So funktioniert der Referenz-Filesystem-MCP-Server: seine 13 Tools, erlaubte Verzeichnisse, Roots, schreibgeschützte Docker-Mounts und ein Builder, der die Config-JSON für dich schreibt.
Der Filesystem MCP Server ist das Node.js-Referenzprogramm des Model Context Protocol-Projekts, mit dem ein KI-Assistent Dateien lesen, schreiben, durchsuchen und verschieben kann, aber nur in Ordnern, die du erlaubst. Du gibst diese Ordner beim Start an, oder deine App liefert sie über Roots. Alles außerhalb davon wird abgelehnt.
Der Filesystem MCP Server im Überblick
Punkt
Wert
npm-Paket
@modelcontextprotocol/server-filesystem
Docker-Image
mcp/filesystem
Wo er läuft
Auf deinem eigenen Computer, gestartet von deiner MCP-App
Zugriffsgrenze
Nur erlaubte Verzeichnisse, aus Argumenten oder Roots
Tools
13, davon 9 nur lesend
MCP (Model Context Protocol) ist ein offener Standard, mit dem eine Assistenten-App kleine Hilfsprogramme aufrufen kann, die Server heißen. Der Filesystem-Server ist der, den die meisten zuerst installieren, weil er aus "sieh dir meinen Ordner mit Produktbeschreibungen an" etwas macht, das der Assistent wirklich tun kann. Diese Seite erklärt, worauf er zugreifen kann, wie die Ordnergrenze funktioniert und wie du ihn schreibgeschützt hältst. Mit dem Builder unten erzeugst du eine Config, die du in die MCP-Einstellungen deiner App einfügen kannst.
Gib die Ordner ein, die der Assistent sehen soll, einen pro Zeile, mit vollständigen Pfaden.
Wähle npx (braucht Node.js) oder Docker. Docker kann Ordner schreibgeschützt einbinden.
Wähle das Config-Format, das deine App erwartet: Die meisten Apps nutzen mcpServers, VS Code nutzt servers.
Kopiere die JSON in die MCP-Config-Datei deiner App und starte die App neu, damit sie den Server startet.
Gib den kleinsten Ordner frei, der für die Aufgabe reicht, etwa einen einzelnen Content-Ordner, niemals dein ganzes Home-Verzeichnis.
Starte ihn über Docker mit schreibgeschützten Mounts, wenn der Assistent nur lesen muss.
Bitte den Assistenten, zuerst list_allowed_directories auszuführen, damit du genau siehst, was er bekommen hat.
Nutze die Dry-Run-Option von edit_file, bevor Änderungen an Dateien landen, die dir wichtig sind.
Halte ein Backup oder einen Versionsverlauf von allem, wohin der Assistent schreiben darf.
Häufige Fragen
Kann der Filesystem MCP Server Dateien außerhalb der angegebenen Ordner lesen?
Nein. Die README stellt klar, dass alle Dateisystem-Operationen auf erlaubte Verzeichnisse beschränkt sind. Wenn der Client Roots sendet, ersetzen diese die Ordner aus der Befehlszeile vollständig, die erlaubte Liste ist also das, was deine App zuletzt geliefert hat.
Was passiert, wenn ich ihn ganz ohne Ordner starte?
Wenn deine App Roots unterstützt, wartet der Server darauf, dass die App sie sendet. Unterstützt die App keine Roots und du hast keine Ordner angegeben, protokolliert der Server den Grund, schließt die Verbindung und beendet sich mit Status 1.
Wie mache ich ihn schreibgeschützt?
Die README beschreibt einen Weg: Starte das Docker-Image und ergänze ro an jedem Bind-Mount, wodurch der Ordner für den Server schreibgeschützt wird. Manche Apps lassen dich außerdem einzelne Tools freigeben oder sperren, was hilft, aber der Mount ist die festere Grenze.
Kann er Dateien löschen?
Seine Tool-Liste enthält kein Lösch-Tool. Inhalte zerstören kann er trotzdem: write_file überschreibt vorhandene Dateien und move_file entfernt die Quelle, deshalb sind beide in der Annotationstabelle der README als destruktiv markiert.
Braucht er Internetzugang?
Nicht für seine Arbeit. Jedes Tool setzt openWorldHint auf false, das heißt, es greift nur auf das lokale Dateisystem innerhalb erlaubter Ordner zu. npx lädt das Paket allerdings beim ersten Start herunter.
