Konzeptkarte

MCP-Autorisierung — OAuth 2.0 und stufenbasiertes API-Gating

Stand 2026-07-24T14:00:00Z

Redaktion: Cédric-Olivier Mâry, alleiniger Redakteur und verantwortlich für die Veröffentlichung — 27 Jahre im SAP-Ökosystem. Wie diese Seiten entstehen und wo Automatisierung eingesetzt wird.

Was ist MCP-Autorisierung — OAuth 2.0 und stufenbasiertes API-Gating?

Die MCP-Spezifikation vom 18.06.2025 schreibt OAuth 2.1 für den HTTP-Transport vor, doch Identität allein regelt den Zugriff nicht — kommerzielle Server benötigen eine Stufen-Gating-Schicht, die -32601 zurückgibt, niemals -32603, um nicht preiszugeben, welche kostenpflichtigen Tools existieren.

Die MCP-Spezifikationsrevision vom Juni 2025 liefert ein formales Autorisierungsmodell für den Streamable-HTTP-Transport. Der stdio-Transport läuft in-process und vertraut der Prozessgrenze des Betriebssystems, weshalb er überhaupt keine externe Authentifizierungsschicht benötigt. Das HTTP-Modell baut auf OAuth 2.1 auf, dem konsolidierten und sicherheitsgehärteten Profil von OAuth 2.0, mit PKCE als Pflicht für jeden Client, dynamischer Client-Registrierung nach RFC 7591 und Resource Indicators nach RFC 8707. Ein Server stellt unter einem Well-Known-Pfad ein Discovery-Dokument bereit, das Clients an seinen Autorisierungsserver verweist; Clients durchlaufen den Authorization-Code-Flow mit PKCE und legen bei jeder JSON-RPC-Anfrage ein Bearer-Token vor. Resource Indicators binden ein Token an einen bestimmten MCP-Server — genau das verhindert, dass ein für einen Dienst ausgestelltes Token gegen einen anderen wiederverwendet wird.

Warum es das gibt

Das ursprüngliche Vertrauensmodell von MCP war stdio-nativ: ein Client, ein Server, eine Benutzergrenze des Betriebssystems, wobei die Authentifizierung vollständig an das delegiert wurde, was auf dieser Maschine ohnehin schon das Starten von Prozessen kontrolliert. Dieses Modell bricht in dem Moment zusammen, in dem ein Server über ein Netzwerk exponiert wird — gegenüber mehreren Agenten, mehreren Mandanten oder als abgerechnete kommerzielle API. Ohne eine standardisierte Autorisierungsschicht hat ein netzwerkerreichbarer MCP-Server keine Möglichkeit zu wissen, wer anruft, worauf diese Person Anspruch hat, oder wie ein Aufruf eines Premium-Tools abgelehnt werden kann, ohne preiszugeben, dass das Tool existiert. Die Spezifikation vom Juni 2025 schließt diese Lücke, indem sie OAuth 2.1 überall dort vorschreibt, wo MCP über HTTP läuft.

Warum es zählt

stdio benötigt keine Authentifizierung (Betriebssystemgrenze), aber jeder netzwerkexponierte MCP-Server muss OAuth 2.1 mit PKCE, dynamischer Client-Registrierung (RFC 7591) und Resource Indicators (RFC 8707) betreiben, um Tokens an einen Server zu binden.
Tier-Gating übersetzt Identität in eine Tool-Teilmenge: Ein kostenloser Discover-Tier sieht bei find_firms nur öffentliche Felder, Buyer ergänzt vollständige Profile, Practice ergänzt search_news, Recruiter ergänzt Opportunity-Tools.
Wird für einen Tool-Aufruf außerhalb des Tiers -32603 statt -32601 zurückgegeben, verrät das einem nicht authentifizierten Aufrufer die Existenz von Premium-Tools.

