When Model Context Protocol was announced in late 2024, it solved a real problem: AI assistants needed a standardised way to reach external systems without custom plumbing for every integration. The community adopted it rapidly. By mid-2026 there are thousands of publicly available MCP servers covering everything from Slack to database query engines to local file systems. What the community has not kept up with is the security posture those servers imply. Every MCP server you install is, in effect, a trusted agent that acts on your behalf — often with credentials it inherits from your ambient environment, often without any audit trail, and almost never with a formal permission boundary anyone has actually defined.

Als das Model Context Protocol Ende 2024 angekündigt wurde, löste es ein reales Problem: KI-Assistenten brauchten einen standardisierten Weg, externe Systeme zu erreichen, ohne für jede Integration eigene Verbindungsschichten bauen zu müssen. Die Community nahm es rasch an. Mitte 2026 gibt es bereits Tausende öffentlich verfügbarer MCP-Server — von Slack über Datenbankabfrage-Engines bis hin zu lokalen Dateisystemen. Was die Community nicht Schritt gehalten hat, ist die Sicherheitslage, die diese Server mit sich bringen. Jeder installierte MCP-Server ist de facto ein bevollmächtigter Agent, der in Ihrem Namen handelt — häufig mit Zugangsdaten, die er aus Ihrer Umgebung erbt, häufig ohne Prüfpfad und fast nie mit einer formal definierten Berechtigungsgrenze.

This is not a speculative threat model. It is a structural consequence of how MCP was designed, how it is distributed, and how development teams deploy it. Understanding the problem requires understanding each link in the chain.

Das ist kein spekulatives Bedrohungsmodell. Es ist eine strukturelle Konsequenz der Art, wie MCP entworfen, verteilt und von Entwicklungsteams eingesetzt wird. Das Problem zu verstehen heißt, jedes Glied der Kette zu verstehen.

The trust model MCP does not provide

Das Vertrauensmodell, das MCP nicht liefert

MCP's architecture is straightforward: a host application (your AI assistant, your IDE plugin, your agent runtime) connects to one or more MCP servers over a local socket or HTTP transport. The servers expose tools — callable functions the host can invoke. The AI decides which tool to call based on the conversation. The tool executes and returns results. Simple, composable, powerful.

Die MCP-Architektur ist überschaubar: Eine Host-Anwendung — Ihr KI-Assistent, Ihr IDE-Plugin, Ihre Agent-Runtime — verbindet sich über einen lokalen Socket oder HTTP-Transport mit einem oder mehreren MCP-Servern. Die Server stellen Tools bereit — aufrufbare Funktionen, die der Host nutzen kann. Die KI entscheidet anhand des Gesprächsverlaufs, welches Tool sie aufruft. Das Tool wird ausgeführt und gibt ein Ergebnis zurück. Schlicht, komponierbar, mächtig.

The trust model embedded in that design is almost entirely delegated to the host. The specification does not mandate that servers declare a capability manifest before receiving credentials. It does not require that tool calls be logged to an immutable audit trail. It does not distinguish between read-only and write-capable tools at the protocol level in a way that forces host applications to gate them separately. A server that exposes a send_email tool and a server that exposes a read_file tool are, from the protocol's perspective, peers. The host can differentiate them — but only if the host is built to do so, and only if the server is honest about what it does.

Das Vertrauensmodell, das in diesem Design steckt, wird fast vollständig an den Host delegiert. Die Spezifikation schreibt nicht vor, dass Server eine Fähigkeitsdeklaration abgeben müssen, bevor sie Zugangsdaten erhalten. Sie verlangt keine unveränderliche Protokollierung von Tool-Aufrufen. Sie unterscheidet auf Protokollebene nicht zwischen lesenden und schreibenden Tools auf eine Weise, die Host-Anwendungen zwingen würde, sie separat zu behandeln. Ein Server, der ein send_email-Tool exponiert, und ein Server, der ein read_file-Tool exponiert, sind aus Sicht des Protokolls gleichrangig. Der Host kann zwischen ihnen unterscheiden — aber nur, wenn er dafür ausgelegt ist und der Server ehrlich beschreibt, was er tut.

The specification does not mandate a permission manifest, does not require immutable audit logging, and does not distinguish read from write at the protocol level. Every enforcement gap is filled — or not filled — by the individual host implementation.

Die Spezifikation schreibt kein Berechtigungs-Manifest vor, fordert keine unveränderliche Protokollierung und unterscheidet lesende von schreibenden Zugriffen nicht auf Protokollebene. Jede Durchsetzungslücke wird — oder wird nicht — durch die jeweilige Host-Implementierung geschlossen.

