LONDON (IT BOLTWISE) – MCP-Server schaffen für KI-Agenten direkten Zugriff auf interne Tools und Daten, sie werden damit aber auch zum neuen „Schlüsselbund“ im Unternehmen. Das Risiko entsteht besonders durch Klartext-Credentials in Konfigurationsdateien, übermäßig weit gesetzte Berechtigungen und Prompt-Injection-Angriffe über Inhalte, die der Agent liest. Zusätzlich verschärft Credential Sprawl ohne zentrale Inventarisierung das Problem, weil Tokens oft lange gültig bleiben. Sicherheitsmaßnahmen wie Least Privilege, automatische Rotation und Zero-Knowledge-Verschlüsselung müssen daher gezielt auf die MCP-Ebene angewendet werden.
Model Context Protocol (MCP) klingt zunächst wie ein reines Integrationskonzept: Ein KI-Agent kann über einen MCP-Server mit externen Tools und Daten sprechen, statt nur im Kopf des Sprachmodells zu arbeiten. Technisch bedeutet das, dass zwischen dem Agenten und den eigentlichen Unternehmenssystemen ein Vermittler sitzt, der genau die Aktionen freischaltet, die der Agent ausführen darf. Genau an dieser Stelle steigt aber auch der Angriffswert: MCP-Server benötigen Credentials, um Datenquellen zu erreichen – und wer Zugriff auf diese Vermittlungsschicht bekommt, erhält nicht nur Leserechte, sondern potenziell auch die Fähigkeit, Handlungen im Produktions- oder Cloud-Umfeld auszuführen.
Der zentrale Risikokorridor entsteht dabei durch die Kombination aus „aktiver“ KI und klassischer Secret-Verwahrung. Der Agent nutzt sogenannte Non-Human Identities (NHIs) wie API-Keys und Tokens, um während einer Anfrage zu Daten zu gelangen oder APIs aufzurufen. Ein geleaktes Secret ist dadurch mehr als ein Informationsleck: Es kann einem Angreifer ermöglichen, mit den betroffenen Berechtigungen gezielt Aktionen auszuführen – etwa Dokumentationen zu exportieren, Tickets zu manipulieren oder automatisierte Abläufe anzustoßen. Hinzu kommt, dass solche MCP-Server oft organisatorisch nicht dort einsortiert werden, wo Security-Teams normalerweise nach Produktschlüsseln suchen, etwa weil die Server schnell entstehen, in Teams ausprobiert und dann schrittweise in produktionsnahe Systeme wandern.
In der Praxis werden Secrets bei MCP-Setups auf mehreren Wegen sichtbar. Erstens landet der notwendige Schlüsselbestand häufig in lokalen Konfigurationsdateien; in vielen Umgebungen werden Tokens als Teil einer Konfigurationszeichenkette eingefügt, weil das Aufsetzen „sofort“ funktionieren muss. Bleibt diese Datei auf dem Rechner, wird sie versehentlich dupliziert oder landet im schlimmsten Fall im Git-Repository. Zweitens führt Credential Sprawl ohne zentrale Kontrolle zu mehreren, gleichartigen Kopien über Entwicklung, Staging und Produktion hinweg; wenn es keine vollständige Inventur gibt, werden betroffene Tokens oft nicht rotiert und bleiben damit lange statisch. Drittens wirkt Prompt Injection nicht wie ein klassischer Einbruch, sondern wie eine Täuschung an der Schnittstelle: Ein Agent liest Inhalte aus Dokumenten, Support-Tickets oder Webseiten und kann dadurch versteckte Anweisungen als legitime Befehle interpretieren, was wiederum dazu führt, dass Tools missbraucht oder Secrets offengelegt werden.
