Was ist ClickHouse MCP Server?
Der ClickHouse MCP Server ist der Open-Source-Server von ClickHouse, mit dem du SQL gegen einen ClickHouse-Cluster ausführst. Er hat drei Haupt-Tools: run_query für SQL, list_databases und list_tables mit seitenweise ausgegebenen Schemadetails. run_query verarbeitet auch DESCRIBE und EXPLAIN ESTIMATE, sodass ein Agent die Ausgabe und die geschätzten Lesevorgänge einer Abfrage prüfen kann, bevor er sie ausführt. Seit Version 0.7.0 (21. September 2026) akzeptiert es benannte Abfrageparameter. Ein optionales chDB-Tool führt SQL mit der eingebetteten Engine von ClickHouse auf Dateien und URLs aus.
Die Installation erfolgt über PyPI (uvx mcp-clickhouse), die Verbindungsdaten wie CLICKHOUSE_HOST setzt du in der Umgebung. Standardmäßig läuft der Server über stdio, alternativ über HTTP oder SSE. Dort startet er nicht ohne Bearer-Token, einen OAuth- oder OIDC-Anbieter oder ein ausdrückliches Opt-out.
Kunden von ClickHouse Cloud haben eine zweite Option: einen verwalteten Remote-Server unter https://mcp.clickhouse.cloud/mcp mit 13 schreibgeschützten Tools, Anmeldung per OAuth oder API-Schlüssel, pro Service in der Cloud-Konsole aktivierbar. Das Open-Source-Repository hat rund 890 GitHub-Sterne und steht unter der Apache-2.0-Lizenz.
ClickHouse MCP Server installieren
uvx mcp-clickhouseLohnt sich ClickHouse MCP Server?
Für Analysearbeit ist ein kleiner Werkzeugsatz eine Stärke. Der Agent listet Datenbanken und Tabellen auf, prüft eine Abfrage mit EXPLAIN ESTIMATE, um zu sehen, wie viele Zeilen und Parts sie lesen würde, und führt sie dann aus. Der schreibgeschützte Modus ist Standard und wird in ClickHouse selbst über readonly=1 durchgesetzt, nicht durch Parsen von SQL. Schreibzugriffe erfordern CLICKHOUSE_ALLOW_WRITE_ACCESS, und DROP, TRUNCATE, DELETE und UPDATE brauchen zusätzlich ein zweites Flag, CLICKHOUSE_ALLOW_DROP.
Die Sicherheitsdokumentation ist ungewöhnlich gründlich. Der HTTP-Modus startet nicht ohne Authentifizierung. Das README warnt, dass eine .env-Datei irgendwo oberhalb des installierten Pakets die Auth-Einstellungen ändern kann, dass schreibgeschützte Nutzer weiterhin andere Abfragen abbrechen können, die unter demselben Nutzer laufen, und dass Parameterbindung kein Datenschutz-Feature ist, weil Werte trotzdem in Abfrageprotokollen auftauchen können. Es sagt klar, dass die Prüfung destruktiver Operationen nur vor Versehen schützt und dass die Grants von ClickHouse die eigentliche Grenze sind.
Die Lücke ist die Ergebnisgröße. Abfragen laufen standardmäßig nach 30 Sekunden in einen Timeout, doch laut einem offenen Issue lieferte ein SELECT über 3 Millionen Zeilen innerhalb dieses Fensters 231 MiB zurück. Das reicht, um den Kontext jedes Modells zu fluten. Bis eine vorgeschlagene Begrenzung umgesetzt ist, helfen die Gewohnheit, LIMIT zu setzen, eine max_result_rows-Einstellung für den Datenbanknutzer oder Middleware.
Die frühere Aussage, ClickHouse biete keine gehostete Option, stimmt nicht mehr. Der verwaltete Endpunkt von ClickHouse Cloud ergänzt schreibgeschützte Tools für Services, Backups, ClickPipes und eine Kostenabfrage für die Organisation über 31 Tage, ohne dass du etwas installieren musst. Der Open-Source-Server bleibt die Wahl für selbst verwaltete Cluster, chDB oder Teams, die Schreibzugriff unter eigener Kontrolle wollen.
Wo es sich lohnt
Eine Produktanalystin in einem E-Commerce-Unternehmen mit 50 Beschäftigten auf ClickHouse Cloud
Ad-hoc-Fragen zu Bestellungen und Funnels beantworten, ohne SQL zu schreiben
Claude mit einem eigenen ClickHouse-Nutzer an den schreibgeschützten Server anbinden und den Agenten vor jedem SELECT Tabellen auflisten und EXPLAIN ESTIMATE ausführen lassen. Der Server ist kostenlos; Abfragen werden über das Compute des Cloud-Service abgerechnet, ab etwa 0,39 $ pro Einheitsstunde bei AWS us-east-1 Enterprise.
Ein Data-Platform-Engineer, der ClickHouse selbst verwaltet auf Kubernetes betreibt
Mehreren internen Agenten gemeinsamen, authentifizierten Zugriff auf das Warehouse geben
mcp-clickhouse über HTTP mit einem OIDC-Anbieter via FastMCP betreiben, Schreibzugriffe aus lassen und Middleware ergänzen, die Einstellungen pro Mandant setzt. Die Mandantentrennung muss weiterhin über ClickHouse-Nutzer und -Rollen kommen.
Eine Data Scientist, die auf einem Laptop mit Parquet-Dateien arbeitet
Lokale und entfernte Dateien per SQL abfragen, ohne eine Datenbank zu laden
mcp-clickhouse[chdb] installieren und run_chdb_select_query aktivieren; die eingebettete Engine liest Dateien und URLs direkt. Kein Server und keine Cloud-Rechnung, aber chDB-Abfragen haben auf MCP-Seite keinen Schreibschutz über das hinaus, was die Engine zulässt.
