MCP-Server ermöglichen KI-Agenten, auf interne Systeme zuzugreifen und Aktionen auszuführen – statt nur Antworten aus dem Modellkontext zu generieren. Genau diese Brücke zwischen Agent und Enterprise-Landschaft macht jedoch ein neues Sicherheitsproblem sichtbar: In vielen Setups liegen die wertvollsten Geheimnisse dort, wo der Zugriff stattfindet.
Wenn ein MCP-Server Credentials, API-Tokens und Service-Keys verarbeitet, wird aus einem „praktischen Integrationspunkt“ schnell ein Risiko. Häufig passiert die Exposition sogar dann, wenn Security-Teams noch nicht wissen, dass der Server überhaupt aktiv ist. Im Folgenden sehen Sie, wie MCP-Server Enterprise-Geheimnisse gefährden können – und was Sie konkret tun sollten.
Was MCP bedeutet und warum MCP-Server kritisch sind
Model Context Protocol (MCP) ist ein offener Standard, der ursprünglich von Anthropic eingeführt wurde. Er erlaubt KI-Assistenten, externe Tools und Daten zu nutzen. Damit kann ein Agent auf „Live“-Informationen zugreifen: zum Beispiel Datensätze aus einer Datenbank holen, Dateien öffnen oder APIs aufrufen.
Der Dreh- und Angelpunkt ist der MCP-Server. Er sitzt als Vermittler zwischen dem KI-Agenten und dem System, das der Agent verwenden möchte. Dabei legt er fest, welche Aktionen der Agent ausführen darf. Diese Mittlerrolle ist zugleich der Bereich mit dem höchsten Risiko: Um überhaupt handeln zu können, benötigt der MCP-Server häufig die Credentials des Zielsystems.
So können MCP-Server Geheimnisse offenlegen
Die Funktionalität von MCP ist für Automatisierung und Produktivität gedacht – doch die gleiche Infrastruktur kann zum „Hub“ für Zugangsdaten werden. Gerade weil sich der Ökosystem-Stack schnell weiterentwickelt, werden MCP-Server teils ohne die Schutzmechanismen betrieben, die man bei Produktionssystemen mit Sensitiven Keys erwarten würde.
Klartext-Zugangsdaten in Konfigurationsdateien
In vielen Umgebungen werden Token und Schlüssel in lokalen Konfigurationsdateien gespeichert. Häufig ist das Einrichten schnell erledigt: Man fügt eine Konfiguration ein, in der die Credentials bereits enthalten sind. Wenn diese Datei auf dem Datenträger liegt, kann sie leicht übersehen, versehentlich zwischen Maschinen kopiert oder unabsichtlich in ein Git-Repository übertragen werden.
Gelangen Angreifer an den MCP-Server, werden die dort gespeicherten Inhalte oft lesbar – im schlimmsten Fall betrifft das alle Geheimnisse, die der Server mitbringt.
Credential Sprawl durch fehlende zentrale Kontrolle
Ohne einen zentralen Ort für Secrets verwaltet letztlich jedes KI-Setup seine eigenen Zugangsdaten. Das Ergebnis: API-Keys und Tokens verteilen sich auf zahlreiche Konfigs und Environment-Variablen. Hinzu kommt, dass Kopien über Umgebungen hinweg entstehen – Entwicklung, Staging und Produktion.
Wenn niemand den vollständigen Überblick über alle Secrets hat, bleiben sie oft lange gültig. Selbst kleinste Lecks werden dann zu einem dauerhaften Einfallstor, weil die kompromittierten Werte nicht automatisch altern oder entwertet werden.
Prompt Injection als Umgehungsweg
Nicht jede Kompromittierung benötigt direkten Zugriff. Da KI-Agenten Informationen interpretieren und auf Basis der Inhalte Handlungen ableiten, kann ein Angreifer Anweisungen in Dokumenten, Tickets oder Webseiten „verstecken“, auf die der Agent zugreift.
Der Agent behandelt diese Hinweise dann als legitime Befehle – ein Phänomen, das als Prompt Injection beschrieben wird. So kann der Agent Tools missbrauchen oder Geheimnisse herausgeben, die eigentlich geschützt bleiben sollten.
Zu weitreichende Berechtigungen (Over-Permissioning)
Bei der Implementierung wird oft großzügig freigegeben, um Blockaden durch fehlende Rechte zu vermeiden. Wenn diese weiten Berechtigungen nicht konsequent begrenzt werden, landen sie später in produktiven Umgebungen.
Fehlt das Least-Privilege-Prinzip, kann eine einzige Kompromittierung sehr viel mehr ermöglichen als nötig: Ein angreifender Zugriff auf den MCP-Server führt dann zu einem größeren Zugriffsumfang auf Daten und Systeme.
Exponierte MCP-Server als Supply-Chain-Risiko
Ein weiterer Aspekt ist die Herkunft von MCP-Servern. Grundsätzlich kann jeder einen MCP-Server veröffentlichen. Das ist ein potenzielles Supply-Chain-Risiko: Verbindet man einen Agent mit einem nicht vertrauenswürdigen Server, kann dieser wiederum gegen die eigene Umgebung arbeiten.
In einem dokumentierten Fall wurde gezeigt, dass ein bösartiger MCP-Remote-Proxy OS-Command-Injection auslösen und dadurch Remote Code Execution ermöglichen kann. Das würde Angreifern helfen, an die Credentials zu gelangen, die der Proxy auf dem Client verarbeitet.
