ChatGPT lässt sich inzwischen weit über klassische Datei-Uploads oder Websuche hinaus erweitern. Über Apps und MCP können Unternehmen eigene Daten, Funktionen und Backends in ChatGPT verfügbar machen – und damit aus dem Chat eine zusätzliche Bedienoberfläche für bestehende Software bauen.
Das Spannende daran ist nicht nur „Chat mit meinen Daten“. Interessanter wird es, wenn der eigene Server kontrolliert festlegt, welche Informationen ChatGPT sehen und welche Aktionen es ausführen darf.
Seit Juli 2026 bündelt OpenAI Apps und Plugins enger: Plugins dienen als zentrale Oberfläche zur Entdeckung von Workflows, während die eigentliche Verbindung zu Daten und Aktionen über die zugrunde liegenden Apps läuft. Benutzerdefinierte Apps können dabei über das Model Context Protocol (MCP) mit eigenen Systemen verbunden werden. Der konkrete Funktionsumfang hängt aktuell noch vom ChatGPT-Plan und der Workspace-Konfiguration ab.
Der eigene Server bleibt die eigentliche Anwendung
Eine MCP-Integration bedeutet nicht, dass die Datenbank oder das komplette Backend an ein Sprachmodell übergeben wird.
Stattdessen stellt der eigene Server klar definierte Werkzeuge bereit. Stark vereinfacht könnten diese etwa so aussehen:
- Datensätze suchen
- einen Datensatz abrufen
- einen Entwurf anlegen
- einzelne Felder aktualisieren
- einen Status ändern
ChatGPT bekommt damit keine freie SQL-Konsole, sondern eine begrenzte Sammlung strukturierter Aktionen.
Das ist der entscheidende Architekturunterschied. Datenbank, Validierung, Rollenmodell und Geschäftslogik bleiben auf dem eigenen Server. Das Modell übersetzt vor allem die natürlichsprachige Absicht des Nutzers in einen passenden Tool-Aufruf.
Wer MCP speziell für Social-Media-Workflows einsetzen möchte, findet im Srocket-Guide zu Social-Media-MCPs und KI-Assistenten ein konkreteres Beispiel.
Warum strukturierte Tools besser sind als „hier ist meine Datenbank“
Ein typischer interner Workflow besteht aus vielen kleinen Oberflächen: Suche öffnen, Filter setzen, Datensatz auswählen, Felder prüfen, Status ändern und anschließend wieder zurück zur Übersicht.
Mit einer kontrollierten MCP-Schicht kann daraus beispielsweise werden:
„Welche Datensätze sind noch unvollständig? Zeig mir die wichtigsten fünf.“
Der Server führt die eigentliche Suche aus und liefert strukturierte Ergebnisse zurück. Anschließend könnte der Nutzer sagen:
„Beim zweiten Datensatz ist die fehlende Information eindeutig. Ergänze sie.“
Jetzt ruft ChatGPT nicht irgendeine Datenbankoperation auf, sondern genau das dafür freigegebene Update-Tool. Der Server prüft erneut Rechte, Eingaben und Geschäftsregeln.
Damit wird natürliche Sprache zur zusätzlichen Benutzeroberfläche, ohne dass die bestehende Softwarearchitektur ersetzt werden muss.
OAuth und OpenID Connect regeln den Zugang
Sobald eine App mit privaten oder kundenspezifischen Daten arbeitet, braucht sie einen kontrollierten Authentifizierungs- und Autorisierungsweg. ChatGPT unterstützt bei eigenen MCP-Apps dafür unter anderem OAuth und OpenID Connect.
OAuth regelt vor allem den delegierten Zugriff auf eine Anwendung. OpenID Connect ergänzt darauf eine Identitätsschicht. Beim Einrichten einer benutzerdefinierten App wird der Endpunkt des MCP-Servers hinterlegt; nutzt der Server OAuth oder OpenID Connect, durchläuft der Nutzer anschließend den vorgesehenen Autorisierungsprozess.
Dadurch müssen Nutzer weder Passwörter noch API-Schlüssel in einen Prompt schreiben. Für dauerhafte Verbindungen weist OpenAI ausdrücklich auf Refresh Tokens hin. Bei OpenID Connect wird dafür typischerweise `offline_access` angefordert. Fehlt diese Möglichkeit, kann nach Ablauf der ursprünglichen Autorisierung eine erneute Anmeldung notwendig werden.
Entscheidend ist aber: Eine erfolgreiche Anmeldung bedeutet nicht automatisch Vollzugriff. Der eigene Server muss weiterhin festlegen, welche Daten und Aktionen für diesen Nutzer tatsächlich erlaubt sind. Rollen, Mandanten, Datensichtbarkeit und Schreibrechte gehören deshalb weiterhin in die eigene Anwendung.
