Aktuell

Einbruch über die KI-Schnittstelle: Was der Mittwald-Vorfall über MCP-Server lehrt

Angreifer drangen über den MCP-Server des Hosters Mittwald in 56 Kundenprojekte ein. Was bestätigt ist, was offen bleibt und was Betreiber prüfen sollten.

13. November 2026

Cyber Crime
KI
Cloud

Der Webhoster Mittwald aus Espelkamp kämpft seit dem 4. November 2026 mit einem Angriff, der über eine vergleichsweise neue Tür kam: den MCP-Server, über den Kunden ihre KI-Assistenten an die Verwaltungsoberfläche mStudio anbinden konnten. 56 Kundenprojekte gelten als kompromittiert. In der Nacht zum 12. November folgte eine zweite Angriffswelle, seitdem sind die Verwaltungszugänge erneut abgeschaltet.

Umfang

56 Projekte

Unentdeckt

8 Tage

Beute

Sitzungstoken

Was passiert ist

Mittwald hat den Ablauf am 7. November in einem Beitrag des Geschäftsführers und einer FAQ offengelegt. Danach ergibt sich folgendes Bild:

Ablauf nach Angaben von Mittwald

21.10., abends
Erster Test
Ein Angreifer probiert erstmals eine Schwachstelle im MCP-Server aus.
ab 23.10.
Tarnung als Kunde
Er bewegt sich wie ein gewöhnlicher Nutzer auf der Plattform, legt Testkonten an und nutzt Erweiterungen.
27.10., 15:03 Uhr
Ausnutzung
Fünf Minuten nach der Registrierung eines weiteren Kontos wird die Lücke gezielt ausgenutzt. Mittwald behandelt den Server ab diesem Tag als übernommen.
04.11., 11:11 Uhr
Entdeckung
Auffälliges Verhalten führt zur Sperre des ersten Angreiferkontos. Der MCP-Server wird als Einfallstor erkannt und abgeschaltet.
05.11.
Abschottung
Betroffene Projekte werden gesperrt, mStudio-Login, SSH und Erweiterungen vorsorglich deaktiviert. Behörden werden informiert, externe Forensiker hinzugezogen.
07.11.
Wiederanlauf
mStudio und SSH sind wieder erreichbar. Einzelne vorsorglich gesperrte Websites bleiben offline.
12.11., 02:51 Uhr
Zweite Welle
Die Angreifer nehmen ihre Attacken wieder auf. SSH wird eingeschränkt, Neuregistrierungen werden gestoppt.
12.11., 04:10 Uhr
Logins abgeschaltet
mStudio und Kundencenter werden vorsorglich gesperrt.
12.11., morgens
Website vom Netz
Mittwald nimmt die eigene Unternehmenswebsite vom Netz und schaltet eine Statusseite vor. Ein Hinweisgeber spricht von einem Defacement; Mittwald widerspricht: Die Abschaltung sei vorsorglich erfolgt, eine Übernahme habe nicht stattgefunden.
Heute

Die ausgelesenen Token wurden widerrufen, API-Schlüssel vorsorglich gesperrt. Hinweise auf veröffentlichte Kundendaten liegen laut FAQ nicht vor, die Prüfung läuft weiter. Zur zweiten Welle erklärt Mittwald, Zugriffe auf interne Systeme seien bislang nicht festgestellt worden; gehostete Kundenwebsites blieben erreichbar.

Was offen bleibt

Drei Punkte sollten Sie beim Lesen der Berichte auseinanderhalten:

Die Art der Schwachstelle. Mittwald nennt keine Schwachstellenklasse. Unklar ist nach einem Bericht von The Record auch, ob der Fehler im eigenen Code oder in einer verwendeten Open-Source-Bibliothek für MCP lag.
Der KI-Einsatz. Mittwald schließt aus dem Tempo – teils nur Sekunden zwischen einzelnen Schritten – auf KI-Werkzeuge. Weitere Belege gibt es nicht; klassische Skripte arbeiten ebenfalls im Sekundentakt. Das ist eine Einschätzung, kein Befund.
Der Zusammenhang der beiden Wellen und die Website. Mittwald spricht von denselben Angreifern. Ob die Unternehmenswebsite tatsächlich angegriffen wurde, ist offen: Ein Hinweisgeber berichtet von einem Defacement, Mittwald bestreitet eine Übernahme und spricht von einer vorsorglichen Abschaltung.

