Was ist Filesystem (reference server)?
Filesystem ist einer der sieben Referenzserver, die die MCP-Lenkungsgruppe weiterhin im Haupt-Repository modelcontextprotocol/servers pflegt; anders als GitHub, Postgres oder Slack wurde er nicht ins Archiv verschoben. Er gibt einem KI-Assistenten 13 Tools, um Dateien zu lesen und zu schreiben, sie mit Diff-Ausgabe zu bearbeiten, Verzeichnisse anzulegen und aufzulisten, Dateien zu verschieben, nach Mustern zu suchen und Dateimetadaten zu lesen. Version 2.0.0, veröffentlicht am 19. Oktober 2026, unterstützt sowohl das Protokoll 2026-07-28 als auch Clients aus der 2025er-Epoche und braucht Node.js 24 oder neuer.
Der Zugriff ist auf freigegebene Verzeichnisse beschränkt, die auf der Kommandozeile übergeben werden (npx -y @modelcontextprotocol/server-filesystem /path/to/dir). Ältere Clients, die MCP Roots unterstützen, können sie zur Laufzeit noch ersetzen, doch Roots ist in der Spezifikation 2026-07-28 als veraltet markiert. Das npm-Paket wurde in der Woche bis zum 18. Oktober 2026 etwa 440.000 Mal heruntergeladen.
Filesystem (reference server) installieren
npx -y @modelcontextprotocol/server-filesystem /path/to/allowed/dirLohnt sich Filesystem (reference server)?
Der Referenzserver Filesystem lebt und wird im Haupt-Repository modelcontextprotocol/servers gepflegt, und am 19. Oktober 2026 bekam er ein umfangreiches Update. Version 2.0.0 spricht sowohl das neue Protokoll 2026-07-28 als auch den älteren Handshake von 2025 und hebt die Mindestversion von Node.js auf 24 an, was Konfigurationen auf älteren Rechnern brechen wird. Rund 440.000 npm-Downloads pro Woche zeigen, wie viele Setups noch auf ihn bauen.
Dreizehn Tools decken ab, was einer Chat-App fehlt: read_text_file mit head und tail, read_media_file, read_multiple_files, write_file, edit_file mit einem Diff im Git-Stil und einer dryRun-Vorschau, Verzeichnislisten und -bäume, search_files, move_file, get_file_info und list_allowed_directories. Jeder Aufruf wird gegen die freigegebenen Verzeichnisse geprüft, und jedes Tool trägt Hinweise auf schreibgeschützt, idempotent und destruktiv, damit ein Client vor dem Schreiben nachfragen kann. Ein Lösch-Tool gibt es nicht, eine vernünftige Auslassung.
Das Zugriffsmodell hat sich mit dem neuen Protokoll geändert. MCP Roots, mit dem ein Client die freigegebenen Ordner zur Laufzeit austauschen konnte, ist in der Spezifikation 2026-07-28 als veraltet markiert, sodass bei einem modernen Client die Verzeichnisse von der Kommandozeile die gesamte Allow-List bilden. Die Linie 2.0 hat zudem den Umgang mit Roots verschärft: Ein Update ohne gültige Roots entzieht jetzt den Zugriff, statt auf einen Rückfallwert auszuweichen. Die Vorgeschichte spricht dafür, aktuell zu bleiben. Im Juli 2025 zeigten zwei Sicherheitshinweise mit hohem Schweregrad, CVE-2025-53109 und CVE-2025-53110, dass Symlinks und ähnlich aussehende Pfadpräfixe aus der Sandbox ausbrechen konnten; behoben wurden sie in 0.6.3 und 2025.7.1.
Das MCP-Projekt sagt klar, dass diese Server Lehrbeispiele sind und keine Produktionsprodukte. write_file überschreibt an Ort und Stelle und ist nicht absturzsicher atomar, und wer den Server auf ein Home-Verzeichnis richtet, gibt dem Modell jede Dotfile und jeden Schlüssel darin. Das im README dokumentierte Docker-Image mit schreibgeschützten Bind-Mounts ist das sicherere Muster. Claude Code, Cursor und Codex bringen eigene, bessere Datei-Tools mit, daher ist das eigentliche Zuhause des Servers Claude Desktop und eigene Agenten, die auf einem SDK aufbauen.
Wo es sich lohnt
Eine Operations-Managerin, die Claude Desktop auf einem Firmenlaptop nutzt
Den Assistenten einen Ordner mit Besprechungsnotizen und Berichten lesen und aufräumen lassen
Die npx-Konfiguration mit einem freigegebenen Verzeichnis hinzufügen, etwa ~/Documents/ops. Das Modell kann zusammenfassen, mit move_file umbenennen und Dateien neu schreiben; ein Lösch-Tool gibt es nicht, aber write_file überschreibt, also lege den Ordner an einen synchronisierten oder gesicherten Ort.
Ein Entwickler, der auf einem MCP-SDK einen Agenten zur Dokumentverarbeitung baut
Dem Agenten Dateizugriff in einer Sandbox geben, ohne eigene Datei-Tools zu schreiben
Das Docker-Image mcp/filesystem mit dem Workspace als Bind-Mount unter /projects und schreibgeschützt eingebundenen Referenzdaten ausführen. Dreizehn annotierte Tools ersparen es, eigene zu schreiben und abzusichern; es kostet nichts, aber das Projekt bietet keinen Produktionssupport.
