Was ist Docker MCP Gateway?
Docker MCP Gateway ist der Open-Source-Code hinter dem CLI-Plugin docker mcp und dem MCP Toolkit in Docker Desktop. Es ist kein MCP-Server, mit dem du deine Container verwaltest. Es ist ein Proxy zwischen einem MCP-Client wie Claude Desktop, Claude Code, Cursor oder VS Code und vielen MCP-Servern: Es startet jeden Server in einem eigenen Docker-Container, sobald eines seiner Tools aufgerufen wird, reicht die Secrets oder OAuth-Tokens dieses Servers hinein und stellt alle über einen einzigen Endpunkt per stdio, SSE oder Streamable HTTP bereit. Die Server kommen aus Dockers MCP Catalog (laut Dockers Doku 300+ Server), aus beliebigen OCI-Images, der offiziellen MCP-Registry oder einer lokalen YAML-Datei und werden in Profilen gebündelt, die sich in eine Registry pushen und teilen lassen.
Damit ist es etwas anderes als mcp-server-docker (hier als docker besprochen), ein Community-Server, der einem Agenten Tools zum Anlegen, Starten und Entfernen von Containern über deinen Docker-Daemon gibt. Das Gateway nutzt den Daemon, um Tool-Server isoliert auszuführen; dem Modell gibt es selbst keine allgemeinen Tools zur Container-Verwaltung.
Das Repository steht unter MIT-Lizenz, ist in Go geschrieben und hat rund 1.630 GitHub-Sterne und 293 Forks. Releases kommen häufig: v0.44.3 erschien am 26. Oktober 2026, nach v0.44.2 am 21. Oktober. Es ist in Docker Desktop enthalten, und Dockers Doku beschreibt auch eine manuelle Installation auf Docker Engine ohne Desktop.
Docker MCP Gateway installieren
docker mcp gateway run (bundled with Docker Desktop; on Docker Engine, install the docker-mcp binary from GitHub releases into ~/.docker/cli-plugins)Lohnt sich Docker MCP Gateway?
Sein Hauptnutzen ist Eindämmung. Jeder Server läuft standardmäßig in einem eigenen Container mit 1 CPU und 2 GB Arbeitsspeicher, mit no-new-privileges, ohne deine Host-Umgebungsvariablen und ohne Zugriff auf das Host-Dateisystem, solange du keinen Mount freigibst; der ist standardmäßig schreibgeschützt und muss unter einem freigegebenen Pfad liegen. Secrets gelten nur für den Server, der sie deklariert, und --block-secrets, standardmäßig aktiv, durchsucht Tool-Argumente und Antworten nach Werten, die wie Secrets aussehen. Docker baut und signiert die lokalen Server in seinem Katalog und veröffentlicht für jeden eine SBOM; die Signaturprüfung ist für Images im Namespace mcp/ standardmäßig an. Auch das Aufruf-Logging ist standardmäßig an und hält den Tool-Namen und die Form seiner Argumente fest, nicht ihre Werte.
Diese Voreinstellungen gab es nicht immer. Das Repository hat 10 Sicherheitshinweise veröffentlicht. Allein im Juli 2026 legte es zwei kritische offen, unauthentifizierten Zugriff auf weitergeleitete Tools im Container-Modus und einen ungeprüften Bind-Mount über die dynamischen Tools, dazu einen Befund hoher Schwere, wonach die Signaturprüfung standardmäßig aus war; alle wurden in 0.43.1 behoben. Eine DNS-Rebinding-Lücke in den HTTP-Transports wurde im Dezember 2025 in v0.28.0 geschlossen, die zwei jüngsten, beide mittel, in 0.44.1. Die Bilanz zeigt ein Projekt, das geprüft wird und schnell reagiert, und sie heißt auch, dass eine festgeschriebene alte Version ein echtes Risiko ist.
Einige Angriffsfläche bleibt bewusst bestehen. Ausgehender Netzwerkverkehr ist offen, solange ein Server keine Grenzen deklariert oder du nicht mit --block-network startest, und das Sicherheitsdokument erklärt Prompt Injection und vergiftete Tool-Beschreibungen für nicht abgedeckt, solange sie keine Grenze des Gateways durchbrechen. Dynamic MCP, mit dem Toolkit standardmäßig an, gibt dem Agenten mcp-find und mcp-add, um mitten in einer Sitzung Server aus dem Katalog nachzuladen; das spart Einrichtung, lässt das Modell aber seine eigene Tool-Liste erweitern, und docker mcp feature disable dynamic-tools schaltet es ab. Den Code-Modus, der JavaScript schreibt, das Tools verkettet, bezeichnet Docker als noch nicht zuverlässig.
