Neue Sicherheitsherausforderungen durch die Verbreitung von MCP-Servern in der Künstlichen Intelligenz

Die Expansion der KI-Angriffsflächen: Eine Analyse der MCP-Server

Die rasante Entwicklung und Integration von Künstlicher Intelligenz (KI) in Unternehmensumgebungen hat weitreichende Auswirkungen auf die IT-Infrastruktur. Während KI-Modelle und -Agenten immer leistungsfähiger werden, entstehen gleichzeitig neue Angriffsflächen, die von Sicherheitsteams mit höchster Priorität behandelt werden müssen. Eine dieser kritischen Entwicklungen ist die zunehmende Bedeutung von Model Context Protocol (MCP) Servern, die sich als unregulierte APIs etablieren und somit ein erhebliches Sicherheitsrisiko darstellen.

Die Rolle der MCP-Server in der modernen KI-Architektur

MCP-Server sind im Wesentlichen die Schnittstelle, die es KI-Agenten ermöglicht, mit externen Tools, APIs und Datenquellen zu interagieren. Sie erweitern die Reichweite von KI-Modellen über reine Chat-Funktionen hinaus und erlauben es ihnen, innerhalb bestehender Systeme zu agieren – sei es durch den Zugriff auf GitHub, Slack, Datenbanken oder Cloud-APIs. Diese Interaktionen ermöglichen es KI-Modellen, Kontext abzurufen, Workflows auszulösen, Repositories zu prüfen, Datensätze abzufragen und somit betriebliche Prozesse zu steuern.

Die Attraktivität von MCP liegt in seiner Fähigkeit, die Nützlichkeit von KI drastisch zu steigern. Anstatt für jede externe Anbindung eine maßgeschneiderte Lösung zu entwickeln, bieten MCP-Server einen standardisierten Ansatz, der die Integration vereinfacht und beschleunigt. Dies hat dazu geführt, dass sich MCP innerhalb kürzester Zeit als bevorzugter Standard für die Verbindung von KI-Agenten mit externen Tools und Daten etabliert hat. Innerhalb von zwölf Monaten nach seiner Veröffentlichung wurde MCP bereits von führenden KI-Plattformen und Coding-Assistenten wie ChatGPT, Gemini, Microsoft Copilot, Cursor und Visual Studio Code genutzt.

Die Herausforderung der rasanten Verbreitung

Die Geschwindigkeit, mit der sich MCP-Server in Unternehmensumgebungen verbreiten, stellt Sicherheitsteams vor enorme Herausforderungen. Im Gegensatz zu etablierten Infrastrukturstandards, die oft Jahre für ihre Akzeptanz benötigen, hat MCP eine beispiellose Adoptionskurve gezeigt. Diese schnelle Verbreitung bedeutet, dass Sicherheitslösungen kaum Schritt halten können. Mohit Bhasin von Palo Alto Networks beschreibt die Situation treffend: Die KI-Adoption sieht nicht mehr nach experimentellen Chatbot-Anwendungen aus, sondern nach der Integration autonomer Systeme in die Steuerungsebene des Unternehmens.

Eine von Nomad Security durchgeführte Untersuchung ergab, dass viele Unternehmen nicht einmal wissen, wie viele MCP-Server in ihrer Umgebung aktiv sind. Die Anzahl ist oft höher als angenommen, die gehaltenen Zugangsdaten sensibler, und es fehlen die Kontrollmechanismen, um Änderungen in der Serverlandschaft zu überwachen. Dies schafft einen "Blind Spot" in der Sicherheitsstrategie vieler Organisationen.

Neue Angriffsflächen und deren Exploitation

Die Einführung von MCP-Servern hat eine Vielzahl neuer Sicherheitsrisiken geschaffen, die über traditionelle Bedrohungen hinausgehen:

• Tool Poisoning: Angreifer können bösartige Anweisungen in Tool-Beschreibungen, Schemata oder Rückgabewerten von Tools einbetten, um das Verhalten von KI-Agenten zu manipulieren. Dies ist eine Eskalation von Prompt Injection-Angriffen.
• Rug Pull Attacks: Eine einzigartige Bedrohung im aufstrebenden KI-Ökosystem. Hier ändert ein Angreifer die Definition eines Tools, nachdem es bereits von einem Menschen genehmigt wurde, und nutzt das entstandene Vertrauen aus.
• Tool Shadowing und Cross-Origin Escalation: Angreifer nutzen bösartige Server-Tool-Beschreibungen, um zu manipulieren, wie ein Agent Tools eines anderen, vertrauenswürdigen Servers verwendet.
• Datenexfiltration: MCP-Server können für die verdeckte Entnahme sensibler Informationen genutzt werden, indem diese in ansonsten legitime Tool-Aufrufe, wie Suchanfragen oder E-Mails, eingeschleust werden.
• Übermäßige Berechtigungen: Die Zuweisung von mehr Zugriffsrechten an einen MCP-Server, als für die eigentliche Aufgabe notwendig sind, schafft eine größere Angriffsfläche und erhöht das Risiko bei einer Kompromittierung.

Eine Analyse von Lakera, einem Unternehmen, das von Check Point übernommen wurde, ergab, dass 40% von 10.000 untersuchten MCP-Servern ausnutzbare Schwachstellen aufwiesen. Dies unterstreicht die Dringlichkeit, diese neuen Angriffsvektoren zu adressieren.

