ein naiver MCP-Server gewährt einem Agenten unvermittelten Zugriff auf Produktionsdaten. Dieses Gateway fügt die Ebene ein, die ein Unternehmen tatsächlich benötigt:

• die Identität des Aufrufers stammt aus einem verifizierten Bearer-Token, niemals aus einem Tool-Argument;

• jedes Tool deklariert seine erforderliche Berechtigung, Risikostufe und Audit-Klasse in einem maßgeblichen Register, und der Server setzt sie durch, bevor irgendein Geschäftscode ausgeführt wird;

• risikoreiche Aktionen (Senden von Kunden-E-Mails, Auslösen von Automatisierungen) erfordern eine ausdrückliche Bestätigung und sind idempotent;

• von Kunden verfasster Text wird als nicht vertrauenswürdig behandelt und als solcher gekennzeichnet, wenn er das Modell erreicht, sodass „Ignoriere deine Anweisungen“ in einem Tickettext nur eine Zeichenkette ist;

• jeder folgenreiche Vorgang landet in einem Append-only-Audit-Trail.

Architektur

AI Host / Agent  →  MCP Client  →  Enterprise MCP Gateway  →  Business systems

                    observability → audit → authn → authz →
                    rate limit → policy → idempotency → tool handler
                                                          ↓
                                                application services
                                                          ↓
                                     PostgreSQL · Redis · n8n · email adapter

Vollständige Details, Sequenzdiagramme und Vertrauensgrenzen: docs/architecture.md.

Technologie

Begründung für jede Entscheidung, einschließlich der verworfenen Alternativen: docs/technology-decisions.md.

Dokumentation

Sicherheit, Tool-Katalog, Bereitstellung, Bedrohungsmodell und das Demo-Skript werden in den entsprechenden Phasen ergänzt.

Lizenz

MIT — siehe LICENSE.