MCP-Server geben KI-Assistenten Zugriff auf echte Daten und Werkzeuge – von Dateien bis zum Google-Ads-Konto. Genau deshalb ist die Sicherheitsfrage berechtigt: Wer sich in Foren umsieht, findet neben Begeisterung auch Formulierungen wie „Sicherheits-Albtraum". Dieser Artikel ordnet ein, welche Risiken real sind – und woran du einen Server erkennst, dem du Zugriff geben kannst.
Ja, MCP-Server können sicher betrieben werden – der offene Standard bringt dafür klare Schutzregeln mit, von der OAuth-Anmeldung mit Zustimmung bis zum Verbot, fremde Zugangs-Token weiterzureichen. Ob ein konkreter MCP-Server sicher ist, hängt aber von seiner Umsetzung ab: Entscheidend sind geprüfte Herkunft, abgestufte Berechtigungen und eine nachvollziehbare Datenverarbeitung.
Wo die echten Risiken liegen
Die Sorgen aus Foren und Fachpresse sind nicht erfunden. Vier Risiken solltest du kennen:
- Prompt Injection: Manipulierte Inhalte – etwa eine präparierte Webseite oder ein Dokument – schleusen Anweisungen an die KI ein. Das BSI stuft indirekte Prompt Injections als eingebaute Schwachstelle von KI-Sprachmodellen ein. Brisant wird das, wenn die KI über MCP-Werkzeuge auch handeln kann.
- Fremde, ungeprüfte Server: Wer eine beliebige Server-URL mit seinem Konto verbindet, vertraut dem Betreiber dahinter. Ein bösartiger Server kann Werkzeug-Beschreibungen mit versteckten Anweisungen versehen oder Daten abgreifen.
- Zu breite Berechtigungen: Ein Zugang, der von Anfang an alles darf, richtet im Ernstfall den größten Schaden an – etwa wenn ein Zugangs-Token in falsche Hände gerät.
- Übernommene Sitzungen: Vorhersehbare Sitzungs-Kennungen können erraten und missbraucht werden – ein bekannter Angriffsweg auf schlecht gebaute Server.
Verbinde niemals eine MCP-Server-URL aus einem Forum oder Verzeichnis ungeprüft mit deinem Google-Konto. Der Betreiber des Servers sieht, was du ihm freigibst – und du kennst ihn nicht.
Was der offizielle MCP-Standard vorschreibt
Das Model Context Protocol (MCP) ist der offene Standard hinter diesen Servern – und er lässt Sicherheit nicht offen. Die Security Best Practices der MCP-Spezifikation verlangen unter anderem:
- OAuth-Anmeldung mit echter Zustimmung: Jeder Client braucht die ausdrückliche Freigabe des Nutzers – gegen Angriffe, bei denen sich Dritte eine bestehende Zustimmung erschleichen.
- Verbot der Token-Weitergabe: Ein Server darf nur Zugangs-Token akzeptieren, die für ihn selbst ausgestellt wurden – das „Durchreichen" fremder Token ist ausdrücklich untersagt.
- Sichere Sitzungen: Zufällige, nicht erratbare Sitzungs-Kennungen, die nicht als Login-Ersatz dienen dürfen.
- So wenig Rechte wie möglich: Die Spezifikation empfiehlt minimale Startberechtigungen, die erst bei Bedarf erweitert werden – statt Vollzugriff ab der ersten Minute.
Der Standard schreibt vor – ob ein konkreter Server sich daran hält, siehst du ihm von außen nicht an. Genau dafür gibt es die Kriterien weiter unten.
Lokal oder gehostet – was ist sicherer?
Beides kann sicher sein, die Risiken verteilen sich nur anders:
- Lokaler Server: Läuft auf deinem Rechner, die Daten bleiben bei dir – volle Kontrolle. Dafür installierst du ausführbaren Code: Die Spezifikation warnt ausdrücklich vor kompromittierten lokalen Servern, und um Updates und sichere Konfiguration kümmerst du dich selbst. Bei Open-Source-Servern gilt: Code vor der Nutzung prüfen – bei öffentlichen Repositories kannst du diese Prüfung auch von einer KI machen lassen.
- Gehosteter Server: Der Betreiber übernimmt Härtung, Updates und den sicheren Umgang mit Zugangs-Token – du verbindest nur eine URL und meldest dich per Google-Login an. Dafür musst du dem Betreiber vertrauen können. Wie ein gehosteter Server abgestufte Berechtigungen in der Praxis umsetzt, siehst du am Beispiel des Google-Ads-MCP: Schreibzugriffe sind eine eigene Stufe, und neue Kampagnen werden grundsätzlich pausiert angelegt.
Dieses Vertrauen ist prüfbar – und die folgenden Kriterien gelten für jeden Anbieter, auch für mcpwerk.
