Versatile AI Risk Assessment

KI-Bedrohungskatalog Anwendungs- und Integrationssicherheit Produktion

MCP-Hijacking (Model Context Protocol)

Das Model Context Protocol (MCP) verbindet KI-Assistenten standardisiert mit externen Werkzeugen und Datenquellen. Angreifer kapern MCP-Server oder manipulieren deren Werkzeugbeschreibungen und steuern darüber, was das KI-System sieht und tut.

Stand: Oktober 2026 · Katalogversion 2026.10.24.2 · 6 Gegenmaßnahmen · 19 belegte Quellen

Beschreibung

MCP-Server stellen einem KI-System Werkzeuge bereit und beschreiben sie in Manifesten (Beschreibungsdateien), denen das System vertraut. Angreifer setzen an mehreren Stellen an: Sie betreiben oder übernehmen einen MCP-Server, verteilen zunächst harmlose Server und liefern später ein bösartiges Update aus, vergiften Werkzeugbeschreibungen mit versteckten Anweisungen oder klinken sich in ungesicherte Verbindungen ein (Man-in-the-Middle, das Mitlesen und Verändern der Übertragung). Die manipulierten Inhalte erreichen das Modell als scheinbar vertrauenswürdiger Kontext und hebeln die Vertrauensgrenze zwischen Anwendung und Modell aus. Tausende frei verfügbare MCP-Server sind ohne einheitliche Sicherheitsprüfung im Umlauf.

Mögliche Auswirkung

Angreifer lesen mit, was durch den Assistenten fließt, darunter E-Mails, Dokumente und Zugangsdaten, lösen Befehle im Rahmen der Rechte des Assistenten aus oder leiten Ergebnisse still um. Weil alles über legitime Werkzeugaufrufe läuft, fällt der Angriff im Betrieb kaum auf. Es drohen Datenabfluss mit DSGVO-Folgen, manipulierte Arbeitsergebnisse und Kontrollverlust über angebundene Systeme.

Beispiel

Ein Team bindet einen frei verfügbaren MCP-Server für den E-Mail-Versand an seinen KI-Assistenten an. Nach mehreren unauffälligen Versionen verteilt der Anbieter ein Update, das jede versendete E-Mail als Blindkopie an den Angreifer weiterleitet.

Empfohlene Gegenmaßnahmen (6)

Vergleichen Sie Wirkung und Umsetzungsebene. Die ergänzende Einordnung und Begründung können Sie bei Bedarf aufklappen.

  • Authentifizierte MCP-Server-Verbindungen

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen.

  • Signierung und Verifikation von Tool-Manifesten

    Technisch
    Wirkung
    Präventiv, Aufdeckend
    Umsetzungsebene
    Anwendung, API & Agenten, Lieferkette
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Kryptografische oder maschinenprüfbare Merkmale sichern Vertraulichkeit, Integrität oder Herkunft; ergänzt durch verbindliche Abläufe.

  • TLS-geschützter MCP-Transport

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Infrastruktur
    Einordnung und Begründung

    Primär technisch: Kryptografische oder maschinenprüfbare Merkmale sichern Vertraulichkeit, Integrität oder Herkunft.

  • Allowlist zugelassener MCP-Server

    Technisch
    Wirkung
    Präventiv
    Umsetzungsebene
    Anwendung, API & Agenten, Organisation, Lieferkette
    Einordnung und Begründung

    Ergänzende MaßnahmenartGovernance & Compliance

    Primär technisch: Maschinell erzwungene Identitäts-, Berechtigungs- oder Bereichsregeln begrenzen unzulässige Zugriffe und Aktionen; ergänzt durch Regeln und Aufsicht.

  • Laufzeit-Integritätsprüfung der Tool-Definitionen

    Technisch
    Wirkung
    Präventiv, Aufdeckend
    Umsetzungsebene
    Anwendung, API & Agenten, Nutzung & Betrieb
    Einordnung und Begründung

    Primär technisch: Software oder Analysewerkzeuge erzeugen und bewerten systematisch Messwerte, Abweichungen oder Angriffsindikatoren.

  • Audit-Logging von MCP-Interaktionen

    Technisch
    Wirkung
    Aufdeckend
    Umsetzungsebene
    Anwendung, API & Agenten, Nutzung & Betrieb
    Einordnung und Begründung

    Ergänzende MaßnahmenartOrganisatorisch & prozessual

    Primär technisch: Software oder Analysewerkzeuge erzeugen und bewerten systematisch Messwerte, Abweichungen oder Angriffsindikatoren; ergänzt durch verbindliche Abläufe.

Standard-Zuordnungen

Verifizierte Fundstellen in OWASP, NIST AI RMF, MITRE ATLAS, EU AI Act und weiteren Rahmenwerken. Die Zuordnungen zeigen fachliche Bezüge. Sie belegen nicht, dass ein System die jeweiligen Anforderungen erfüllt.