Erlaubte Verzeichnisse und Roots, einfach erklärt
Es gibt zwei Wege, dem Server zu sagen, welche Ordner er nutzen darf. Der erste: Du schreibst Ordnerpfade hinter den Paketnamen in der Config, was die Liste bis zum nächsten Neustart festlegt. Der zweite sind Roots, eine Funktion, bei der die Assistenten-App dem Server mitteilt, welche Ordner im Spiel sind, und diese Liste im laufenden Betrieb ändern kann.
Die README nennt Roots die empfohlene Methode. Das für die Sicherheit entscheidende Detail: Sobald die Roots deiner App gelten, entzieht ein Update ohne gültige Roots jeden Zugriff, statt auf die Ordner zurückzufallen, die du eingetippt hast.
Nützliche Aufgaben für Website- und Shopbetreiber
Richte ihn auf einen Ordner mit exportierten Produktdaten und lass dir eine Liste der Artikel ohne Beschreibung geben. Richte ihn auf deine Blog-Entwürfe und frag nach einer Übersicht, welche Beiträge einen alten Preis erwähnen. Richte ihn auf eine heruntergeladene Kopie deiner Website und such nach kaputten Bildnamen.
In jedem Fall ist der Ordner eine Kopie und nicht die Live-Website, ein fehlerhafter Edit kostet also nichts. Diese Gewohnheit ist mehr wert als jede Einstellung.
Die 13 Tools und was jedes verändern kann
Nur lesend heißt, die README markiert das Tool mit readOnlyHint true. Destruktiv heißt, es kann vorhandene Inhalte überschreiben oder entfernen.
Tools des Filesystem MCP Servers
Tool
Was es tut
Ändert es Dateien?
Liest eine Datei als UTF-8-Text, optional nur die ersten oder letzten N Zeilen
Nein
Liest ein Bild, Audio oder eine andere Datei als base64 mit ihrem MIME-Typ
Nein
Liest mehrere Dateien auf einmal; ein Fehler stoppt die übrigen nicht
Nein
Listet einen Ordner mit den Präfixen [FILE] und [DIR]
Nein
Dieselbe Liste mit Größen, sortierbar nach Name oder Größe
Nein
Gibt einen verschachtelten JSON-Baum eines Ordners zurück
Nein
Suche im Glob-Stil mit optionalen Ausschlussmustern
Nein
Größe, Zeitstempel, Typ und Berechtigungen
Nein
Zeigt, welche Ordner der Server nutzen darf
Nein
Erstellt einen Ordner und alle fehlenden übergeordneten Ordner
Ja, nicht destruktiv
Erstellt oder überschreibt eine Datei
Ja, destruktiv
Ersetzt gefundenen Text, mit dryRun-Vorschau als Option
Ja, destruktiv
Verschiebt oder benennt um; schlägt fehl, wenn das Ziel existiert
Ja, destruktiv
Config-Beispiele
Start mit npx, zwei Ordner
Die Ordner hinter dem Paketnamen werden zu den erlaubten Verzeichnissen. Erfordert Node.js auf deinem Rechner.
Start mit Docker, ein Ordner schreibgeschützt
Ordner werden unter /projects eingebunden. Das ro-Flag hindert den Server daran, in diesen Ordner zu schreiben.
VS Code Workspace-Config (.vscode/mcp.json)
VS Code nutzt einen servers-Schlüssel. ${workspaceFolder} beschränkt den Server auf das geöffnete Projekt.
Config-Builder für den Filesystem MCP Server
Gib deine Ordner ein und wähle, wie der Server laufen soll. Die JSON aktualisiert sich beim Tippen, und nichts verlässt deinen Browser.
Erlaubte Ordner, ein vollständiger Pfad pro Zeile
Starten mit
Config-Format
Ordner schreibgeschützt einbinden (nur Docker)
Schreibgeschütztes Einbinden ist für Docker dokumentiert. Mit npx kann der Server in die angegebenen Ordner schreiben.
Config-JSON
npx (Node.js)
Docker
mcpServers (die meisten Apps)
servers (VS Code)
Füge mindestens einen Ordner hinzu. Der Server braucht ein erlaubtes Verzeichnis, um zu funktionieren.
{v} ist kein vollständiger Pfad. Beginne ihn unter Mac oder Linux mit / oder unter Windows mit einem Laufwerksbuchstaben.