Lesen oder schreiben: 271 MCP-Tools von 4 Aufgaben-Apps

Rund die Hälfte der Tools, die der MCP-Server einer Aufgaben-App einem Agenten gibt, kann deine Daten ändern. Wir haben die 271 dokumentierten Tools von vier Servern, Done, Jira über Atlassians Rovo-Server, Notion und ClickUp, in Lese- und Schreib-Tools sortiert: 129 lesen nur (48 %), 142 schreiben (52 %). Der Anteil der Nur-Lese-Tools reicht von 54 % bei Jira und Notion bis 42 % bei Done. Jeder Schreibvorgang ist ein Aufruf, den ein Agent mit deiner Befugnis machen kann, deshalb zählen die Annotationen, die einer KI-App sagen, welche Tools sie unbeaufsichtigt ausführen darf, mehr als die Tool-Zahl.

Wie viele MCP-Tools lesen nur?

Die vier Server wurden unabhängig gebaut und liegen trotzdem höchstens 12 Punkte von einer Halbe-halbe-Aufteilung entfernt. Das ist kein Zufall: Eine Aufgaben-App besteht vor allem aus Dingen zum Nachschlagen und Dingen zum Ändern, und ein Agent braucht beides, um etwas Nützliches zu tun. Done liegt am niedrigsten, weil seine Tools für einen Agenten geschrieben sind, der die Warteschlange abarbeitet, also sind die Schritte der Schleife (übernehmen, Fortschritt melden, Abschluss vorschlagen, eine Frage stellen, wieder freigeben) bewusst Schreibvorgänge.

Welche Schreibvorgänge lassen sich nicht rückgängig machen?

Deutlich weniger, und jeder Server zieht die Grenze woanders. Atlassian legt Jiras drei endgültige Löschungen (ein Work Item, ein Kommentar, ein Anhang) in eine eigene Berechtigungsgruppe, die aus ist, bis ein Admin sie einschaltet, zusammen mit sechs Admin-Tools. Notions Löschungen verschieben bis zu 20 Seiten oder Datenbanken in den Papierkorb, aus dem ein Wiederherstellungs-Tool sie zurückholen kann. ClickUp listet zwei Lösch-Tools, für Aufgaben und Kommentare. Bei Done sind Löschungen weich, in einen Papierkorb, der nach 30 Tagen geleert wird, aber Done markiert trotzdem 13 Tools mit destructiveHint, darunter jede Aktualisierung, die ein Feld überschreibt, weil für die Person, die zusieht, zählt, was sie nicht mehr sehen kann.

Was sagen readOnlyHint und destructiveHint einer KI-App eigentlich?

Es sind Hinweise, die ein Server an jedes Tool hängt, damit die App, in der der Agent läuft, entscheiden kann, was sie dich bestätigen lässt. Die Voreinstellungen der MCP-Spezifikation sind vorsichtig: Ein Tool ohne Annotationen gilt als schreibend (readOnlyHint false), destruktiv (destructiveHint true), nicht idempotent und offen nach außen (openWorldHint true). Die Spezifikation sagt auch, dass Annotationen Hinweise sind, keine Garantien, und dass ein Client ihnen von einem nicht vertrauenswürdigen Server nie trauen soll. Ein Server, der nichts annotiert, wird von vorsichtigen Apps also als gefährlich behandelt, und einer, der ehrlich annotiert, erspart ihnen die Bestätigung bei jedem Lesezugriff.

• readOnlyHint: true heißt, das Tool ändert nichts. Voreinstellung: false.
• destructiveHint: true heißt, ein Schreibvorgang kann zerstören oder überschreiben statt nur hinzuzufügen. Nur bei Schreib-Tools sinnvoll. Voreinstellung: true.
• idempotentHint: true heißt, derselbe Schreibaufruf mit denselben Argumenten ändert beim zweiten Mal nichts mehr. Voreinstellung: false.
• openWorldHint: true heißt, das Tool greift über die eigenen Daten des Servers hinaus, etwa ins Web oder in ein anderes Produkt. Voreinstellung: true.

Was das heißt, wenn du einen Agenten mit deiner Aufgaben-App verbindest

Geh davon aus, dass die Hälfte dessen, was du erlaubt hast, etwas ändern kann, und prüf, welche Hälfte. Bei Linear kannst du den Nur-Lese-Endpoint verbinden. Bei Jira kann ein Admin die Lösch- und Admin-Gruppen ausgeschaltet lassen. Bei Done kannst du einen Nur-Lese-Token erstellen oder einen, der auf ein einzelnes Projekt beschränkt ist. Und weil eine Annotation nur einen einzelnen Aufruf beschreibt, nicht ob das Ergebnis stimmt, sitzt der stärkere Schutz an der Aufgabe: In Done schlägt ein Agent den Abschluss vor, und die Aufgabe wartet auf deine Freigabe, es sei denn, du hast sie als agent-ok markiert.

Wie wir gezählt haben

• Done: die Annotationen jedes Tools, wie Dones Server sie am 28. Oktober 2026 ausgibt; nur lesen heißt readOnlyHint true. Von seinen 50 Schreib-Tools sind 21 als idempotent markiert, und 3 Tools greifen auf andere Apps zu (openWorldHint true).
• Jira: Atlassians eigene Gruppen. Lesen umfasst die 27 Lese-Tools und 1 Such-Tool; Schreiben umfasst 15 Schreib-, 3 Lösch- und 6 Admin-Tools.
• Notion und ClickUp veröffentlichen kein Lese- oder Schreib-Kennzeichen, also haben wir jedes dokumentierte Tool nach Namen und Beschreibung sortiert: get, list, fetch, search, query, find und download zählen als Lesen; create, update, move, merge, send, start, stop, delete und ähnliche als Schreiben.
• Prozentwerte sind auf ganze Zahlen gerundet.