Gemini Enterprise MCP: Private Server per VPC anbinden

Viele Firmen würden interne Werkzeuge gern mit einem KI-Agenten verbinden, etwa ein Ticketsystem oder eine selbst gebaute Auftragsverwaltung. Die Frage war meist: Muss das Tool dafür ins offene Internet? Für Gemini Enterprise lautet die Antwort jetzt „nein“. Stand: Oktober 2026.

Was passiert ist

Google hat am 27. Oktober 2026 in den Release Notes von Gemini Enterprise die VPC-Anbindung und den Ausgang über feste IP-Adressen für eigene MCP-Server als allgemein verfügbar (GA) gemeldet. Der ausgehende Verkehr zu deinen Tools läuft dabei über ein Agent Gateway. Unterstützt werden laut Meldung die Regionen us-central1 und europe-west1.

Die Einrichtungsanleitung nennt drei Szenarien:

• Privates Netz: Der MCP-Server läuft in deinem VPC-Netz ohne öffentliche IP-Adresse.
• Hybrid und Multicloud: Der Server steht im eigenen Rechenzentrum oder in einer anderen Cloud und ist über hybride Netzwerkverbindungen angebunden.
• Feste IP für öffentliche Server: Ein öffentlich erreichbarer MCP-Server akzeptiert nur Anfragen von freigegebenen IP-Adressen. Gemini Enterprise schickt den Verkehr dann über Cloud NAT mit reservierten statischen IPv4-Adressen.

Zur Einordnung: MCP (Model Context Protocol) ist der offene Standard, über den KI-Agenten Werkzeuge aufrufen. Wie Agenten damit arbeiten, habe ich im Artikel zu Claude Code MCP Tasks mit langen Jobs und Rückfragen beschrieben. In Gemini Enterprise heißen MCP-Tools übrigens „Aktionen“, und ein MCP-Server wird als Datenspeicher bzw. Connector angelegt.

Schon am 16. Oktober 2026 hatte Google laut Release Notes Quellenangaben für eigene MCP-Datenspeicher freigegeben: Antworten, die Tools deines Servers nutzen, können damit Zitat-Chips anzeigen.

Welche EU-Region gilt für Gemini Enterprise MCP?

Gateway, Netzwerkanhang und Connectivity-Template sind regionale Ressourcen und müssen zum Standort deiner App passen. Laut Anleitung gilt:

Standort der App	Region für Gateway und Netzwerk
global oder us	us-central1
eu	europe-west1

Wer seine Gemini-Enterprise-App in der EU-Multi-Region betreibt, richtet die Anbindung also in europe-west1 ein. Was das für deine Datenschutzbewertung heißt, musst du im Einzelfall mit deinem Vertrag und deiner Datenschutzberatung klären; die Regionsangabe allein beantwortet das nicht.

Wie läuft die Anbindung über Private Service Connect?

Die Anleitung beschreibt sieben Schritte, die meisten per gcloud und YAML-Dateien:

1. Netzwerkanhang anlegen: einen Private-Service-Connect-Anhang in einem Subnetz der richtigen Region, mindestens /28 groß, mit aktiviertem Private Google Access.
2. Optional Cloud NAT einrichten: feste externe IPv4-Adresse reservieren und ein NAT-Gateway für das Subnetz des Anhangs anlegen.
3. Agent-Connectivity-Template erstellen: verweist auf den Netzwerkanhang, optional mit DNS-Peering für interne Domains und eigener TLS-Vertrauenskette.
4. Agent Gateway erstellen: mit dem Protokoll MCP und Verweis auf das Template.
5. Autorisierungsrichtlinie anlegen: entweder über IAP mit IAM-Richtlinien für Agenten oder als einfache Richtlinie, die allen Ausgangsverkehr erlaubt.
6. Firewall-Regeln anpassen: Bei einem privaten Server muss das Subnetz des Anhangs den Port des MCP-Servers erreichen dürfen.
7. Prüfen: Die Verbindung des Anhangs muss den Status ACCEPTED zeigen.

Zwei Details sind für die Planung wichtig. Erstens blockiert das Gateway ausgehenden Verkehr mit HTTP 403, bis eine Autorisierungsrichtlinie aktiv ist. Im IAP-Weg gibt es einen DRY_RUN-Modus, der allen Verkehr durchlässt und die Entscheidungen nur protokolliert. Zweitens sind Netzwerkanhang und Connectivity-Template nach dem Anlegen unveränderlich. Willst du etwas ändern, legst du ein neues Template an und hängst das Gateway um.

Was das Agent Gateway abdeckt und was nicht

Das Gateway steuert laut Google ausschließlich den ausgehenden Verkehr, wenn ein Agent während einer Anfrage ein Tool aufruft. Nicht darüber laufen die Modell-Inferenz, die RAG-Suche, die eingebauten Assistenten-Tools und Import-Jobs. Eingehender Verkehr in Gemini Enterprise wird nicht unterstützt.

Welche Voraussetzungen hat dein MCP-Server?