Warum der Fall technisch bemerkenswert ist

Das Model Context Protocol (MCP) ist ein offener Standard, der KI-Assistenten mit Werkzeugen und Daten verbindet. Ein MCP-Server handelt dabei stellvertretend für viele Nutzer und hält deren Berechtigungen vor. Wer ihn übernimmt, übernimmt nicht ein Konto, sondern potenziell alle, die ihn verwenden.

Genau das ist hier geschehen. Ein Sitzungstoken trägt die Rechte der angemeldeten Person. Zwei-Faktor-Anmeldung und starke Passwörter helfen an dieser Stelle nicht mehr, weil die Anmeldung bereits stattgefunden hat. Die Reichweite des Schadens bemisst sich dann allein daran, auf wie viele Projekte das jeweilige Konto zugreifen durfte – bei Agenturen sind das oft sehr viele.

Dass der Angriff über eine Woche unentdeckt blieb, hat einen nachvollziehbaren Grund: Eine Kontoregistrierung, ein Extension-Aufruf, ein fehlerhafter Request sind einzeln unauffällig. Auffällig wird erst die Kombination – ein fünf Minuten altes Konto, das im Sekundentakt Werkzeugaufrufe absetzt. Diese Verknüpfung sieht nur, wer Registrierung, Anmeldung und Tool-Aufrufe zusammenhängend protokolliert und auswertet.

Der Standard ist nicht das Problem

Aus dem Vorfall folgt nicht, dass MCP selbst unsicher wäre. Betroffen war eine konkrete Implementierung bei einem Anbieter.

Was Betreiber jetzt prüfen sollten

Wenn Ihre Website oder Ihr Shop bei Mittwald liegt – direkt oder über eine Agentur

Klären Sie, ob der MCP-Server nach dem 27. Oktober genutzt wurde. Liegt das Hosting bei einer Agentur, fragen Sie dort konkret nach.
Ändern Sie das mStudio-Passwort und aktivieren Sie Zwei-Faktor-Anmeldung oder Passkey.
Prüfen Sie im Projekt: unbekannte SSH-Nutzer, nicht selbst erstellte API-Schlüssel, fremde Dateien im Projektverzeichnis.
Erneuern Sie Zugangsdaten, die im Projekt hinterlegt sind – Datenbank, SMTP-Postfächer, Schlüssel für Zahlungs- oder Versanddienste.
Rechnen Sie mit Phishing. Mails und Anrufe „von Mittwald“ sind in den nächsten Wochen besonders kritisch zu prüfen. Statusmeldungen nur über die Statusseite des Hosters abrufen, nicht über Links aus E-Mails.
Prüfen Sie, ob ein aktuelles Backup Ihrer Website außerhalb des Hosters liegt.

Wenn in Ihrem Haus KI-Assistenten an eigene Systeme angebunden sind

Erstellen Sie eine Liste aller MCP-Server und KI-Konnektoren – auch der Pilotprojekte einzelner Fachbereiche und der Anbindungen Ihrer Dienstleister.
Halten Sie für jeden fest: Aus welchem Netz ist er erreichbar, mit welchen Rechten handelt er, welche Token liegen dort und wie lange gelten sie?
Stellen Sie sicher, dass sich alle Token an einer Stelle und innerhalb von Minuten widerrufen lassen.
Prüfen Sie, ob Tool-Aufrufe mit Nutzerbezug protokolliert werden und ob die Aufbewahrung mehrere Wochen zurückreicht.

Einordnung

Drei Punkte nehmen wir aus dem Fall mit:

Eine KI-Schnittstelle ist ein privilegierter Zugang. Ein aus dem Internet erreichbarer MCP-Server mit dauerhaften Token für Hosting, ERP oder Postfächer verdient dieselbe Sorgfalt wie ein VPN-Gateway – Inventar, Härtung, Protokollierung, Test. Wir bauen selbst MCP-Schnittstellen in eigene Produkte ein; die Prüfpunkte oben sind deshalb auch unsere eigene Liste.

Eine Komfortfunktion kann den ganzen Betrieb treffen. Die meisten Mittwald-Kunden haben den MCP-Server nie eingerichtet. Verwaltungsoberfläche und SSH waren trotzdem für alle tagelang gesperrt. Wer sein Hosting ausgelagert hat, sollte wissen, wie er im Ernstfall ohne Verwaltungszugang an Daten und Backups kommt.

Offene Kommunikation macht einen Vorfall auswertbar. Mittwald hat Zeitpunkte, Umfang und Ablauf früh veröffentlicht. Das ist nicht selbstverständlich – und der Grund, warum andere Betreiber aus dem Fall überhaupt etwas ableiten können.