Das Gateway läuft ohne Docker Desktop, aber als Weg zweiter Klasse. Auf Docker Engine lädst du die Binärdatei selbst nach ~/.docker/cli-plugins, setzt DOCKER_MCP_IN_CONTAINER=1, wenn es meldet, Desktop laufe nicht, aktivierst Profile von Hand, hältst Secrets in einer .env-Datei statt in Desktops Speicher und setzt DOCKER_MCP_USE_CE=true samt Credential Helper, bevor OAuth funktioniert. Jeder Server muss ein Container-Image sein; ein Wunsch, einfache npx- oder uvx-Server auszuführen, ist seit September 2025 offen, einer von 122 offenen Issues. Unter Desktop brauchen Firmen mit 250 oder mehr Beschäftigten oder 10 Millionen $ Umsatz oder mehr einen bezahlten Platz, ab 9 $ im Monat.
Im Vergleich liegt es zwischen Eigenbau und gehosteter Lösung. Stacklok ToolHive bietet ein ähnliches Modell mit einem Container pro Server und legt mehr Gewicht auf Team-Richtlinien; Composio und Pipedream hosten Tools und OAuth für dich, was heißt, dass ihre Server deine Daten sehen. Dockers Gateway hält alles auf deinem Rechner, und wer Docker ohnehin nutzt, nimmt damit den Großteil des Risikos heraus, Server von Fremden zu installieren.
Wo es sich lohnt
Ein Entwickler, der Claude Code und Cursor auf demselben Laptop nutzt
Server für GitHub, Notion und Postgres nicht mehr doppelt einrichten und API-Schlüssel nicht mehr in Klartext-JSON halten
Mit docker mcp profile create ein Profil anlegen, die drei Katalog-Server hinzufügen, ihre Schlüssel mit docker mcp secret speichern und für jeden Client docker mcp client connect ausführen. Beide Editoren rufen dann dasselbe Gateway auf, und die Schlüssel stehen in keiner Client-Konfiguration.
Eine Sicherheitsverantwortliche in einer Softwarefirma mit 40 Personen
Mitarbeitende MCP-Server nutzen lassen, ohne dass sie beliebige npm-Pakete auf ihren Rechnern installieren
Mit docker mcp catalog create einen eigenen Katalog freigegebener Server veröffentlichen und in die Firmen-Registry pushen; die Mitarbeitenden ziehen ihn, und Tool-Allow-Lists in jedem Profil begrenzen, was Agenten aufrufen können. Desktop-Plätze sind in dieser Größe nur kostenlos, wenn der Umsatz unter 10 Millionen $ liegt.
Ein Plattform-Ingenieur, der einen internen Agenten-Dienst auf einer Linux-VM aufbaut
Agenten eine feste Auswahl an MCP-Tools über HTTP bereitstellen, ohne Docker Desktop
Das Image docker/mcp-gateway unter Docker Compose mit gemountetem Docker-Socket starten, mit --servers für die erlaubten Server, --transport streaming und einem Token in MCP_GATEWAY_AUTH_TOKEN. Keine Desktop-Lizenz nötig; Secrets kommen aus einer .env-Datei, und --block-network schränkt ausgehenden Verkehr ein.
Bevor du dich festlegst
- Einrichtung
- Unter Docker Desktop (das README verlangt 4.59 oder neuer) MCP Toolkit aktivieren, Server aus dem Katalog hinzufügen und einen Client verbinden; die Client-Konfiguration ist nur docker mcp gateway run. Auf Docker Engine docker-mcp aus den GitHub-Releases nach ~/.docker/cli-plugins laden oder das Image docker/mcp-gateway mit gemountetem /var/run/docker.sock starten. Die Doku behandelt Claude Desktop, Claude Code, Cursor und VS Code.
- Integrationen
- Die eigenen Tools des Gateways dienen der Verwaltung: mcp-find, mcp-add, mcp-config-set, mcp-remove, mcp-exec und das experimentelle code-mode. Alles andere kommt von den aktivierten Servern, aus den 300+ in Dockers Katalog, beliebigen OCI-Images oder der MCP-Registry; --tools und Allow-Lists pro Profil wählen einzelne Tools aus. Interceptors können eigene Skripte vor oder nach Aufrufen ausführen.
- Daten und Datenschutz
- Läuft lokal. Das Gateway erreicht, was die aktivierten Server und ihre Secrets erreichen, und braucht selbst den Docker-Socket, der bei einer Standardinstallation unter Linux Root-Rechten gleichkommt. Unter Desktop gehen Gateway-Metriken an Dockers Nutzungsanalyse und lassen sich in den Desktop-Einstellungen abschalten; ohne Desktop wird laut Telemetrie-Doku nichts exportiert. Tool-Ausgaben entfernter Dienste erreichen das Modell bis auf die Secret-Prüfung ungefiltert.
