MCP auf dem NAS: Was das Model Context Protocol für Ihre Dateien tut

Von Leo, woCyber — über lokale Datenspeicherung, Private Cloud und DIY-Heimsicherheit.

Ein MCP-Aufbau auf dem NAS entsteht in drei Schritten: Der Rechner spricht einen offenen Standard an, das NAS stellt die Dateien, und dazwischen liegt ein Server, den Sie selbst betreiben. Wer nach einem Model Context Protocol-Server für sein NAS sucht, sucht in Wahrheit genau diese drei Rollen — und nur eine davon birgt ein echtes Risiko. Das Model Context Protocol (MCP) ist ein offener Standard, über den ein KI-Modell externe Werkzeuge aufrufen und externe Daten lesen kann — und zwar über eine einzige, fest definierte Schnittstelle. Eine MCP model context protocol NAS-Kombination bedeutet konkret: Der Speicher, den Sie ohnehin schon besitzen, wird zu der Quelle, aus der Ihr KI-Assistent liest. Statt Dokumente in einen Cloud-Dienst hochzuladen, damit ein Modell sie sehen kann, zeigen Sie dem Modell einen lokalen MCP-Server auf Ihrem NAS — und es liest die Dateien dort, wo sie liegen.

Die wichtigsten Punkte

• MCP definiert, wie ein Modell nach Daten fragt. Wo die Daten liegen, sagt der Standard nicht — das ist Ihre Entscheidung, und dort sitzt jedes Risiko.
• Der NAS übernimmt in diesem Aufbau die Rolle von Werkzeug-Host und Datenquelle. Das Modell läuft woanders.
• Ein lokaler MCP-Server bedeutet in der Regel einen offenen Port im lokalen Netz. Geben Sie diesen Port ins Internet frei, geben Sie alles dahinter mit frei.
• Die Ollama-Lücke CVE-2026-108836 (SSRF, CVSS 7,3, betroffen sind Versionen bis einschließlich 0.34.1, behoben in 0.34.2) zeigt, warum Versionspflege wichtiger ist als die Wahl des Protokolls.
• Für MCP brauchen Sie kein schnelles NAS. Sie brauchen eines, das erreichbar, aktuell gepatcht und gesichert ist.

Die kurze Antwort

Richten Sie MCP auf einem NAS ein, wenn ein KI-Assistent Ihre eigenen Dokumente durchsuchen und zusammenfassen soll, ohne dass diese Dokumente Ihr Netz verlassen — und wenn Sie bereit sind, den Server aktuell zu halten und aus dem offenen Internet herauszuhalten. Lassen Sie es, wenn Ihre NAS-Firmware seit einem Jahr kein Update gesehen hat oder wenn Sie den MCP-Port aus Bequemlichkeit freigeben wollen. In dieser Konfiguration wird das Werkzeug, das Ihre Dateien liest, zum Weg, auf dem jemand anderes Ihre Dateien liest.

Warum das verwirrend ist

Zwei verschiedene Dinge heißen beide „KI auf dem NAS”

Das erste ist ein Modell, das auf dem NAS selbst rechnet — die Box übernimmt die Inferenz. Das zweite ist ein Modell, das woanders läuft und sich den Kontext vom NAS holt. MCP gehört zur zweiten Kategorie, und fast jede Diskussion darüber, ob ein NAS schnell genug sei, betrifft nur die erste.

Diese Verwechslung kostet Geld. Wer liest, dass ein NAS einen KI-Assistenten betreiben kann, schließt daraus, er brauche eine schnellere CPU und mehr Arbeitsspeicher — und kauft Hardware für Inferenz, die er nie auf der Box laufen lässt. Wenn Ihr Plan MCP heißt, liefert das NAS Dateien. Ein bescheidener Prozessor genügt.

Das Protokoll ist jung, und die Anleitungen widersprechen sich

MCP hat sich schnell bewegt, und Texte, die vor einem halben Jahr geschrieben wurden, beschreiben womöglich Transportwege oder Konfigurationsformen, die inzwischen anders aussehen. Wenn eine Anleitung und die Dokumentation Ihres Servers sich widersprechen, gilt die Dokumentation des Servers — sie gehört genau zu der Version, die Sie installiert haben.

Was wir herangezogen haben

Dieser Text beschreibt die Architektur und die Sicherheitsentscheidungen, nicht die Schritt-für-Schritt-Installation. Installationsschritte unterscheiden sich je nach NAS-Plattform und je nach MCP-Server, und eine Anleitung, die die falsche annimmt, kostet Sie einen Nachmittag.

Wo wir die Ollama-Schwachstelle nennen, ist es der veröffentlichte CVE-Eintrag: CVE-2026-108836, eine SSRF-Schwachstelle mit einem CVSS-Wert von 7,3, betroffen sind Versionen bis einschließlich 0.34.1, behoben in 0.34.2. Wo wir MCP selbst beschreiben, ist es die öffentliche Spezifikation des Protokolls. Wir haben für diesen Artikel auf keinem NAS gemessen und berichten auch keine Messwerte.

