Kobel oder Docker MCP Toolkit
Zwei ehrliche Antworten auf dieselbe Sorge – aber mit verschiedenen Mitteln. Docker sperrt den Serverprozess weg. Kobel stuft ab, was mit Ihren Ordnern geschehen darf. Hier steht, wann welches Mittel passt.
Zuletzt geprüft:
Docker arbeitet mit Isolation, Kobel mit Berechtigung. Beim Docker MCP Toolkit laufen MCP-Server in Containern. Dockers Dokumentation formuliert das so: „By default, MCP Servers have no access to the host filesystem. The user explicitly selects the servers that will be granted file mounts.“ Der Schutz besteht also darin, dass die KI Ihre echten Dateien gar nicht erst sieht – bis Sie einen Ordner hineinreichen.
Genau an dieser Stelle beginnt Kobels Arbeit. Kobel gibt der KI Zugriff auf die echten Arbeitsordner, aber jeder Ordner trägt genau eine von fünf Stufen: gesperrt, nur lesen, nur in Kopien schreiben, schreiben mit automatischem Backup, oder voller Zugriff. Wer nie einen echten Ordner freigeben muss, ist mit Isolation besser bedient. Wer täglich mit seinen echten Dateien arbeitet, verschiebt das Problem mit Isolation nur bis zum ersten Mount.
Zwei verschiedene Stellen im Stapel
Container-Isolation (Docker)
KI-Client → Docker MCP Gateway → Container → gemountete Ordner
- Kontrolleinheit: ein Server, ein Tool, ein Mount
- Standard: kein Zugriff auf das Dateisystem
- Betrieb: Docker Desktop, Container, teils Kommandozeile
- Zielgruppe laut Doku: Entwickler, Teams, Unternehmen
- Blind für: was innerhalb eines gemounteten Ordners passiert
Berechtigungsschicht (Kobel)
KI-Client → Kobel → Ordner, Programme, Konten dieses Geräts
- Kontrolleinheit: ein Ordner, auf einer von fünf Stufen
- Standard: nichts freigegeben, bis eine Farbe gewählt ist
- Betrieb: eine Desktop-App, keine Konfigurationsdatei
- Zielgruppe: Einzelpersonen, Freiberufler, Agenturen, KMU
- Blind für: was ein Containerprozess intern tut
Der Mount ist der Punkt, an dem Isolation endet
Das ist kein Vorwurf an Docker, sondern die Funktionsweise. Ein Container schützt, solange nichts hineingereicht
wird. Sobald ein echter Arbeitsordner gemountet ist, gilt in ihm genau ein Recht – das des Mounts. Die Katalogdefinition
des Filesystem-Servers im Docker-MCP-Registry kennt dafür genau einen Parameter namens paths; einen
Schalter für Nur-Lesen enthält sie nicht. Wer Nur-Lesen möchte, startet den Container von Hand mit einem Bind-Mount und
der Option ro.
Microsoft formuliert dasselbe für die Windows Sandbox noch deutlicher: „Files and folders mapped from the host can be compromised by apps in the sandbox or potentially affect the host. Changes made during a Sandbox session to a mapped folder with write-permissions will persist after a Sandbox is disposed.“ Der Satz gilt sinngemäß für jeden Isolationsansatz mit gemounteten Ordnern.
