Was ist GitHub MCP Server?
Der GitHub MCP Server ist GitHubs offizieller Server, um KI-Agenten mit GitHub zu verbinden. Er hat den GitHub-Referenzserver abgelöst, den das MCP-Projekt archiviert hat. Agenten können Code durchsuchen, Pull Requests öffnen und prüfen, Issues verwalten, Läufe und Logs von Actions lesen und Warnungen aus Code Scanning, Dependabot und Secret Scanning abfragen.
Der gehostete Endpunkt unter https://api.githubcopilot.com/mcp/ meldet dich per OAuth an. Derselbe Go-Code läuft lokal als Docker-Image (ghcr.io/github/github-mcp-server) oder als Binary, mit OAuth oder einem Personal Access Token. Version 2.0.3 erschien am 21. Oktober 2026; 2.0.0 brachte typisierte Ausgaben für Clients, die Tool-Aufrufe im Code Mode unterstützen.
Die Tools sind in 22 Toolsets gruppiert. Standardmäßig werden nur context, repos, issues, pull_requests und users geladen, und der Remote-Server ergänzt den Copilot Coding Agent, Copilot Spaces und eine Suche in der Support-Dokumentation von GitHub.
GitHub MCP Server installieren
https://api.githubcopilot.com/mcp/Lohnt sich GitHub MCP Server?
Das ist der GitHub-Server, den du nutzen solltest, und die Gründe liegen ebenso in der Kontrolle wie im Umfang. Das README dokumentiert 93 Tools im lokalen Build, und sie alle zu laden würde den Kontext jedes Modells überfüllen, daher sind standardmäßig nur fünf Toolsets eingeschaltet. Du kannst mit --toolsets oder GITHUB_TOOLSETS Toolsets hinzufügen, mit --tools einzelne Tools benennen oder --read-only setzen, was sogar Vorrang vor Tools hat, die du namentlich angefordert hast.
Der gehostete Endpunkt passt für die meisten. Laut GitHubs Dokumentation steht er allen Nutzern unabhängig vom Tarif zur Verfügung, doch Organisationen mit Copilot Business oder Enterprise müssen die Richtlinie "MCP servers in Copilot" aktivieren, bevor Copilot-Editoren ihn erreichen. Hosts von Drittanbietern wie Claude und Cursor werden dagegen über Richtlinien für OAuth-Apps, GitHub Apps und PATs sowie SSO gesteuert. Enterprise Cloud mit Datenresidenz (ghe.com) kann einen gehosteten Endpunkt auf der eigenen Subdomain nutzen; Enterprise Server kann das nicht und muss den Server lokal betreiben.
Bei der Sicherheit ist die Dokumentation am nützlichsten. Issues, Kommentare und Commit-Nachrichten in öffentlichen Repositories sind nicht vertrauenswürdiger Text, und der Lockdown-Modus filtert Inhalte von Autoren ohne Push-Rechte. GitHub sagt klar, dass es sich um einen Filter nach bestem Bemühen handelt und nicht um eine Autorisierungsgrenze: Die Zugangsdaten können weiterhin alles, wofür sie freigegeben sind. In diesem Jahr wurden zwei Sicherheitshinweise veröffentlicht, ein Fehler mit mittlerem Schweregrad, bei dem das Lockdown-Singleton des HTTP-Servers GraphQL-Clients zwischen Nutzern vertauschte (Juni), und ein Absturz mit hohem Schweregrad im Completion-Handler (Juli). Der erste wurde in 1.1.2 gepatcht; der zweite Hinweis, zuletzt am 20. Juli aktualisiert, nennt noch immer keine gepatchte Version und gibt an, dass er main betrifft, und keine Release Note seither erwähnt eine Korrektur.
Die Rate-Limits kommen von der REST-API, nicht vom Server. Ein persönliches Token bekommt 5.000 Anfragen pro Stunde, und an das sekundäre Limit von 80 inhaltserzeugenden Anfragen pro Minute stößt ein vielbeschäftigter Triage-Agent eher. Der lokale Git-Server ist für die Arbeit an einem ausgecheckten Repo schlanker, sieht aber nichts, was nur auf GitHub liegt.
Wo es sich lohnt
Eine Maintainerin einer öffentlichen Open-Source-Bibliothek mit 300 offenen Issues
Jeden Morgen neue Issues labeln und zusammenfassen, ohne auf Spam oder eingeschleuste Anweisungen hereinzufallen
Sie betreibt den Server mit --toolsets issues,labels und --lockdown-mode, sodass Text von Konten ohne Push-Rechte zurückgehalten wird. Ein Fine-grained Token, das nur Schreibrechte für Issues hat, hält einen fehlgeleiteten Agenten vom Code fern; die Aufgabe bleibt deutlich unter 5.000 API-Anfragen pro Stunde.
Ein Backend-Engineer in einem zehnköpfigen Team, das Claude Code nutzt
Herausfinden, warum der Actions-Lauf der letzten Nacht fehlschlug, und einen Pull Request mit der Korrektur öffnen
Er ergänzt die Standardauswahl um das Toolset actions, damit der Agent die Logs des fehlgeschlagenen Jobs lesen, Dateien über die repos-Tools bearbeiten und einen Pull Request öffnen kann. Die Kosten sind der bestehende GitHub-Tarif des Teams; das Risiko ist ein Token mit Push-Rechten, deshalb bleibt Branch Protection wichtig.
