MCP-Sicherheit: Risiken von Tool-Servern kennen

MCP verbindet KI-Agenten mit mächtigen Tools – und öffnet damit neue Angriffsflächen. Diese Risiken solltest du kennen, bevor du einen Server verbindest.

Warum MCP eine eigene Angriffsfläche schafft

Ein MCP-Server gibt einem Agenten echte Handlungsmacht: Dateien lesen, E-Mails senden, Datenbanken abfragen. Verbindest du einen Server, vertraust du nicht nur seinem Code, sondern jedem Text, den er dem Modell zeigt – inklusive Beschreibungen, die ein Mensch beim Verbinden oft gar nicht liest.

Tool Poisoning

Die Beschreibung eines Tools wird dem Modell als Text übergeben. Ein bösartiger Server kann dort versteckte Anweisungen einbauen, die für dich unsichtbar sind, das Modell aber trotzdem befolgt – etwa die SSH-Konfiguration zusätzlich auszulesen und unauffällig in einen Parameter zu packen. Das Modell hält das für eine normale Werkzeug-Anleitung.

Prompt Injection über Tool-Ergebnisse

Auch das Ergebnis eines Tool-Aufrufs kann manipulierten Text enthalten, etwa wenn ein Tool eine präparierte Webseite oder ein Dokument liefert. Diese Inhalte landen wie normaler Kontext im Modell und können als Anweisung missverstanden werden.

Supply-Chain-Risiko

MCP-Server sind meist fremder Code, oft von kleinen, unabhängigen Projekten. Ein kompromittiertes Paket oder ein böswilliger Maintainer kann über ein Update nachträglich schädliches Verhalten einschleusen – wie bei jeder anderen Software-Abhängigkeit auch.

Die Least-Privilege-Regel

Verbinde nur Server, denen du vertraust, gib ihnen nur die Rechte, die ihre Aufgabe wirklich braucht, und bestätige riskante Aktionen manuell statt automatisch.

BEISPIEL

Vor dem Verbinden eines neuen MCP-Servers: Quellcode-Repository öffnen, die tatsächlichen Tool-Beschreibungen im Code suchen und auf versteckte Formulierungen wie 'IMPORTANT', 'ignore previous' oder ungewöhnliche Anweisungen prüfen, statt dem Server blind zu vertrauen, nur weil er in einer Liste empfohlener Server steht.

🛠️ ÜBUNG — MACH DAS BEI DIR

Prüfe einen MCP-Server, den du nutzt (oder nutzen willst), gegen die Least-Privilege-Checkliste.

Öffne den Quellcode (falls verfügbar) und lies die tatsächlichen Tool-Beschreibungen, nicht nur die Kurzbeschreibung in der Server-Liste.
Prüfe, welche Rechte/Ressourcen der Server tatsächlich anfordert – decken sie sich mit dem, was seine Aufgabe erfordert?
Prüfe, ob riskante Aktionen (Schreiben, Löschen, Netzwerk-Zugriff) eine Bestätigung verlangen oder automatisch laufen.
Entscheide bewusst, ob du dem Server aufgrund dieser Prüfung vertraust, oder schränke seine Rechte ein.

✅ SELBST-CHECK

☐ Hast du die tatsächlichen Tool-Beschreibungen gelesen, nicht nur die Kurzbeschreibung?
☐ Decken sich die angeforderten Rechte des Servers mit seiner eigentlichen Aufgabe?
☐ Verlangen riskante Aktionen wie Schreiben oder Löschen eine Bestätigung?

KURZ-QUIZ

Was ist eine 'Tool Poisoning Attack' bei MCP-Servern?