MCP-Sicherheit: Was du vor der Installation eines Servers oder Skills prüfen solltest

Bevor du einen MCP-Server oder einen Agent Skill installierst, kläre sechs Fragen: Was kann er lesen und ändern? Wo läuft er? Welche Zugangsdaten braucht er? Welcher Code läuft bei Installation und Start? Liest er nicht vertrauenswürdige Inhalte? Und wer veröffentlicht und pflegt ihn? Die Antworten zeigen dir, wie viel Zugriff du ihm gibst – oder ob du ihn überhaupt installierst.

Server und Skills lassen beide einen KI-Agenten in deinem Namen handeln. Laut MCP-Spezifikation kommen Tools einer beliebigen Codeausführung gleich und müssen mit Vorsicht behandelt werden, und Anthropic rät, die Installation eines Skills wie die Installation von Software zu behandeln. Diese Anleitung macht aus diesen Ratschlägen eine Checkliste.

1. Was kann er lesen und ändern?

Beginne mit der Liste der Tools. Ein Server, der nur Dokumentation durchsucht, ist etwas ganz anderes als einer, der Dateien löschen, E-Mails senden oder Geld überweisen kann.

• Lies das README und die Tool-Liste. Achte auf Wörter wie create, update, delete, send, run oder execute.
• Prüfe, ob der Server lesende und schreibende Tools trennt. ChatGPT zum Beispiel behandelt jedes Tool als bestätigungspflichtige Schreibaktion, solange der Server es nicht als schreibgeschützt markiert.
• Verlasse dich nicht allein auf die Beschreibung. Laut MCP-Spezifikation gelten Tool-Beschreibungen und Annotationen als nicht vertrauenswürdig, sofern sie nicht von einem vertrauenswürdigen Server stammen.

Die Server-Einträge auf Kitbay halten fest, ob ein Server Daten ändern kann, zusammen mit dem Beleg für diese Angabe.

2. Läuft er auf deinem Rechner oder online?

Lokale Server laufen auf deinem Rechner mit den Berechtigungen deines Benutzerkontos. Die MCP-Dokumentation sagt das klar: Ein Dateisystem-Server kann jede Dateioperation ausführen, die du selbst ausführen könntest. Ihre Sicherheitshinweise beschreiben außerdem ein Risiko bei lokalen Servern: Ein bösartiger Startbefehl, versteckt in einem Config-Snippet, läuft, sobald der Client den Server startet.

Remote-Server laufen auf fremder Infrastruktur. Deine Daten gehen an den Betreiber, und der Server handelt über das Konto, mit dem du dich anmeldest. Prüfe, wer den Server betreibt und was in seinen Datenschutzbestimmungen steht.

Bevorzuge für lokale Server stdio. Wenn ein lokaler Server einen HTTP-Port öffnet, sollte er laut Spezifikation nur auf 127.0.0.1 lauschen und den Origin-Header prüfen; sonst könnte eine Website ihn per DNS-Rebinding erreichen.

3. Welche Zugangsdaten braucht er?

• Verwende den am engsten gefassten Key, den du bekommen kannst. Erstelle ein Token mit Lesezugriff oder eingeschränkten Scopes, wenn der Dienst das erlaubt. Die Sicherheitshinweise von MCP warnen: Weit gefasste Scopes vergrößern den Schaden, wenn ein Token in falsche Hände gerät.
• Bevorzuge OAuth für Remote-Server, damit du die angeforderten Scopes siehst und den Zugriff später widerrufen kannst. In Claude Code löscht das Entfernen eines Servers seine gespeicherten Tokens lokal; laut Dokumentation solltest du dich aber vorher abmelden, wenn sie auch beim Anbieter widerrufen werden sollen.
• Halte Secrets aus geteilten Dateien heraus. Nutze Umgebungsvariablen oder die Secret-Abfragen des Clients. Genau dafür gibt es die Funktion inputs in VS Code und die Variablen ${env:NAME} in Cursor.
• Achte bei gehosteten Servern auf den Umgang mit Tokens. Die Spezifikation verbietet einem Server, Tokens anzunehmen, die nicht für ihn ausgestellt wurden.

