MCP für GRC.
Wie ein GRC MCP Server KI-Clients mit Anforderungen, Risiken und Nachweisen verbindet.
- Model Context Protocol · Secani MCP
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 4 Min.
Kurzantwort.
MCP für GRC verbindet einen KI-Client über definierte Werkzeuge mit Compliance-Daten. Ein GRC MCP Server stellt etwa Anforderungen, Risiken und Nachweise bereit und prüft Zugriffsrechte. Das Protokoll transportiert Aufrufe; es bewertet keine Compliance. Entscheidend sind der erlaubte Datenumfang, die verfügbaren Aktionen und die fachliche Prüfung ihrer Ergebnisse.
Eine Schnittstelle für autorisierte Werkzeuge.
Ein MCP-Client übermittelt Werkzeugaufrufe an einen Server; der Server stellt die Verbindung zu den fachlichen Systemen her. Für GRC ist entscheidend, dass das Ergebnis auf aktuelle Datensätze zurückgeführt werden kann. Eine frei formulierte Antwort und ein gespeicherter Zustand sind unterschiedliche Ergebnisse.
Verbindung mit Berechtigung verwechselt. Eine erfolgreiche OAuth-Anmeldung bedeutet nicht, dass jeder Workspace oder jedes Werkzeug zugänglich ist. Prüfen Sie den tatsächlichen Umfang mit dem verbundenen Nutzer.
Protokoll als Compliance-Nachweis behandelt. MCP standardisiert den Zugriff. Ob eine Maßnahme wirksam ist oder ein Nachweis passt, erfordert weiterhin eine fachliche Beurteilung.
Antwort mit vollständigem Datenbestand verwechselt. Suchtreffer sind Einstiegspunkte. Laden Sie entscheidende Datensätze nach und kennzeichnen Sie fehlende Rechte, abgeschnittene Ergebnisse und offene Seiten.
Für GRC-Teams und Integrationsverantwortliche.
Diese Seite richtet sich an Teams, die bestehende Compliance-Daten in einem KI-Client nutzen wollen. GRC-Verantwortliche bestimmen die fachliche Aufgabe; IT-Verantwortliche prüfen Verbindung und Rechte. Die konkrete Einrichtung in Claude Code oder ChatGPT steht auf den jeweils verlinkten Integrationsseiten.
Was Sie festlegen sollten.
Die folgenden Punkte beschreiben die Einrichtung und Prüfung dieses Ablaufs, keine eigenständige gesetzliche Pflicht.
Client, Server und fachlichen Datenbestand getrennt benennen.
Benennen Sie die Oberfläche, den MCP-Endpunkt und das führende System. Nach der MCP-Architektur erfüllen diese Teile unterschiedliche Rollen; ein Client ist nicht selbst der maßgebliche Compliance-Datenbestand.
OAuth-Verbindung mit einem berechtigten Secani-Nutzer einrichten.
Nutzen Sie den dokumentierten Autorisierungsweg und prüfen Sie den vorgesehenen Nutzerzugriff. Die Anmeldung verbindet eine Identität mit dem Server, ersetzt aber keine Prüfung der nachfolgenden fachlichen Rechte.
Lesezugriff und Schreibaktionen anhand effektiver Rechte prüfen.
Prüfen Sie sichtbare Workspaces und den tatsächlichen Connector-Modus vor dem ersten Auftrag. Eine erfolgreiche Verbindung darf nicht als pauschale Berechtigung zum Lesen oder Schreiben behandelt werden.
Fähigkeiten für den konkreten Auftrag ermitteln.
Ermitteln Sie für den Auftrag die verfügbaren Fähigkeiten. Ein geladener Skill beschreibt den Arbeitsablauf, erweitert aber keine Berechtigungen und garantiert nicht, dass jedes darin erwähnte Werkzeug zugänglich ist.
Geschriebene Ergebnisse erneut aus dem Bestand lesen.
Kontrollieren Sie nach einer Änderung den aktuellen Datensatz. Ein plausibel formulierter Abschluss im Chat genügt nicht, wenn ein Aufruf abgebrochen ist oder nur Teile der beauftragten Änderung umgesetzt wurden.