OWASP LLM Top 10 ASI01:2026 · ASI02:2026 · ASI04:2026 · LLM01:2026 · LLM03:2026 · LLM06:2026NIST AI RMF Abschnitt 3.5 · NISTAML.015 · NISTAML.039MITRE ATLAS AML.T0048 · AML.T0051 · AML.T0053 · AML.T0109 · AML.T0110.000 · AML.T0110.001 · AML.T0115.002EU AI Act Article 14(4)(d) · Article 9(1), 9(2)(a), 9(2)(d)BSI R28

Belegte Referenzen (19)

Jede Referenz nennt Rahmenwerk, Fundstelle und die herausgebende Organisation.

Pflichten der KI-Verordnung zu dieser Bedrohung

Die Pflichten aus dem Pflichtenkompass, deren Artikel der Katalog dieser Bedrohung zuordnet. Jede führt auf ihren Eintrag mit Kern, Handlungsschritt und Nachweis; ob sie Sie trifft, hängt von Rolle und Risikoklasse ab.

  • Risikomanagementsystem einrichten und betreiben Art. 9 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028

    Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

  • Menschliche Aufsicht bei der Systemgestaltung berücksichtigen Art. 14 · gilt ab Anhang III: 2. Dezember 2027 · Anhang I: 2. August 2028

    Gesetzliche Rollen: Anbieter, Produkthersteller. Klassen: Hochrisiko nach Anhang III, Hochrisiko als Produkt oder Sicherheitsbauteil.

    Der Verweis ist ein Prüfanlass. Ein Bedrohungstreffer allein begründet keine Anwendbarkeit.

Alle 62 Pflichten nach Rolle, Risikoklasse und Frist im Pflichtenkompass

Begriffe auf dieser Seite

Fachbegriffe aus dem Glossar, die in diesem Eintrag vorkommen. Jeder Verweis führt zur vollständigen Erklärung.

Weitere Einträge aus der Themengruppe Anwendungs- und Integrationssicherheit.

Unsicherer Umgang mit Modellausgaben Die Anwendung reicht Antworten des KI-Modells ungeprüft an nachgelagerte Systeme weiter, etwa an Datenbanken, Webseiten oder Befehlszeilen. Unsicheres Tool-Design Viele KI-Anwendungen handeln selbst, indem sie über angebundene Werkzeuge (Tools) E-Mails versenden oder Datenbanken abfragen. Anwendungs-Schwachstellen Die Software rund um das KI-Modell, also Weboberfläche, Schnittstellen und Datenbanken, hat dieselben Schwachstellen wie jede andere …

Passende Anwendungsfälle

Die Liste zeigt, wo Sie diese Bedrohung prüfen, nicht wie hoch das Risiko ist.

Bei 5 weiteren Anwendungsfällen hängt es vom Aufbau des Systems ab, etwa davon, ob es über das Model Context Protocol (MCP) angebunden ist. Diese Anwendungsfälle zeigen

Häufige Fragen

Worum geht es bei dieser Bedrohung?
Das Model Context Protocol (MCP) verbindet KI-Assistenten standardisiert mit externen Werkzeugen und Datenquellen. Angreifer kapern MCP-Server oder manipulieren deren Werkzeugbeschreibungen und steuern darüber, was das KI-System sieht und tut.
Welche Gegenmaßnahmen nennt der Katalog?
Der Katalog nennt 6 Gegenmaßnahmen, jede mit Maßnahmenart, Wirkung und Umsetzungsebene. Beispiele sind: Authentifizierte MCP-Server-Verbindungen, Signierung und Verifikation von Tool-Manifesten und TLS-geschützter MCP-Transport. Die Reihenfolge ist keine Priorisierung.
Welche Pflichten der KI-Verordnung können relevant sein?
Der Katalog ordnet diese Bedrohung Art. 9 und Art. 14 der EU-KI-Verordnung zu. Daraus folgen im Pflichtenkompass: Risikomanagementsystem einrichten und betreiben und Menschliche Aufsicht bei der Systemgestaltung berücksichtigen. Ob eine Pflicht gilt, entscheiden Rolle, Risikoklasse und Frist.

Diese Bedrohung im eigenen System bewerten

Die Live-Demo enthält alle 52 Bedrohungen dieses Katalogs sowie die Einordnung nach der EU-KI-Verordnung und die Datenschutzprüfung. Die kostenlosen Einzelmodule decken KI-Risiko, EU-KI-VO und DSGVO ab. Ohne Registrierung; die Bewertung läuft lokal in Ihrem Browser.

Live-Demo starten Kostenlose Module ansehen

Diesen Eintrag zitieren

Für Berichte, Richtlinien oder interne Unterlagen; der Link führt direkt auf diesen Eintrag.

„MCP-Hijacking (Model Context Protocol)“. Versatile AI Risk Assessment, KI-Bedrohungskatalog, Stand Oktober 2026.
https://www.versatile-ai-risk-assessment.com/wissensbasis/bedrohungen/mcp-hijacking/

← Zurück zum vollständigen Katalog