Funktionsvergleich
| Docker MCP Toolkit / Gateway | Kobel | |
|---|---|---|
| Grundprinzip | Isolation im Container | Abgestufte Berechtigung an echten Dateien |
| Läuft auf | Docker Desktop 4.62+ (Windows Pro/Enterprise/Education, macOS, Linux) | Windows- und macOS-Desktop |
| Zugriff standardmäßig | Keiner, bis ein Mount gesetzt wird | Keiner, bis eine Farbe gewählt wird |
| Rechtestufen pro Ordner | Katalogeintrag: nur Pfadliste, kein Nur-Lesen | Fünf Stufen |
| Nur-Lesen möglich | Ja, per Bind-Mount mit ro von Hand | Ja, ein Klick |
| Schreiben mit Backup | Nein | Ja |
| Original lesen, Kopien schreiben | Nein | Ja |
| Rechte pro Werkzeug | Ja, Allowlist per docker mcp profile tools | Pro Ressource und Funktion |
| Signierte Server-Images mit SBOM | Ja, für Images unter mcp/ im Katalog | Nicht zutreffend – Kobel verteilt keine Server-Images |
| Geheimnisse im Tool-Verkehr blockieren | Ja (--block-secrets, Standard an) | Nein |
| Ressourcengrenzen je Server | Ja (1 CPU, 2 GB Standard) | Nein |
| Protokollierung | Aufrufprotokoll im Gateway (--log-calls) | Lokales Aktivitätsprotokoll, für die KI nicht schreibbar, CSV/JSON-Export |
| Einrichtung | Docker Desktop installieren, Server im Katalog wählen, Mounts setzen, teils CLI | Ordner hineinziehen, Farbe wählen |
| Reifegrad | Laut Doku Beta | Veröffentlicht |
| Quelloffen | CLI-Plugin docker-mcp unter MIT | Nein |
| Preise | Docker Desktop kostenlos für Private, Bildung, OSS und Firmen < 250 Beschäftigte / < 10 Mio. $ Umsatz; darüber ab 9 $ je Nutzer und Monat | Kostenlose Version; 49 € einmalig oder 3,90 €/Monat; Team ab 29 €/Monat |
Drei Dinge, und sie sind nicht klein. Erstens die Lieferkette: Katalog-Images unter mcp/ werden von
Docker gebaut, digital signiert und mit einer Software-Stückliste ausgeliefert – Kobel prüft fremde MCP-Server nicht auf
Herkunft. Zweitens die Ausführungsgrenze: Ein Container mit 1 CPU und 2 GB kann nicht ausufern, und
--block-network nimmt einem Tool das Netz ganz weg. Drittens Rechte pro Werkzeug als Allowlist. Wer einen
fremden, unbekannten MCP-Server ausprobieren will, sollte das im Container tun und nicht ungeschützt auf dem Rechner.
Wann was passt
Docker MCP Toolkit, wenn …
- Sie fremde oder unbekannte MCP-Server ausprobieren
- Sie ohnehin mit Containern arbeiten
- Signatur, SBOM und Ressourcengrenzen zählen
- Rechte pro Werkzeug wichtiger sind als Rechte pro Ordner
- Sie Windows Pro, Enterprise oder Education haben und Docker Desktop bereits läuft
Kobel, wenn …
- Die KI an Ihre echten Arbeitsordner soll, nicht an eine Kopie
- Ein Ordner nur lesbar sein soll und der Nachbarordner beschreibbar
- Niemand im Spiel eine Kommandozeile öffnen wird
- Sie nachweisen müssen, was die KI wann getan hat
- Auch eigene Programme und Konten unter dieselben Regeln sollen
Beides betreiben
Der sinnvolle Endzustand für technikaffine Nutzer ist keine Entscheidung, sondern eine Reihenfolge: Fremde Serverprozesse laufen im Container, damit sie den Rechner nicht anfassen können. Die eigenen Arbeitsordner liegen hinter einer Berechtigungsschicht, damit die Freigabe abgestuft und nachvollziehbar bleibt. Der Container beantwortet „darf dieser Prozess hier laufen“, die Berechtigungsschicht beantwortet „darf mit diesem Ordner das geschehen“.
Die fünf Stufen von Kobel
Jeder Ordner, jedes Programm und jedes Konto bekommt genau eine dieser fünf Stufen. Eingestellt wird sie, indem man einen Ordner hineinzieht und eine Farbe wählt – keine Konfigurationsdatei.
- GrünLesen und schreiben. Die KI darf Dateien öffnen und Änderungen direkt speichern.
- TürkisSchreiben mit automatischem Backup. Vor jeder Änderung wird eine Sicherungskopie angelegt – eine schlechte Änderung ist immer rückgängig zu machen.
- OrangeOriginal lesen, nur in Kopien schreiben. Die KI kann mit den Daten arbeiten, die Quelldatei aber nicht verändern.
- GelbNur lesen. Ansehen, nicht anfassen.
- RotGesperrt. Die Ressource ist für die KI unsichtbar.