This is where the OWASP Top 10 for LLM Applications intersects with MCP in uncomfortable ways. The list has long included prompt injection — attackers embedding instructions into content that an AI reads and then acts upon — as the leading vulnerability class. In a pre-MCP world, a successful prompt injection might cause an AI to produce misleading text. In a post-MCP world, it can cause the AI to invoke a tool that sends a network request, writes a file, or exfiltrates a credential. The semantic gap between "generate some text" and "execute a system action" has closed, but the security controls did not close with it.

Hier schneiden sich die OWASP Top 10 für LLM-Anwendungen mit MCP auf eine unbequeme Weise. Prompt Injection — Angreifer betten Anweisungen in Inhalte ein, die eine KI liest und dann befolgt — steht seit Langem als führende Schwachstellenklasse auf dieser Liste. In einer Welt ohne MCP konnte eine erfolgreiche Prompt-Injektion eine KI dazu bringen, irreführenden Text zu erzeugen. In einer Welt mit MCP kann sie die KI veranlassen, ein Tool aufzurufen, das eine Netzwerkanfrage absendet, eine Datei schreibt oder ein Zugangsdatum exfiltriert. Die semantische Lücke zwischen „erzeuge Text" und „führe eine Systemaktion aus" hat sich geschlossen — die Sicherheitsmaßnahmen taten es nicht.

The attack surface, spelled out

Die Angriffsfläche, klar benannt

Consider a representative scenario — not a named incident, but a straightforward chain of events that follows from how these systems are assembled in practice.

Betrachten wir ein repräsentatives Szenario — keinen konkreten Vorfall, sondern eine schlichte Ereigniskette, die sich aus der Praxis ergibt, in der solche Systeme zusammengestellt werden.

An agent is given access to an MCP server for email, a server for a project management system, and a server for file system access. A document the agent is asked to summarise contains a hidden instruction — visually indistinguishable from normal text at the rendering layer — that tells the AI to forward a copy of a specific directory to an external endpoint using the email server tool. The AI, following its general-purpose instruction to be helpful and complete tasks, does so. No human approved the specific action. No alert fired. The audit trail, if one exists at all, records only that the email tool was invoked — not why, and not that the invocation was adversarially induced.

Ein Agent erhält Zugriff auf einen MCP-Server für E-Mail, einen für ein Projektmanagementsystem und einen für das Dateisystem. Ein Dokument, das der Agent zusammenfassen soll, enthält eine versteckte Anweisung — auf der Darstellungsebene optisch nicht von normalem Text zu unterscheiden —, die der KI befiehlt, eine Kopie eines bestimmten Verzeichnisses über das E-Mail-Tool an einen externen Endpunkt weiterzuleiten. Die KI befolgt die Anweisung, weil sie darauf ausgelegt ist, hilfreich zu sein und Aufgaben zu erledigen. Kein Mensch hat die konkrete Aktion genehmigt. Kein Alarm hat ausgelöst. Das Protokoll — sofern überhaupt eines existiert — verzeichnet lediglich, dass das E-Mail-Tool aufgerufen wurde; nicht warum, und nicht, dass der Aufruf durch eine eingeschleuste Anweisung ausgelöst wurde.

The vulnerability is real because each component in that chain is functioning correctly. The file server is doing what it was configured to do. The email server is doing what it was configured to do. The AI is following instructions. The flaw is in the composition: no layer in the stack asked whether the instruction to send that email was legitimate, in-scope, or consistent with the user's actual intent.

Die Schwachstelle ist real, weil jede Komponente dieser Kette korrekt funktioniert. Der Dateiserver tut, wofür er konfiguriert wurde. Der E-Mail-Server tut, wofür er konfiguriert wurde. Die KI befolgt Anweisungen. Der Fehler liegt in der Komposition: Keine Schicht des Stacks hat gefragt, ob die Anweisung, diese E-Mail zu versenden, legitim, im zulässigen Rahmen oder mit der tatsächlichen Absicht des Nutzers vereinbar war.

This is precisely what OWASP LLM04 (Model Denial of Service) and LLM07 (Insecure Plugin Design) are pointing at when applied to agentic architectures. Insecure plugin design, specifically, captures the failure mode where a tool is given more authority than any single action it performs actually requires — and where that excess authority becomes the attack surface. An email tool that can send to arbitrary external addresses is not a scoped tool. It is a data exfiltration primitive waiting to be triggered.

