Was ist MCP Toolbox for Databases?
MCP Toolbox for Databases von Google funktioniert auf zwei Arten. Als fertiger Server gibt er Agenten vorgefertigte Tools wie list_tables und execute_sql für eine gewählte Datenbank. Als Framework definierst du in einer Datei tools.yaml eigene parametrisierte Tools, sodass ein Produktions-Agent nur die Abfragen ausführen kann, die du geschrieben hast. Erstmals veröffentlicht wurde er als Gen AI Toolbox for Databases, und das Repository genai-toolbox heißt inzwischen mcp-toolbox.
Ein vorgefertigtes Setup startest du mit npx -y @toolbox-sdk/server --prebuilt=postgres --stdio und Verbindungsdaten in Umgebungsvariablen, oder du lädst das Binary oder den Container herunter. Das Repository bringt rund 40 vorgefertigte Konfigurationen mit, für AlloyDB, BigQuery, Cloud SQL, Spanner, Firestore und Bigtable auf Google Cloud sowie PostgreSQL, MySQL, SQL Server, Oracle, ClickHouse, Snowflake, Neo4j, Elasticsearch, SQLite und weitere. Client-SDKs gibt es für Python, JavaScript, Go und Java.
Das Projekt steht unter Apache-2.0 und hat rund 16.700 GitHub-Sterne; v1.14.0 erschien am 8. Oktober 2026, nach wöchentlichen oder zweiwöchentlichen Releases im September.
MCP Toolbox for Databases installieren
npx -y @toolbox-sdk/server --prebuilt=postgres --stdioLohnt sich MCP Toolbox for Databases?
Der Framework-Modus ist der Grund, Toolbox einem Server für eine einzelne Datenbank vorzuziehen. Statt einem Produktions-Agenten execute_sql zu geben, schreibst du benannte, parametrisierte Statements in YAML, etwa eine Hotelsuche, die nur einen Namen nimmt, und der Agent kann nichts anderes aufrufen. Toolbox ergänzt Connection Pooling, IAM-Authentifizierung für Google Cloud-Datenbanken und OpenTelemetry-Tracing, also genau die Teile, die Teams sonst schlecht selbst bauen.
Der vorgefertigte Modus ist breit, aber schwer. Allein die Postgres-Konfiguration definiert 29 Tools, von execute_sql und list_tables bis zu Diagnosen für Locks, Bloat und Replikation, und das ist viel Schema, das in jede Sitzung geladen wird. Toolsets grenzen das ein, zum Beispiel --prebuilt=postgres/data nur für SQL, und das sollte für Coding-Agenten der Standard sein. Das vorgefertigte execute_sql ist so offen wie der Datenbanknutzer dahinter, eine Rolle mit reinem Lesezugriff ist also der eigentliche Schutz.
Der HTTP-Server muss gehärtet werden, bevor er in die Nähe eines Netzwerks kommt. Er bindet an 127.0.0.1:5000, was vernünftig ist, aber --allowed-hosts und --allowed-origins stehen beide standardmäßig auf *, und die CLI-Doku warnt, dass * selbst auf localhost unsicher ist, weil eine bösartige Webseite den Server über DNS Rebinding erreichen kann. Der Verkehr ist einfaches HTTP, sofern du kein Zertifikat und keinen Schlüssel übergibst. Der stdio-Modus, den die meisten Desktop-Clients nutzen, umgeht das Problem.
Google verkauft inzwischen die andere Hälfte des Arguments. Seine verwalteten MCP-Server für Google Cloud-Datenbanken bieten das vorgefertigte Erlebnis, ohne dass du etwas betreiben musst, und die Toolbox-FAQ positioniert das Open-Source-Projekt als selbst gehostete, schneller entwickelte Option für eigene Tools und Datenbanken außerhalb von Google. Teams, die nur auf BigQuery oder AlloyDB setzen, reichen die verwalteten Server womöglich; wer Snowflake, Postgres und Neo4j mischt, kommt damit nicht aus.
Wo es sich lohnt
Backend Engineer, der aus Claude Code heraus eine langsame Postgres-Datenbank debuggt
Blockierende Locks, aufgeblähte Tabellen und schlechte Query-Pläne finden, ohne Katalogabfragen zu schreiben
Die vorgefertigte Postgres-Konfiguration über stdio mit einer Rolle mit reinem Lesezugriff betreiben; Tools wie list_locks, list_top_bloated_tables und get_query_plan antworten direkt. Es ist kostenlos; der Preis sind 29 Tool-Schemas im Kontext, sofern du kein schmaleres Toolset lädst.
Team, das einen Kundensupport-Agenten auf einer Bestelldatenbank baut
Den Agenten den Bestellstatus nachschlagen lassen, ohne ihm offenes SQL zu geben
Drei oder vier parametrisierte Tools in tools.yaml definieren und nur dieses Toolset über HTTP hinter TLS anbieten, mit den erlaubten Hosts auf den Servicenamen gesetzt. Pooling und Tracing kommen mit.
Datenverantwortliche, deren Warehouse BigQuery mit etwas Snowflake und Postgres ist
Zwischen Googles verwalteten MCP-Servern und dem Betrieb von Toolbox wählen
Verwaltete Server brauchen kein Hosting, decken aber nur Google Cloud-Datenbanken ab. Toolbox deckt alle drei aus einem Deployment ab, braucht aber einen Host, TLS und jemanden, der tools.yaml im Blick behält. Abfragekosten rechnet jede Datenbank wie gewohnt ab.