Eine Annahme markieren wir ausdrücklich: Ein Vierschlüssel-Wert wie „vier Kameras bei 24/7″ ist eine Planungsgröße, keine Herstellerangabe. Ihre tatsächliche Datenmenge hängt vom Encoder und vom Bewegungsaufkommen ab.

Grenzen der Methode

Wir beschreiben einen generischen lokalen MCP-Aufbau. Konkrete NAS-Hersteller liefern eigene KI-Anbindungen mit eigenen Voreinstellungen, und diese können strenger — oder lockerer — sein als das hier Beschriebene. Prüfen Sie die Dokumentation Ihres Herstellers, bevor Sie das allgemeine Bild übernehmen.

Was läuft eigentlich wo?

Lesen Sie die letzte Spalte von oben nach unten. Der MCP-Server ist die Komponente mit dem weitesten Lesezugriff — und genau die empfehlen die meisten Anleitungen freizugeben, damit man von überall darauf zugreifen kann. Um diesen Tausch dreht sich der ganze Aufbau.

Wie wird der Aufbau sicher genug für den Alltag?

Vier Regeln decken das meiste ab.

Zugriff über VPN, nicht über Portfreigabe. Wenn ein authentifizierter Tunnel der einzige Weg hinein ist, taucht der MCP-Server in keinem Port-Scan auf. Eine Portfreigabe ist schneller eingerichtet und dauerhaft offener.

Geben Sie dem Server einen Ordner, nicht das Array. Richten Sie den MCP-Server auf ein Verzeichnis, in dem wirklich nur die durchsuchbaren Dokumente liegen. Zeigen Sie auf die Wurzel des Volumes, haben Sie Lesezugriff auf alles gewährt — inklusive Sicherungen und allem, was Kameras dorthin geschrieben haben.

Patchen Sie nach Plan, nicht nach Erinnerung. Der Ollama-Fall ist das Muster, das man verinnerlichen sollte: eine ernste Lücke in einem verbreiteten Werkzeug, behoben in einem Patch-Release, mit einem Fenster, in dem ungepatchte Installationen offen stehen. Wenn Ihr NAS nicht selbst nach Updates sucht, legen Sie sich eine wiederkehrende Erinnerung dort an, wo Sie tatsächlich hinschauen.

Halten Sie Sicherungen aus dem Lesepfad des Servers. Kann der MCP-Server Ihr Sicherungsvolumen lesen, kann ein übernommener Server Ihre Sicherungen genauso leicht löschen oder abfließen lassen wie Ihre Arbeitsdateien. Trennen Sie beides.

Wo es typischerweise schiefgeht

Erster Fehler: den Port „nur zum Testen” öffnen. Test-Freigaben überleben den Test erstaunlich oft. Wenn Sie nicht überprüfen können, dass der Port danach wieder zu ist, öffnen Sie ihn nicht.

Zweiter Fehler: ein lokales Modell für automatisch privat halten. Ein lokaler MCP-Server in Kombination mit einem Cloud-Modell schickt Ihre Anfragen — und die Dateiinhalte, die zur Beantwortung gelesen wurden — an diesen Anbieter. „Lokaler Speicher” und „lokale Inferenz” sind nicht dieselbe Zusage, und der Unterschied ist genau das, was Ihr Netz verlässt.

Dritter Fehler: das Zugriffsprotokoll ignorieren. Ein MCP-Server, der Anfragen ohne Protokoll beantwortet, gibt Ihnen keine Möglichkeit, ungewöhnliche Zugriffe zu bemerken. Schalten Sie das Protokoll ein, bevor Sie es brauchen.

Unsere Einschätzung

Wenn Sie bereits ein NAS mit VPN und gepflegter Firmware betreiben, ist ein MCP-Server für die eigenen Dokumente ein vernünftiges Wochenendprojekt — und eine deutlich bessere Antwort als derselbe Datenbestand bei einem Drittanbieter. Fangen Sie mit einem Ordner an. Lesen Sie eine Woche lang das Protokoll, bevor Sie erweitern.

Läuft Ihr NAS dagegen in einem flachen Heimnetz ohne VPN, ohne Update-Routine und mit dem Admin-Passwort von 2020, würde ich kein KI-Werkzeug daran anschließen. Ich würde auch von einer Freigabe des MCP-Ports zu Testzwecken abraten. Nicht weil MCP unsicher wäre — sondern weil Sie einem System einen Leser hinzufügen würden, das Sie noch nicht abgesichert haben. Bringen Sie zuerst den Zugriffsweg in Ordnung. Der KI-Teil ist einfach und kann warten.