Kernpunkte

OAuth 2.1 + PKCE für den HTTP-Transport (stdio ist in-process, OS-vertraut); die Spezifikationsrevision 2025-06-18 schreibt PKCE für öffentliche Clients vor.
Discovery — /.well-known/oauth-protected-resource verweist Clients an den Autorisierungsserver; dynamische Client-Registrierung via RFC 7591.
Bearer-Token im Authorization-Header bei jeder JSON-RPC-Anfrage; Resource Indicators (RFC 8707) binden Tokens an einen bestimmten MCP-Server.
Tier-Gating-Schicht — übersetzt Token-Identität in eine Tool-Teilmenge; nicht berechtigte Aufrufe geben -32601 (method not found) zurück, nicht -32603 (Leak-Risiko).
Stripe Meters + Rate-Limit-Worker — Nutzungsabrechnung, oberhalb von OAuth geschichtet (das Year-2-Modell der Plattform-Charta; §20.5 Cloudflare-Substrat).
MCP-Autorisierung — OAuth 2.0 und stufenbasiertes API-Gating ist erst dann beherrscht, wenn es eine konkret benannte Kaufentscheidung verändert.
Zunächst den semantischen Vertrag und das Kontrollmodell klären, bevor das Tool demonstriert wird.
Aktuelle SAP-, Analysten-, Studien-, KG- und News-Signale als Beleg nutzen, nicht als Dekoration.
Verifizierte Fakten von richtungsweisenden Trends und modellierten Annahmen trennen.
Owner, Metrik, Schwellenwert, Support-Pfad und Rollback festlegen, bevor skaliert wird.

Begriffe auf dieser Seite

OAuth 2.1 with PKCE: Das konsolidierte OAuth-Profil, das der MCP-HTTP-Transport übernimmt; PKCE (Proof Key for Code Exchange) ist für öffentliche Clients verpflichtend und ersetzt die Implicit- und Password-Grants, wodurch zwei langjährige Klassen von Token-Diebstahl-Schwachstellen entfallen.
Resource indicator (RFC 8707): Eine OAuth-Erweiterung, die ein Access-Token an eine bestimmte geschützte Ressource (die MCP-Server-URL) bindet; ein für Server A ausgestelltes Token kann nicht gegen Server B wiederverwendet werden, selbst wenn beide denselben Autorisierungsserver teilen.
Tier-gating layer: Die serverseitige, oberhalb von OAuth geschichtete Prüfung, die eine authentifizierte Identität auf die Teilmenge an Tools abbildet, zu deren Aufruf der bezahlte Tier des Nutzers berechtigt; nicht berechtigte Aufrufe geben -32601 (method not found) zurück, niemals -32603 (was die Existenz kostenpflichtiger Tools verraten würde).
Dynamic client registration (RFC 7591): Die OAuth-Erweiterung, die es einem MCP-Client erlaubt, sich beim Erstkontakt programmatisch beim Autorisierungsserver zu registrieren, wodurch der manuelle Client-ID-Bereitstellungsschritt entfällt, der sonst das Self-Service-Onboarding von Agenten blockieren würde.
Entscheidungsverantwortlicher: Die verantwortliche Person, die den Trade-off akzeptiert und die nächste Maßnahme finanziert.
Semantischer Vertrag: Die gemeinsame Definition von Geschäftsbegriffen, Metriken, Entitäten und Zugriffsregeln, die von Tools und Teams verwendet wird.
Kontrollebene: Die Ebene, die Policies, Zugriff, Lineage, Monitoring und Eskalation im gesamten Betriebsmodell durchsetzt.
Evidenzgrad: Eine Kennzeichnung, die verifizierte Fakten, richtungsweisende Signale, modellierte Annahmen und Feldbeobachtungen unterscheidet.

Quellen

Vollständige Karte für Mitglieder. Was die vollständige Karte ergänzt: den vollständigen Entscheidungsrahmen · den Vergleich SAP · Snowflake · Databricks · Fabric · die häufigen Fallstricke und ihre Behebung · die Kurzreferenz · die Architekturschemata · die Codeblöcke · die zitierfähigen Kennzahlen.

In der App öffnen →