Weiterlesen
Quellen
- Docker – MCP Toolkit (Beta-Hinweis, „no access to the host filesystem“, Ressourcengrenzen, signierte Images)
- Docker – MCP Gateway
- Docker –
docker mcp gateway run(Flags:--block-secrets,--block-network,--cpus,--memory,--log-calls) - GitHub – docker/mcp-gateway (CLI-Plugin, MIT, Tool-Allowlist)
- GitHub – docker/mcp-registry, Katalogeintrag des Filesystem-Servers (
paths, keinro) - Docker – Systemvoraussetzungen Docker Desktop für Windows
- Docker – Lizenzbedingungen Docker Desktop
- Docker – Preise
- Microsoft – Windows Sandbox, gemappte Ordner und ihre Warnung
Mit einem Ordner ausprobieren
Kobel installieren, einen einzigen Ordner hineinziehen, auf „Nur lesen“ stellen, KI verbinden. Zwei Minuten. Kostenlose Basis-Version, kein Konto nötig.
Kobel herunterladenFunktionen ansehenHäufige Fragen
Was ist der Unterschied zwischen dem Docker MCP Toolkit und Kobel?
Docker arbeitet mit Isolation: MCP-Server laufen in Containern und haben laut Dockers Dokumentation standardmäßig keinen Zugriff auf das Dateisystem des Rechners, bis ein Ordner ausdrücklich als Mount freigegeben wird. Kobel arbeitet mit Berechtigung: Die KI arbeitet an den echten Dateien, aber jeder Ordner hat genau eine von fünf Stufen – von gesperrt über nur lesen bis lesen und schreiben. Docker regelt, welcher Server überhaupt läuft; Kobel regelt, was mit einem einzelnen Ordner geschehen darf.
Kann das Docker MCP Toolkit einen Ordner nur zum Lesen freigeben?
Nicht über den Katalogeintrag. Die Katalogdefinition des Filesystem-Servers im Docker-MCP-Registry kennt genau einen Parameter namens paths und keinen Schalter für Nur-Lesen. Wer Nur-Lesen möchte, startet den Container von Hand mit einem Bind-Mount und der Option ro. Auf Tool-Ebene lässt sich dagegen sehr wohl abstufen: Mit docker mcp profile tools lassen sich einzelne Werkzeuge gezielt ein- und ausschalten.
Brauche ich Docker Desktop, und was kostet es?
Das MCP Toolkit ist eine Oberfläche in Docker Desktop; die Dokumentation nennt Docker Desktop 4.62 oder neuer. Docker Desktop ist kostenlos für private Nutzung, Bildung, nicht-kommerzielles Open Source und für Unternehmen mit weniger als 250 Beschäftigten und weniger als 10 Millionen US-Dollar Jahresumsatz. Darüber hinaus ist es kostenpflichtig; Docker listet Pro, Team und Business ab 9 US-Dollar pro Nutzer und Monat.
Ist Docker sicherer als Kobel?
Für die Frage, ob ein fremder MCP-Server dem Rechner schaden kann, ist Container-Isolation die stärkere Antwort – dazu kommen bei Docker signierte Katalog-Images mit Stückliste, Ressourcengrenzen und das Blockieren von Geheimnissen im Tool-Verkehr. Für die Frage, was mit einem konkreten Ordner geschehen darf, ist es umgekehrt: Sobald ein Ordner gemountet ist, gilt im Container genau ein Recht, nämlich das des Mounts. Kobel unterscheidet an dieser Stelle fünf Stufen und schreibt jede Aktion mit.
Kann ich beides gleichzeitig benutzen?
Ja. Die beiden Werkzeuge lösen unterschiedliche Hälften des Problems: Docker begrenzt, was ein fremder Serverprozess auf dem Rechner überhaupt anfassen kann, Kobel begrenzt, was mit den eigenen Ordnern geschehen darf, und führt darüber ein Protokoll. Sie stehen sich nicht im Weg.
Ist das Docker MCP Toolkit fertig?
Dockers eigene Dokumentation bezeichnet das MCP Toolkit als Beta. Flags, Befehle und Oberfläche können sich also noch ändern. Prüfen Sie den aktuellen Stand direkt bei Docker.