Ein kontraintuitiver Hinweis zur Hardware: Das NAS, das Sie schon haben, ist dafür vermutlich schnell genug. MCP ist ein Frage-Antwort-Muster über Dateien, und Dateien auszuliefern ist genau das, was ein NAS auch auf bescheidener Hardware gut kann. Was tatsächlich hilft, ist eine kabelgebundene Netzwerkanbindung — nicht eine schnellere CPU.

Was wir nicht wissen

Wir wissen nicht, wie sich die MCP-Spezifikation im kommenden Jahr entwickelt und ob heutige Server-Implementierungen kompatibel bleiben. Wer darauf aufbaut, sollte damit rechnen, die Konfiguration erneut anzufassen.

Ebenso wenig haben wir die Latenz einer echten MCP-Runde auf einem konkreten NAS-Modell gemessen. Wir können Ihnen deshalb nicht sagen, wie sich das im Alltag anfühlt. Wenn Antwortgeschwindigkeit für Sie wichtig ist, ist der ehrliche Weg, es auf Ihrem eigenen Gerät auszuprobieren, bevor Sie einen Arbeitsablauf darauf stützen.

Und wir haben keine belastbare Zahl dafür, wie viele MCP-Server derzeit offen im Internet stehen. Das ist die Sorte Zahl, die autoritativ klingt und meist aus einem Scan mit engem Zeitfenster stammt. Wir sagen lieber, dass wir sie nicht kennen, als eine zu nennen, die wir nicht prüfen können.

Häufige Fragen

Brauche ich ein leistungsstarkes NAS für einen MCP-Server?

Nein. Ein MCP-Server, der Dateien liest und Anfragen beantwortet, rechnet keine Modelle und braucht deshalb keinen schnellen Prozessor. Läuft das Modell auf Ihrem PC oder in der Cloud, liefert Ihr NAS nur Dateien aus. Eine kabelgebundene Anbindung ans Netz bringt mehr als jedes CPU-Upgrade.

Ist MCP auf einem NAS dasselbe wie lokale KI?

Nein, und der Unterschied ist wichtig. Lokale KI heißt: Das Modell selbst läuft auf Hardware, die Sie kontrollieren. MCP ist ein Weg für ein Modell — lokal oder in der Cloud — an Ihre Dateien zu kommen. Sitzt das Modell in der Cloud, wandern Ihre Anfragen und die gelesenen Inhalte zu diesem Anbieter, auch wenn Ihre Dateien nie bewegt wurden.

Was ist das größte Sicherheitsrisiko bei MCP auf einem NAS?

Den MCP-Server direkt ins Internet zu stellen. Der Server hat umfassenden Lesezugriff auf das Verzeichnis, auf das Sie ihn gerichtet haben — und umfassender Lesezugriff ist es wert, angegriffen zu werden. Nutzen Sie stattdessen ein VPN und beschränken Sie ihn auf einen einzelnen Ordner statt auf ein ganzes Volume.

Muss ich mir wegen CVEs in installierten Werkzeugen Sorgen machen?

Ja, auf der Ebene von Prozessen statt Panik. CVE-2026-108836 in Ollama ist ein gutes Beispiel: eine ernste Lücke, behoben in einem Patch-Release, gefährlich vor allem für jene, die nie aktualisiert haben. Stellen Sie die Update-Prüfung Ihres NAS automatisch ein und behandeln Sie das Patch-Release als etwas, das zeitnah installiert wird.

Funktioniert das auch mit Kameramaterial statt mit Dokumenten?

Technisch lässt sich ein MCP-Server auf jedes Verzeichnis richten, auch auf ein Aufnahmevolume. Praktisch ist Kameramaterial groß, kontinuierlich und selten etwas, das man von einem Sprachmodell zusammenfassen lassen möchte. Wenn Sie es doch durchsuchbar machen wollen, beschränken Sie den Server auf einen Unterordner mit Vorschaubildern oder Ereignissen statt auf das gesamte Archiv.

Was das für Ihren Aufbau bedeutet

MCP ändert nicht, welche Hardware Sie brauchen. Es ändert, was Ihre Hardware tun darf — und damit sind Zugriffsweg und Update-Routine die beiden Dinge, die zuerst stimmen müssen.

Das Muster, das trägt: Dateien auf einem NAS, das Ihnen gehört, erreichbar über einen Tunnel, den Sie kontrollieren, mit einer Patch-Routine, die Sie wirklich ausführen, und Sicherungen, die die KI-Ebene nicht sehen kann. Wer diesen Aufbau plant, stolpert selten über das Protokoll — sondern über die Frage, wie viel Speicher Dokumente und Kameraaufnahmen zusammen belegen. Genau an dieser Stelle helfen wir: Sagen Sie uns, was Sie speichern und wie lange Sie es behalten müssen, und wir bemessen die Konfiguration für Sie. woCyber baut lokalen Speicher ohne monatliche Gebühr, bei dem keine Daten Ihre Hardware verlassen.