Die Sicherheitslücken, die MCP weiterhin von der Unternehmenseinführung abhalten

Von Amber Wolff, Content Manager

Das Model Context Protocol (MCP) etabliert sich als leistungsstarke Methode zur Erweiterung von KI-Systemen um externe Tools, Datenquellen und Workflows. Es bietet eine einfache und flexible Möglichkeit, Modelle mit der realen Welt zu verbinden – und ist daher für Entwickler und Produktteams von großer Bedeutung.

Doch mit wachsendem Interesse taucht immer wieder eine Sorge auf: MCP ist in puncto Sicherheit noch nicht für den Unternehmenseinsatz geeignet..

Warum Sicherheit ein Problem für MCPs darstellt

Anthropics MCP ermöglicht eine beispiellose Konnektivität, was zu seiner weiten Verbreitung und schnellen Akzeptanz beigetragen hat. Diese Konnektivität ist jedoch ein zweischneidiges Schwert.

Mehrere kürzlich entdeckte CVEs deuten darauf hin, dass MCP entwickelt sich zu einer neuen AngriffsflächeÄhnlich wie bei dem Problem ungesicherter S3-Buckets, das AWS vor weniger als einem Jahrzehnt plagte, wurde eine erschreckend hohe Anzahl von MCP-Servern entdeckt, die dem Internet ausgesetzt sind: Der Sicherheitsanbieter Trend Micro fand fast 500 solcher Fälle, während Knostic AI selbst mehr als dreimal so viele aufdeckte.

Leider sind die damit verbundenen Sicherheitsrisiken enorm. Forschung des API-Sicherheitstestunternehmens Pynt Pynt fand heraus, dass ein einzelnes MCP-Plugin die Wahrscheinlichkeit einer Sicherheitslückenausnutzung um 9 % erhöht. Bereits bei drei miteinander verbundenen Servern ist eine Ausnutzung sehr wahrscheinlich. Und bei zehn MCP-Plugins ist sie laut Pynt mit einer Wahrscheinlichkeit von 92 % nahezu sicher.

Noch schlimmer ist, dass MCP im Gegensatz zu herkömmlichen Sicherheitslücken, die oft durch einfaches Einspielen eines Patches behoben werden können, typischerweise unterhalb der Anwendungsschicht arbeitet – was die Erkennung und Behebung von Problemen erschwert.

Was MCP fehlt

Obwohl MCP enormes Potenzial birgt, mangelt es dem aktuellen Ökosystem an einigen kritischen Sicherheitsvorkehrungen, die große Organisationen benötigen. Derzeit arbeiten MCP-Implementierungen häufig mit Folgendem:

• Kein standardisiertes Authentifizierungs- oder Autorisierungsmodell
• Schwaches Sandboxing rund um die Ausführung externer Tools
• Hohes Risiko für Angriffe mit sofortiger Injektion
• Eingeschränkte Durchsetzung der Richtliniennur auf einzelne Benutzer oder Sitzungen beschränkt
• Minimale Überwachungs- und Prüfrahmen

Diese Sicherheitslücken stellen nicht nur ein theoretisches Risiko dar – sie schaffen reale Wege für die Ausweitung von Berechtigungen, Datenlecks, die unbeabsichtigte Ausführung von Tools und Verstöße gegen Compliance-Vorschriften.

Was sich ändern muss

Für den sicheren Einsatz von MCP in Unternehmens- oder regulierten Umgebungen benötigen wir eine solidere Grundlage. Das bedeutet, Folgendes zu integrieren:

1. Starke Authentifizierung und fein abgestufte Zugriffskontrolle

Tools und Daten sollten nur von autorisierten Personen aufgerufen werden können, und Berechtigungen sollten klar definiert, durchgesetzt und widerrufbar sein.

2. Sandboxing und Ausführungsisolierung

Jedes externe Tool, das von einem KI-Modell aufgerufen wird, sollte in einer sorgfältig abgeschotteten Umgebung ausgeführt werden – nicht direkt auf einem Produktionsnetzwerk oder Dateisystem.

3. Abwehrmechanismen für die sofortige Eingabe und Validierung von Eingaben

Modelle benötigen Schutzmechanismen, um zu verhindern, dass sie dazu manipuliert werden, Werkzeuge auf unbeabsichtigte Weise aufzurufen.

4. Prüfung, Überwachung und Protokollierung der Einhaltung von Vorschriften

Unternehmen müssen in der Lage sein, nachzuverfolgen, wer wann, wie und warum auf was zugegriffen hat.

5. Ratenbegrenzung und DoS-Schutz

Tool-Endpunkte sollten gegenüber unkontrollierten Eingabeaufforderungen oder rekursiven Tool-Aufrufen resistent sein.

6. Sichere Übertragung (TLS/SSL)

Jede MCP-Verbindung muss verschlüsselt sein, Punkt.

7. Standardmäßige Datenminimierung

Das Modell sollte nur die für eine bestimmte Aufgabe erforderlichen Daten sehen – nichts anderes.

Fazit

MCP eröffnet leistungsstarke neue Möglichkeiten. Ohne robuste Zugriffskontrollen, Ausführungsisolierung, Überwachung und injektionsresistente Schnittstellen birgt es jedoch auch erhebliche Risiken.

Die nächste Welle der MCP-Einführung — insbesondere in großen Unternehmen — wird davon abhängen, diese Sicherheitslücken zu schließen..

Wer diese Herausforderung erfolgreich meistert, wird MCP nicht nur sicherer machen, sondern auch die Art und Weise prägen, wie KI-Systeme in großem Maßstab mit der realen Welt interagieren.