Ist es sicher, dieses Tool mit deinem KI-Assistenten zu verbinden? Zuerst fünf Prüfungen.

Wie prüfe ich einen MCP-Server, bevor ich ihn verbinde?

Prüfe, wer ihn pflegt, mit welchem Programm oder Dienst du dich tatsächlich verbindest, welchen Zugriff er braucht und wie du diesen Zugriff später wieder entziehen kannst. Beginne mit Testdaten und nur so vielen Berechtigungen, wie für die Aufgabe nötig sind.

Ein Eintrag in einem Verzeichnis, ein bekanntes Logo oder eine funktionierende Demo zeigt nicht, dass eine Verbindung sicher ist.

Benenne den Zugriff, den du gleich vergibst.

Über einen MCP-Server kann ein Assistent mit einem anderen Tool arbeiten. Für eine kleine Agentur könnte das heissen, ein Dokument zu finden, einen Issue-Tracker zu lesen oder die Website eines Kunden zu ändern. Diese Aufgaben haben sehr unterschiedliche Folgen. Bring deshalb diesen Satz zu Ende, bevor du irgendetwas verbindest.

Prüfe den Anbieter und das Ziel.

Nimm den Link zur Einrichtung direkt von der Website oder aus der Dokumentation des Anbieters. Vergleiche Paketnamen, Herausgeber und Serveradresse mit diesen Angaben. Eine aus einem Forum kopierte Konfiguration kann ganz woandershin zeigen. Behandle einen Server, der auf deinem Mac läuft, wie Software, die du installierst, und einen Remote-Server wie einen Dienst, dem du vertraust.

Achte darauf, dass das Projekt noch gepflegt wird, dass es eine klare Installationsanleitung gibt und einen Weg, Sicherheitsprobleme zu melden. Lies, was der Dienst über seinen Umgang mit Daten sagt. Diese Prüfungen verringern die Unsicherheit. Keine davon ist ein Sicherheitszertifikat. Ist unklar, wer den Server pflegt oder wohin er zeigt, lass ihn von einem Entwickler prüfen, bevor du ein echtes Kundenkonto verbindest.

Was, wenn die Seite, die dein KI-Assistent liest, ihm Befehle gibt?

Ein KI-Assistent arbeitet mit Text. Deine Anfrage ist Text, und ebenso jede Webseite, jedes Dokument, jede E-Mail und jeder Code-Kommentar, die er für dich öffnet. Er kann nicht zuverlässig unterscheiden, welche Worte deine Anweisungen sind und welche nur etwas, das er gelesen hat. Simon Willison, ein Entwickler, der viel dazu schreibt, sagt: Die vertrauenswürdigen Anweisungen und der nicht vertrauenswürdige Inhalt landen in einem einzigen Strom, den niemand verlässlich auseinanderziehen kann.

Sicherheitsleute nennen das Ergebnis Prompt Injection und teilen sie in zwei Arten. Bei einer direkten Injection verändert die Person, die dem Assistenten schreibt, sein Verhalten, absichtlich oder aus Versehen. Bei einer indirekten steckt die Anweisung in fremdem Inhalt, den der Assistent liest. Für eine Agentur braucht die indirekte Art Planung: Deine Assistenten lesen den ganzen Tag Kundendokumente, Tickets und Websites, und du hast keines davon geschrieben.

Du siehst die Anweisung vielleicht nicht. Die Forscher von Brave nennen weissen Text auf weissem Grund, Notizen im Code einer Seite und Text hinter einem Spoiler-Tag als Wege, sie zu verstecken. OWASP, eine Community, die kostenlose Sicherheitsleitfäden veröffentlicht, warnt: Assistenten, die auch Bilder lesen, vergrössern die Lücke, denn ein Satz kann sich in einem Bild neben harmlosen Worten verstecken. Am 21. Oktober 2025 zeigte Brave das mit einem Screenshot, der blassen Text auf ähnlichem Hintergrund enthielt. Die Texterkennung des Browsers gab ihn samt der Frage an die KI weiter.