Die Notwendigkeit spezialisierter Sicherheitslösungen

Herkömmliche Sicherheitsmaßnahmen sind oft nicht ausreichend, um die spezifischen Risiken von MCP-Servern abzudecken. Die Sicherheit von MCP-Servern ist nicht gleichzusetzen mit der Sicherheit von KI-Agenten im Allgemeinen, auch wenn sie ein wichtiger Bestandteil davon ist. KI-Agenten können auch ohne MCP mit anderen Systemen interagieren. Daher muss die MCP-Sicherheit als ein Teil eines umfassenderen KI-Sicherheitskonzepts betrachtet werden.

Es gibt bereits erste Ansätze von Sicherheitsanbietern, um diese Lücke zu schließen:

• TrueFoundry’s AI Gateway: Bietet Governance auf Infrastrukturebene, Zugriffskontrolle und Auditing für Interaktionen zwischen MCP-Tools und Agenten.
• Cisco AI Defense: Erweitert seine Funktionen um Agent-seitige Schutzmaßnahmen, MCP-Scanning und Echtzeit-Inspektion des MCP-Datenverkehrs, um unsicheres Verhalten zu erkennen und zu blockieren.
• Check Point’s AI Network Firewall: Verfolgt einen netzwerkzentrierten Ansatz und integriert KI-Sicherheit in bestehende Firewall-Infrastrukturen. Sie identifiziert MCP-Server, inspiziert den MCP-Verkehr und setzt Richtlinien für den Agentenzugriff durch.

Diese Lösungen zeigen, dass die Industrie auf die neuen Herausforderungen reagiert, aber die schnelle Entwicklung der KI-Infrastruktur erfordert eine kontinuierliche Anpassung und Weiterentwicklung der Sicherheitsstrategien. Unternehmen sind gefordert, die Integration von MCP-Servern nicht nur aus Effizienz-, sondern auch aus Sicherheitsperspektive genau zu prüfen und entsprechende Schutzmaßnahmen zu implementieren.

Fazit und Ausblick

Die Verbreitung von MCP-Servern ist ein klares Zeichen für die Reifung der KI-Technologie und ihre tiefe Integration in Geschäftsprozesse. Diese Entwicklung bringt jedoch eine neue Generation von Sicherheitsrisiken mit sich, die nicht ignoriert werden dürfen. Für Unternehmen, die KI-Technologien einsetzen oder dies planen, ist es unerlässlich, die Sicherheitsaspekte von MCP-Servern proaktiv anzugehen. Dies beinhaltet die Implementierung spezialisierter Sicherheitslösungen, die Überwachung der MCP-Umgebung und die Schulung von Entwicklungsteams hinsichtlich sicherer Entwicklungspraktiken im Kontext von KI-Agenten und deren Interaktionen. Nur so kann die digitale Transformation durch KI sicher und nachhaltig gestaltet werden.

Bibliographie

Palo Alto Networks. (2026, 4. Juni). MCP Servers Are the New Unmanaged API. Start Treating Them That Way. Abgerufen von https://www.paloaltonetworks.com/blog/cloud-security/mcp-servers-ai-attack-surface-security/ Imperva. (2026, 30. Juli). MCP Server Security: Risks, Attacks & Controls. Abgerufen von https://www.imperva.com/blog/mcp-server-security-blind-spot-ai-stack/ nomadsec. (2026, 9. Mai). The MCP server attack surface. Abgerufen von https://nomadsec.io/blog/2026/05/09/mcp-server-attack-surface/ Salt Security. (2026, 22. April). The MCP attack surface is not theoretical anymore. Abgerufen von https://salt.security/blog/mcps-are-the-biggest-attack-surface-youre-not-watching UpGuard. (2026, 1. Juli). MCP: The AI Protocol Quietly Expanding Your Attack Surface. Abgerufen von https://www.upguard.com/blog/mcp-ai-protocol-expanding-your-attack-surface AI News. (2026, 1. September). Why MCP servers are becoming AI’s newest attack surface. Abgerufen von https://www.artificialintelligence-news.com/news/why-mcp-servers-are-becoming-ais-newest-attack-surface/ CBIZ Pivot Point Security. (2026, 27. Februar). What is MCP in AI? Cybersecurity Risks. Abgerufen von https://www.pivotpointsecurity.com/what-is-the-model-context-protocol-mcp-in-ai-and-why-does-it-scare-cybersecurity-pros/ Agentmelt. (2026, 15. Juli). MCP Security in 2026: The Model Context Protocol Attack Surface, Real Incidents, and What Actually Works. Abgerufen von https://agentmelt.com/blog/mcp-security-2026-attacks-and-defenses/ AppSentinels. (2026, 9. Juli). MCP Supply Chain Security: How Malicious MCP Servers Are Infiltrating Enterprise AI Environments. Abgerufen von https://appsentinels.ai/blog/mcp-supply-chain-security-how-malicious-mcp-servers-are-infiltrating-enterprise-ai-environments/ InfoWorld. (2026, 21. Januar). Three vulnerabilities in Anthropic Git MCP Server could let attackers tamper with LLMs. Abgerufen von https://www.infoworld.com/article/4119580/three-vulnerabilities-in-anthropic-git-mcp-server-could-let-attackers-tamper-with-llms.html