Eine Engineering-Managerin in einem Unternehmen mit 60 Entwicklern auf Copilot Business
Entwicklern den GitHub-Server in VS Code erlauben, ohne ihn für jedes Drittanbieter-Tool zu öffnen
Ein Org-Admin aktiviert die Richtlinie "MCP servers in Copilot" für Copilot-Editoren und schränkt separat den Zugriff von OAuth-Apps für Hosts von Drittanbietern ein. Für den Server selbst ist keine zusätzliche Lizenz nötig; die zugrunde liegenden API-Aufrufe erscheinen im Audit-Log.
Bevor du dich festlegst
- Einrichtung
- https://api.githubcopilot.com/mcp/ in VS Code 1.101+, Claude Desktop, Cursor oder Windsurf hinzufügen und dich beim ersten Aufruf per OAuth anmelden; oder das Docker-Image ausführen, das einen Login-Callback auf 127.0.0.1:8085 bereitstellt.
- Integrationen
- 93 lokale Tools in 22 Toolsets, darunter issue_read, pull_request_read, create_pull_request, search_code und Tools für Actions-Logs; der Remote-Server ergänzt create_pull_request_with_copilot und Copilot Spaces.
- Daten und Datenschutz
- Der Server kann alles lesen und schreiben, was die OAuth-Berechtigung oder das Token erlaubt, und die gehostete Version läuft auf der Infrastruktur von GitHub. Text aus Issues und PRs ist nicht vertrauenswürdige Eingabe; GitHub hat 2026 zwei Sicherheitshinweise für den Server veröffentlicht, einen mit mittlerem und einen mit hohem Schweregrad.
- Kosten im großen Maßstab
- Kostenlos. Agenten verbrauchen dein REST-Kontingent: 5.000 Anfragen pro Stunde und Nutzer-Token, 15.000 für Apps im Besitz einer Enterprise-Cloud-Organisation, mit sekundären Obergrenzen von 80 inhaltserzeugenden Anfragen pro Minute und 500 pro Stunde.
- Grenzen
- Kein gehosteter Endpunkt für Enterprise Server; typisierte Ausgaben erreichen nur Clients ab der MCP-Spezifikation 2026-07-28; --toolsets all lädt alle 93 Tool-Definitionen in den Kontext.
Was gut ist
- Von GitHub veröffentlicht, mit Releases alle paar Wochen
- Gehosteter Endpunkt mit OAuth oder selbst betrieben per Docker oder Binary
- Toolsets, Auswahl einzelner Tools und ein Nur-Lese-Flag
- Lockdown-Modus gegen das Risiko von Prompt Injection in öffentlichen Repos
Was nicht
- 93 Tools, wenn du alles aktivierst, was den Kontext überfüllt
- Keine gehostete Option für GitHub Enterprise Server
- Lockdown ist ein Inhaltsfilter, keine Rechtebeschränkung
- Copilot-spezifische Tools brauchen eine kostenpflichtige Copilot-Lizenz
Am besten für
Entwickler und Plattformteams, die Agenten mit eng gefassten Zugangsdaten an GitHub-Issues, Pull Requests und CI arbeiten lassen wollen.
Alternativen zu GitHub MCP Server
GitHub MCP Server: häufige Fragen
- Lohnt sich GitHub MCP Server?
- GitHub-Zugriff für Agenten sollte von GitHub selbst kommen, und dieser Server verdient sich das mit Toolsets, einem Nur-Lese-Modus und einer offenen Darstellung dessen, was der Lockdown nicht leisten kann. Wir bewerten es mit 4.7 von 5.
- Was kostet GitHub MCP Server?
- Kostenlos und MIT-lizenziert, gehostet oder selbst betrieben, in jedem GitHub-Tarif. Tools für kostenpflichtige Funktionen (Copilot Coding Agent, einige Sicherheitswarnungen) brauchen die entsprechenden Lizenzen.
- Welche Nachteile hat GitHub MCP Server?
- 93 Tools, wenn du alles aktivierst, was den Kontext überfüllt; Keine gehostete Option für GitHub Enterprise Server; Lockdown ist ein Inhaltsfilter, keine Rechtebeschränkung; Copilot-spezifische Tools brauchen eine kostenpflichtige Copilot-Lizenz.
- Für wen eignet sich GitHub MCP Server?
- Entwickler und Plattformteams, die Agenten mit eng gefassten Zugangsdaten an GitHub-Issues, Pull Requests und CI arbeiten lassen wollen.
- Was kostet GitHub MCP Server für ein Team oder im Produktivbetrieb?
- Kostenlos. Agenten verbrauchen dein REST-Kontingent: 5.000 Anfragen pro Stunde und Nutzer-Token, 15.000 für Apps im Besitz einer Enterprise-Cloud-Organisation, mit sekundären Obergrenzen von 80 inhaltserzeugenden Anfragen pro Minute und 500 pro Stunde.
- Ist GitHub MCP Server sicher für Firmendaten?
- Der Server kann alles lesen und schreiben, was die OAuth-Berechtigung oder das Token erlaubt, und die gehostete Version läuft auf der Infrastruktur von GitHub. Text aus Issues und PRs ist nicht vertrauenswürdige Eingabe; GitHub hat 2026 zwei Sicherheitshinweise für den Server veröffentlicht, einen mit mittlerem und einen mit hohem Schweregrad.
- Was sind die besten Alternativen zu GitHub MCP Server?
- Die nächsten Alternativen, die wir getestet haben, sind Git (reference server) und Sentry MCP.
Antworten geprüft am 26. Okt. 2026.