RAG vs. MCP: Was die beiden leisten, wann man beide einsetzt

RAG (Retrieval Augmented Generation) ruft relevante Dokumente aus Ihren eigenen Daten ab, um die Antworten eines großen Sprachmodells (LLM) zu untermauern. MCP (Model Context Protocol) bietet großen LLMs eine standardisierte Möglichkeit, mit Tools zu interagieren und Aktionen in externen Systemen auszuführen. RAG schließt die Wissenslücke des Modells, und MCP schließt dessen Handlungslücke. Die meisten KI-Systeme im produktiven Einsatz benötigen beides.

In Diskussionen über Unternehmensarchitektur taucht immer wieder die Frage auf: „Sollten wir RAG oder MCP verwenden?“ Das ist die falsche Frage.

„Retrieval Augmented Generation“ (RAG) und das „Model Context Protocol“ (MCP) arbeiten auf unterschiedlichen Ebenen. RAG extrahiert Daten aus Ihren Dokumenten. MCP führt Aktionen auf externen Systemen aus. Die Frage, für welche Lösung man sich entscheiden soll, ist so, als würde man fragen, ob man eine Bibliothek oder ein Telefon braucht.

Douwe Kiela, einer der ursprünglichen Mitautoren von RAG und CEO von Contextual AI, erklärt: „Ich glaube, man bezeichnet es mittlerweile als ‚Context Engineering‘, wozu sowohl MCP als auch RAG gehören.“ Wenn einer der Entwickler von RAG diese nicht als Konkurrenten betrachtet, sollten Sie das wahrscheinlich auch nicht tun.

Die eigentliche Frage lautet: Unterstützt Ihre Dateninfrastruktur beides? Moderne KI-Systeme nutzen häufig RAG, um relevante Dokumente zu finden, und MCP, um auf der Grundlage dieser Informationen Maßnahmen zu ergreifen. Unternehmen, die agentische KI in großem Maßstab einsetzen, tun bereits beides.

RAG löst ein konkretes Problem: Es stützt die Antworten von LLMs auf Ihre eigenen Daten statt auf die Trainingsdaten des Modells.

Nehmen wir als Beispiel einen Chatbot für Patienten. Ein Nutzer fragt: „Wie bereite ich mich auf meine Knieoperation vor?“

Ohne RAG greift das Modell auf sein internes Wissen zurück und gibt eine allgemeine Antwort zurück. Mithilfe von RAG ruft das System relevante Dokumente aus Ihrer Wissensdatenbank ab und generiert auf dieser Grundlage eine präzise Antwort.

Ihre Inhalte werden in kleinere Einheiten aufgeteilt, etwa in Absätze oder kurze Textabschnitte. Ein Einbettungsmodell ("Embedding Model") wandelt jeden Abschnitt ("Chunk") in einen Vektor um, d.h. eine mathematische Darstellung seiner semantischen Bedeutung. Ähnliche Inhalte erzeugen ähnliche Vektoren. Diese werden in eine Vektordatenbank aufgenommen.

Wenn eine Anfrage eines Nutzers eingeht, vektorisiert das System diese, ruft die semantisch ähnlichsten Abschnitte ab und fügt sie zusammen mit der Anfrage in die Eingabezeile ein. Don nennt das die „Eingabeaufforderung vor der Eingabeaufforderung“. Das LLM generiert eine Antwort, die ausschließlich auf dem ihm vorgegebenen Kontext basiert und nicht auf seinem gesamten Trainingsdatensatz.

Langkontext-Modelle von Anthropic (200.000 Token) und Google (über 1 Million Token) haben Spekulationen ausgelöst, dass RAG auf dem Rückzug sei. Vier Gründe, warum es weiterhin besteht:

1. Token-Nutzung in großem Maßstab. Das Senden von 200.000 Token bei jeder Abfrage ist für Anwendungen mit hohem Datenaufkommen kostspielig. Das Abrufen von fünf bestimmten Chunks ist um Größenordnungen kostengünstiger.
2. Qualität der Suchergebnisse. Fünf relevante Absätze führen oft zu besseren Antworten des LLM als wenn man das Modell mit allen möglichen Informationen überflutet. Präzision geht vor Quantität.
3. Aktualität der Daten. Vektordatenbanken werden schrittweise aktualisiert, sobald sich die zugrunde liegenden Daten ändern. Bei Ansätzen mit Kontextfenstern ist eine vollständige Neu-Erfassung erforderlich.
4. Datenschutz und Compliance. RAG-Indizes können unabhängig voneinander verschlüsselt und einer Zugriffskontrolle unterzogen werden. Das gleichzeitige Senden aller Inhalte an die LLM-Ebene stellt in regulierten Branchen, in denen bestimmte Inhalte eingeschränkt sind, ein Problem dar.

