KI-Agenten ans Firmennetz – ohne offenen Port: Anthropics MCP-Tunnel

Wie erreicht ein KI-Agent, der in der Cloud läuft, die internen Systeme eines Unternehmens, ohne sie angreifbar zu machen? Auf seiner Entwicklerkonferenz „Code with Claude” in London hat Anthropic dafür zwei Funktionen vorgestellt: MCP-Tunnel und selbst gehostete Sandboxes.

Auf einen Blick

• Neue Funktionen: MCP-Tunnel + selbst gehostete Sandboxes
• MCP-Tunnel: Research Preview
• Self-Hosted Sandbox: öffentliche Beta
• Eingehende Firewall-Regeln nötig: keine

Der Agent kommt ins Firmennetz – das Firmennetz nicht ins Internet

Das Model Context Protocol (MCP) ist die Schnittstelle, über die Agenten externe Werkzeuge und Datenquellen ansprechen. Ein MCP-Tunnel leitet diese Verbindung über ein privates Netz: Der Agent erreicht MCP-Server innerhalb des Firmennetzes, ohne dass diese im öffentlichen Internet sichtbar werden. Interne Datenbanken, private Schnittstellen, Wissens- und Ticketsysteme werden so zu Werkzeugen des Agenten. Technisch sorgt dafür ein leichtgewichtiges Gateway, das das Unternehmen selbst betreibt – es baut eine einzige ausgehende, Ende-zu-Ende verschlüsselte Verbindung auf. Eingehende Firewall-Regeln oder öffentliche Endpunkte sind nicht nötig.

Die zweite Neuerung sind selbst gehostete Sandboxes: Der Code, den ein Agent ausführt, läuft in einer abgeschotteten Umgebung in der eigenen Infrastruktur des Kunden statt auf fremden Servern.

„Der Agent kommt ins Firmennetz – das Firmennetz nicht ins Internet.”

Was das für den Mittelstand am Niederrhein bedeutet

Viele Betriebe halten Kundendaten, Auftragshistorien oder Konstruktionsunterlagen bewusst in Systemen, die nicht aus dem Internet erreichbar sind. Ein MCP-Tunnel erlaubt es, einen KI-Agenten genau auf diese Systeme zugreifen zu lassen, ohne einen Port nach außen zu öffnen – ein Aufbau, der eine DSGVO-Prüfung tendenziell vereinfacht. Eine Einordnung bleibt nötig: Research Preview und Beta heißen, dass sich Funktionsumfang und Bedingungen noch ändern können. Vor dem produktiven Einsatz empfiehlt sich ein abgegrenzter Test – und die klare Festlegung, welche internen Systeme ein Agent überhaupt erreichen darf.