Das Model Context Protocol (MCP) ist der offene Standard, der es einem KI-Agenten ermöglicht, über eine gemeinsame Schnittstelle auf Ihre Tools, Dateien und Apps zuzugreifen – oft als "USB-C für KI" beschrieben. Es ist wirklich nützlich und wurde bis 2025 und 2026 in KI-Assistenten, IDEs und Agenten-Frameworks übernommen. Doch derselbe Anschluss, der einen Agenten leistungsfähig macht, ist auch seine größte Angriffsfläche. Die jüngsten Bestrebungen zur Regulierung von KI-Agenten in Unternehmen – Sicherheitsanbieter, die Tools zur Überwachung von Codierungsagenten bereitstellen, und MCP-basierte Governance-Schichten, die in Claude, ChatGPT und Copilot integriert werden – sind ein Zeichen für dasselbe: Einen Agenten mit Ihrer Umgebung zu verbinden, ist eine Sicherheitsentscheidung, keine Komforteinstellung. Hier ist das ehrliche Bild der MCP-Sicherheit im Jahr 2026 und wie man sie verwaltet.
Warum MCP ein Sicherheitsproblem ist und nicht nur ein Feature
MCP selbst ist nur die Infrastruktur: ein standardisierter Weg für ein Modell, Tools zu entdecken, ihre Beschreibungen zu lesen und sie aufzurufen. Das Risiko ist nicht das Protokoll – es ist das, was dadurch fließt.
Wenn ein Agent eine Verbindung zu einem MCP-Server herstellt, liefert dieser Server zwei Dinge, denen das Modell vertraut: Tool-Beschreibungen (Text, der dem Modell sagt, was jedes Tool tut und wie es aufgerufen wird) und Tool-Ausgaben (was auch immer das Tool zurückgibt). Das Modell liest beides und handelt danach. Jeder MCP-Server, den Sie anschließen, ist effektiv Code und Anweisungen, die mit den Berechtigungen Ihres Agenten ausgeführt werden. Alles, was der Agent erreichen kann – Ihre Dateien, ein Repository, eine API, Ihre E-Mails – kann ein bösartiger Server durch den Agenten zu erreichen versuchen.
Dies ist derselbe Wandel, der KI-Agenten-Sicherheit im Allgemeinen schwierig macht, angewendet auf einen spezifischen Anschluss: Die Sicherheit Ihrer MCP-Einrichtung ist die Sicherheit jedes Servers, den Sie daran anschließen.
Die MCP-spezifischen Risiken im Jahr 2026
Diese sind nicht hypothetisch – Sicherheitsforscher haben sie bei realen MCP-Clients dokumentiert.
- Tool-Vergiftung. Ein bösartiger Server versteckt Anweisungen in der Beschreibung eines Tools – Text, den das Modell liest, den der Benutzer jedoch normalerweise nicht sieht. Ein Tool, das wie ein harmloses
add(a, b)aussieht, kann heimlich den Agenten anweisen, private Dateien zu lesen und sie zu exfiltrieren. Da Benutzer dazu neigen, Tool-Aufrufe zu genehmigen, ohne die Beschreibung zu überprüfen, ist dies einer der wirkungsvollsten MCP-spezifischen Angriffe. - Rug Pulls (stille Neudefinition). Ein MCP-Tool ändert seine eigene Definition nachdem Sie es installiert und genehmigt haben. Sie haben etwas Sicheres geprüft; der Server tauscht später bösartiges Verhalten ein, ohne Sie zu informieren.
- Tool-Schatten und serverübergreifende Angriffe. Wenn mehrere Server mit demselben Agenten verbunden sind, kann ein kompromittierter Server Aufrufe überschreiben oder abfangen, die für ein vertrauenswürdiges Tool bestimmt sind – ein "verwirrtes Stellvertreter"-Problem, bei dem der Agent den Befehlen des Angreifers folgt, während er denkt, er benutze ein legitimes Tool.