Ein Security Engineer, der MCP-Server für 50 Desktops freigibt
Entscheiden, ob der Filesystem-Server sicher zugelassen werden kann
2.0.0 oder neuer vorschreiben (Versionen vor 0.6.3 und 2025.7.1 haben die CVEs zum Ausbruch aus der Sandbox), nur Projektordner freigeben und nie das Home-Verzeichnis, und schreibgeschützte Docker-Mounts bevorzugen, wo Nutzer nur lesen müssen.
Bevor du dich festlegst
- Einrichtung
- npx -y @modelcontextprotocol/server-filesystem /path/to/dir in der Konfiguration von Claude Desktop, Ein-Klick-Installationsbuttons für VS Code oder das Docker-Image mcp/filesystem. Für npx ist Node.js 24 oder neuer nötig; die Tools stehen bereit, sobald der Client neu startet.
- Integrationen
- 13 Tools: neun schreibgeschützte (read_text_file, read_media_file, read_multiple_files, list_directory, list_directory_with_sizes, directory_tree, search_files, get_file_info, list_allowed_directories) und vier schreibende (create_directory, write_file, edit_file, move_file). Nur lokal; jedes Tool setzt openWorldHint auf false.
- Daten und Datenschutz
- Liest und schreibt alles in den freigegebenen Verzeichnissen mit deinen Nutzerrechten; nichts verlässt den Rechner außer dem, was der Client an sein Modell sendet. Docker-ro-Mounts machen einen Ordner schreibgeschützt. Zwei Sicherheitshinweise mit hohem Schweregrad zum Ausbruch aus der Sandbox, CVE-2025-53109 und CVE-2025-53110, wurden im Juli 2025 behoben.
- Kosten im großen Maßstab
- Kostenlos und MIT-lizenziert. Die laufenden Kosten sind Kontext: 13 Tool-Definitionen bei jeder Anfrage, dazu Ergebnisse von directory_tree und read_multiple_files, die in großen Ordnern schnell ein Kontextfenster füllen können.
- Grenzen
- Schreibvorgänge sind nicht absturzsicher atomar, move_file scheitert, wenn das Ziel existiert, und es gibt kein Lösch-Tool. Bei Clients für 2026-07-28 können Roots die Allow-List nicht ändern, und ein ohne Verzeichnisse gestarteter Server beantwortet jeden Aufruf mit einem Fehler.
Was gut ist
- Prüfung der freigegebenen Verzeichnisse bei jedem Aufruf
- Tool-Hinweise trennen schreibgeschützte von destruktiven Operationen
- edit_file zeigt einen Diff und unterstützt Probeläufe
- Vom MCP-Projekt gepflegt; 2.0.0 am 19. Oktober 2026 veröffentlicht
Was nicht
- Vom MCP-Projekt als Referenz beschrieben, nicht als produktionsreif
- Überschreibvorgänge sind nicht absturzsicher atomar
- 2.0.0 braucht Node.js 24 oder neuer
- Überflüssig in Coding-Agenten mit eingebauten Datei-Tools
Am besten für
Nutzer von Claude Desktop oder eigenen Agenten, die kontrollierten Zugriff auf ein oder zwei lokale Ordner brauchen.
Alternativen zu Filesystem (reference server)
Filesystem (reference server): häufige Fragen
- Lohnt sich Filesystem (reference server)?
- Nach wie vor der sauberste Weg, einer Chat-App genau einen Ordner zu geben und sonst nichts, sofern du daran denkst, dass das MCP-Projekt selbst ihn ein Lehrbeispiel nennt. Wir bewerten es mit 4.1 von 5.
- Was kostet Filesystem (reference server)?
- Kostenlos und Open Source.
- Welche Nachteile hat Filesystem (reference server)?
- Vom MCP-Projekt als Referenz beschrieben, nicht als produktionsreif; Überschreibvorgänge sind nicht absturzsicher atomar; 2.0.0 braucht Node.js 24 oder neuer; Überflüssig in Coding-Agenten mit eingebauten Datei-Tools.
- Für wen eignet sich Filesystem (reference server)?
- Nutzer von Claude Desktop oder eigenen Agenten, die kontrollierten Zugriff auf ein oder zwei lokale Ordner brauchen.
- Was kostet Filesystem (reference server) für ein Team oder im Produktivbetrieb?
- Kostenlos und MIT-lizenziert. Die laufenden Kosten sind Kontext: 13 Tool-Definitionen bei jeder Anfrage, dazu Ergebnisse von directory_tree und read_multiple_files, die in großen Ordnern schnell ein Kontextfenster füllen können.
- Ist Filesystem (reference server) sicher für Firmendaten?
- Liest und schreibt alles in den freigegebenen Verzeichnissen mit deinen Nutzerrechten; nichts verlässt den Rechner außer dem, was der Client an sein Modell sendet. Docker-ro-Mounts machen einen Ordner schreibgeschützt. Zwei Sicherheitshinweise mit hohem Schweregrad zum Ausbruch aus der Sandbox, CVE-2025-53109 und CVE-2025-53110, wurden im Juli 2025 behoben.
- Was sind die besten Alternativen zu Filesystem (reference server)?
- Die nächsten Alternativen, die wir getestet haben, sind Git (reference server) und Memory (reference server).
Antworten geprüft am 22. Okt. 2026.