So sichern Sie Enterprise-Geheimnisse mit MCP-Servern
Da sich bei MCP der Ort und der Zugriff auf Secrets verändern, müssen Schutzmaßnahmen gezielt für diese neue KI-Schicht implementiert werden. Die folgenden Best Practices adressieren die typischen Expositionspfade – von der Ablage bis zur tatsächlichen Nutzung der Daten.
Secrets nicht hardcoden: zentralisieren und kontrollieren
Ein wichtiger Schritt ist, Credentials aus Konfigurationsdateien, Environment-Variablen und Quellcode herauszuziehen. Stattdessen sollten Agenten zur Laufzeit auf einen zentral verwalteten Secrets-Store zugreifen.
Das reduziert sowohl Klartext-Risiken als auch Credential Sprawl: Es gibt weniger verstreute Kopien, die potenziell übersehen werden, und der Zugriff folgt einer klaren Governance.
Nutzung mit kurzen Laufzeiten und automatischer Rotation
Statische Secrets sind für Angreifer wertvoll, weil sie sich nicht ändern. Verwenden Sie bevorzugt kurzlebige Zugangsdaten, die bei Bedarf ausgegeben und zeitnah ablaufen. Eine automatische Rotation verkürzt außerdem das Zeitfenster, in dem ein geleakter Wert noch nutzbar ist.
So wird ein kompromittiertes Secret nach der Exposition schnell entwertet – selbst wenn es irgendwo abgelegt oder abgefangen wurde.
Least Privilege konsequent durchsetzen
Jeder KI-Agent sollte nur das bekommen, was er für seine Aufgabe wirklich benötigt. Das bedeutet: restriktive Zugriffspfade, minimale Datensätze und begrenzte Tool-Nutzung.
Wenn ein MCP-Server kompromittiert wird, bleibt der Schadensumfang dadurch deutlich kleiner als bei überdimensionierten Berechtigungen.
Human-in-the-loop bei besonders sensiblen Aktionen
Für bestimmte Ereignisse sollte eine manuelle Bestätigung nötig sein – etwa wenn ein Agent ein Secret unmaskiert abruft, Datensätze löscht oder auf produktive Systeme zugreift.
Dieser Kontrollpunkt kann verhindern, dass eine Prompt Injection still und automatisch zu einer ernsthaften Sicherheitsverletzung eskaliert.
Verschlüsselung nach Zero-Trust-/Zero-Knowledge-Prinzip
Secrets sollten end-to-end verschlüsselt werden und nur im Moment der Verwendung entschlüsselt werden. Ein Zero-Knowledge-Ansatz stellt sicher, dass selbst bei einem kompromittierten Vault keine verwertbaren Klartextdaten auslesbar sind.
So bleibt der Wert der Geheimnisse geschützt, auch wenn Teile der Speicher- oder Plattforminfrastruktur betroffen sind.
Loggen und Auditing für Agent-Aktionen
Autonome Agenten handeln schnell und oft ohne direkte menschliche Interaktion. Deshalb brauchen Sie vollständige Protokolle: Welche Informationen hat der Agent abgerufen, wann hat er welche Aktionen ausgeführt, und über welche Tools?
Das ist wichtig für Compliance-Anforderungen, aber auch für Incident Response, um Ursache und Wirkung sauber nachzuvollziehen.
Inventarisieren: MCP-Server sichtbar machen
Was nicht erfasst ist, lässt sich nicht zuverlässig schützen. Halten Sie eine Übersicht über alle im Unternehmen laufenden MCP-Server und erkennen Sie „Shadow AI“ – ungemanagte Identitäten, die Credentials halten und in Security-Reviews unter dem Radar bleiben.
Mit einer regelmäßigen Inventur reduzieren Sie blinde Flecken und schaffen die Grundlage für strukturierte Kontrollen.
Secrets Management für KI-Agenten neu denken
MCP fügt eine zusätzliche Schicht in der Enterprise-Security hinzu: zwischen KI-Agenten und nahezu allen Systemen, die man schützen muss. In dieser Schicht befinden sich häufig genau die Zugangsdaten, die den Zugriff erst ermöglichen.
Damit MCP-Server nicht zum Risiko werden, müssen Sie die gleiche Disziplin anwenden wie bei anderen Produktionssystemen mit Sensitiven Daten. Zentralisierte Secrets, kontrollierte Zugriffswege, klare Genehmigungsprozesse und ein starkes Logging sind dabei der Kern.
Praktische Secrets-Management-Tools können zusätzlich helfen, Werte standardmäßig zu maskieren und eine Bestätigung zu verlangen, bevor ein Secret angezeigt oder übergeben wird. So können KI-Agenten Credentials nutzen, ohne dass sie dauerhaft ungeschützt in Dateien oder unübersichtlichen Umgebungen landen.
Fazit
MCP-Server machen KI-Agenten handlungsfähig – und genau deshalb müssen Enterprise-Geheimnisse besonders sorgfältig geschützt werden. Typische Schwachstellen liegen in Klartext-Konfigurationen, verstreuten und selten rotierten Credentials, Prompt Injection, zu breiten Berechtigungen sowie im Risiko, untrusted MCP-Server in die Kette einzubinden.
Mit zentralisiertem Secrets Management, kurzlebigen Zugangsdaten, Least-Privilege, Human-in-the-loop, starker Verschlüsselung, Audit-Logs und vollständiger Inventarisierung senken Sie das Risiko deutlich. So sichern Sie die MCP-Schicht ab, bevor sie zum Einfallstor für größere Sicherheitsvorfälle wird.
Quelle: https://thehackernews.com/2026/08/how-mcp-servers-can-expose-enterprise.html