Bevor du dich festlegst
- Einrichtung
- npx -y @toolbox-sdk/server --prebuilt=postgres --stdio mit gesetzten POSTGRES_HOST, POSTGRES_DATABASE, POSTGRES_USER und POSTGRES_PASSWORD; dokumentiert für Gemini CLI, Antigravity, Claude Code und Codex. Binaries und Container sind pro Version gepinnt, aktuell 1.14.0.
- Integrationen
- Vorgefertigte Toolsets pro Datenbank (Postgres hat 29 Tools, gruppiert als data, monitor, health, view-config und replication, die lesende Diagnosen mit dem schreibfähigen execute_sql mischen); eigene Tools, Toolsets und Prompts in tools.yaml; SDKs für ADK, LangChain und LlamaIndex.
- Daten und Datenschutz
- Läuft auf deinem eigenen Rechner oder Server, Daten gehen also nur an die Datenbank und den MCP-Client. Der Zugriff ist das, was der Datenbanknutzer oder die IAM-Identität erlaubt. Die CLI-Doku weist auf Risiken durch DNS Rebinding und CORS bei den Standardwerten * für Hosts und Origins hin, und HTTP-Verkehr ist ohne --tls-cert und --tls-key unverschlüsselt. Auf GitHub sind keine Security Advisories veröffentlicht.
- Kosten im großen Maßstab
- Keine Lizenzgebühr. Kosten sind die Datenbank selbst, Gebühren pro Abfrage bei Warehouses wie BigQuery und ein kleiner, ständig laufender Host, wenn du ihn für Produktions-Agenten über HTTP betreibst.
- Grenzen
- Große vorgefertigte Tool-Listen kosten Kontext, sofern nicht eingegrenzt; vorgefertigte Tools sind generisch, Produktionseinsatz heißt also YAML schreiben und pflegen; der Issue-Tracker hat rund 395 offene Issues und Pull Requests.
Was gut ist
- Eigene Tools in YAML beschränken Produktions-Agenten auf freigegebene Abfragen
- Rund 40 vorgefertigte Datenbankkonfigurationen aus einem Binary
- Connection Pooling, IAM-Authentifizierung und OpenTelemetry eingebaut
- Häufige Releases; SDKs für Python, JS, Go und Java
Was nicht
- Der HTTP-Modus erlaubt standardmäßig Hosts und Origins *, laut eigener Doku unsicher
- Vorgefertigtes Postgres lädt 29 Tools, sofern nicht auf ein Toolset eingegrenzt
- Vorgefertigtes execute_sql ist nur so sicher wie die Datenbankrolle
- Mehr Konfiguration als Server für eine einzelne Datenbank
Am besten für
Teams, die mit mehreren Datenbanken arbeiten oder kontrollierte Datenbank-Tools für Produktions-Agenten bauen wollen.
Alternativen zu MCP Toolbox for Databases
MCP Toolbox for Databases: häufige Fragen
- Lohnt sich MCP Toolbox for Databases?
- Der Datenbankserver, auf dem du Produktions-Agenten bauen solltest, weil er offenes SQL durch Abfragen ersetzt, die du selbst geschrieben hast, auch wenn seine Netzwerkvoreinstellungen mehr Sorgfalt voraussetzen, als die meisten aufbringen. Wir bewerten es mit 4.5 von 5.
- Was kostet MCP Toolbox for Databases?
- Kostenlos und unter Apache-2.0 lizenziert; du betreibst ihn selbst. Kosten für Datenbank, Abfragen und Hosting auf Google Cloud kommen separat hinzu.
- Welche Nachteile hat MCP Toolbox for Databases?
- Der HTTP-Modus erlaubt standardmäßig Hosts und Origins *, laut eigener Doku unsicher; Vorgefertigtes Postgres lädt 29 Tools, sofern nicht auf ein Toolset eingegrenzt; Vorgefertigtes execute_sql ist nur so sicher wie die Datenbankrolle; Mehr Konfiguration als Server für eine einzelne Datenbank.
- Für wen eignet sich MCP Toolbox for Databases?
- Teams, die mit mehreren Datenbanken arbeiten oder kontrollierte Datenbank-Tools für Produktions-Agenten bauen wollen.
- Was kostet MCP Toolbox for Databases für ein Team oder im Produktivbetrieb?
- Keine Lizenzgebühr. Kosten sind die Datenbank selbst, Gebühren pro Abfrage bei Warehouses wie BigQuery und ein kleiner, ständig laufender Host, wenn du ihn für Produktions-Agenten über HTTP betreibst.
- Ist MCP Toolbox for Databases sicher für Firmendaten?
- Läuft auf deinem eigenen Rechner oder Server, Daten gehen also nur an die Datenbank und den MCP-Client. Der Zugriff ist das, was der Datenbanknutzer oder die IAM-Identität erlaubt. Die CLI-Doku weist auf Risiken durch DNS Rebinding und CORS bei den Standardwerten * für Hosts und Origins hin, und HTTP-Verkehr ist ohne --tls-cert und --tls-key unverschlüsselt. Auf GitHub sind keine Security Advisories veröffentlicht.
- Was sind die besten Alternativen zu MCP Toolbox for Databases?
- Die nächsten Alternativen, die wir getestet haben, sind Supabase MCP Server, ClickHouse MCP Server und Snowflake-managed MCP Server.
Antworten geprüft am 22. Okt. 2026.