Genau darauf zielen OWASP LLM04 (Model Denial of Service) und LLM07 (Insecure Plugin Design) ab, wenn sie auf agentische Architekturen angewendet werden. Insecure Plugin Design erfasst konkret das Fehlermuster, bei dem ein Tool mehr Befugnisse erhält, als für die einzelne Aktion tatsächlich erforderlich wäre — und bei dem diese überschüssige Befugnis zur Angriffsfläche wird. Ein E-Mail-Tool, das an beliebige externe Adressen senden kann, ist kein abgegrenztes Tool. Es ist ein Datenexfiltrations-Primitiv, das nur darauf wartet, ausgelöst zu werden.

What least privilege actually means for MCP

Was Least Privilege für MCP tatsächlich bedeutet

Least privilege is not a new concept. Unix permissions, OAuth scopes, IAM policies — these are all instantiations of the same principle: grant the minimum access necessary for the task, and no more. Applying it to MCP servers requires making explicit what has so far been left implicit.

Least Privilege ist kein neues Konzept. Unix-Berechtigungen, OAuth-Scopes, IAM-Richtlinien — all das sind Ausprägungen desselben Grundsatzes: Gewähre den für die Aufgabe minimal notwendigen Zugriff, nicht mehr. Die Anwendung auf MCP-Server erfordert, explizit zu machen, was bisher implizit geblieben ist.

The first step is a tool capability inventory. Before any MCP server is connected to a production or semi-production environment, the engineering team should produce a written answer to three questions: What is the complete list of tools this server exposes? For each tool, what is the maximum blast radius of a single invocation — what is the worst-case action it could perform? And which of those tools have write, send, or execute capabilities versus read-only capabilities? Most teams skipping this step are not doing so out of negligence — they are doing so because the MCP ecosystem does not make it easy to answer these questions without reading the server's source code.

Der erste Schritt ist ein Tool-Fähigkeitsinventar. Bevor ein MCP-Server mit einer Produktions- oder Quasi-Produktionsumgebung verbunden wird, sollte das Engineering-Team schriftliche Antworten auf drei Fragen vorlegen: Was ist die vollständige Liste der Tools, die dieser Server bereitstellt? Was ist für jedes Tool der maximale Schadensradius eines einzelnen Aufrufs — die schlimmstmögliche Aktion, die er ausführen könnte? Und welche dieser Tools besitzen Schreib-, Sende- oder Ausführungskapazitäten im Unterschied zu reinen Leserechten? Die meisten Teams, die diesen Schritt überspringen, tun dies nicht aus Fahrlässigkeit — sondern weil das MCP-Ökosystem es nicht leicht macht, diese Fragen zu beantworten, ohne den Quellcode des Servers zu lesen.

The second step is credential scoping. MCP servers inherit credentials from their environment — typically environment variables, config files, or token stores. An MCP server that reads from a database should not be running under credentials that can also write to or drop that database. An email MCP server should be operating against an API token scoped to a specific sending address and explicitly blocked from accessing the inbox. This sounds obvious stated plainly, but in practice it is violated almost universally, because setting up narrow credentials requires more effort than setting up broad ones, and the development loop rarely surfaces the risk until something has gone wrong.

Der zweite Schritt ist das Eingrenzen von Zugangsdaten. MCP-Server erben Credentials aus ihrer Umgebung — typischerweise Umgebungsvariablen, Konfigurationsdateien oder Token-Stores. Ein MCP-Server, der aus einer Datenbank liest, sollte nicht unter Zugangsdaten laufen, die auch Schreib- oder Löschoperationen auf dieser Datenbank erlauben. Ein E-Mail-MCP-Server sollte mit einem API-Token betrieben werden, das auf eine bestimmte Absenderadresse beschränkt und ausdrücklich vom Zugriff auf den Posteingang ausgeschlossen ist. Das klingt banal formuliert — in der Praxis wird es nahezu universell missachtet, weil enge Credentials mehr Aufwand bedeuten als breite, und der Entwicklungszyklus das Risiko selten sichtbar macht, bevor etwas schiefgelaufen ist.

The third step is sandboxing the server process itself. An MCP server running as a subprocess of a development environment inherits that environment's network access, file system access, and identity. A server running in a container with explicit deny-all network policy — with only the specific egress routes it needs carved out — has a dramatically smaller blast radius if it misbehaves or is weaponised by an injected instruction. Container-level isolation is not a complete solution, but it is a meaningful constraint on what a compromised or abused server can do.