Bevor du dich festlegst
- Einrichtung
- uvx mcp-clickhouse mit CLICKHOUSE_HOST, CLICKHOUSE_USER und CLICKHOUSE_PASSWORD in der Client-Konfiguration; dokumentiert für Claude Desktop und andere stdio-Clients. Nutzer von ClickHouse Cloud können stattdessen MCP für einen Service aktivieren und einen Client auf https://mcp.clickhouse.cloud/mcp verweisen.
- Integrationen
- Drei Tools (run_query, list_databases, list_tables) plus das optionale run_chdb_select_query. run_query ist schreibgeschützt, sofern Schreibzugriffe nicht aktiviert sind; FastMCP-Middleware kann Aufrufe für Logging oder Einstellungen pro Nutzer abfangen.
- Daten und Datenschutz
- Der Server kann alles lesen, wofür sein ClickHouse-Nutzer Rechte hat, also nimm einen eigenen Nutzer mit minimalen Rechten. Er läuft auf deinem Rechner; an das Unternehmen ClickHouse geht nichts, es sei denn, deine Datenbank liegt auf ClickHouse Cloud. Abfrageparameter können in den Abfrageprotokollen von ClickHouse auftauchen.
- Kosten im großen Maßstab
- Der Server ist kostenlos. Bei ClickHouse Cloud Enterprise kostet Compute je nach Region 0,33 $ bis 0,52 $ pro Einheitsstunde (8 GiB, 2 vCPU) und Speicher 22 $ bis 27,50 $ pro TB-Monat. Agenten, die ohne EXPLAIN ESTIMATE scannen, können ruhende Services aufwecken und Compute verbrennen.
- Grenzen
- Standard-Timeout für Abfragen 30 Sekunden und 10 Worker-Threads. Keine Obergrenze für zurückgegebene Zeilen (Issue #223), keine Admin-Tools und kein eingebauter Mehrbenutzermodus. Das Abrechnungs-Tool des gehosteten Cloud-Servers deckt höchstens 31 Tage pro Abfrage ab.
Was gut ist
- Standardmäßig schreibgeschützt, serverseitig mit readonly=1 durchgesetzt
- Separates Opt-in für DROP, TRUNCATE, DELETE und UPDATE
- Mit EXPLAIN ESTIMATE prüfen Agenten die Kosten vor der Ausführung
- Der HTTP-Modus verlangt ein Token oder OAuth/OIDC
Was nicht
- Keine Begrenzung der Ergebnisgröße; große SELECTs können den Kontext fluten
- Für den selbst betriebenen Server sind Python und uv nötig
- Keine Mehrbenutzer- oder Mandantentrennung über die ClickHouse-Grants hinaus
- Der gehostete Server der Cloud ist ein separates, schreibgeschütztes Produkt
Am besten für
Datenteams, die einen Agenten mit sicheren Standardeinstellungen Fragen aus ClickHouse beantworten lassen wollen.
Alternativen zu ClickHouse MCP Server
ClickHouse MCP Server: häufige Fragen
- Lohnt sich ClickHouse MCP Server?
- Drei Tools und ein schreibgeschützter Standard machen diesen Server zu einem sicheren ersten Datenbank-Server für einen Analytics-Agenten, sofern du die Ergebnisgröße selbst begrenzt. Wir bewerten es mit 4.2 von 5.
- Was kostet ClickHouse MCP Server?
- Kostenlos und unter Apache 2.0 lizenziert. ClickHouse Cloud wird separat abgerechnet (Enterprise-Compute ab etwa 0,33 $ pro 8-GiB-Einheitsstunde) und bietet eine 30-tägige Testphase mit 300 $ Guthaben.
- Welche Nachteile hat ClickHouse MCP Server?
- Keine Begrenzung der Ergebnisgröße; große SELECTs können den Kontext fluten; Für den selbst betriebenen Server sind Python und uv nötig; Keine Mehrbenutzer- oder Mandantentrennung über die ClickHouse-Grants hinaus; Der gehostete Server der Cloud ist ein separates, schreibgeschütztes Produkt.
- Für wen eignet sich ClickHouse MCP Server?
- Datenteams, die einen Agenten mit sicheren Standardeinstellungen Fragen aus ClickHouse beantworten lassen wollen.
- Was kostet ClickHouse MCP Server für ein Team oder im Produktivbetrieb?
- Der Server ist kostenlos. Bei ClickHouse Cloud Enterprise kostet Compute je nach Region 0,33 $ bis 0,52 $ pro Einheitsstunde (8 GiB, 2 vCPU) und Speicher 22 $ bis 27,50 $ pro TB-Monat. Agenten, die ohne EXPLAIN ESTIMATE scannen, können ruhende Services aufwecken und Compute verbrennen.
- Ist ClickHouse MCP Server sicher für Firmendaten?
- Der Server kann alles lesen, wofür sein ClickHouse-Nutzer Rechte hat, also nimm einen eigenen Nutzer mit minimalen Rechten. Er läuft auf deinem Rechner; an das Unternehmen ClickHouse geht nichts, es sei denn, deine Datenbank liegt auf ClickHouse Cloud. Abfrageparameter können in den Abfrageprotokollen von ClickHouse auftauchen.
- Was sind die besten Alternativen zu ClickHouse MCP Server?
- Die nächsten Alternativen, die wir getestet haben, sind Snowflake-managed MCP Server, MCP Toolbox for Databases und Grafana MCP Server.
Antworten geprüft am 23. Okt. 2026.