Im Gesundheitswesen ist die Einführung von RAG am weitesten fortgeschritten, und hier liegen konkrete Ergebnisse vor. Eine Studie zur klinischen Entscheidungsunterstützung in der Radiologie ergab , dass RAG Halluzinationen vollständig beseitigte: die Rate sank von 8 % auf 0 %. Im Bereich der klinischen Ernährung erzielte ein mit RAG erweitertes System eine Genauigkeit von 99,25 % bei der Zusammenfassung klinischer Ernährungsdaten aus den Pflegeberichten der elektronischen Patientenakten. Ein RAG-System, das auf sorgfältig ausgewählten Lehrb üchern basiert, erreichte bei Facharztprüfungen in der Strahlentherapie eine Genauigkeit von 91,5 %.

Eine Variante namens GraphRAG modelliert Entitäten und Beziehungen als Wissensgraph statt als flache Dokumentenabschnitte und ermöglicht so eine Multi-Hop-Abfragelogik für das Management komplexer chronischer Erkrankungen.

MCP löst ein anderes Problem: Es bietet KI-Modellen eine standardisierte Möglichkeit, Aktionen auf externen Systemen auszuführen.

Vor der Einführung von MCP erforderte jedes Tool individuellen Integrationscode, was unterschiedliche Parameter, Protokolle und Antwortformate bedeutete. MCP hat den Zugriff auf die Werkzeuge standardisiert. In seinem Video über MCP erklärt Don, was es damit auf sich hat:

Ein MCP-Server bündelt ein oder mehrere Tools – interne APIs, externe Datenbanken oder beliebige aufrufbare Dienste – und implementiert zwei Methoden:

1. Werkzeuge auflisten – das LLM fragt: „Welche Werkzeuge hast du?“
2. Aufruf des Tools – das LLM sagt: „Rufe dieses Tool mit diesen Argumenten auf.“

Das war's. Ein MCP-Client (der in die Host-Anwendung oder das Agent-Framework integriert ist) kann über dieses Standardprotokoll mit jedem MCP-Server kommunizieren.

Don zieht eine Parallele:

„In unserer Branche könnte man sich das ein wenig wie einen FHIR-Server vorstellen.“ Ein FHIR-Server ist im Grunde nichts anderes als ein REST-Server, allerdings gibt es eine bestimmte Vorgehensweise, wie man Patienteninformationen abfragen und aktualisieren kann. Die zurückgegebenen Antworten liegen in einem bestimmten Format vor, das sich gezielt weiterverarbeiten lässt. „MCP funktioniert ähnlich – es handelt sich um einen standardisierten Ansatz, bei dem auf Tools verwiesen wird und man Ergebnisse erhält.“

FHIR – standardisierter Datenaustausch im Gesundheitswesen. MCP vereinheitlicht den Zugriff auf KI-Tools. Forscher entwickeln Rahmenkonzepte für die Integration von MCP in FHIR.

Don nennt fünf Gründe, warum MCP für Unternehmen wichtig ist:

1. Werkzeugportfolios wachsen exponentiell. Drei Tools für Ihr erstes Projekt rechtfertigen den Aufwand nicht. Bei einer Anzahl von 100 Werkzeugen zahlt sich die Standardisierung aus.

2. Technologieunabhängig. Das Tool kann in jeder beliebigen Sprache programmiert werden. Die Clientanwendung kann auch etwas ganz anderes sein. Durch diese klare Entkopplung bleiben Ihre Tools auch über den Lebenszyklus Ihres aktuellen Technologie Stacks hinaus nutzbar. .

3. Standards erleichtern Veränderungen. Wechseln Sie den LLM-Anbieter. Rahmenkonzepte für Change Agents. Ihre MCP-Tools müssen nicht neu geschrieben werden.

4. Die Anbieter liefern derzeit MCP-Server aus. Salesforce, Jira und Unternehmensplattformen verschiedener Kategorien bieten nun MCP-Server als Paket an. Im Gesundheitswesen hat GenomOncology im April 2025 BioMCP eingeführt, das 12 biomedizinische Datenentitäten umfasst, darunter klinische Studien, Genomvarianten, Medikamente und veröffentlichte Fachliteratur.

