Mittwald MCP-Server: Ein Sicherheitsvorfall beim deutschen Webhoster zeigt, wie folgenreich die Verbindung von KI-Assistenten mit privilegierten Hosting-Konten sein kann. Nachdem Angreifer im Oktober Sitzungstokens über die MCP-Schnittstelle ausgelesen hatten, meldete Mittwald am 12. November 2026 erneute Angriffe und eine kompromittierte Unternehmenswebsite. Am 13. November wurden wichtige Verwaltungszugänge nach zusätzlichen Sicherheitsmaßnahmen wieder freigegeben.
Mittwald MCP-Server: Zwei Vorfälle, unterschiedliche Erkenntnisstände
Die offizielle FAQ von Mittwald beschreibt einen unbefugten Zugriff vom 27. Oktober 2026, der am 4. November entdeckt wurde. Betroffen war der MCP-Server, über den Kunden KI-Assistenten mit dem Verwaltungsportal mStudio verbinden konnten. Dabei wurden Sitzungs-Tokens ausgelesen, keine Passwörter. Nach Angaben des Anbieters konnten Angreifer damit auf Projekte zugreifen, für die die jeweiligen Nutzer berechtigt waren. Mittwald widerrief die Tokens und schaltete die Schnittstelle ab.
Am 12. November meldete das Unternehmen in seinem offiziellen Vorfallsprotokoll eine erneute Angriffswelle. Angreifer hätten eine Schwachstelle ausgenutzt und die Unternehmenswebsite kompromittiert. Kundencenter, mStudio und SSH-Zugänge wurden vorsorglich abgeschaltet. Dass auch dieser zweite Angriff technisch über den bereits deaktivierten MCP-Server erfolgte, ist damit nicht belegt. Die Golem-Berichterstattung vom 13. November ordnet den Vorfall ein, beruht aber teilweise auf den Betreiberangaben.
Was am 13. November wieder funktionierte
Nach der offiziellen Statusmeldung vom 13. November, 11:23 Uhr, waren mStudio und SSH wieder zugänglich; um 11:42 Uhr wurde auch das Kundencenter als vollständig erreichbar gemeldet. Die Unternehmenswebsite war laut Update von 14:04 Uhr wieder online. Mittwald erklärte, keine weiteren Fremdzugriffe festzustellen. Das ist eine Aussage des Betreibers zum damaligen Ermittlungsstand und kein unabhängiger Nachweis einer abgeschlossenen forensischen Untersuchung. Ein ausführliches Postmortem wurde angekündigt. Gehostete Kundenwebsites und E-Mail-Postfächer seien während der erneuten Abschaltungen erreichbar geblieben.
Warum Sitzungstokens so gefährlich sind
Ein Sitzungstoken bestätigt gegenüber einer Anwendung, dass eine bestimmte Sitzung authentifiziert ist. Wird es gestohlen und vom System akzeptiert, kann ein Angreifer unter Umständen mit den Berechtigungen des Nutzers handeln, ohne dessen Passwort zu kennen. Mehrfaktor-Authentifizierung beim ursprünglichen Login verhindert einen solchen Missbrauch nicht automatisch. Daher sind kurze Token-Lebensdauern, sichere Speicherung, Bindung an geeignete Kontexte, Widerrufbarkeit, Protokollierung und möglichst eng begrenzte Rechte besonders wichtig.
Das Model Context Protocol (MCP) ist ein technischer Standard zur Anbindung von KI-Anwendungen an Werkzeuge und Datenquellen. Das Protokoll ist nicht per se unsicher. Problematisch wird es, wenn ein verbundener Dienst weitreichende Berechtigungen besitzt und seine Authentifizierungs- oder Autorisierungsmechanismen kompromittiert werden. Eine Schnittstelle zu Hosting- oder Cloud-Verwaltung verdient deshalb dieselbe sorgfältige Sicherheitsprüfung wie ein privilegierter Administratorzugang.
War künstliche Intelligenz an den Angriffen beteiligt?
