Erste europäische MCP-Konferenz: Professionalisierung trifft auf offene Sicherheitsdebatte

Erste europäische MCP-Konferenz bringt Anwender, Entwickler und Hersteller zusammen

Am 17. und 18. September 2026 hat im RAI Amsterdam die AGNTCon + MCPCon Europe stattgefunden, die erste Konferenz ihrer Art, die Anwender, Server-Entwickler und Hersteller des Model Context Protocol (MCP) zusammenbringt. Die offizielle Konferenzseite vermerkt bereits „Thank you for Attending“. Veranstalter ist die Agentic AI Foundation (AAIF), die im Dezember 2025 von Anthropic, OpenAI, Google und weiteren Unternehmen unter dem Dach der Linux Foundation gegründet wurde, um MCP herstellerunabhängig weiterzuentwickeln. MCP selbst hatte Anthropic im November 2024 als offenen Standard eingeführt.

Die Konferenz richtet sich laut Programm an Open-Source-Entwickler und -Maintainer, Projektverantwortliche, Enterprise-Ingenieure und -Architekten sowie Plattform-, Sicherheits- und Tooling-Teams, die Agentensysteme in Produktion betreiben oder erforschen. In seiner Keynote nannte David Soria Parra, Miterfinder von MCP und Anthropic-Mitarbeiter, eine Kennzahl zur Verbreitung: Über eine Milliarde MCP-Tool-Calls haben Anthropics Claude-Modelle bereits ausgeführt. Diese Aussage stammt aus der Keynote des Herstellers und ist nicht unabhängig verifiziert.

Die Veranstaltung ist Teil eines erweiterten globalen Programms der AAIF für 2026. Neben der europäischen Ausgabe sind eine nordamerikanische AGNTCon + MCPCon am 22. und 23. Oktober in San Jose sowie regionale MCP Dev Summits in weiteren Städten angekündigt. Die Stiftung bezeichnet sich selbst als neutralen Ort für offene Standards, die agentische KI-Systeme antreiben – dies ist eine Selbstbeschreibung der Stiftung.

Neue MCP-Spezifikation 2026-07-28: Migration und zustandsloser Kern im Fokus

Ein Schwerpunkt der Konferenz war die MCP-Spezifikation 2026-07-28. Laut Programm sollten Teilnehmer auf den aktuellen Stand gebracht werden: Der Kern des Protokolls wird zustandslos, ein Erweiterungs-Framework kommt hinzu, und die Autorisierung ändert sich. Für Betreiber bedeutet das eine Migration bestehender MCP-Clients und -Server.

Der zustandslose Kern verlagert Sitzungs- und Zustandsdaten aus dem Basisprotokoll. Dadurch wird jeder Request unabhängig verarbeitbar, was die horizontale Skalierung und Lastverteilung in Produktionsumgebungen vereinfacht – ein zentraler Schritt weg von den früheren Desktop-zentrierten Einzelinstallationen. Das Erweiterungs-Framework bündelt optionale Funktionen als separate Module, sodass Implementierungen nur die benötigten Erweiterungen unterstützen müssen und die Kompatibilität zwischen verschiedenen Clients und Servern klarer definiert ist. Die Autorisierungsänderungen standardisieren, wie Clients und Server Zugriffsrechte aushandeln; das erleichtert die Anbindung an bestehende Identity- und Access-Management-Systeme und reduziert individuelle, fehleranfällige Sonderlösungen. Zusammen unterstützen diese technischen Neuerungen die Interoperabilität und den Einsatz in Produktionsumgebungen, indem sie klare Grenzen zwischen Kernfunktionen und optionalen Erweiterungen ziehen und die Zugriffskontrolle vereinheitlichen.

Die Konferenz behandelte ausdrücklich, was bei der Migration von MCP-Clients und -Servern zu beachten ist. Diese Änderungen sind Teil der Professionalisierung: MCP-Server laufen nicht mehr nur als kleine Software-Schnipsel auf Desktop-PCs, sondern sind in Geschäftsanwendungen und Firmennetzen integriert. Wer MCP in Produktion nutzt, muss Clients und Server auf den Stand 2026-07-28 bringen, um von den neuen Sicherheits- und Erweiterungsmechanismen zu profitieren.