Ein Fall ist mit seinen Daten wissenswert. Am 25. Juli 2025 meldete Brave Perplexity, dass sein Browser Comet, dessen KI-Assistent auf Seiten handeln kann, Seiteninhalt wie Befehle behandelte. Die Demonstration versteckte Text in einem Reddit-Kommentar hinter einem Spoiler-Tag. Als ein Nutzer auf «Summarize» klickte, öffnete der Assistent die Kontoseite zur E-Mail-Adresse, startete eine Anmeldung, die einen Einmalcode sendet, las den Code aus dem offenen Gmail des Nutzers und postete beides als Antwort auf den Kommentar. Ein erster Fix erwies sich als unvollständig, und das Problem schien am 13. August behoben. Brave veröffentlichte am 20. August 2025 und ergänzte später ein Update, wonach Tests den Angriff weiterhin nicht vollständig entschärft zeigten. Willison schrieb am 25. August 2025 darüber.

Die Lehre reicht über Browser hinaus. Ein getäuschter Assistent ohne Werkzeuge kann nur seltsamen Text schreiben. Erst ein verbundener Tool-Server macht aus einem versteckten Satz eine Handlung: einen Kundenordner lesen, eine Nachricht senden, einen Befehl ausführen.

Halte den ersten Test bewusst klein.

Nimm ein Testprojekt oder Beispieldaten, die nicht sensibel sind. Wo der Dienst es zulässt, leg ein eigenes Konto oder einen eigenen Schlüssel an, nur mit den Berechtigungen, die für die Aufgabe nötig sind. Verwende einen Admin-Schlüssel nicht einfach wieder, nur weil er schon in deinem Passwortmanager liegt. Prüfe, ob die Aufgabe funktioniert, bevor du den Zugriff erweiterst, und schreib jede Einschränkung auf, die du lockern musstest.

Angenommen, ein Assistent soll Support-Anfragen zusammenfassen. Er kann mit Lesezugriff auf ein Testprojekt anfangen. Tickets löschen oder Benutzer verwalten muss er nicht. Achte darauf, welche Aktionen der Assistent vorschlägt. Fragt er nach mehr Zugriff, als du erwartet hast, ist das ein Grund, innezuhalten und die Einrichtung zu verstehen. Das ist kein weiterer Dialog, den du einfach wegklickst.

Kläre, wie du die Verbindung trennst, bevor du dich auf sie verlässt.

Schreib auf, wo die Verbindung eingerichtet ist und wo der Zugriff dahinter verwaltet wird. Das sind oft zwei verschiedene Orte. Schaltest du den MCP-Server in einem Editor aus, kann das diesen Editor davon abhalten, ihn zu nutzen. Der Schlüssel beim Dienst bleibt aber gültig. Sieh direkt in der Anleitung des Dienstes nach, wie du eine Freigabe widerrufst oder einen Schlüssel ersetzt.

Plane für die Anweisung, die durchkommt.

OWASP führt Prompt Injection in den Top 10 for LLM Applications 2025 an erster Stelle, als LLM01. Auf der Seite steht, dass keine Methode als sicher bekannt ist. Deshalb zielen die Ratschläge darauf, den Schaden zu verkleinern. In einfachen Worten:

• Gib dem Assistenten eine enge Aufgabe und sag ihm, er soll Versuche ignorieren, sie zu ändern. Das hilft, ist aber ein Prompt und keine Berechtigung.
• Prüfe die Ausgabe ebenso wie die Eingabe, mit erwarteten Formaten und Filtern.
• Gib der Anwendung eigene Schlüssel mit dem kleinsten Zugriff, der die Aufgabe erfüllt, und halte privilegierte Aktionen in gewöhnlichem Code.
• Verlange, dass eine Person Aktionen mit hohem Risiko freigibt.
• Halte fremden Inhalt getrennt und gekennzeichnet, damit er weniger Gewicht hat als deine eigenen Anweisungen.
• Greife dein eigenes Setup an und behandle das Modell wie einen nicht vertrauenswürdigen Nutzer.

