MCP Server als stille Sicherheitsrisiken
Die Model Context Protocol (MCP) Technologie hat das Potenzial, KI-Agenten leistungsfähiger zu machen – indem sie ihnen Zugriff auf Unternehmensdaten und -systeme ermöglicht. Doch genau diese Stärke birgt erhebliche Risiken, die viele Organisationen unterschätzen. Neue Erkenntnisse zeigen, dass MCP Server unter mehreren kritischen Sicherheitsproblemen leiden, die Unternehmensgeheimnisse gefährden können – oft unbemerkt von Security-Teams.
Die drei Hauptrisiken
Klartext-Konfigurationsdateien stellen das erste Problem dar. MCP Server werden häufig mit Konfigurationen deployed, die sensitive Informationen wie API-Keys, Datenbankzugänge oder Authentifizierungstoken im Klartext speichern. Diese Dateien liegen oft im Dateisystem und sind für andere Prozesse oder Benutzer des Systems lesbar. Ein lokaler Angreifer oder ein kompromittiertes Tool hat sofort Zugriff auf diese kritischen Credentials.
Das zweite Risiko ist Over-Permissioning – also Zugriffe, die deutlich breiter sind als nötig. Viele Administratoren setzen MCP Server mit Standardberechtigungen auf, die dem AI-Agenten Zugriff auf das gesamte System oder breite Datenbankprivilegien geben. Nach dem Least-Privilege-Prinzip sollte ein Agent nur auf die konkret benötigten Ressourcen zugreifen können. Stattdessen haben MCP Server oft administrative Rechte oder können beliebige Dateien lesen und schreiben.
Das dritte Problem ist Prompt Injection. Wenn Benutzer oder externe Systeme dem AI-Agenten Anweisungen geben können, lässt sich durch geschickte Formulierung der Prompt der Agent dazu bringen, über seine vorgesehenen Grenzen hinauszugehen. Ein Angreifer könnte beispielsweise einen MCP Server dazu manipulieren, Konfigurationsdateien auszulesen, sensitive Abfragen auszuführen oder auf Systeme zuzugreifen, für die er nicht bestimmt ist.
Der Timing-Aspekt verschärft das Problem
Besonders kritisch ist der zeitliche Faktor: MCP Server werden oft schnell deployed, um Projekte mit KI-Agenten zu beschleunigen. Security-Reviews entstehen erst später – wenn überhaupt. Das führt zu einer Phase, in der der Server bereits aktiv ist und Daten verarbeitet, die Security-Abteilung aber noch gar nicht weiß, dass es existiert. Diese Sicherheitslücke kann Monate andauern und nicht erkannt werden, bis ein Incident sie offenbart.
Warum MCP-Sicherheit oft unterschätzt wird
MCP ist ein relativ neues Protokoll, das zunächst von Anthropic entwickelt wurde und jetzt von verschiedenen Anbietern unterstützt wird. Viele Unternehmen behandeln MCP-Implementierungen noch wie klassische APIs oder Integrationsprojekte – mit etablierten DevOps-Prozessen, aber ohne spezialisierte KI-Security-Richtlinien. Die Tatsache, dass MCP Server sehr flexibel einsetzbar sind und verschiedenste Tools und Datenquellen anbinden können, macht es schwer, eine einheitliche Sicherheitsstrategie zu etablieren.
Zudem gibt es weniger bewährte Best Practices und Security-Tools für MCP als für traditionelle Systeme. Viele Teams haben noch keine standardisierten Prozesse für MCP-Deployments etabliert.
Welche Unternehmen sind am meisten betroffen?
Organisationen mit mehreren AI-Agent-Projekten sind besonders gefährdet – gerade wenn diese parallel von verschiedenen Teams entwickelt werden. In großen Unternehmen können schnell 10, 20 oder mehr MCP Server laufen, ohne dass eine zentrale Übersicht existiert. Regulierte Branchen wie Finanzdienstleistungen, Gesundheitswesen oder öffentliche Verwaltung tragen zusätzliches Compliance-Risiko.
Praktische Gegenmaßnahmen
Unternehmen sollten hier konkret handeln:
1. Configuration Management: Secrets gehören nicht in Konfigurationsdateien. Stattdessen sollten API-Keys und Credentials über Secrets-Management-Systeme (wie HashiCorp Vault, AWS Secrets Manager oder Azure Key Vault) bereitgestellt werden. Auf dem Dateisystem sollten nur minimale, nicht-sensitive Konfigurationen liegen.
2. Least-Privilege-Zugriffe: Jeder MCP Server sollte nur auf die spezifischen Datenquellen und Tools zugreifen können, die für seine Funktion notwendig sind. Das erfordert granulare Permission-Modelle und regelmäßige Reviews der vergebenen Rechte.
3. Input Validation und Output Sanitization: Prompts sollten validiert werden. Besonders bei Prompts von außen (externe Benutzer, andere Systeme) müssen Schutzmaßnahmen gegen Injection greifen. Die Ausgabe des Agenten sollte gefiltert werden, um sensitive Daten nicht nach außen zu leaken.
4. Netzwerk-Segmentierung: MCP Server sollten nicht mit voller Netzwerk-Zugriffsfähigkeit laufen. Ein Server, der nur auf eine spezifische Datenbank zugreift, braucht auch nur Zugang zu dieser Datenbank – nicht ins gesamte Netzwerk.
5. Logging und Monitoring: Alle MCP-Server-Aktivitäten sollten geloggt werden – nicht nur für Compliance, sondern für echte Sicherheitserkennung. Verdächtige Zugriffe, unerwartete Datenmengen oder seltene Operationen sollten Alerts triggern.
6. Security-Inventar: Unternehmen müssen wissen, welche MCP Server im Einsatz sind, wer sie betreibt und was sie können. Ein zentrales Verzeichnis ist elementar.
Fazit
MCP Server sind kein inhärent unsicheres Protokoll – aber sie erfordern durchdachte Sicherheitsarchitektur von Anfang an. Die größte Herausforderung liegt darin, dass ihre Sicherheit oft als nachgelagertes Problem behandelt wird, obwohl sie für KI-Agenten zentral ist. Je früher Unternehmen strukturierte Sicherheitsmaßnahmen für MCP implementieren, desto besser können sie die Chancen von AI-Agenten nutzen, ohne Unternehmensgeheimnisse zu gefährden.
