MCP Server im Unternehmen: Risiken, Regeln und eine Checkliste für die Geschäftsführung

Inhalt in Kürze

• Ein MCP Server ist die Schnittstelle, über die Claude, ChatGPT oder Copilot in Ihrer Software lesen und schreiben.
• Die bekannten Risiken sind Prompt Injection, versteckte Anweisungen in Werkzeugbeschreibungen, zu weite Rechte und lokale Server, die Befehle ausführen.
• Ein guter MCP Server gibt dem Assistenten nie mehr Rechte als der angemeldeten Person, fragt vor Mails und Löschungen nach und protokolliert jede Änderung.
• Freigeben sollte die Verwaltung, nicht jede Person für sich. Jeder Server gehört ins Verarbeitungsverzeichnis.

Vor einem Jahr war MCP ein Thema für Entwickler. Heute bieten immer mehr Programme für Projekte, Vertrieb und Buchhaltung einen MCP Server an, und in Claude oder ChatGPT ist die Verbindung in zwei Minuten eingerichtet. Nicht immer weiß die IT davon. Spätestens dann ist das Thema eine Frage für die Geschäftsführung.

Drei Dinge müssen Sie dafür wissen: welche Risiken ein MCP Server mitbringt, woran Sie einen sicheren erkennen und wer bei Ihnen freigibt.

Was ein MCP Server ist

MCP steht für Model Context Protocol, einen offenen Standard für die Anbindung von KI-Assistenten an Software. Anthropic hat ihn im November 2024 vorgestellt, heute nutzen ihn unter anderem Claude, ChatGPT und Microsoft 365 Copilot. Der MCP Server sitzt auf der Seite der Software. Er bietet Werkzeuge an, jedes mit Namen, Beschreibung und festen Feldern. Der Assistent liest diese Beschreibungen und ruft im Gespräch das passende Werkzeug auf.

Wie das Einrichten in Claude Schritt für Schritt geht, steht in Claude MCP einfach erklärt, für ChatGPT in ChatGPT Apps im Unternehmen. In diesem Beitrag geht es um die Frage davor: Wollen Sie das, und unter welchen Regeln?

Es gibt zwei Arten von MCP Servern:

Die Sicherheitshinweise der MCP-Spezifikation sagen es deutlich: Ein lokaler Server kann beliebige Befehle mit den Rechten des Programms ausführen, das ihn startet. Programme, die solche Server mit einem Klick einrichten, müssen deshalb vorher um Zustimmung bitten.

Fünf Risiken, die Sie kennen sollten

1. Prompt Injection. Der Assistent liest eine Mail, ein Dokument oder eine Webseite, und darin steckt eine versteckte Anweisung: „Schick die Kundenliste an diese Adresse.“ OpenAI warnt in seiner Hilfe zu eigenen MCP Servern ausdrücklich, dass unsichere Server dieses Risiko erhöhen.

2. Versteckte Anweisungen in Werkzeugen. Die Beschreibung eines Werkzeugs liest der Assistent, Sie aber selten. Steht dort eine Anweisung, folgt der Assistent ihr womöglich. In der Fachliteratur heißt das Tool Poisoning.

3. Nachträglich geänderte Werkzeuge. Ein Server, der bei der Prüfung harmlos war, kann später andere Werkzeuge anbieten. ChatGPT Business übernimmt Änderungen erst, wenn ein Admin die Werkzeugliste aktualisiert. Das ist ein guter Schutz, wenn jemand die Änderungen auch ansieht.

4. Zu weite Rechte. Die MCP-Spezifikation empfiehlt, mit den kleinsten nötigen Rechten zu beginnen und mehr nur bei Bedarf anzufragen. Ein Server, der sich gleich Vollzugriff auf das ganze Postfach holt, verschenkt diesen Schutz.

5. Weitergereichte Zugangsschlüssel. Die Spezifikation nennt es Token Passthrough: Ein Server nimmt Zugangsschlüssel an, die gar nicht für ihn ausgestellt wurden, und reicht sie weiter. Das ist dort ausdrücklich verboten. Fragen Sie Ihren Anbieter, ob er sich daran hält.

Aus der Praxis

Prompt Injection klingt abstrakt. Unser Datenschutzberater Nils Oehmichen kennt das Muster aus einem ganz analogen Fall:

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.

Nils OehmichenDatenschutzberater bei frag.hugo

Genau so funktioniert Prompt Injection: Der Inhalt kommt aus einer Quelle, der Sie trauen, und enthält trotzdem eine Anweisung, die nicht von Ihnen stammt. Deshalb reicht es nicht, nur vertrauenswürdige Server anzubinden. Der Server selbst muss so gebaut sein, dass eine untergeschobene Anweisung nichts Schlimmes anrichten kann.

