Kobel oder MCP Filesystem Server
Der offizielle Server ist die häufigste Antwort auf „gib der KI Zugriff auf meine Dateien“. Er ist quelloffen, kostenlos und tut, was er verspricht. Er kennt nur eine Frage: erlaubt oder nicht erlaubt.
Zuletzt geprüft:
@modelcontextprotocol/server-filesystem hat genau einen Regler: die Liste erlaubter Ordner.
Sie wird als Argument beim Start übergeben oder vom Client über das Roots-Protokoll gesetzt. Alles, was in dieser Liste
steht, ist für sämtliche Werkzeuge des Servers offen – auch für write_file, dessen eigene Beschreibung
lautet: „Create new file or overwrite existing (exercise caution with this)“.
Kobel ersetzt diesen einen Regler durch fünf Stufen pro Ordner und legt ein Protokoll darunter. Das ist der ganze Unterschied – und in der Praxis ist es der Unterschied zwischen „die KI darf in mein Arbeitsverzeichnis“ und „die KI darf Angebote schreiben, Buchhaltung lesen und das Archiv nicht einmal sehen“.
Ein Regler gegen fünf Stufen
Der offizielle Server unterscheidet nicht zwischen Ordnern, die er darf, und Ordnern, die er nur ansehen soll. Er unterscheidet zwischen Ordnern, die auf der Liste stehen, und allen anderen. Wörtlich aus der README: „All filesystem operations are restricted to allowed directories“ und „Server requires at least ONE allowed directory to operate“.
Es gibt eine Kennzeichnung namens readOnlyHint an den lesenden Werkzeugen. Die README sagt selbst, wozu
sie dient: damit Clients „distinguish read-only tools from write-capable tools“. Es ist ein Hinweis an die Oberfläche,
keine Sperre. Die Entscheidung, ob geschrieben wird, trifft am Ende der Client – also das Programm, dessen Verhalten Sie
gerade begrenzen wollten.
Wenn der Client das Roots-Protokoll unterstützt, ersetzen die vom Client gemeldeten Roots die per Kommandozeile gesetzten Ordner vollständig – die README schreibt „completely replace“. Es gibt dazu ein offenes Issue im Projekt, weil Nutzer ihre sorgfältig gesetzten Ordner auf diesem Weg verloren haben. Wer seine Grenze in einer JSON-Datei gezogen hat, sollte also wissen, dass der Client sie neu ziehen kann.
Funktionsvergleich
| MCP Filesystem Server | Kobel | |
|---|---|---|
| Was es ist | Referenz-MCP-Server für Dateizugriff, MIT-Lizenz | Desktop-App, die als lokales MCP-Gateway die Rechte durchsetzt |
| Grenze | Liste erlaubter Ordner | Fünf Stufen je Ordner |
| Nur-Lesen im Server | Nein | Ja (Gelb) |
| Schreiben mit Backup | Nein | Ja (Türkis) |
| Original lesen, Kopien schreiben | Nein | Ja (Orange) |
| Ordner unsichtbar machen | Nur, indem man ihn weglässt | Ja (Rot), ausdrücklich gesperrt |
| Aktivitätsprotokoll | Nein | Ja, mit Zeitstempel, CSV/JSON-Export |
| Einrichtung | JSON-Datei bearbeiten, npx-Aufruf eintragen; unter Windows über cmd /c | Ordner hineinziehen, Farbe wählen |
| Ordnerliste änderbar ohne Neustart | Über Client-Roots, sonst Konfiguration und Neustart | Ja, in der Oberfläche |
| Werkzeuge | 13, davon write_file, edit_file, move_file, create_directory schreibend | Datei-, Programm- und Konto-Werkzeuge unter derselben Rechteregel |
| Auch Programme und Konten | Nein, nur Dateien | Ja, über App-Proxy und Connectoren |
| Quelloffen | Ja, MIT | Nein |
| Kosten | Kostenlos | Kostenlose Version; 49 € einmalig oder 3,90 €/Monat |
| Plattformen | Überall, wo Node oder Docker läuft | Windows und macOS |
Was die beiden CVEs über die Bauart sagen
Im Sommer 2025 wurden zwei Schwachstellen im Filesystem-Server veröffentlicht, beide inzwischen behoben:
- CVE-2025-53109 (CVSS 8.4) – über symbolische Verknüpfungen innerhalb eines erlaubten Ordners war Zugriff auf Dateien außerhalb möglich.
- CVE-2025-53110 (CVSS 7.3) – ein Ordnername, der mit dem Namen eines erlaubten Ordners begann, wurde fälschlich als erlaubt behandelt.
Beide sind gepatcht, und dass sie gemeldet, dokumentiert und behoben wurden, spricht für das Projekt. Interessant ist das gemeinsame Muster: In beiden Fällen war ein Pfadvergleich die einzige Sicherheitsgrenze. Wenn diese eine Zeile sich irrt, gibt es keine zweite Grenze und keinen Eintrag, an dem man es später sehen könnte. Genau das ist der Grund, warum eine Berechtigungsschicht mit abgestuften Rechten und einem Protokoll ein anderes Sicherheitsprofil hat als eine Pfadliste – nicht, weil sie fehlerfrei wäre, sondern weil ein Fehler nicht sofort alles bedeutet.
Er ist quelloffen, kostenlos und läuft überall, wo Node oder Docker läuft – auch unter Linux, wo es Kobel nicht gibt.
Er ist die Referenzumsetzung, an der sich alles andere misst, sein Code ist prüfbar, und er hat mit edit_file
eine Vorschaufunktion (dryRun), die zeigt, was eine Änderung bewirken würde, bevor sie geschieht. Wer im
Terminal zu Hause ist, mit einem einzigen Projektordner arbeitet und kein Protokoll braucht, braucht nichts weiter.