Aus der Anleitung für eigene MCP-Server:

• Transport: nur StreamableHTTP, SSE wird nicht unterstützt.
• Adresse: HTTPS. Das Zertifikat sollte von einer öffentlich vertrauenswürdigen Stelle stammen. Mit dem Agent Gateway sind auch eigene oder selbst signierte Zertifikate über eine TrustConfig möglich.
• Anmeldung: OAuth 2.0 oder keine Authentifizierung.
• Aktionen: standardmäßig alle aus, höchstens 100 gleichzeitig aktiviert. Tools mit readOnlyHint laufen ohne Rückfrage an die Nutzerin oder den Nutzer, Tools mit destructiveHint behalten die Bestätigung.
• Gateway: Eine App ist an genau ein Agent Gateway gebunden, mehrere Apps können sich eines teilen.

Die Dokumentation gilt laut Google für die Editionen Standard, Plus, Pay-as-you-go und Frontline. Für die Business-Edition verweist Google auf ein separates Hilfe-Center. Ob die VPC-Anbindung dort genauso verfügbar ist, geht aus diesen Seiten nicht hervor. Preise für das Gateway oder Cloud NAT nennt die Anleitung ebenfalls nicht.

Was es für dich bedeutet

Du nutzt Gemini Enterprise und hast eigene Tools in Google Cloud: Dann ist das der saubere Weg, diese Tools an Gemini-Agenten anzuschließen, ohne einen öffentlichen Endpunkt zu bauen und abzusichern.

Dein Tool steht bei einem Anbieter mit IP-Allowlist: Mit Cloud NAT und fester IP kannst du dem Anbieter eine einzige Adresse zur Freigabe nennen, statt ganze Google-Adressbereiche öffnen zu müssen.

Du hast niemanden, der VPC, Subnetze und IAM-Rollen versteht: Dann ist das hier kein Projekt zum Selbermachen. Allein die Liste der benötigten APIs und Rollen in der Anleitung ist lang. Hol dir Hilfe oder starte erst mit den fertigen Connectors. Einen Überblick, was Gemini ohne eigene Infrastruktur kann, findest du unter Gemini für Kleinunternehmen.

Drei praktische Tipps, wenn du loslegst:

• Klein anfangen: Schalte zuerst nur lesende Aktionen frei. Setze readOnlyHint aber nur bei Tools, die wirklich nichts verändern, denn damit fällt die Rückfrage weg.
• Erst beobachten, dann sperren: Nutze im IAP-Weg den DRY_RUN-Modus, um zu sehen, welche Aufrufe durchgehen, bevor du die Richtlinie scharf schaltest.
• Netzwerk vorher planen: Weil Anhang und Template unveränderlich sind, lohnt sich eine kurze Skizze von Subnetz, Region und DNS, bevor du den ersten Befehl absetzt.

Und eine Grundsatzfrage bleibt: Ein Agent, der interne Tools aufrufen darf, handelt in deinem Namen. Was ein Agent ist und wo seine Grenzen liegen, erkläre ich im Ratgeber Was ist ein KI-Agent?. Wer welche Aktionen freischaltet, gehört deshalb in deine interne Regelung und nicht nur in die Cloud-Konsole.

Quellen

• Gemini Enterprise Release Notes (Google Cloud), Eintrag vom 27. Oktober 2026
• Prerequisites for a custom MCP server data store with VPC connectivity (Google Cloud)
• Set up a custom MCP server data store (Google Cloud)

Häufige Fragen

Kann ich mit Gemini Enterprise einen MCP-Server ohne öffentliche IP nutzen?

Ja. Seit dem 27. Oktober 2026 ist das allgemein verfügbar: Der MCP-Server läuft in deinem VPC-Netz, Gemini Enterprise erreicht ihn über ein Agent Gateway und einen Private-Service-Connect-Netzwerkanhang. Eine öffentliche IP braucht der Server dafür nicht.

Gibt es die VPC-Anbindung für MCP-Server auch in der EU?

Ja. Für Apps in der Multi-Region eu nutzt du die Region europe-west1, für global oder us die Region us-central1. Gateway, Netzwerkanhang und Connectivity-Template müssen in derselben Region liegen wie die App.

Welche Anforderungen muss mein MCP-Server für Gemini Enterprise erfüllen?

Der Server muss den Transport StreamableHTTP unterstützen und über HTTPS erreichbar sein. Als Authentifizierung sind OAuth 2.0 oder keine Authentifizierung vorgesehen. Pro Datenspeicher sollten höchstens 100 Aktionen gleichzeitig aktiviert sein.

Was ist der Unterschied zwischen Private Service Connect und Cloud NAT bei Gemini Enterprise?

Private Service Connect bringt den Verkehr in dein privates Netz, etwa zu einem internen MCP-Server ohne öffentliche Adresse. Cloud NAT mit reservierter fester IP nutzt du, wenn ein öffentlicher MCP-Server nur Anfragen von freigegebenen IP-Adressen annimmt.