Ein weiteres Muster ist Over-permissioning. Damit Entwickler während des Aufbaus keine Berechtigungsfehler bekommen, werden MCP-Zugriffe häufig mit breiten Scopes versehen – und diese großzügigen Rechte bleiben dann in späteren Phasen oft vergessen. Für die Sicherheitswirkung ist das entscheidend: Sobald Least Privilege nicht aktiv erzwungen wird, reicht eine einzige Kompromittierung, um weit mehr Systeme zu erreichen als für die eigentliche Aufgabe nötig wäre. Dazu kommt das Supply-Chain-Risiko: Anyone kann MCP-Server veröffentlichen, und die sichere Auswahl einer externen oder neu integrierten Komponente ist damit Teil der Sicherheitsbasis. Als Beispiel wird ein Vorfall mit der Kennung CVE-2025-6514 genannt, bei dem ein bösartiger MCP-Server in einem Remote-Szenario OS-Command-Injection auslösen konnte. Dadurch wäre unter Umständen Remote Code Execution möglich gewesen – mit dem Effekt, dass Angreifer dann Zugriff auf die im Proxy-Kontext verwendeten Credentials erlangen können.
Welche Gegenmaßnahmen greifen, lässt sich anhand der unterschiedlichen Expositionspfade klar ableiten. Gegen Klartext- und Sprawl-Probleme hilft vor allem das zentrale Secret-Handling: Credentials sollten nicht in Konfigurationen, Umgebungsvariablen oder Quellcode „hängen“, sondern in einem verwalteten Secret-Store liegen, aus dem der Agent die benötigten Werte zur Laufzeit abruft. Damit verkleinert man zugleich die Angriffsoberfläche durch unkontrollierte Kopien. Außerdem reduziert automatische Rotation die Zeit, in der ein geleaktes Secret überhaupt nutzbar bleibt: Kurzlebige Credentials, die bei Bedarf ausgegeben und anschließend verfallen, senken das „Fenster“ eines Angriffs. Für die eigentliche Berechtigungsarchitektur gilt: Least Privilege muss auf die MCP-Freigaben durchschlagen, sodass ein kompromittierter Agent nur einen Ausschnitt der relevanten Systeme erreichen kann.
Darüber hinaus werden die Schutzhebel für die KI-nahe Bedrohungslage besonders wichtig. Für sensible Aktionen empfiehlt sich ein Human-in-the-loop-Prozess, etwa bei dem Entschlüsseln oder Anzeigen unverdeckter Werte, beim Löschen von Datensätzen oder bei Zugriffen, die eine Produktionsänderung bedeuten. Das wirkt nicht als generischer „Patch“ gegen Prompt Injection, sondern als Kontrollpunkt, der verhindert, dass eine manipulierte Eingabe stillschweigend in einen echten Schaden mündet. Ergänzend wird eine Zero-Trust-, Zero-Knowledge-Strategie adressiert: Secrets sollen Ende-zu-Ende verschlüsselt bleiben und erst im Moment der Nutzung entschlüsselbar sein, sodass selbst ein kompromittierter Vault im Idealfall keine verwertbaren Klartexte preisgibt. Ebenso wichtig ist Monitoring und Audit: Autonome Agents handeln schnell, daher braucht es lückenlose Protokolle darüber, was wann und von welchem Agenten gelesen oder aufgerufen wurde. Schließlich ist die operative Grundlage oft banal, aber wirksam: Wer alle MCP-Server in der Umgebung inventarisiert, verhindert „Shadow AI“ – also vergessene oder nicht überprüfte Identitäten, die weiterhin Live-Credentials halten.
Für Unternehmen ist die eigentliche Kernaussage damit weniger „MCP ist gefährlich“, sondern: MCP verschiebt den Security-Perimeter. Die Verbindung zwischen Agent und Unternehmenssystem ist eine Produktionsschnittstelle, die wie jede andere Schlüsselkomponente abgesichert werden muss. Wenn Teams MCP-Server als schnelle Integrationsbausteine einführen, sollten sie die gleichen Standards für Secret-Management, Zugriffssteuerung, Logging und Freigabeprozesse durchziehen – nur eben auf die neue KI-Ebene übertragen. So wird aus dem Komfortgewinn durch Tool- und Datenzugriff kein stilles Risiko, sondern ein kontrollierbarer Baustein in einer KI-gestützten IT-Landschaft.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "MCP-Server als Sicherheitsrisiko: So können KI-Agenten Unternehmensgeheimnisse auslesen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "MCP-Server als Sicherheitsrisiko: So können KI-Agenten Unternehmensgeheimnisse auslesen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »MCP-Server als Sicherheitsrisiko: So können KI-Agenten Unternehmensgeheimnisse auslesen« bei Google Deutschland suchen, bei Bing oder Google News!