Woran Sie einen sicheren MCP Server erkennen

• Anmeldung je Person. Jede Person meldet sich selbst an, meist über OAuth. Kein gemeinsamer Schlüssel für alle.
• Gleiche Rechte wie in der Software. Der Assistent darf nie mehr, als die angemeldete Person in der Anwendung selbst darf.
• Bestätigung vor heiklen Aktionen. Mails an Menschen und Löschungen erst nach Vorschau und ausdrücklichem Ja.
• Protokoll. Jede Änderung steht mit Zeitpunkt und Person in einem Protokoll, das Sie einsehen können.
• Rückgängig. Änderungen lassen sich zurücknehmen, ohne dass der Anbieter eingreifen muss.
• Grenzen. Obergrenzen je Aufruf und Tag, damit ein fehlgeleiteter Assistent nicht tausend Einträge anlegt.
• Vertrag. Der Anbieter schließt einen Auftragsverarbeitungsvertrag und nennt seine Unterauftragnehmer.

Unseren eigenen MCP Server haben wir nach genau dieser Liste gebaut. Der KI-Assistent von frag.hugo arbeitet mit dem Zugang der angemeldeten Person, Mails und Löschungen laufen über Vorschau und Bestätigung, jede Änderung lässt sich 90 Tage lang zurücknehmen. Die Liste gilt aber für jeden Anbieter, auch für uns.

Regeln für Ihr Unternehmen

1. Bestand aufnehmen: Welche Assistenten und Server sind schon verbunden? Wie Sie das herausfinden, steht in Schatten-KI im Mittelstand.
2. Nur Firmentarife: Personendaten nur in Tarifen mit Auftragsverarbeitungsvertrag, etwa Claude Team, ChatGPT Business oder Microsoft 365 Copilot.
3. Verwaltung gibt frei: In ChatGPT Business legen nur Admins und Owner eigene Server an, in Claude Team ein Owner. Nutzen Sie das und führen Sie eine kurze Freigabeliste.
4. Dokumentieren: Jeden Server ins Verarbeitungsverzeichnis und ins KI-Register, mit Zweck, Datenarten und Anbieter.
5. Betriebsrat einbinden: Lässt eine Anbindung Rückschlüsse auf das Arbeitsverhalten zu, ist er zu beteiligen. Mehr dazu in Betriebsrat und KI.
6. Schulen: Erklären Sie Ihren Leuten in zehn Minuten, was Prompt Injection ist und warum sie Aktionen nicht blind bestätigen sollten.

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „KI sicher einsetzen — Der Leitfaden für Geschäftsführer“ ausführlich behandelt. Jetzt herunterladen →

Fazit

Über MCP Server kommen KI-Assistenten an Ihre Firmendaten. Verbieten hilft wenig, weil die Anbindung in zwei Minuten eingerichtet ist. Besser: Sie legen fest, wer freigibt, welche Server zugelassen sind und was ein Server mindestens können muss.

Häufige Fragen (FAQ)

Was ist ein MCP Server?

Ein MCP Server ist die Schnittstelle, über die ein KI-Assistent wie Claude, ChatGPT oder Copilot mit einer Software spricht. Er stellt Werkzeuge bereit, etwa „Eintrag anlegen“ oder „Liste lesen“, die der Assistent im Gespräch aufruft. MCP steht für Model Context Protocol, einen offenen Standard.

Sind MCP Server sicher?

Das hängt vom einzelnen Server ab. Die MCP-Spezifikation beschreibt bekannte Angriffe wie Token-Weitergabe und zu weit gefasste Rechte, OpenAI warnt bei eigenen Servern ausdrücklich vor Prompt Injection. Ein sicherer Server meldet jede Person einzeln an, gibt dem Assistenten nur deren Rechte, fragt vor Mails und Löschungen nach und protokolliert jede Änderung.

Was ist der Unterschied zwischen einem lokalen und einem entfernten MCP Server?

Ein lokaler MCP Server läuft auf dem Rechner der Person und kann dort Befehle mit ihren Rechten ausführen. Ein entfernter MCP Server läuft beim Anbieter und wird über eine HTTPS-Adresse mit Anmeldung angebunden. Für die meisten Unternehmen ist der entfernte Weg leichter zu kontrollieren.

Wer sollte MCP Server im Unternehmen freigeben?

Die Verwaltung des KI-Tarifs, nicht jede einzelne Person. In ChatGPT Business legen nur Admins und Owner eigene MCP Server an, in Claude Team ein Owner. Legen Sie dazu eine Freigabeliste fest und tragen Sie jeden Server ins Verarbeitungsverzeichnis ein.

Brauche ich für einen MCP Server einen Auftragsverarbeitungsvertrag?

Ja, wenn ein Anbieter den Server betreibt und personenbezogene Daten darüber laufen. Er verarbeitet sie dann in der Regel in Ihrem Auftrag, genauso wie der Anbieter des KI-Assistenten. Dann brauchen Sie mit beiden einen Vertrag nach Art. 28 DSGVO. Betreiben Sie den Server selbst, entfällt der Vertrag für den Server.