5. Im Internet entstanden. MCP-Server müssen nicht lokal ausgeführt werden. Wetter-APIs, Dokumentationsdienste, externe Datenbanken – jede beliebige Internetressource lässt sich als MCP-Server einbinden.

MCP-Server sind besonders wertvoll für interne Tools, bei denen vertrauenswürdige Benutzer auf unvorhersehbare Weise mit strukturierten Daten interagieren müssen, beispielsweise um CRM-Datensätze zu aktualisieren, Live-Daten abzurufen oder Workflows auszulösen.

Anthropic hat MCP im November 2024 auf den Markt gebracht. OpenAI hat es im März 2025 eingeführt. Im April 2025 folgte Google DeepMind. Im Dezember 2025 spendete Anthro pic MCP an die Agentic AI Foundation (AAIF) der Linux Foundation, die gemeinsam mit Block und OpenAI gegründet wurde, und gab an, dass es plattformübergreifend mehr als 10.000 aktive öffentliche MCP-Server gebe, darunter ChatGPT, Cursor, Gemini und Microsoft Copilot.

Der Funktionsaufruf ist der Mechanismus innerhalb eines LLM, bei dem das Modell signalisiert: „Ich möchte ein Tool aufrufen.“ Jede Plattform setzt dies anders um. MCP bildet die oberste Ebene und standardisiert die Beschreibung und den Aufruf von Tools, unabhängig davon, welches LLM Sie verwenden. Das Aufrufen von Funktionen ist das Ziel. MCP ist die Infrastruktur, die die Absicht übertragbar macht.

Dimension	RAG	MCP
Hauptfunktion	Relevante Kontextinformationen aus Datenquellen abrufen	Standardisierter Zugriff auf Tools für KI-Agenten
Datentyp	Unstrukturierte Daten (Dokumente, Artikel, Handbücher)	Strukturierte Daten (APIs, Datenbanken, Live-Systeme)
Datenfluss	Unidirektional: Abrufen → Einfügen → Generieren	Bidirektional: Abfrage → Aktion → Ergebnis → nächster Schritt
Zustandsänderungen	Nein – nur Lesezugriff	Ja – kann schreiben, aktualisieren und Aktionen auslösen
Skalierung	Erhöhung der Vektorspeicherkapazität und der Re-Indexierungsleistung	Neue Server-Endpunkte und Verbindungen hinzufügen
Kernproblem	LLM hat keinen Zugriff auf Ihre privaten Daten	LLM kann nicht konsistent auf externe Systeme zugreifen
Am besten geeignet für	Öffentlich zugängliche Apps mit vorhersehbaren Fragen	Interne Tools mit unvorhersehbaren Wechselwirkungen

Dr. Peter Lee, Präsident von Microsoft Research, beschrieb agentische KI als vier miteinander verflochtene Fähigkeiten: Gedächtnis, Berechtigungen, Handlungen und Schlussfolgerungen. RAG greift auf den Speicher zu, der den externen Kontext bildet, den der Agent benötigt. MCP regelt Berechtigungen und Aktionen, z. B. worauf der Agent zugreifen und was er tun darf. Das Schlussfolgern erfolgt durch das LLM selbst.

Drei Fragen verdeutlichen die Entscheidung.

Befindet sich das Wissen in statischen, unstrukturierten Daten wie klinischen Leitlinien, Richtlinienhandbüchern oder Produktdokumentationen, ruft RAG es zum Zeitpunkt der Abfrage ab und fügt es in die Eingabeaufforderung ein.

Handelt es sich bei dem Wissen um Live-Daten in strukturierter Form, wie aktuelle Laborergebnisse, Echtzeit-Bestandsdaten oder den Status ausstehender Bestellungen, fragt MCP die Quelle direkt ab.

Wenn es sich um Anwendungsfälle wie die Beantwortung von Fragen, die Zusammenfassung von Texten oder die Dokumentensuche handelt, reicht RAG allein wahrscheinlich aus.

Wenn die KI einen Datensatz aktualisieren, einen Termin vereinbaren oder einen Workflow auslösen soll, benötigt sie MCP.

Ein einzelner Anwendungsfall kann mit RAG beginnen und bei Bedarf Funktionsaufrufe hinzufügen. Wenn Sie jedoch mehrere KI-Workflows abteilungsübergreifend planen, sollten Sie jetzt in eine MCP-Infrastruktur investieren. Die Materialien.

