Was ist Postgres MCP Server (Microsoft)?
Microsofts postgres-mcp ist ein allgemeiner PostgreSQL-MCP-Server, nicht an Azure gebunden. Er funktioniert mit lokalem, Docker- und On-Premises-Postgres sowie mit Azure Database for PostgreSQL, Amazon RDS und Aurora, Google Cloud SQL und AlloyDB und anderen protokollkompatiblen Servern. Er wird als eigenständiges Binary im npm-Paket @microsoft/postgres-mcp ausgeliefert und läuft mit npx -y @microsoft/postgres-mcp run über stdio. Er braucht Node.js 22 oder neuer.
Er ist als Vorschau gekennzeichnet. Das Repository wurde im Juli 2026 angelegt, hat etwa 72 GitHub-Sterne und steht unter MIT-Lizenz. Version 0.3.0 erschien am 22. Oktober 2026 auf npm, und v0.2.0 benannte alle Tools von pgsql_* in postgres_mcp_* um. Trotzdem kam er in der Woche bis zum 29. Oktober 2026 auf 27.344 npm-Downloads. Verbindungen werden als benannte Profile gespeichert, die Passwörter im Schlüsselbund des Betriebssystems. Azure-Hosts melden sich automatisch über Microsoft Entra ID an, wenn kein Passwort hinterlegt ist.
Postgres MCP Server (Microsoft) installieren
npx -y @microsoft/postgres-mcp runLohnt sich Postgres MCP Server (Microsoft)?
Das Beste an diesem Server ist seine Sicherheitsdokumentation, die ungewöhnlich offen ist. Der Nutzungsleitfaden nennt den Server „ein Gateway, keine Policy-Engine“: Er kann eine beabsichtigte Abfrage nicht von einer unterscheiden, die ein per Prompt Injection manipuliertes Modell erfunden hat, also kann der Agent alles, was die Datenbankrolle darf. Der Leitfaden legt dann dar, wer wofür verantwortlich ist, und bietet eine Härtungs-Checkliste mit zehn Punkten zu Rollen mit minimalen Rechten, Nur-Lese-Profilen, pgaudit und Statement-Timeouts. Die meisten Datenbank-MCP-Server sagen dazu nichts.
Das Design stützt das, wo es kann. postgres_mcp_query akzeptiert nur einzelne lesende Statements, und Schreibvorgänge laufen über ein separates Tool postgres_mcp_modify, das ein Profil mit access_mode ro sperrt. Passwörter landen nie in der Client-Konfiguration oder in den Tool-Argumenten des Agenten; sie werden per CLI im Schlüsselbund des Betriebssystems gesetzt. Geheimnisse werden aus Fehlermeldungen entfernt, und Entra-ID-Verbindungen prüfen immer die TLS-Zertifikate. Der Haken: Neue Profile erlauben Schreibzugriffe, wenn du nichts anderes festlegst.
Seine 13 Tools sind weniger, als Postgres MCP Pro von crystaldba für das Tuning bietet, und es gibt kein Gegenstück zu einem Index-Advisor. postgres_mcp_get_metrics_group sammelt Performance-Metriken, postgres_mcp_db_context liefert CREATE-Skripte für das Schema, und ein CSV-Loader auf COPY-Basis liest nur aus freigegebenen Pfaden. Diese Freigabe umfasst standardmäßig das Startverzeichnis des Servers, was manche überraschen kann.
Das Vorschau-Label ist ernst gemeint. Tool-Namen und Umgebungsvariablen änderten sich in v0.2.0 weniger als zwei Monate nach dem Start, und das Changelog zu v0.3.0 sagt nur „Bug fixes“. Telemetrie ist standardmäßig an: pseudonymisierte Tool-Namen, Laufzeiten und Ergebnisse, aber kein Abfragetext, bis du --no-telemetry übergibst. Der Server spricht nur stdio, ein gemeinsamer Remote-Betrieb braucht also etwas davor.
Wo es sich lohnt
Eine Backend-Entwicklerin, die einen langsamen Dienst auf Postgres 16 debuggt
Den Agenten fragen, was den Server gerade ausbremst
postgres_mcp_get_server_capabilities prüft, was verfügbar ist, postgres_mcp_get_metrics_group holt die Metrikgruppen, und postgres_mcp_query liest die pg_stat-Views. Kostenlos; richte vorher ein Nur-Lese-Profil und eine passende Rolle ein, damit der Agent nicht ungefragt etwas repariert.
Ein Platform-Team auf Azure Database for PostgreSQL mit reiner Entra-Authentifizierung
Entwicklern Agentenzugriff geben, ohne Datenbankpasswörter zu verteilen
Profile auf *.postgres.database.azure.com melden sich mit az login oder einem Service Principal an, und mit --login-as-user agiert das Token als Rolle einer Entra-Gruppe. Die Datenbankrechnung bleibt gleich; der Agenten-Traffic erscheint zur Prüfung unter dieser Rolle.
Ein Datenanalyst bei einem Händler mit 30 Mitarbeitenden
Eine Lieferanten-CSV in eine Staging-Tabelle laden und mit den Bestellungen des Vormonats vergleichen
allow-access-to-path gibt den Import-Ordner frei, postgres_mcp_bulk_load_csv lädt sie per COPY, und lesende Abfragen erledigen den Vergleich. Lass Schreibvorgänge hinter der Freigabe im Client; der Leitfaden rät davon ab, Massenladevorgänge automatisch zu genehmigen.
