Das Model Context Protocol entscheidet zur Laufzeit, welches Werkzeug Ihr KI-Agent aufruft – auf Basis von Tool-Beschreibungen und abgerufenen Inhalten. Damit verschiebt sich die Vertrauensgrenze an eine Stelle, die klassische Bedrohungsmodelle nicht abbilden. Wir modellieren Ihre MCP-Landschaft systematisch: mit STRIDE als Einstieg, MAESTRO für die architektonische Verortung und den OWASP MCP Top 10 als Risikokatalog.
MCP bringt bewusst keine eigenen Sicherheitsmechanismen mit – die Spezifikation setzt voraus, dass Entwicklung und Security die üblichen Kontrollen selbst erzwingen. Gleichzeitig verhält sich ein MCP-Agent anders als jede klassische Anwendung: Er ist nicht deterministisch, entscheidet autonom über Werkzeugaufrufe und behandelt zurückgegebene Inhalte faktisch wie Anweisungen. Ein Bedrohungsmodell, das nur Datenflüsse zwischen Komponenten betrachtet, übersieht damit genau die Angriffspfade, die in der Praxis ausgenutzt werden – von manipulierten Tool-Beschreibungen bis zu Servern, die das Vertrauensmodell selbst unterlaufen.
Das Fehlen eingebauter Sicherheit in MCP ist kein Defekt, sondern unterstreicht die Erwartung, dass Entwickler die üblichen Sicherheits-Best-Practices umsetzen.
Red Canary (A Zscaler Company), Jesse Griggs, 2025
Kein Framework allein beschreibt eine MCP-Landschaft vollständig. Wir kombinieren drei – jedes beantwortet eine andere Frage.
Was kann schiefgehen?
Sechs zeitlose Kategorien – Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege. Schnell, verständlich und anschlussfähig an jede bestehende Security-Organisation. Der Einstieg, der Ihr Team sofort mitnimmt.
Wo genau sitzt die Bedrohung?
Das agentische Threat-Modeling-Framework der Cloud Security Alliance ordnet Bedrohungen sieben Architektur-Ebenen zu – vom Sprachmodell bis zum Agenten-Ökosystem – und macht Angriffsketten über Ebenengrenzen hinweg sichtbar. MCP selbst lebt auf Ebene 3.
Welche konkreten Risiken?
Zehn dokumentierte MCP-Risiken – von Token-Mismanagement über Tool Poisoning bis Context Over-Sharing. Sie liefern den Praxisbezug und die gemeinsame Sprache mit Entwicklung, Revision und Auditoren.
Diese Kombination ist kein Eigenbau: Die OWASP-Agentic-Security-Initiative bezeichnet MAESTRO ausdrücklich als umfassende Erweiterung von STRIDE für agentische Systeme. Die drei Linsen widersprechen sich nicht – sie schichten sich.
Sieben Ebenen, sieben Bedrohungsbilder. Die Zuordnung folgt dem OWASP Multi-Agentic System Threat Modeling Guide, dessen Threat-Modeling-Lead der MAESTRO-Autor selbst ist.
Tool Poisoning über manipulierte Beschreibungen, Client-Impersonation mit gestohlenen Credentials, unsichere JSON-RPC- und Streaming-Implementierungen, Schema-Abweichungen zwischen Client und Server, gegenseitige Beeinflussung mehrerer Clients an einem gemeinsamen Server.
Prompt Injection als adversariale Eingabe, kaskadierende Halluzinationen über mehrere Werkzeugaufrufe hinweg, unerwartete Code-Ausführung, Vergiftung des Agentengedächtnisses.
Exfiltration aus Vektordatenbanken und RAG-Pipelines über angebundene MCP-Server, semantische Drift in verbundenen Datenquellen, manipulierte Retrieval-Inhalte, die als Anweisung gelesen werden.
Ressourcenerschöpfung durch teure Werkzeugaufrufe, offengelegte Service-Accounts und Langzeit-Schlüssel, unbeabsichtigt aus dem Netz erreichbare MCP-Server, Container- und Orchestrierungsschwächen.
Fehlende Nachvollziehbarkeit und Abstreitbarkeit von Agentenhandlungen, unzureichendes Logging im MCP-Server, manipulierte oder selektiv gelöschte Protokolle – der blinde Fleck jeder späteren Forensik.
Rechteausweitung über zu breit ausgestellte Tokens, fehlende Isolation der Server-Berechtigungen und Verstöße gegen Least Privilege, Datenresidenz- und Compliance-Verletzungen durch die Wahl des Servers.
Bösartige MCP-Server, die sich als legitim ausgeben und damit das Vertrauensmodell selbst angreifen, Rogue Agents in Multi-Agenten-Verbünden, Vergiftung der Agentenkommunikation, manipulierte Registries und Tool-Discovery.
Die Bedrohungsbezeichnungen folgen der OWASP-Taxonomie für agentische Systeme; die Ebenenstruktur der MAESTRO-Referenzarchitektur der Cloud Security Alliance. Ebene 6 ist als Querschnittsebene über alle anderen definiert.
Damit Ihr Team nicht umlernen muss: die sechs bekannten Kategorien, jeweils mit dem konkreten MCP-Angriffsbild und dem passenden Eintrag aus den OWASP MCP Top 10.
Agenten haben von Haus aus keine eigene Identität. Client- und Server-Impersonation sowie gestohlene Zugangsdaten sind kaum von legitimem Verkehr zu unterscheiden.
MCP01 · MCP09Tool Poisoning: Was der Mensch in der Oberfläche liest, ist nicht zwingend das, was das Modell als Beschreibung erhält – und danach handelt.