Szenario	Architektur	Warum
Chatbot für häufig gestellte Fragen (FAQ)	Nur RAG	Nur-Lese-Zugriff; ruft Informationen aus internen Wissensdatenbanken ab
Suche nach technischer Dokumentation	Nur RAG	Semantische Suche in unstrukturierten Daten
Suche nach Wechselwirkungen zwischen Medikamenten	GraphRAG	Komplexe Entitätsbeziehungen erfordern ein Multi-Hop-Schlussfolgern
Assistent für Vorabgenehmigungen	RAG + MCP	Benötigt Kenntnisse über Richtlinien (RAG) und kann Anfragen stellen (MCP)
Klinische Entscheidungsunterstützung	Agentisches RAG + MCP	Mehrstufige Abfrage und Verarbeitung über externe Datenquellen hinweg
Automatisierung der Erfassung in CRM- und EHR-Systemen	MCP als primäre Schnittstelle	Schreibt in Datenbanken, plant Aufgaben ein, versendet Benachrichtigungen
Dashboard für Echtzeitdaten	MCP als primäre Schnittstelle	Ruft strukturierte Live-Daten aus mehreren Quellen ab

Ein Workflow zur Patientenüberweisung veranschaulicht, wie beides zusammenwirkt:

1. MCP überprüft die aktuellen Patientenunterlagen in der elektronischen Gesundheitsakte (strukturierte Echtzeitdaten)
2. RAG ruft relevante klinische Leitlinien aus der Wissensdatenbank ab (Dokumentenabruf)
3. Der MCP übermittelt die Überweisung an das Terminplanungssystem (Aktion)
4. MCP sendet eine Benachrichtigung an den überweisenden Arzt (Aktion)
5. Das LLM fasst alles zu einer Antwort und einem Prüfpfad zusammen

RAG sorgt durch Einschränkungen für Sicherheit. Das System bindet Inhalte im Voraus ein und indexiert sie; bei einer Abfrage ruft es nur die relevanten Ausschnitte ab. Es besteht keine direkte Verbindung zu Live-Systemen, wodurch die Angriffsfläche begrenzt wird.

Unternehmen in regulierten Branchen setzen RAG in der Regel lokal oder in einer privaten Cloud ein. Vektordatenbanken werden innerhalb der Infrastruktur des Unternehmens betrieben, Einbettungen werden lokal generiert, und sensible Daten verlassen zu keinem Zeitpunkt die Unternehmensgrenzen.

Die Fähigkeit von MCP, Aktionen auszuführen, birgt Risiken, denen schreibgeschützte RAG-Architekturen nicht ausgesetzt sind. MCP ermöglicht es der KI, im Namen eines Menschen zu handeln, was zu einer Sicherheitslücke führt, wenn der Server kompromittiert oder falsch konfiguriert ist. OWASP hat im Jahr 2025 eine MCP-spezifische „Top 10“-Liste veröffentlicht:„

“ – Unsachgemäße Verwaltung von Token. Fest codierte Anmeldedaten und langfristig gültige Tokens in MCP-Konfigurationen können verbundene Systeme gefährden, wenn sie kompromittiert werden. Das Protokoll schreibt OAuth2 für die Authentifizierung vor, die tatsächliche Umsetzung hängt jedoch von der jeweiligen Implementierung ab.

Kontext- und Eingabeaufforderungseinblendung. In MCP Ökosystemen kann "Prompt Injection" automatisierte Aktionen auslösen. Dabei enthält eine von einem Nutzer übermittelte Nachricht eingebettete Anweisungen, die ein Agent mit zu weitreichenden Berechtigungen in Produktivsystemen ausführt. Überladene Kontextfenster verschärfen das Problem: Das Modell könnte auf irrelevante oder widersprüchliche Informationen reagieren.

Datenexfiltration und Schema-Erkennung. Ein Angreifer könnte Abfragen erstellen, um sensible Daten aus verbundenen Datenbanken zu extrahieren oder das gesamte Datenbankschema zu erfassen, um weitere Angriffe zu planen. Agenten mit zu weitreichenden Berechtigungen verstärken beide Risiken.

Empfohlene Schutzmaßnahmen: Zulassungslisten ("Whitelisting") für MCP Server mit kryptografischer Verifizierung, Zugriffskontrollen nach dem Prinzip der geringsten Rechte, menschliche Freigaben für risikoreiche Vorgänge, isolierte Testumgebungen und eine lückenlose Audit Protokollierung.

