Kobel-Alternativen

Eine Übersicht über alles, was das Problem „die KI soll an meine Dateien, aber nicht an alle“ lösen will – einschließlich der Fälle, in denen die richtige Antwort nicht Kobel heißt.

Zuletzt geprüft: 2026-08-23

Die Landkarte auf einen Blick

Für einen einzelnen Menschen, nicht für ein Unternehmen

Wer nach „MCP-Gateway“ sucht, findet fast ausschließlich Ranglisten für Plattform-Teams: Kubernetes, SSO, rollenbasierte Rechte, Mandantenfähigkeit, Preis auf Anfrage. Für eine Person mit einem Laptop ist davon nichts brauchbar – und die Frage bleibt unbeantwortet.

Für diesen Fall zerfällt die Frage in zwei Teile, und es lohnt sich, sie getrennt zu beantworten:

• Fremde Serverprozesse fernhalten. Dafür Container: Docker MCP Toolkit oder ToolHive. Ein unbekannter MCP-Server gehört nicht ungeschützt auf den Rechner.
• Die eigenen Ordner abstufen und mitschreiben. Dafür eine Berechtigungsschicht auf dem Gerät. Genau hier sitzt Kobel: fünf Stufen pro Ordner, dieselbe Regel für jede verbundene KI, ein Protokoll, an das die KI nicht herankommt – ohne Identity-Provider, ohne YAML, ohne Server.

Kein Enterprise-Gateway löst den zweiten Teil, weil keines von ihnen das lokale Dateisystem sieht. Und keine Container-Lösung löst ihn, weil sie beim ersten gemounteten Arbeitsordner endet. Wer allein arbeitet, braucht deshalb in aller Regel nicht das, was auf den „besten Gateway“-Listen steht.

Die Ansätze im Einzelnen

1. Der offizielle MCP Filesystem Server

Die häufigste Antwort und für viele die richtige. Quelloffen unter MIT, kostenlos, läuft überall, wo Node oder Docker läuft – auch unter Linux, wo es Kobel nicht gibt. Er nimmt eine Liste erlaubter Ordner entgegen, entweder als Argument oder über das Roots-Protokoll des Clients.

Wo er endet: Es gibt keinen Nur-Lesen-Modus im Server und kein Aktivitätsprotokoll. Alle Werkzeuge gelten für alle erlaubten Ordner gleichermaßen, auch die schreibenden. Ausführlicher Vergleich

2. Docker MCP Toolkit und Gateway

Führt MCP-Server in Containern aus. Dockers Dokumentation: „By default, MCP Servers have no access to the host filesystem.“ Dazu von Docker gebaute und signierte Katalog-Images mit Stückliste, Ressourcengrenzen, Blockieren von Geheimnissen im Tool-Verkehr und Werkzeug-Allowlisten. Für das Ausprobieren fremder Server ist das der beste Ansatz auf dieser Seite.

Wo es endet: Am gemounteten Ordner – der Katalogeintrag des Filesystem-Servers kennt nur eine Pfadliste, keinen Nur-Lesen-Schalter. Laut Doku Beta, und Docker Desktop ist ab 250 Beschäftigten kostenpflichtig. Ausführlicher Vergleich

3. Windows Sandbox, Hyper-V, VM

Richtig für Software aus zweifelhafter Quelle. Windows Sandbox ist flüchtig – beim Schließen wird alles verworfen – und läuft nicht unter Windows Home.

Wo es endet: Bei dem Ordner, den man hineinreichen muss, um an echten Dateien zu arbeiten. Microsoft warnt selbst, dass Schreibänderungen an gemappten Ordnern die Sandbox überleben. Ausführlicher Vergleich

4. Windows-Dateirechte oder ein zweites Benutzerkonto

Kostet nichts und ist schon da. Wer die KI unter einem eigenen Windows-Konto laufen lässt, kann über NTFS-Rechte steuern, was dieses Konto sieht.

Wo es endet: Betriebssystemrechte kennen kein „lesen, aber vor jeder Änderung sichern“ und kein „Original lesen, nur in Kopien schreiben“. Sie protokollieren KI-Aktionen nicht als solche, und der Wechsel zwischen Konten macht die tägliche Arbeit umständlich. Die Ansätze im Vergleich

5. Rechte in einer Textdatei: Continue und Cursor

Technisch die feinsten Modelle in dieser Liste: Continue kennt drei Stufen (allow, ask, exclude) mit Glob-Pfaden in permissions.yaml, Cursor eine permissions.json mit server:tool-Abgleich und Platzhaltern.