Mittwald geht nach eigenen Angaben von professionellen Angreifern aus, die automatisierte KI-Systeme nutzen. Welche Werkzeuge tatsächlich eingesetzt wurden und ob sie über herkömmliche Angriffsskripte hinausgingen, ist öffentlich bislang nicht unabhängig belegt. Aus hoher Angriffsgeschwindigkeit allein lässt sich der Einsatz generativer KI nicht sicher ableiten. Der konkrete, belegte Kern des Vorfalls bleibt die Kompromittierung einer privilegierten Schnittstelle und die erneute Ausnutzung einer Sicherheitslücke.
Was betroffene Nutzer und andere Betreiber prüfen sollten
- Betroffene MCP-Nutzer: Die individuellen Hinweise von Mittwald befolgen, das mStudio-Passwort ändern und Zwei-Faktor-Authentifizierung aktivieren.
- Zugänge kontrollieren: API-Keys, Projekt-Tokens, SSH-Schlüssel und SSH-Nutzer auf unbekannte Einträge prüfen; in Projekten gespeicherte Drittanbieter-Zugangsdaten gegebenenfalls erneuern.
- Rechte reduzieren: KI- und Automationsschnittstellen nur die für den konkreten Zweck erforderlichen Berechtigungen erteilen und separat widerrufbare Zugänge verwenden.
- Vorfälle untersuchen: Verdächtige Anmeldungen, neue Schlüssel, Änderungen an Konfigurationen und ungewöhnliche Datenabrufe nachvollziehbar protokollieren.
- Notbetrieb vorbereiten: Für zeitweise gesperrte Verwaltungsoberflächen dokumentierte Verfahren und erreichbare Ansprechpartner vorhalten.
Datenschutzrechtliche Einordnung
Wenn ein kompromittiertes Token unbefugten Zugriff auf personenbezogene Daten ermöglicht, kann eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO vorliegen. Ob eine Meldung nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigung nach Art. 34 DSGVO erforderlich ist, hängt von den tatsächlichen Datenzugriffen und Risiken ab. Nicht jede technische Schwachstelle oder vorübergehende Dienstabschaltung ist automatisch eine meldepflichtige Datenschutzverletzung. Verantwortliche und Auftragsverarbeiter müssen ihre jeweiligen Pflichten und vertraglichen Informationswege prüfen. Art. 32 DSGVO verlangt risikogerechte Maßnahmen zur Sicherheit der Verarbeitung.
NoDSB-Kommentar: KI-Schnittstellen sind privilegierte Zugänge
Der Fall zeigt nicht, dass KI-Assistenten grundsätzlich ungeeignet für die Systemverwaltung wären. Er zeigt vielmehr, dass eine komfortable Integration Sicherheitsgrenzen verschieben kann: Wer einem automatisierten Werkzeug weitreichende Kontorechte gibt, schafft einen zusätzlichen kritischen Zugang. Die entscheidende Frage ist deshalb nicht nur, was ein Assistent kann, sondern was er darf, wie seine Zugriffe überwacht werden und wie schnell sie sich vollständig sperren lassen. Die Interessen von Nutzern an komfortabler Verwaltung und von Anbietern an Innovation müssen mit überprüfbarer Sicherheit und Transparenz verbunden werden.
Quellen und NoDSB-Fachbibliothek
Primärquellen (deutsch): Mittwald, FAQ zum MCP-Sicherheitsvorfall; Mittwald, offizielles Vorfallsprotokoll, Updates bis 13.11.2026. Sekundärberichterstattung (deutsch): Golem, 13.11.2026.
Die Fachquelle „Mittwald – Sicherheitsvorfall am MCP-Server und Statusupdates (November 2026)“ ist in der NoDSB-Fachbibliothek verzeichnet. Ihre öffentliche Einzelansicht konnte beim externen Abruf nicht verifiziert werden; daher ist die Bibliotheksübersicht verlinkt. Weiterführend zu Risiken zentraler Dienste: NoDSB: Microsoft 365 Störung – Outlook-Ausfall und Cloud-Risiken.