Wenn in Ihrem Team im letzten Jahr jemand einen KI-Assistenten an etwas Echtes angeschlossen hat, läuft mit einiger Wahrscheinlichkeit irgendwo in Ihrer Infrastruktur ein MCP-Server. Vielleicht hat ihn an einem Nachmittag jemand aufgesetzt, der den Assistenten an eine Datenbank bringen musste. Und wahrscheinlich läuft er immer noch.
Dieser Server hält Zugangsdaten. Eine Risikoanalyse vom 17. August 2026 beschreibt, was passiert, wenn ihn niemand als das behandelt, was er inzwischen ist: eine Sicherheitsgrenze.
Was dieser Server genau ist
Das Model Context Protocol ist ein offener Standard, ursprünglich von Anthropic vorgestellt, über den KI-Assistenten sich mit externen Werkzeugen und Daten verbinden. Statt auf das beschränkt zu sein, was das Modell bereits weiß, kann ein Agent einen Datensatz abrufen, eine Datei öffnen oder eine API aufrufen.
Das Stück, das das möglich macht, ist der MCP-Server: ein kleines Programm zwischen dem Assistenten und dem System, an das er will, das genau die Aktionen freigibt, die der Agent ausführen darf.
Und genau dort ballt sich das Risiko. Um auf einem System zu handeln, braucht der Server dessen Zugangsdaten. In den Worten der Analyse hält der Server „typischerweise die Schlüssel zu allem, was er berührt: Zugangsdaten, Service-Account-Keys, API-Token und andere Secrets“.
Die Verschiebung, auf die es ankommt: Agenten liefern nicht mehr nur Antworten, sie handeln. Wer ein Secret aus einem MCP-Server abgreift, bekommt mehr als Daten. Er bekommt die Fähigkeit, auf ihnen zu handeln.
Fünf Wege, auf denen die Secrets herauskommen
Zugangsdaten im Klartext in Konfigurationsdateien. Einen Server zum Laufen zu bringen heißt oft, eine Konfigurationszeichenkette einzufügen, in der die Zugangsdaten selbst stehen. Diese Datei liegt auf der Platte, wird zwischen Rechnern kopiert und landet gelegentlich in einem Repository.
Verstreute Zugangsdaten auf ungeregelten Servern. Ohne zentrale Ablage für Secrets verwaltet jeder Agent seine eigenen. Dieselben Schlüssel verteilen sich über Konfigurationsdateien und Umgebungsvariablen, doppelt in Entwicklung, Vorabnahme und Produktion. Weil niemand das vollständige Inventar hat, werden sie selten rotiert und bleiben unbegrenzt gültig.
Prompt Injection. Agenten lesen das Material, das sie bekommen, und handeln darauf. Damit wird jeder Text, den sie verarbeiten, zu einem möglichen Anweisungskanal.
Zu weit gefasste Rechte. Ein schnell aufgesetzter Server bekommt meist breiten Zugriff, weil das Einschränken Zeit kostet und während der Einrichtung Dinge kaputtmacht.
Offen erreichbare Server. Die Analyse merkt an, dass diese Erreichbarkeit oft entsteht, bevor die Sicherheitsabteilung überhaupt weiß, dass der Server existiert.
Das namentlich genannte Beispiel lohnt sich zu merken: mcp-remote, in der Analyse beschrieben als „ein OAuth-Proxy mit über 400.000 Downloads, der auf dem Client-Rechner läuft“ und über den „ein bösartiger Server eine Befehlsinjektion auf Betriebssystemebene auslösen könnte“. Das ist CVE-2025-6514.
Was diese Zahl ist und was nicht
Vierhunderttausend ist eine Downloadzahl für ein einzelnes Proxy-Werkzeug. Es ist keine Zählung verwundbarer Installationen, und die Analyse liefert auch keine.
Der Unterschied wiegt schwerer, als er aussieht, denn die Downloadzahl ist die am leichtesten greifbare Zahl der ganzen Geschichte und die am wenigsten aussagekräftige. Niemand hat veröffentlicht, wie viele MCP-Server offen erreichbar sind. Wenn Ihnen diese Zahl irgendwo begegnet, fragen Sie nach der Herkunft.
Die fünf Gegenmaßnahmen, im Wortlaut
Die Analyse nennt fünf, und sie lesen sich als Prüfliste, nicht als Strategie:
- „Keine Secrets mehr fest einbauen, sondern zentralisieren“
- „Kurzlebige Zugangsdaten verwenden und automatisch rotieren“
- „Least Privilege durchsetzen“
- „Bei sensiblen Aktionen einen Menschen im Ablauf behalten“
- „Secrets nach einem Zero-Trust-, Zero-Knowledge-Modell verschlüsseln“
Nichts davon ist neues Sicherheitsdenken. Das ist der Punkt. Es sind die Praktiken, die für Produktionszugangsdaten längst Standard waren, angewandt auf eine Serverklasse, die häufig außerhalb des Prozesses aufgesetzt wurde, der sie erzwungen hätte.
Die unangenehme Frage für Montag
Wer Agenten-Werkzeuge betreibt, kann diese Liste an einem Nachmittag durchgehen. Der Wert steckt im Inventar.
Fangen Sie mit der Frage an, die die Analyse nahelegt, ohne sie zu stellen: Hat irgendjemand eine Liste, welche MCP-Server laufen, wer sie aufgesetzt hat und wie weit jeder reicht? In vielen Organisationen gibt es diese Liste nicht, weil jeder Server ein Problem einer einzelnen Person gelöst hat und sich keine dieser Ergänzungen damals nach Infrastruktur anfühlte.
Die zweite Frage folgt aus der ersten. Was könnte ein Angreifer mit dem, was ein Server hält, tun, über das Lesen hinaus? Ein Agent mit Schreibrecht auf ein Ticketsystem, eine Deploy-Strecke oder eine Kundendatenbank ist eine andere Offenlegung als einer, der nur Dokumente abruft.
Die dritte betrifft das Material, das Ihre Agenten lesen. Prompt Injection funktioniert, weil Agenten auf Text handeln, den sie bekommen. Damit gehört jedes Dokument, jede Seite und jede Nachricht, die ein Agent verarbeitet, zur Angriffsfläche. Die meisten Organisationen veröffentlichen und verarbeiten sehr viel Text, ohne je zu fragen, was ein automatischer Leser damit anfinge.
Für keine dieser Fragen braucht es eine Sicherheitsabteilung. Es braucht jemanden, der die Liste schreibt.
Quellen
- The Hacker News, “How MCP Servers Can Expose Enterprise Secrets”, 17. August 2026: https://thehackernews.com/2026/08/how-mcp-servers-can-expose-enterprise.html (abgerufen am 26. August 2026). Quelle der fünf Offenlegungskategorien, der fünf Gegenmaßnahmen, der Beschreibung von MCP und der Rolle des Servers sowie des mcp-remote-Beispiels samt Downloadzahl und CVE-2025-6514. Die Analyse existiert nur auf Englisch: Die Zitate in diesem Artikel sind eigene Übersetzung des Originals, keine wörtlichen deutschen Zitate.