Wo es endet: An der Person. Wer keine YAML-Datei bearbeitet, richtet dieses Modell nicht ein – und das Berechtigungsmodell, das benutzt wird, ist das, das eingerichtet wird.

6. ToolHive

Container-Isolation plus Berechtigungsprofile für Netzwerk und Dateisystem, Apache 2.0. Der interessanteste Mittelweg für technikaffine Nutzer, die Quelloffenheit brauchen.

7. Enterprise-MCP-Gateways

MintMCP, TrueFoundry, Obot, Pomerium, Kong, Cloudflare, IBM ContextForge, Portkey, agentgateway. Sie liegen im Netzwerk vor entfernten MCP-Servern, authentifizieren gegen einen Identity-Provider und liefern revisionsfähige Audit-Trails.

Wo sie enden: Sie sehen nicht, was ein lokaler KI-Client mit dem lokalen Dateisystem tut. Ausführlicher Vergleich

8. Verkehrsprüfer: Lasso MCP Gateway, MCP Defender

Prüfen lokalen MCP-Verkehr auf Geheimnisse, personenbezogene Daten und Prompt Injection. Nützlich – aber sie beantworten nicht die Frage, welcher Ordner welche Rechte hat. Ergänzung, kein Ersatz.

9. n8n und andere Automatisierungswerkzeuge

Werden oft in einem Atemzug genannt, lösen aber ein anderes Problem: Sie stellen eine Verbindung her und authentifizieren sie. Sie autorisieren keine einzelne Handlung an einer einzelnen Datei. Ausführlicher Vergleich

Und Kobel

Eine Desktop-App für Windows und macOS, die als lokales MCP-Gateway zwischen den KI-Assistenten und den Ordnern, Programmen und Konten des Geräts steht. Jede Ressource bekommt eine von fünf Stufen; dieselbe Regel gilt für jede verbundene KI. Alles läuft auf dem Gerät, jede Aktion landet in einem Protokoll, an das die KI nicht herankommt.

Was Kobel nicht kann

• Keine Prozess-Isolation. Ein bösartiger Serverprozess wird von Kobel nicht eingesperrt – dafür nehmen Sie einen Container.
• Keine Prüfung fremder MCP-Server auf Herkunft. Signierte Images und Stücklisten gibt es bei Docker, nicht hier.
• Keine unterschiedlichen Regeln je KI. Eine einzelne KI lässt sich ein- oder ausschalten, aber es gibt kein eigenes Regelwerk pro Assistent.
• Kein Linux. Windows und macOS, sonst nichts.
• Nicht quelloffen. Wenn das Voraussetzung ist, ist Kobel raus.
• Kein Identity-Provider. Kein SSO, kein SAML, kein RBAC über Okta oder Entra.
• Keine Kontrolle über die eingebauten Werkzeuge des KI-Programms. Kobels fünf Stufen gelten für das, was eine KI über Kobel tut. Hat das KI-Programm ein eigenes Terminal, einen eigenen Dateieditor oder einen zweiten, direkt dort eingetragenen MCP-Server, laufen diese Zugriffe an Kobel vorbei und stehen auch nicht im Protokoll. Kobel ist eine Berechtigungsschicht für die Verbindung, in der es sitzt – keine Grenze im Betriebssystem. Für einen Ordner, der unter allen Umständen unerreichbar sein muss, gehört zu Rot zusätzlich ein Verweigern-Recht im Windows-Sicherheitsdialog für das Konto, unter dem die KI läuft.

Die fünf Stufen von Kobel

Jeder Ordner, jedes Programm und jedes Konto bekommt genau eine dieser fünf Stufen. Eingestellt wird sie, indem man einen Ordner hineinzieht und eine Farbe wählt – keine Konfigurationsdatei.

• GrünLesen und schreiben. Die KI darf Dateien öffnen und Änderungen direkt speichern.
• TürkisSchreiben mit automatischem Backup. Vor jeder Änderung wird eine Sicherungskopie angelegt – eine schlechte Änderung ist immer rückgängig zu machen.
• OrangeOriginal lesen, nur in Kopien schreiben. Die KI kann mit den Daten arbeiten, die Quelldatei aber nicht verändern.
• GelbNur lesen. Ansehen, nicht anfassen.
• RotGesperrt. Die Ressource ist für die KI unsichtbar.

Weiterlesen

Quellen