Wann was passt
MCP Filesystem Server, wenn …
- Ein einziger Projektordner reicht
- Sie ohnehin JSON-Konfigurationen bearbeiten
- Sie Linux nutzen
- Quelloffenheit Voraussetzung ist
- Niemand später nachweisen muss, was passiert ist
Kobel, wenn …
- Verschiedene Ordner verschiedene Rechte brauchen
- Vor Änderungen automatisch gesichert werden soll
- Ein Protokoll gebraucht wird, an das die KI nicht herankommt
- Die Person, die die Regeln setzt, keine Konfigurationsdatei öffnet
- Auch Programme und Konten unter dieselben Regeln sollen
Die fünf Stufen von Kobel
Jeder Ordner, jedes Programm und jedes Konto bekommt genau eine dieser fünf Stufen. Eingestellt wird sie, indem man einen Ordner hineinzieht und eine Farbe wählt – keine Konfigurationsdatei.
- GrünLesen und schreiben. Die KI darf Dateien öffnen und Änderungen direkt speichern.
- TürkisSchreiben mit automatischem Backup. Vor jeder Änderung wird eine Sicherungskopie angelegt – eine schlechte Änderung ist immer rückgängig zu machen.
- OrangeOriginal lesen, nur in Kopien schreiben. Die KI kann mit den Daten arbeiten, die Quelldatei aber nicht verändern.
- GelbNur lesen. Ansehen, nicht anfassen.
- RotGesperrt. Die Ressource ist für die KI unsichtbar.
Weiterlesen
Quellen
- GitHub – MCP Filesystem Server, README (erlaubte Ordner, Roots „completely replace“, Werkzeugliste,
readOnlyHint, Windowscmd /c) - npm – @modelcontextprotocol/server-filesystem
- GitHub – Issue 3602: Client-Roots ersetzen die per Kommandozeile gesetzten Ordner
- GHSA-q66q-fx2p-7w4m / CVE-2025-53109 – Umgehung über symbolische Verknüpfungen
- GHSA-hc55-p739-j48w / CVE-2025-53110 – Präfix-Kollision bei erlaubten Ordnern
- Cymulate – „EscapeRoute“, Aufarbeitung durch die Entdecker
- Model Context Protocol – Projektseite
Mit einem Ordner ausprobieren
Kobel installieren, einen einzigen Ordner hineinziehen, auf „Nur lesen“ stellen, KI verbinden. Zwei Minuten. Kostenlose Basis-Version, kein Konto nötig.
Kobel herunterladenFunktionen ansehenHäufige Fragen
Kann der MCP Filesystem Server einen Ordner nur zum Lesen freigeben?
Nicht im Server selbst. Der Server nimmt eine Liste erlaubter Ordner entgegen – über Kommandozeilenargumente oder über das Roots-Protokoll des Clients – und alle Werkzeuge gelten dann für diese Ordner gleichermaßen, lesende wie schreibende. Ein Nur-Lesen-Modus ist in der README nicht beschrieben, und die aktuelle npm-Fassung enthält überhaupt keine Kommandozeilen-Optionen außer der Ordnerliste. Nur-Lesen erreicht man nur außerhalb des Servers, indem man ihn im Container mit einem Bind-Mount und der Option ro startet.
Was bedeutet readOnlyHint?
Das ist eine Kennzeichnung an den Werkzeugen, damit ein Client lesende von schreibenden Werkzeugen unterscheiden kann. Es ist ein Hinweis an die Oberfläche, keine Sperre im Server. Wer sich darauf verlässt, verlässt sich darauf, dass der Client den Hinweis auch beachtet.
Führt der MCP Filesystem Server ein Protokoll?
Nein. In der veröffentlichten Fassung gibt es keine Protokolldatei und kein strukturiertes Logging; Meldungen gehen auf die Standardfehlerausgabe. Wer im Nachhinein wissen will, welche Datei wann geändert wurde, findet das dort nicht.
Ist der offizielle Server unsicher?
Er ist die Referenzumsetzung und quelloffen unter MIT, und die beiden bekannten Schwachstellen sind längst behoben: CVE-2025-53109 (Umgehung erlaubter Ordner über symbolische Verknüpfungen, CVSS 8.4) und CVE-2025-53110 (Präfix-Kollision bei Ordnernamen, CVSS 7.3). Die Lehre daraus ist keine Warnung vor dem Projekt, sondern eine Aussage über die Bauart: Ein Pfadvergleich ist die gesamte Sicherheitsgrenze. Wenn er sich irrt, gibt es keine zweite.
Ersetzt Kobel den MCP Filesystem Server?
Für den Zugriff auf lokale Ordner ja – Kobel bringt eigene Dateiwerkzeuge mit und setzt die Rechte selbst durch, ein zusätzlicher Filesystem-Server ist dann nicht nötig. Für alles andere nein: Kobel ist kein Ersatz für das MCP-Ökosystem, und wer einen bestimmten anderen MCP-Server braucht, betreibt ihn weiter.
Wozu brauche ich mehr als erlaubte Ordner?
Weil in der Praxis nicht jeder erlaubte Ordner dieselbe Behandlung verdient. Der Ordner mit den Angeboten soll bearbeitet werden dürfen, die Buchhaltung nur gelesen, das Archiv gar nicht angefasst. Mit einer einzigen Liste erlaubter Ordner müssen Sie sich für eine dieser Antworten entscheiden und auf alle drei anwenden.