MCP oder A2A? Zwei Protokolle für KI-Agenten im Vergleich

Das Wichtigste in Kürze

MCP verbindet einen Agenten mit Werkzeugen und Daten, A2A verbindet Agenten untereinander.
Viele Architekturen nutzen beides: MCP nach innen, A2A zwischen Agenten verschiedener Anbieter.
Keines der beiden Protokolle belegt, ob eine Handlung im Auftrag erlaubt war; dafür braucht es Mandat und Entscheid.

Worum es geht

Das Model Context Protocol verbindet einen Agenten mit Werkzeugen und Datenquellen: Dateisysteme, Datenbanken, Ticketsysteme, Schnittstellen. Ein MCP-Server stellt Werkzeuge mit Beschreibungen bereit, der Agent ruft sie auf. Die Autorisierung stützt sich auf OAuth 2.1.

Das Agent2Agent-Protokoll verbindet Agenten miteinander. Agenten beschreiben ihre Fähigkeiten in einer Agent Card, andere Agenten übergeben ihnen Aufgaben, verfolgen den Status und erhalten Ergebnisse.

Der Vergleich

Merkmal	MCP	A2A
Verbindet	Agent mit Werkzeugen und Daten	Agent mit Agent
Herkunft	Anthropic, offenes Projekt	Google, Linux Foundation
Beschreibung	Werkzeuge mit Parametern	Agent Card mit Fähigkeiten
Typischer Ablauf	Werkzeugaufruf und Antwort	Aufgabe, Status, Ergebnis
Autorisierung	auf Basis von OAuth 2.1	verschiedene Verfahren je Agent
Typisches Risiko	Tool Poisoning, zu weite Rechte	Ausweitung der Befugnis bei Weitergabe

Wann was passt

MCP, wenn ein Agent auf eigene oder fremde Systeme zugreifen soll: Daten lesen, Aktionen in Werkzeugen ausführen.
A2A, wenn Aufgaben zwischen spezialisierten Agenten verschiedener Anbieter verteilt werden.
Beides, wenn ein Assistent Aufgaben an Spezialagenten weitergibt, die ihrerseits über MCP auf Systeme zugreifen.

Wie beides zusammenspielt

Ein Reiseassistent übergibt per A2A die Hotelbuchung an einen Hotelagenten. Dieser nutzt über MCP die Buchungsschnittstelle eines Hotels. An zwei Stellen wird Befugnis weitergegeben: vom Assistenten an den Hotelagenten und vom Hotelagenten an das Werkzeug. An beiden Stellen muss der Rahmen erhalten bleiben und darf nur enger werden. Eine Delegationskette macht das prüfbar.

Häufige Missverständnisse

«A2A ersetzt MCP.» A2A verbindet Agenten, MCP Werkzeuge. Ein Agent, der Aufgaben übernimmt, braucht weiterhin Zugriff auf Werkzeuge.
«Die Protokolle regeln die Befugnis.» Sie regeln Kommunikation und Authentisierung. Was im Auftrag wessen erlaubt ist, steht nicht in den Protokollnachrichten.
«Ein Werkzeug mit guter Beschreibung ist sicher.» Beschreibungen können versteckte Anweisungen enthalten (Tool Poisoning).

Rolle von KYA

KYA prüft weder MCP- noch A2A-Nachrichten. KYA prüft die Nachweise, die Handlungen in beiden Welten tragen sollten: das Mandat des Auftraggebers, die Delegation entlang der Kette, den Entscheid vor der Ausführung und den Beleg danach. Wie MCP-Server abgesichert werden, beschreibt der Artikel KI-Agenten in MCP absichern.

Entscheidungshilfe in drei Fragen

Soll der Agent auf Systeme oder Daten zugreifen? Dann ist MCP das passende Protokoll.
Sollen Aufgaben zwischen Agenten verschiedener Anbieter wandern? Dann kommt A2A hinzu.
Wird Befugnis weitergegeben? Dann muss jede Stufe als Delegation prüfbar sein, unabhängig vom Protokoll.

Häufige Fragen

Was ist der Unterschied zwischen MCP und A2A?

MCP verbindet einen Agenten mit Werkzeugen und Datenquellen. A2A verbindet Agenten untereinander, damit sie Aufgaben übergeben und Ergebnisse austauschen.

Brauche ich beide Protokolle?

Nicht unbedingt. Wer nur einen Agenten mit Systemen verbindet, kommt mit MCP aus. Sobald Aufgaben zwischen Agenten verschiedener Anbieter wandern, kommt A2A hinzu.

Welches Protokoll ist sicherer?

Beide haben eigene Risiken: bei MCP vor allem Tool Poisoning und zu weite Rechte, bei A2A die Ausweitung der Befugnis bei Weitergaben. Sicherheit entsteht durch Grenzen und Prüfungen, nicht durch die Wahl des Protokolls.

Wer steht hinter MCP und A2A?

MCP wurde von Anthropic vorgestellt und wird als offenes Projekt entwickelt. A2A wurde von Google vorgestellt und an die Linux Foundation übergeben.

Wie prüfe ich Handlungen über MCP und A2A?

Mit einem Gateway, das jede Handlung mit Folgen gegen das Mandat prüft, und mit Nachweisen für Delegation, Entscheid und Ausführung, die KYA prüfen kann.

Kann ein MCP-Server auch ein Agent sein?

Technisch kann hinter einem MCP-Werkzeug selbst ein Agent stehen. Für die Sicherheit zählt dann wie bei A2A, dass die Weitergabe des Auftrags begrenzt und nachvollziehbar ist.

Gibt es Alternativen zu MCP und A2A?

Es gibt weitere Ansätze und herstellereigene Schnittstellen. MCP und A2A sind derzeit die verbreitetsten offenen Protokolle für die jeweilige Aufgabe.

Wie schütze ich einen eigenen MCP-Server?

Mit Authentisierung nach OAuth 2.1, minimalen Rechten pro Werkzeug, klaren Beschreibungen ohne versteckte Anweisungen und einer Prüfung jeder Handlung mit Folgen vor der Ausführung.

Prüft KYA Werkzeugaufrufe in Echtzeit?

Nein. KYA prüft Nachweise wie Mandat, Entscheid und Beleg. Die Prüfung in Echtzeit übernimmt ein Gateway mit Entscheidstelle vor der Ausführung.

Quellen

Model Context Protocol: Spezifikation: https://modelcontextprotocol.io/specification
Agent2Agent-Protokoll (A2A), Repository: https://github.com/a2aproject/A2A