Für Organisationen im Gesundheitswesen bietet das bestehende Authentifizierungs-Framework von FHIR, wie beispielsweise SMART on FHIR mit OAuth2, eine nahtlose Sicherheitsebene für MCP-verbundene Agenten.

Ein KI-Agent, der über einen als MCP-Tool verpackten FHIR-Server auf Patientendaten zugreift, übernimmt die Authentifizierungs-, Autorisierungs- und Audit-Infrastruktur des FHIR-Servers.

Organisationen, die InterSystems HealthShare oder InterSystems IRIS for Health einsetzen, verfügen bereits über eine FHIR-native Infrastruktur mit HITRUST-r2-Zertifizierung, wodurch ihre KI-Agenten auf einer bestehenden Compliance-Grundlage aufbauen können.

Die fortschrittlichsten KI-Systeme kombinieren RAG und MCP innerhalb von Multi-Agenten-Architekturen. Jeder LLM-Aufruf wird zu einem Agenten mit einer bestimmten Rolle. Nicht alle Agenten sind LLMs; manche sind Werkzeuge. Ein Orchestrator steuert den Arbeitsablauf dynamisch.

Das agentische Muster verschafft der KI den Revisionszyklus, der einzelnen LLM-Aufrufen fehlt.

In Dons Interview mit Dr. Peter Lee von Microsoft Research beschrieb Lee einen gemeinsam mit Stanford Medicine entwickelten Koordinationsagenten für das Gesundheitswesen, der für Tumor-Board-Sitzungen eingesetzt wird.

Der Agent ruft Patientenakten ab (MCP), greift auf KI-Modelle für Radiologie und Pathologie zurück (MCP), greift auf veröffentlichte Forschungsergebnisse aus externen Datenquellen zu (RAG) und protokolliert die Beschlüsse der Besprechung (MCP). RAG und MCP – jedes System erfüllt genau den Zweck, für den es entwickelt wurde.

Das MAI-DXO-System von Microsoft geht noch einen Schritt weiter: mehrere Agenten mit unterschiedlichen Rollen – ein primärer Diagnoseagent, ein konträrer Agent, der jede Schlussfolgerung hinterfragt, und ein kostenbewusster Agent, der jede Untersuchungsanordnung kritisch prüft.

Durch eine „Debattenkette“ erreichte das System bei veröffentlichten Fallberichten im NEJM eine diagnostische Genauigkeit von 85,5 %, was mehr als dem Vierfachen der Rate erfahrener Ärzte entspricht, die unter denselben Bedingungen getestet wurden.

1. Überprüfen Sie Ihre Datengrundlage. RAG ruft die Inhalte Ihrer Datenquellen ab. Wenn Ihre Dokumentation inkonsistent ist oder sich Richtliniendokumente widersprechen, macht RAG diese Probleme in großem Maßstab sichtbar. Eine einheitliche Datenplattform wie InterSystems IRIS vereint transaktionale und analytische Verarbeitung sowie Vektorsuche in einer einzigen Engine. Dadurch reduziert sie die Fragmentierung, die andernfalls die Qualität des Retrievals beeinträchtigt.

2. Prüfen Sie, inwieweit Sie für APIs bereit sind. Ihre bestehenden REST-Endpunkte – einschließlich der FHIR-APIs für Organisationen im Gesundheitswesen – eignen sich ideal für MCP-Server-Wrapper. Wenn Sie bereits über gut dokumentierte interne APIs mit OAuth2-Authentifizierung verfügen, sind Sie näher an der MCP-Bereitschaft, als Sie denken.

3. Beginnen Sie mit einem RAG-Pilotprojekt. Kunden-Chatbots, die Suche in der Dokumentation und Fragen und Antworten zu Richtlinien sind bewährte Einstiegspunkte mit abgegrenzten, gut gepflegten Datenquellen.

4. MCP Governance etablieren, bevor der Zugriff auf Tools freigegeben wird. Bevor Agenten mit den Produktionssystemen interagieren, sollten Whitelisting, Zugriffskontrollen, manuelle Freigabeprozesse und Audit-Logging eingerichtet sein. Joel Venco, CIO von Hartford Health, zitierte Mario Andretti: „Mit wirklich guten Bremsen kann man schneller fahren.“ Governance ist kein Geschwindigkeitsbegrenzer – sie ermöglicht es Ihnen, mit Zuversicht zu implementieren.