ChatGPT-Berechtigungen ersetzen keine Server-Rechte
ChatGPT besitzt zusätzlich eigene App-Berechtigungen und kann vor wichtigen Schreibaktionen eine Bestätigung verlangen. OpenAI nennt beispielsweise das Senden von Nachrichten, Löschen von Inhalten, Käufe oder Änderungen an Zugriffsrechten als Aktionen mit potenziell größeren Folgen.
Diese Bestätigungen sind sinnvoll, aber sie sollten nicht die eigentliche Sicherheitsgrenze darstellen.
Der MCP-Server sollte selbst prüfen, ob eine Aktion erlaubt ist. Eine Update-Funktion kann beispielsweise nur bestimmte Felder akzeptieren. Eine Veröffentlichungsfunktion kann einen bestimmten Status voraussetzen. Ein Nutzer kann nur Datensätze seines eigenen Mandanten sehen.
Das Modell entscheidet damit nicht über die Geschäftsregeln. Es arbeitet innerhalb der Regeln, die der Server vorgibt.
Dasselbe Prinzip wird auch bei zunehmend agentischen Marketing-Workflows wichtig. Im Beitrag zu KI-Agenten im Media Buying und ihren Kontrollmechanismen geht es um eine ähnliche Frage: Je mehr ein System ausführen kann, desto wichtiger werden Rechte, Logs und klar definierte Grenzen.
Eigene Server werden zur Interaktionsschicht
Genau hier wird MCP interessanter als ein weiterer Chatbot.
Viele interne Tools existieren hauptsächlich deshalb als Dashboard, weil Nutzer irgendwie mit einer Datenbank oder API interagieren müssen. MCP eröffnet eine zweite Oberfläche: Der Nutzer beschreibt sein Ziel, ChatGPT wählt die passende Funktion und der Server führt sie kontrolliert aus.
Die bestehende Weboberfläche kann trotzdem erhalten bleiben. Für häufige oder visuell komplexe Aufgaben ist sie oft weiterhin besser. Aber für unregelmäßige Backoffice-Aufgaben kann Sprache wesentlich direkter sein.
Ein mögliches Muster sieht so aus:
- 1. Anfrage: Der Nutzer beschreibt das Ziel in natürlicher Sprache.
- 2. Toolwahl: ChatGPT erkennt, welche freigegebenen Funktionen benötigt werden.
- 3. Prüfung: Der eigene Server kontrolliert Identität, Rechte und Eingaben.
- 4. Ausführung: Die Anwendung führt die erlaubte Aktion aus und liefert strukturierte Daten zurück.
- 5. Ergebnis: ChatGPT erklärt das Resultat oder verarbeitet es im nächsten Schritt weiter.
Damit bleibt die Anwendung deterministisch dort, wo sie deterministisch sein muss – und flexibel dort, wo Sprache tatsächlich hilft.
Der Server muss nicht zwingend öffentlich offenstehen
ChatGPT verbindet sich bei benutzerdefinierten Apps grundsätzlich mit Remote-MCP-Servern. Für Server in privaten Netzwerken oder auf lokalen Entwicklungsmaschinen dokumentiert OpenAI zusätzlich einen Secure MCP Tunnel, über den unterstützte OpenAI-Produkte auf einen privaten MCP-Server zugreifen können, ohne ihn einfach offen ins öffentliche Internet zu stellen.
Auch das unterstreicht das eigentliche Muster: Die KI muss nicht Eigentümer der Infrastruktur werden. Sie kann eine kontrollierte Oberfläche davor bilden.
Apps SDK: Wenn der Chat allein nicht reicht
OpenAI baut MCP außerdem mit dem Apps SDK weiter aus. Damit können Entwickler nicht nur Tools bereitstellen, sondern auch Logik und interaktive Oberflächen innerhalb von ChatGPT gestalten und diese mit dem eigenen Backend verbinden.
Das macht aus einer reinen Tool-Schnittstelle potenziell ein vollständigeres Produkt: Chat für flexible Anfragen, strukturierte UI für Ergebnisse, eigener Server für Daten und Regeln.
Wie stark sich solche KI-Oberflächen bereits in Content-Prozesse schieben, zeigt auch unser Guide zum Claude-Workflow als AI Creative Director.
Nicht jedes Backend braucht ein MCP
MCP lohnt sich besonders, wenn Nutzer regelmäßig Informationen aus mehreren Bereichen zusammensuchen oder dieselben strukturierten Aktionen in wechselnden Kombinationen ausführen.
Ein simples Formular mit drei Feldern wird durch einen KI-Layer nicht automatisch besser. Ebenso sollten irreversible oder sicherheitskritische Aktionen möglichst eng begrenzt und gegebenenfalls zusätzlich bestätigt werden.
Der interessante Punkt ist deshalb weniger „alles bekommt jetzt einen Chatbot“.
Es ist die Möglichkeit, eine bestehende Anwendung ohne kompletten UI-Neubau für natürliche Sprache zugänglich zu machen. Daten und Regeln bleiben auf dem eigenen Server. ChatGPT wird zur Interaktionsschicht darüber.