Der dritte Schritt ist das Sandboxing des Server-Prozesses selbst. Ein MCP-Server, der als Subprocess einer Entwicklungsumgebung läuft, erbt deren Netzwerkzugang, Dateisystemzugang und Identität. Ein Server, der in einem Container mit expliziter Deny-all-Netzwerkrichtlinie läuft — mit nur den spezifisch freigegebenen Ausgangsrouten —, hat bei Fehlverhalten oder bei einer missbräuchlichen Anweisung einen dramatisch kleineren Schadensradius. Isolation auf Container-Ebene ist keine vollständige Lösung, aber eine wirkungsvolle Einschränkung dessen, was ein kompromittierter oder missbrauchter Server anrichten kann.

The fourth step, and the one most often skipped, is structured logging at the tool invocation layer. Every tool call an AI makes through MCP should produce a log entry that captures: which tool was called, with what arguments, at what time, and in response to what conversational context. This is not optional telemetry — it is the forensic record that tells you whether a tool invocation was legitimate or adversarially induced. Without it, you cannot audit after the fact, and you cannot detect patterns that indicate ongoing abuse.

Der vierte Schritt — und jener, der am häufigsten übersprungen wird — ist strukturiertes Logging auf der Tool-Aufrufebene. Jeder Tool-Aufruf, den eine KI über MCP tätigt, sollte einen Protokolleintrag erzeugen, der festhält: welches Tool aufgerufen wurde, mit welchen Argumenten, zu welchem Zeitpunkt und in Reaktion auf welchen Gesprächskontext. Das ist keine optionale Telemetrie — es ist die forensische Aufzeichnung, die verrät, ob ein Tool-Aufruf legitim oder durch eine eingeschleuste Anweisung ausgelöst wurde. Ohne sie kann weder im Nachhinein geprüft noch können Muster erkannt werden, die auf anhaltenden Missbrauch hinweisen.

The supply chain nobody is vetting

Die Lieferkette, die niemand prüft

Individual server hygiene is necessary but not sufficient. The broader problem is ecosystem-level: MCP servers are distributed through package registries, GitHub repositories, and increasingly through aggregator directories that surface community-built integrations. There is no signing requirement. There is no automated security review gate. A server that appeared legitimate six months ago may have received a dependency update that introduced a vulnerability, or may have changed maintainership, or may simply have always contained logic that exfiltrates tokens to a remote endpoint on first run.

Hygiene auf Ebene einzelner Server ist notwendig, aber nicht hinreichend. Das eigentliche Problem liegt auf Ökosystemebene: MCP-Server werden über Paketregister, GitHub-Repositories und zunehmend über Aggregator-Verzeichnisse verteilt, die Community-Integrationen aggregieren. Es gibt keine Signaturpflicht. Es gibt kein automatisches Sicherheits-Review-Gate. Ein Server, der vor sechs Monaten legitim wirkte, kann seitdem ein Dependency-Update erhalten haben, das eine Schwachstelle eingeführt hat, den Maintainer gewechselt haben oder schlicht von Anfang an Logik enthalten haben, die Token beim ersten Lauf an einen Remote-Endpunkt exfiltriert.

This is the software supply chain problem, applied to a class of software that executes in a position of exceptional trust. A compromised npm package in a web application can deface a UI. A compromised MCP server in an agentic environment can, depending on what tools it exposes, read credentials, exfiltrate files, or send communications on behalf of the user — all while the AI reasons that it is completing a legitimate task.

Das ist das Software-Supply-Chain-Problem, angewendet auf eine Softwareklasse, die in einer Position außerordentlichen Vertrauens ausgeführt wird. Ein kompromittiertes npm-Paket in einer Webanwendung kann eine Benutzeroberfläche verunstalten. Ein kompromittierter MCP-Server in einer agentischen Umgebung kann — je nach den bereitgestellten Tools — Zugangsdaten auslesen, Dateien exfiltrieren oder Kommunikation im Namen des Nutzers versenden, während die KI überzeugt ist, eine legitime Aufgabe zu erledigen.

A compromised MCP server does not need to exploit a software vulnerability. It needs only to be connected and trusted. The tool call surface is the vulnerability.

Ein kompromittierter MCP-Server muss keine Softwareschwachstelle ausnutzen. Er muss nur verbunden und als vertrauenswürdig eingestuft sein. Die Tool-Aufruffläche ist die Schwachstelle.

The practical mitigation is to treat MCP servers from the community with the same scrutiny applied to third-party code that handles sensitive data — because that is what they are. Pin versions. Review source at the point of installation. Monitor for dependency changes. Prefer servers maintained by organisations with a security disclosure process. This is due diligence, not paranoia. The alternative is accepting that your AI assistant's tool surface is defined by whoever uploaded a package last week.