Umsetzung in Schritten.
Auftrag eingrenzen.
Wählen Sie einen konkreten Ablauf, etwa offene Findings in einem Workspace lesen. Legen Sie erwartete Quellen und das gewünschte Ergebnis fest.
Client verbinden.
Hinterlegen Sie https://mcp.secani.com/mcp und führen Sie die OAuth-Anmeldung aus. Die vollständige Konfiguration steht in der MCP-Dokumentation.
Rechte und Werkzeuge prüfen.
Ermitteln Sie Identität und effektiven Zugriff mit whoami, danach passende Fähigkeiten mit discover_capabilities. Starten Sie für die Erprobung mit Lesezugriff.
Ergebnisse kontrollieren.
Vergleichen Sie die Antwort mit den Originaldatensätzen. Erproben Sie Schreibaktionen erst mit einem klaren Auftrag und prüfen Sie den gespeicherten Stand.
Den Ablauf nachvollziehbar dokumentieren.
Diese Unterlagen machen den gewählten Ablauf und seine Ergebnisse nachvollziehbar. Die Prüfanlässe sind Empfehlungen für den Betrieb.
Verbindungsumfang: Client, Server-URL, Workspace und Rechte. Verantwortlich: Workspace-Administration. Prüfanlass: bei Einrichtung und Rechteänderung.
Prüffall für Lesezugriff: Abfrage samt geprüftem Originaldatensatz. Verantwortlich: GRC-Verantwortliche. Prüfanlass: vor Einsatz.
Prüffall für Schreibzugriff: Auftrag, Werkzeugergebnis und gespeicherter Stand. Verantwortlich: Prozessverantwortliche. Prüfanlass: vor Schreibfreigabe.
Zugriffsprüfung: Ergebnis eines unzulässigen Zugriffsversuchs. Verantwortlich: IT-Sicherheit. Prüfanlass: bei Rollenänderung.
Weiterlesen im Blog.
Verwandte Aufgaben und Einordnung.
Die folgenden Seiten vertiefen die angrenzenden Aufgaben. Sie ersetzen nicht die hier beschriebene Prüfung des konkreten Anwendungsfalls.
In Secani.
Secani bietet einen entfernten MCP-Server mit Streamable HTTP und OAuth. Verbundene Clients können verfügbare Fähigkeiten entdecken, Einträge lesen und mit passenden Rechten unterstützte Änderungen ausführen.
Secani prüft Berechtigungen auch bei nachfolgenden Aufrufen. Ein geladener Skill erteilt keine zusätzlichen Rechte. Bestätigungen für gewöhnliche Schreibaktionen steuert der Client; eine solche Bestätigung ist kein unabhängig verifizierter menschlicher Freigabenachweis.
Einen abgegrenzten Fall prüfen.
Wählen Sie einen lesenden Auftrag und prüfen Sie Verbindung, Rechte und Ergebnis gemeinsam mit den fachlich Verantwortlichen.
Häufige Fragen.
Die Begriffe beschreiben hier dieselbe Schnittstellenaufgabe: einen KI-Client mit GRC-Daten und Aktionen verbinden. Ein zusätzlicher Servername schafft keinen neuen fachlichen Ablauf.
Nein. Maßgeblich sind die effektiven Berechtigungen und der Connector-Modus. Secani prüft diese bei den Werkzeugaufrufen; ein Nur-Lese-Connector kann keine Schreibaktion ausführen.
MCP ist das Verbindungsprotokoll. Der Datenbestand, die Berechtigungsprüfung und die fachlichen Prozesse liegen weiterhin in den angebundenen Systemen.
Compliance mit verbundenen Daten.
Besprechen Sie Ihren Anwendungsfall für den Secani-Agenten oder einen verbundenen MCP-Client.
Die beschriebenen Abläufe sind Umsetzungshilfen. Verfügbare Werkzeuge hängen von Client, Berechtigungen und Produktstand ab; fachliche Entscheidungen bleiben bei den verantwortlichen Personen.