MCP03Ohne eingebaute Identifier greift der Agent wie ein normaler Nutzer auf Systeme zu. Ohne gezielte Instrumentierung fehlt später die Zuordnung.
MCP08Fehlende Isolation vermischt vertrauliche und öffentliche Quellen im selben Kontext; Secrets und Langzeit-Schlüssel geraten in Agenten-Kontexte.
MCP10Ein Modell mit unbegrenztem Abfragewerkzeug erzeugt teure Queries und Lastspitzen – die Störung kommt aus dem eigenen Agenten, nicht von außen.
MCP05Confused Deputy und zu breit ausgestellte Tokens: Der Agent erbt Rechte, die dem eigentlichen Auftrag nie zustanden.
MCP02 · MCP07MCP01–MCP10 verweisen auf die OWASP Top 10 for Model Context Protocol (v0.1, Beta – Projekt in Pilotphase).
Der Mehrwert eines geschichteten Modells liegt genau dort, wo Angriffe die Schichten wechseln. Deshalb ist die Cross-Layer-Analyse bei uns ein eigener Arbeitsschritt – keine Fußnote.
Beispielkette aus der MAESTRO-Dokumentation: Eine Lücke in der Container-Infrastruktur gibt Zugriff auf eine laufende Agenteninstanz, über die Daten im Speicher vergiftet werden – die nächste Modellaktualisierung übernimmt die Manipulation dauerhaft.
Keine Folienschlacht, sondern Artefakte, mit denen Architektur, Betrieb und Revision weiterarbeiten können.
Ihre MCP-Landschaft dokumentiert: Hosts, Clients, angebundene Server, Werkzeuge, Ressourcen und Transportwege – mit explizit markierten Vertrauensgrenzen. Die Grundlage für jede weitere Diskussion.
Bedrohungen entlang der sieben MAESTRO-Ebenen, jeweils mit STRIDE-Kategorie, Angriffspfad und Bezug zu den OWASP MCP Top 10 – nachvollziehbar statt behauptet.
Die Pfade, die Ebenen wechseln, als durchgängige Szenarien modelliert – inklusive der Stelle, an der die Kette am günstigsten unterbrochen wird.
Jede Bedrohung bewertet nach Eintrittswahrscheinlichkeit und Wirkung, abgestimmt auf Ihre Risikomethodik – damit die Reihenfolge der Maßnahmen begründet ist und nicht diskutiert werden muss.
Konkrete Kontrollen je Ebene: begrenzte Werkzeuge statt grenzenloser Abfragen, Least Privilege je Tool, kurzlebige und audience-gebundene Tokens, Telemetrie – und wo ein MCP-Gateway als verbindlicher Kontrollpunkt trägt.
Das Modell so aufbereitet, dass es als Nachweis für ISO 27001, ISO/IEC 42001, EU AI Act, NIS2, DORA oder CRA verwendbar ist – eine Analyse, mehrfach verwertbar.
Sechs Schritte entlang der MAESTRO-Methodik – als Workshop-Format oder begleitend im Entwicklungszyklus.
Wir nehmen Ihre MCP-Landschaft auf und zerlegen sie entlang der sieben Ebenen: Welche Hosts und Clients gibt es, welche Server sind angebunden, welche Werkzeuge existieren, welche Daten und Rechte hängen daran – und wo verläuft welche Vertrauensgrenze.
Pro Ebene identifizieren wir die relevanten Angriffsklassen. STRIDE dient als Checkliste, damit keine Kategorie durchfällt; die OWASP MCP Top 10 liefern den dokumentierten Praxisbezug.
Wir modellieren Ketten, die Ebenen wechseln – Supply Chain, Lateral Movement, Privilege Escalation, Data Leakage und Goal-Misalignment-Kaskaden – und identifizieren die wirksamsten Bruchstellen.
Bewertung nach Eintrittswahrscheinlichkeit und Wirkung, eingepasst in Ihre bestehende Risikomethodik. Ergebnis ist eine begründete Priorisierung, keine Wunschliste.
Kontrollen je Ebene plus die KI-spezifischen Maßnahmen, die klassische Härtung nicht abdeckt. Wir benennen ausdrücklich, welche Risiken architektonisch gelöst werden müssen und welche sich mit Konfiguration erledigen.
Ein Bedrohungsmodell, das einmal entsteht und dann altert, ist wertlos. Wir verankern Telemetrie und Wiederholpunkte, damit das Modell bei jedem neuen Server und jedem Release mitwächst – auf Wunsch mit automatisierter Bedrohungsmodellierung im CI/CD.
Threat Modeling ist keine Fleißaufgabe, sondern liefert die Evidenz, die mehrere Regelwerke ohnehin von Ihnen verlangen.
Risikobasierte Steuerung, Zugriffskontrolle, Least Privilege und Protokollierung – belegt am konkreten System statt in der Policy.
Nachweis, dass Risiken des KI-Managementsystems systematisch bestimmt und behandelt werden – inklusive Agentenverhalten.
Grundlage für Risikomanagement und technische Dokumentation, wenn Ihre Agenten in regulierten Anwendungsfällen laufen.
Risikomanagement und Lieferkettensicherheit – angebundene MCP-Server sind Teil Ihrer digitalen Lieferkette.
IKT-Risikomanagement und Drittparteienrisiko im Finanzsektor, sauber auf die Agentenarchitektur angewendet.
Wenn Sie MCP-Server oder agentische Funktionen ausliefern: Bedrohungsanalyse als Teil der geforderten Sicherheitsdokumentation.
Im Erstgespräch klären wir in 30 Minuten, wie viele MCP-Server bei Ihnen tatsächlich angebunden sind, wo die Vertrauensgrenzen verlaufen und ob ein Workshop-Format oder eine begleitende Modellierung besser passt.