Für ein kleines Team ist die praktische Version kürzer. Behalte den Satz vom Anfang dieses Leitfadens. Lass die Freigabeabfragen an, wenn etwas sendet, löscht, veröffentlicht oder Befehle ausführt, und klicke nie auf «immer erlauben» bei einem Tool, das auch Webseiten oder Kunden-E-Mails liest. Gib zuerst nur Schlüssel mit Lesezugriff. Lies, was der Assistent vorschlägt, bevor du freigibst, und nimm eine Anfrage, die nichts mit deiner Aufgabe zu tun hat, als Grund anzuhalten.

Cybee erkennt oder blockiert Prompt Injection nicht. Für die KI-Tools auf deinen Macs macht es drei kleinere Dinge, kostenlos. Es listet, welche KI-Assistenten auf jedem Mac laufen und welchen Tool-Servern jeder vertraut. Es markiert einen Server, der nicht von Cybee ist, als externen, den du prüfen solltest. Und es löst zwei Warnungen aus: Ein KI-Agent hat versucht, einen zerstörerischen Befehl auszuführen, und ein KI-Agent hat versucht, Sicherheitswerkzeuge zu deaktivieren oder zu verändern. Es warnt. Es hält den Agenten nicht auf, und es kann dir nicht sagen, was den Versuch ausgelöst hat.

Behalte die Verbindung nach der Einrichtung im Blick.

Cybee zeigt, welche KI-Tools auf deinen Macs installiert sind, welche MCP-Verbindungen in jedem eingerichtet sind und welche Warnungen es zu den Aktionen der Tools gibt. Das hilft dir, eine vergessene Verbindung zu finden und zu fragen, wer sie noch braucht. Gib in deinem verbundenen KI-Assistenten /cybee ein. Dann siehst du die Fragen, die du stellen kannst, neben dem Sicherheitsstatus des Macs. Cybee ist selbst ein Tool, das dein KI-Assistent über MCP nutzt, also stell Cybee dieselben Fragen. Was deinen Mac verlässt, ist auf der Sicherheitsseite aufgelistet.

Diese Ansicht zertifiziert keinen fremden Server, und sie setzt keinem Agenten Grenzen. Auch belegt sie nicht, dass eine eingerichtete Verbindung jemals genutzt wurde. Nutze die Liste als Leitfaden für deine Prüfung. Nimm die Änderung dann im Tool selbst vor und prüfe, ob sie greift. Das Ziel ist ein nützlicher Assistent, dessen Zugriff du erklären kannst.

Was du dir merken solltest.

• Prüfe den Anbieter und wohin sich der Server wirklich verbindet.
• Teste mit eingeschränktem Zugriff und Daten, die nicht sensibel sind.
• Schreib auf, wie du die Verbindung und den Zugriff dahinter entfernst.
• Behandle jede Seite, Datei und E-Mail, die der Assistent liest, als mögliche Quelle von Befehlen. Lass die Freigaben an.

Quellen und weiterführende Lektüre.

• Model Context Protocol: security best practices
• Claude Code: MCP security and trust
• OWASP GenAI Security Project: LLM01:2025 Prompt Injection
• Brave, 20. August 2025: indirekte Prompt Injection in Perplexity Comet
• Brave, 21. Oktober 2025: unsichtbare Prompt Injections in Screenshots
• Simon Willison, 25. August 2025: Sicherheit bei Browsern mit KI-Agenten

Produktumfang und Hinweise der Anbieter können sich ändern. Prüfe die verlinkte Quelle für dein eigenes Setup. Ein Begriff unklar? Schlag ihn im Sicherheitsglossar nach.