- Die Exfiltrationstrias. Die wirklich gefährliche Kombination ist ein Agent, der private Daten hat, nicht vertrauenswürdige Inhalte liest und einen Exfiltrationsweg nach außen hat. MCP macht es einfach, alle drei versehentlich zu verbinden.
- Indirekte Prompt-Injektion. Selbst ein ehrlicher Server gibt Ausgaben zurück, die der Agent liest – eine Webseite, ein Problem, ein Dokument –, die versteckte Anweisungen enthalten können. Der Agent kann ihnen gehorchen, als kämen sie von Ihnen.
Wie man MCP sicher verwaltet
Sie müssen MCP nicht vermeiden. Sie müssen verwalten, was Sie anschließen, und es so einrahmen, dass ein einziger schlechter Server nicht zur Katastrophe wird. Die Prinzipien sind alte Sicherheitsweisheiten, angewendet auf einen neuen Anschluss.
- Vertrauenswürdige Server prüfen und festlegen. Bevorzugen Sie offizielle oder gut bewertete MCP-Server. Schließen Sie keine beliebigen Drittanbieter-Server an einen Agenten an, der echten Zugriff hat, und achten Sie auf Tool-Definitionen, die sich nach der Installation ändern.
- Minimaler Zugriff pro Server. Geben Sie jedem Server nur den Zugriff, den seine Aufgabe benötigt, indem Sie eingeschränkte, widerrufbare Anmeldeinformationen verwenden – niemals Ihre Hauptkonten oder Produktionsschlüssel. Wenn ein Server nur lesen muss, lassen Sie ihn nicht schreiben.
- Begrenzen Sie den Explosionsradius. Vermeiden Sie es, viele nicht vertrauenswürdige Server mit demselben Agenten zu verbinden, da ein kompromittierter Server andere abfangen kann. Isolieren Sie sensible Arbeiten von allem, was das offene Web liest.
- Mensch im Loop für hochwirksame Aktionen. Fordern Sie eine explizite Bestätigung an, bevor etwas Unumkehrbares geschieht – Geld senden, Daten löschen, öffentlich posten, Zugriff ändern. Lassen Sie den Agenten entwerfen; Sie genehmigen.
- Behandeln Sie Tool-Beschreibungen und -Ausgaben als nicht vertrauenswürdig. Beide können injizierte Anweisungen enthalten. Die gleiche Vorsicht gilt, wenn ein Agent KI-Code-Review-Tools oder ein beliebiges Tool verwendet, das externe Inhalte aufnimmt.
- Protokollieren und prüfen Sie Tool-Aufrufe. Führen Sie ein Protokoll darüber, welche Server und Tools der Agent verwendet hat, damit Sie Anomalien erkennen und schnell widerrufen können.
- Halten Sie Geheimnisse aus Eingabeaufforderungen und Tool-Argumenten heraus. Passwörter und API-Schlüssel, die in eine Eingabeaufforderung oder einen Tool-Aufruf eingefügt werden, werden zu Text auf einem Server. Verwenden Sie stattdessen eingeschränkte Tokens und Geheimnis-Manager.
Die ehrliche Erkenntnis
MCP-Sicherheit läuft auf eine Denkweise hinaus: Ein MCP-Server ist kein Plugin, das Sie installieren und vergessen – es ist ein neuer Teilnehmer mit Autonomie und Zugriff, und Sie sollten ihn wie einen behandeln, dem Sie nicht vollständig vertrauen. Das Protokoll ist offen und nützlich; die Gefahr liegt darin, Servern, die Sie nicht überprüft haben, breites, dauerhaftes Vertrauen zu gewähren. Verbinden Sie bewusst, beschränken Sie jeden Server eng, halten Sie einen menschlichen Schutz bei allem Unumkehrbaren und gehen Sie davon aus, dass jede Tool-Beschreibung und -Ausgabe versucht, Ihren Agenten zu kapern. Die Teams, die jetzt Governance um KI-Agenten aufbauen – und die KI-Codierungsagenten, die am meisten auf MCP angewiesen sind – kommen genau darauf: weniger verbinden, eng vertrauen und verifizieren.