Bevor du dich festlegst
- Einrichtung
- npx -y @microsoft/postgres-mcp connection add <name> "<uri>" und connection set-password <name> ausführen, dann npx -y @microsoft/postgres-mcp run im Client eintragen. Snippets gibt es für Copilot CLI, Claude Code, Cursor, Claude Desktop, VS Code, Codex und Open Code. Node.js 22+; Minuten bis zur ersten Abfrage.
- Integrationen
- 13 Tools: Verwaltung von Verbindungsprofilen, Datenbanken auflisten, db_context für CREATE-Skripte, lesende Abfrage, modify für DDL und DML, CSV beschreiben und massenhaft laden sowie zwei Diagnose-Tools. Vier davon ändern Zustand.
- Daten und Datenschutz
- Läuft unter der Datenbankrolle des Profils. Profile liegen in ~/.postgres-mcp/connections.yaml, Passwörter im Schlüsselbund des Betriebssystems. Pseudonymisierte Telemetrie zu Tool-Namen und Ergebnissen ist aktiv, wenn du nicht --no-telemetry übergibst. Abfrageergebnisse und Kommentare sind nicht vertrauenswürdige Eingaben, die Prompt Injection enthalten können.
- Kosten im großen Maßstab
- Kostenlos; die Kosten sind deine Postgres-Instanz. Jedes Abfrageergebnis landet im Kontext des Modells, breite SELECTs sind also der größte Token-Kostenfaktor. Das Standard-Timeout für Abfragen beträgt 9 Minuten.
- Grenzen
- Vorschaustatus, nur stdio und laut Leitfaden MCP-Protokollversion 2024-11-05. Es gibt keinen Index-Advisor und kein Tool zum Tuning von Abfrageplänen wie in Postgres MCP Pro. Die CSV-Allowlist umfasst das Startverzeichnis, solange POSTGRES_MCP_DISABLE_CWD_ACCESS nicht gesetzt ist.
Was gut ist
- Passwörter im Schlüsselbund des Betriebssystems, nie in der Client-Konfiguration
- Lesendes Abfrage-Tool getrennt von DDL und DML
- Anmeldung über Entra ID, auch per Gruppe, für Azure Postgres
- Klar veröffentlichtes Sicherheitsmodell und Härtungs-Checkliste
Was nicht
- Vorschau; Tool-Namen änderten sich in v0.2.0
- Neue Profile erlauben Schreibzugriffe, wenn sie nicht auf nur lesen gesetzt sind
- Telemetrie standardmäßig an
- Nur stdio; kein gehosteter oder HTTP-Modus
Am besten für
Teams, die Coding-Agenten an Postgres anbinden, besonders auf Azure, und Zugangsdaten aus Konfigurationsdateien heraushalten und einen klaren Nur-Lese-Pfad wollen.
Alternativen zu Postgres MCP Server (Microsoft)
Postgres MCP Server (Microsoft): häufige Fragen
- Lohnt sich Postgres MCP Server (Microsoft)?
- Microsofts Postgres-Server macht bei Zugangsdaten alles richtig und sagt ehrlich, dass er nur Infrastruktur ist, was ihn zur sichereren Standardwahl macht, solange er in der Vorschau ist. Wir bewerten es mit 4.0 von 5.
- Was kostet Postgres MCP Server (Microsoft)?
- Kostenlos und Open Source (MIT). Du zahlst nur für dein PostgreSQL-Hosting.
- Welche Nachteile hat Postgres MCP Server (Microsoft)?
- Vorschau; Tool-Namen änderten sich in v0.2.0; Neue Profile erlauben Schreibzugriffe, wenn sie nicht auf nur lesen gesetzt sind; Telemetrie standardmäßig an; Nur stdio; kein gehosteter oder HTTP-Modus.
- Für wen eignet sich Postgres MCP Server (Microsoft)?
- Teams, die Coding-Agenten an Postgres anbinden, besonders auf Azure, und Zugangsdaten aus Konfigurationsdateien heraushalten und einen klaren Nur-Lese-Pfad wollen.
- Was kostet Postgres MCP Server (Microsoft) für ein Team oder im Produktivbetrieb?
- Kostenlos; die Kosten sind deine Postgres-Instanz. Jedes Abfrageergebnis landet im Kontext des Modells, breite SELECTs sind also der größte Token-Kostenfaktor. Das Standard-Timeout für Abfragen beträgt 9 Minuten.
- Ist Postgres MCP Server (Microsoft) sicher für Firmendaten?
- Läuft unter der Datenbankrolle des Profils. Profile liegen in ~/.postgres-mcp/connections.yaml, Passwörter im Schlüsselbund des Betriebssystems. Pseudonymisierte Telemetrie zu Tool-Namen und Ergebnissen ist aktiv, wenn du nicht --no-telemetry übergibst. Abfrageergebnisse und Kommentare sind nicht vertrauenswürdige Eingaben, die Prompt Injection enthalten können.
- Was sind die besten Alternativen zu Postgres MCP Server (Microsoft)?
- Die nächsten Alternativen, die wir getestet haben, sind DBHub, Supabase MCP Server, Neon MCP Server und MCP Toolbox for Databases.
Antworten geprüft am 31. Okt. 2026.