Woran du einen vertrauenswürdigen MCP-Server erkennst
Aus der Praxis heraus prüfe ich jeden fremden MCP-Server nach derselben Liste, bevor er eine Verbindung bekommt:
- Geprüfte Herkunft: Der Server ist in den offiziellen Verzeichnissen der KI-Anbieter gelistet oder stammt aus einer nachvollziehbaren Quelle. Ein Repository von einer unbekannten Seite bekommt keine Verbindung – egal, wie praktisch das Werkzeug klingt.
- OAuth statt API-Schlüssel: Die Anmeldung läuft über den Google-Login mit Zustimmungsbildschirm. Ein Server, der dich Schlüssel oder Passwörter in ein Formular eintragen lässt, ist ein Warnsignal.
- Abgestufte Berechtigungen: Lesen und Schreiben sind getrennt, Schreibrechte schaltest du explizit frei. Beim Bau von mcpwerk war das die schwierigste Abwägung: Die Kampagnen-Erstellung ist das attraktivste Feature – und zugleich das riskanteste. Gelöst haben wir es dreifach: Erstellen ist eine eigene Stufe mit ausdrücklichem Opt-in, jede neue Kampagne startet pausiert, und nicht freigeschaltete Befehle sind für die KI nicht einmal sichtbar – statt nur blockiert.
- Protokollierung: Jeder schreibende Aufruf wird festgehalten und ist nachvollziehbar.
- Klare Datenverarbeitung: Der Anbieter benennt Serverstandort, Vertragsgrundlage und was gespeichert wird. Bei mcpwerk steht das auf der Sicherheitsseite: Daten werden durchgeleitet, nicht gespeichert.
- Jederzeit widerrufbar: Den Zugriff kannst du in deinem Google-Konto unter „Verbindungen zu Drittanbieter-Apps" jederzeit beenden.
So schützt du dein Google-Konto konkret
- Starte jeden neuen MCP mit der Stufe „Lesen" – auswerten kann nichts verändern.
- Teste den Workflow mit harmlosen Fragen und schau dir an, wie der Server antwortet.
- Frag den Server direkt, was er kann – der Prompt unten stammt aus meinem eigenen Alltag.
- Schalte Schreibrechte erst frei, wenn du den Workflow kennst – und prüfe deine Verbindungen regelmäßig im Google-Konto.
Welche Sachen kannst du verwenden – und was davon kann schreiben oder verändern?Erst lesen, dann schreiben: Starte jeden MCP mit der Stufe „Lesen" und schalte „Bearbeiten" erst frei, wenn du den Workflow kennst.
Die gehosteten mcpwerk-MCPs trennen Lesen, Bearbeiten und Veröffentlichen als eigene Stufen, protokollieren jeden Schreibzugriff und leiten deine Daten nur durch – Server in Nürnberg, 7 Tage kostenlos testen.
Google Ads MCP ansehen →Häufige Fragen
Ist MCP als Protokoll sicher?
Der Standard selbst bringt klare Schutzregeln mit – OAuth-Anmeldung, Verbot der Token-Weitergabe, sichere Sitzungen. Sicherheit entsteht aber erst in der Umsetzung: Ein Server kann den Standard sauber umsetzen oder schlampig. Deshalb zählt die Prüfung des konkreten Anbieters mehr als das Protokoll-Logo.
Ist ein MCP-Server DSGVO-konform?
Das hängt vom Betreiber ab, nicht vom Protokoll. Prüfkriterien sind ein Auftragsverarbeitungsvertrag, der Serverstandort, Datenminimierung und klare Angaben, was gespeichert wird – die Anforderungen dazu stammen aus der Datenschutz-Grundverordnung. Das ist eine redaktionelle Einordnung, keine Rechtsberatung.
Was ist Prompt Injection – und betrifft mich das?
Eingeschleuste Anweisungen in Inhalten, die die KI verarbeitet – laut BSI eine eingebaute Schwachstelle von Sprachmodellen. Dich betrifft das vor allem, wenn deine KI über Werkzeuge handeln darf: Dann helfen abgestufte Rechte und der Grundsatz, Schreibzugriffe bewusst freizuschalten.
Kann ein MCP-Server mein Google-Konto übernehmen?
Nein – bei einer sauberen OAuth-Anmeldung erhält der Server nur Zugriff auf die Bereiche, die du im Zustimmungsbildschirm freigibst, nie dein Passwort. Den Zugriff kannst du im Google-Konto jederzeit widerrufen. Riskant wird es erst, wenn du Zugangsdaten direkt in fremde Formulare einträgst.
Woran erkenne ich einen unseriösen MCP-Server?
Typische Warnsignale: Er fragt API-Schlüssel oder Passwörter ab, statt OAuth zu nutzen, macht keine Angaben zu Betreiber und Datenverarbeitung, verlangt Vollzugriff ohne Stufen – oder taucht in keinem offiziellen Verzeichnis auf.