- Kosten im großen Maßstab
- Freie Software. Desktop-Lizenzen greifen ab 250 Beschäftigten oder 10 Millionen $ Umsatz: Pro 9 $, Team 15 $, Business 24 $ pro Nutzer und Monat bei jährlicher Abrechnung. Jeder laufende Server belegt standardmäßig bis zu 1 CPU und 2 GB, zehn mit --long-lived wach gehaltene Server können also einen großen Teil eines Laptops beanspruchen.
- Grenzen
- 122 offene Issues und 52 offene Pull Requests. Offene Wünsche betreffen npx- und uvx-Server ohne Container, Secrets aus Umgebungsvariablen, das Abschalten des Standardkatalogs und OAuth im Engine-Modus. Über dynamische Tools hinzugefügte Server gelten nur für die Sitzung. Der Code-Modus ist experimentell.
Was gut ist
- Jeder Server isoliert in einem Container mit CPU-, Speicher- und Mount-Grenzen
- Secret-Sperre, Signaturprüfung und Bearer-Tokens für HTTP standardmäßig an
- Ein Endpunkt und ein Profil für Claude, Cursor und VS Code
- Aktive Releases und ein veröffentlichtes Sicherheitsmodell mit schnellen Fixes
Was nicht
- Bisher 10 Sicherheitshinweise, zwei kritische im Juli 2026
- Betrieb auf Docker Engine braucht manuelle Installation und Umwege
- Ausgehender Netzwerkverkehr standardmäßig offen
- Jeder Server muss ein Container-Image sein; kein einfaches npx oder uvx
Am besten für
Entwickler und kleine Teams, die Docker schon nutzen und viele MCP-Server hinter einem isolierten, protokollierten Endpunkt auf ihren eigenen Rechnern betreiben wollen.
Alternativen zu Docker MCP Gateway
Docker MCP Gateway: häufige Fragen
- Lohnt sich Docker MCP Gateway?
- Eine solide Standardwahl, um ein Dutzend lokaler MCP-Server zu betreiben, ohne jedem davon deinen Laptop anzuvertrauen, solange du auf einem aktuellen Release bleibst und akzeptierst, dass es um Docker Desktop herum gebaut ist. Wir bewerten es mit 4.0 von 5.
- Was kostet Docker MCP Gateway?
- Das Gateway ist kostenlos und Open Source (MIT). Docker Desktop, das es als MCP Toolkit mitliefert, ist kostenlos für private Nutzung, Bildung, nicht kommerzielle Open-Source-Projekte und Unternehmen unter 250 Beschäftigten und 10 Millionen $ Umsatz; sonst Pro 9 $, Team 15 $ oder Business 24 $ pro Nutzer und Monat bei jährlicher Abrechnung. Wer es nur auf Docker Engine betreibt, fällt nicht unter die Desktop-Bedingungen.
- Welche Nachteile hat Docker MCP Gateway?
- Bisher 10 Sicherheitshinweise, zwei kritische im Juli 2026; Betrieb auf Docker Engine braucht manuelle Installation und Umwege; Ausgehender Netzwerkverkehr standardmäßig offen; Jeder Server muss ein Container-Image sein; kein einfaches npx oder uvx.
- Für wen eignet sich Docker MCP Gateway?
- Entwickler und kleine Teams, die Docker schon nutzen und viele MCP-Server hinter einem isolierten, protokollierten Endpunkt auf ihren eigenen Rechnern betreiben wollen.
- Was kostet Docker MCP Gateway für ein Team oder im Produktivbetrieb?
- Freie Software. Desktop-Lizenzen greifen ab 250 Beschäftigten oder 10 Millionen $ Umsatz: Pro 9 $, Team 15 $, Business 24 $ pro Nutzer und Monat bei jährlicher Abrechnung. Jeder laufende Server belegt standardmäßig bis zu 1 CPU und 2 GB, zehn mit --long-lived wach gehaltene Server können also einen großen Teil eines Laptops beanspruchen.
- Ist Docker MCP Gateway sicher für Firmendaten?
- Läuft lokal. Das Gateway erreicht, was die aktivierten Server und ihre Secrets erreichen, und braucht selbst den Docker-Socket, der bei einer Standardinstallation unter Linux Root-Rechten gleichkommt. Unter Desktop gehen Gateway-Metriken an Dockers Nutzungsanalyse und lassen sich in den Desktop-Einstellungen abschalten; ohne Desktop wird laut Telemetrie-Doku nichts exportiert. Tool-Ausgaben entfernter Dienste erreichen das Modell bis auf die Secret-Prüfung ungefiltert.
- Was sind die besten Alternativen zu Docker MCP Gateway?
- Die nächsten Alternativen, die wir getestet haben, sind Composio, Pipedream MCP and Connect und mcp-server-docker.
Antworten geprüft am 11. Nov. 2026.
Du entwickelst Docker MCP Gateway? Zeig diese Bewertung auf deiner Website