Sicherheitsdebatte: Governance-Fortschritt trifft auf 'MCP Security Crisis'

Die Konferenzberichterstattung und die Sicherheitsforschung zeichnen ein unterschiedliches Bild der Lage. Auf der AGNTCon + MCPCon Europe war nach einem Bericht niemand besonders besorgt, dass KI außer Kontrolle gerät. Der Bericht begründet diese Einschätzung damit, dass viel Aufwand und Innovation in die Kontrolle von KI fließt: Governance-Innovationen gelten dort als wirksame Kontrolle, und viele Anbieter entwickeln ihre Governance-Angebote schnell weiter – als Beispiel wird Traefik Labs genannt. Der Bericht sieht den Markt zwar als jung, aber mit echten zahlenden Kunden.

Dem steht eine Analyse von OX Security gegenüber, die von einer „MCP Security Crisis“ spricht. Demnach wurde im April 2026 eine systemische Architekturschwäche offengelegt, die geschätzt 200.000 verwundbare Instanzen über eine Lieferkette mit mehr als 150 Millionen Paket-Downloads betrifft. Es handele sich nicht um einen Fehler in einem einzelnen Produkt, sondern um einen Design-Standard in jedem offiziellen MCP-SDK, der in nachgelagerte Projekte übernommen wurde. Anthropic habe das Verhalten als beabsichtigt bestätigt und eine Änderung der Protokollarchitektur abgelehnt; die Verantwortung liege bei den einzelnen Entwicklern.

Konkret führt der MCP-STDIO-Transport Betriebssystembefehle ohne Bereinigung oder Validierung aus und ermöglicht so Remote Code Execution auf verwundbaren Hosts. Zudem dokumentiert OX Security bis Mai 2026 mindestens sieben bestätigte hoch- oder kritisch-schwere CVEs in großen MCP-integrierten Plattformen, darunter MCP Inspector, LiteLLM, Cursor IDE, LibreChat und Windsurf.

Beide Perspektiven schließen sich nicht aus: Governance-Fortschritte und kommerzielle Akzeptanz können koexistieren mit technischen Schwachstellen, die Angreifer bereits ausnutzen. Die Dringlichkeit wird jedoch unterschiedlich bewertet.

Was die Professionalisierung für Unternehmen und Entwickler bedeutet

Für Unternehmen und Entwickler bedeutet die Professionalisierung des MCP-Ökosystems konkreten Handlungsbedarf. Zu den Gewinnern zählen die AAIF als neutrale Standardisierungsinstanz, das wachsende MCP-Ökosystem aus Server-Anbietern und Tooling sowie Sicherheitsanbieter, deren Governance- und Schutzlösungen gefragt sind. Die AAIF gewinnt an Relevanz, weil die Professionalisierung und die Sicherheitsdebatte die Notwendigkeit eines herstellerunabhängigen Standards und einer zentralen Koordination erhöhen – genau dafür wurde die Stiftung unter dem Dach der Linux Foundation gegründet. Das Ökosystem profitiert, weil ein gemeinsamer Standard die Entwicklung kompatibler Server und Clients vereinfacht und den adressierbaren Markt vergrößert. Sicherheitsanbieter gewinnen, weil die dokumentierten Schwachstellen – etwa der ungesicherte STDIO-Transport und die sieben CVEs – einen konkreten Bedarf an Schutzlösungen schaffen.

Verlierer sind Betreiber verwundbarer MCP-Instanzen und Nutzer ungehärteter SDKs, die die dokumentierten Schwachstellen nicht beheben: Sie bleiben den bekannten CVEs und dem STDIO-Transport-Problem ausgesetzt, was Remote Code Execution, Datenabfluss und Betriebsunterbrechungen zur Folge haben kann.

Die Sicherheitsforschung nennt mehrere Maßnahmen: Betreiber sollten die bekannten CVEs in MCP Inspector, LiteLLM, Cursor IDE, LibreChat, Windsurf und anderen Plattformen patchen. Der MCP-STDIO-Transport muss abgesichert werden, da er ohne Bereinigung Betriebssystembefehle ausführt. Die Migration auf die Spezifikation 2026-07-28 ist notwendig, um den zustandslosen Kern und die geänderten Autorisierungsmechanismen zu nutzen. Zudem sollten Unternehmen Agentenidentitäten und Zugriffe überwachen, da Angreifer zunehmend Orchestrierungsebenen und Lieferketten ins Visier nehmen.

Die AAIF-Veranstaltungen richten sich an genau jene Teams, die diese Aufgaben umsetzen müssen: Plattform-, Sicherheits- und Tooling-Teams, die Agentensysteme in Produktion unterstützen. Wer MCP einsetzt, kommt an der Härtung der eigenen Instanzen und der Migration auf die neue Spezifikation nicht vorbei.