Die praktische Gegenmaßnahme besteht darin, Community-MCP-Server mit der gleichen Sorgfalt zu behandeln wie Drittanbieter-Code, der mit sensiblen Daten umgeht — denn genau das sind sie. Versionen pinnen. Quellcode beim Installationszeitpunkt prüfen. Dependency-Änderungen überwachen. Server bevorzugen, die von Organisationen mit einem Security-Disclosure-Prozess gepflegt werden. Das ist gebotene Sorgfalt, keine Paranoia. Die Alternative ist die Akzeptanz, dass die Tool-Oberfläche Ihres KI-Assistenten von jemandem definiert wird, der letzte Woche ein Paket hochgeladen hat.

What a reviewed setup looks like

Wie eine geprüfte Konfiguration aussieht

A least-privilege MCP configuration is not maximally restrictive — it is precisely restrictive. The distinction matters because over-restriction defeats the purpose of MCP. The goal is not to connect zero servers; it is to connect the right servers with the right scope under the right monitoring.

Eine Least-Privilege-MCP-Konfiguration ist nicht maximal restriktiv — sie ist präzise restriktiv. Der Unterschied ist entscheidend, weil übermäßige Einschränkung den Zweck von MCP zunichte macht. Das Ziel ist nicht, null Server anzubinden; es ist, die richtigen Server mit dem richtigen Scope unter der richtigen Überwachung anzubinden.

In practice, a reviewed setup separates servers by capability tier. Read-only servers — those that can query but not modify — run under read-scoped credentials and are treated as lower risk. Write-capable servers — those that can send, create, modify, or delete — run under narrowly scoped credentials, are sandboxed at the process or container level, and trigger a confirmation step before any irreversible action. Execute-capable servers — those that can run shell commands, invoke arbitrary APIs, or spawn subprocesses — are treated as critical infrastructure and require explicit human approval on every non-routine invocation.

In der Praxis trennt eine geprüfte Konfiguration Server nach Fähigkeitsstufen. Rein lesende Server — jene, die abfragen, aber nicht verändern können — laufen unter lesebeschränkten Credentials und werden als geringeres Risiko behandelt. Schreibfähige Server — jene, die senden, erstellen, ändern oder löschen können — laufen unter eng gefassten Credentials, sind auf Prozess- oder Container-Ebene sandboxed und lösen vor jeder irreversiblen Aktion einen Bestätigungsschritt aus. Ausführungsfähige Server — jene, die Shell-Befehle ausführen, beliebige APIs aufrufen oder Subprozesse spawnen können — werden als kritische Infrastruktur behandelt und erfordern bei jedem nicht-routinemäßigen Aufruf eine ausdrückliche menschliche Genehmigung.

The AI host is configured with a tool policy that reflects this tiering. Read calls proceed autonomously. Write calls are surfaced for review when the invocation was triggered by content the AI processed rather than a direct user instruction. Execute calls always pause for confirmation. This is not a perfect defence — a sufficiently sophisticated injection can still manipulate the framing of a request — but it eliminates the class of attacks that rely on silent execution. Most prompt injection attacks targeting tool calls are not sophisticated. They are opportunistic, relying on the fact that nothing pauses to ask whether this action was really what the user intended.

Der KI-Host ist mit einer Tool-Richtlinie konfiguriert, die diese Stufung abbildet. Leseaufrufe erfolgen autonom. Schreibaufrufe werden zur Überprüfung vorgelegt, wenn der Aufruf durch verarbeitete Inhalte und nicht durch eine direkte Nutzeranweisung ausgelöst wurde. Ausführungsaufrufe werden stets zur Bestätigung angehalten. Das ist keine perfekte Verteidigung — eine hinreichend raffinierte Injektion kann noch immer die Rahmung einer Anfrage manipulieren — aber es eliminiert die Klasse von Angriffen, die auf stille Ausführung setzen. Die meisten Prompt-Injection-Angriffe auf Tool-Aufrufe sind nicht raffiniert. Sie sind opportunistisch und setzen darauf, dass nichts innehält und fragt, ob diese Aktion wirklich dem Willen des Nutzers entspricht.

The MCP Verdicts desk at KOCA tracks server security posture, trust model gaps, and emerging best practice as the ecosystem matures. Community submissions and red-team findings welcome.

Der MCP-Urteile-Desk von KOCA verfolgt die Sicherheitslage von Servern, Lücken im Vertrauensmodell und aufkommende Best Practices im reifenden Ökosystem. Einsendungen aus der Community und Red-Team-Befunde sind willkommen.