4. Welcher Code läuft, und wann?

Lies bei einem Server den genauen Installationsbefehl. Eine Zeile wie npx -y some-package lädt bei jedem Start die neueste veröffentlichte Version herunter und führt sie aus. Prüfe, ob der Paketname zum Repository des Projekts passt, und überlege, eine feste Version zu pinnen.

Sieh dir bei einem Skill jede Datei an, nicht nur SKILL.md. Die Skill-Dokumentation von Anthropic nennt, worauf du achten solltest: unerwartete Netzwerkaufrufe, Dateizugriffe, die nicht zum Zweck passen, und Anweisungen, die Inhalte von externen URLs laden, denn diese Inhalte können sich später ändern. Speziell in Claude Code gilt:

• Eine Zeile in der Form !`command` in einem Skill läuft auf deinem Rechner, noch bevor Claude den Skill überhaupt sieht.
• Die Einstellung allowed-tools eines Projekt-Skills greift sogar in einem Ordner, den du nie als vertrauenswürdig markiert hast. Die Dokumentation rät daher, sie zu prüfen, bevor du Claude Code in einem neuen Repository startest.
• Skills haben denselben Netzwerkzugriff wie jedes andere Programm auf deinem Rechner.

5. Liest er Inhalte aus fremden Quellen?

Prompt Injection ist das Risiko, dass Text, den der Agent liest, Anweisungen an ihn enthält. Ein Server, der Webseiten, E-Mails, Issues oder Support-Tickets abruft, holt solchen Text in die Unterhaltung. Die Dokumentation von Claude Code warnt ausdrücklich vor Servern, die externe Inhalte abrufen, und OpenAI stuft eigene MCP-Server in ChatGPT als erhöhtes Risiko ein, weil ein nicht vertrauenswürdiger Server das Modell dazu bringen könnte, Tools zu missbrauchen.

Kombinierte Tools erhöhen das Risiko. Ein Server, der öffentliche Inhalte liest, und ein anderer, der Daten nach außen senden kann, geben einer eingeschleusten Anweisung sowohl eine Quelle als auch einen Ausgang. Setze solche Kombinationen nur für Aufgaben ein, bei denen du jeden Schritt verfolgst.

6. Wer veröffentlicht ihn, und wird er gepflegt?

• Wird er vom Hersteller des Tools selbst oder von einem unabhängigen Entwickler veröffentlicht? Kitbay kennzeichnet vom Hersteller veröffentlichte Einträge auf der Seite mit den offiziellen Einträgen nur mit Nachweis.
• Ist der Quellcode öffentlich, und passt das Repository zu dem Paket, das du installierst?
• Wann wurde er zuletzt aktualisiert, und hat er eine Lizenz?
• Wird auf gemeldete Sicherheitsprobleme reagiert?

Nicht gepflegter Code ist nicht automatisch unsicher, bekommt aber keine Fixes mehr.

Nutze die Schutzfunktionen deines Clients

Die meisten Clients bieten dir Kontrollmöglichkeiten. Nutze sie, statt sie abzuschalten.

Zustimmungsabfragen helfen nur, wenn du sie liest. Prüfe vor dem Bestätigen den Tool-Namen und die Argumente, vor allem bei allem, was etwas sendet, löscht oder bezahlt.

Kurze Checkliste

Was Kitbay dazu beiträgt

Kitbay erfasst Fakten aus den eigenen Quellen jedes Projekts, etwa ob ein Eintrag Daten ändern kann, ob er lokal oder remote läuft und ob ein Skill Skripte enthält. Wir testen oder auditieren keine Einträge. Betrachte diese Angaben also als Ausgangspunkt und prüfe den Quellcode selbst. Grundlagen findest du unter Was ist ein MCP-Server?, Was ist ein Claude Skill? und MCP-Server mit KI-Clients verbinden. Auch die Agent Skills kannst du mit denselben Angaben durchsuchen.