KI-Agenten werden erst nützlich, wenn sie mit echten Systemen arbeiten: Tickets anlegen, Kundendaten lesen, Dokumente ablegen, Termine vereinbaren. Das Model Context Protocol hat diese Anbindung standardisiert. Damit wird sie einfach, und genau deshalb braucht sie eine bewusste Architektur. Ein Agent mit zu viel Zugriff ist ein Sicherheitsrisiko, das sich mit jeder neuen Verbindung vergrössert.
Was MCP verändert
Bisher musste jede KI-Anwendung jede Anbindung selbst bauen. Mit MCP stellt ein Server Werkzeuge und Daten in einem einheitlichen Format bereit, und jede MCP-fähige Anwendung kann sie nutzen. Das beschleunigt die Integration erheblich. Gleichzeitig verschiebt es die Sicherheitsfrage: Nicht mehr nur das Modell entscheidet über Risiken, sondern vor allem, welche Werkzeuge es aufrufen darf und mit welchen Rechten.
Die typischen Risiken
- Zu weite Berechtigungen: Ein Server, der mit einem Administratorkonto auf das CRM zugreift, gibt jedem Agenten Administratorrechte.
- Prompt Injection über Werkzeugergebnisse: Ein Dokument, eine E-Mail oder eine Webseite enthält Anweisungen, die das Modell als Auftrag versteht (Prompt Injection).
- Manipulierte Werkzeugbeschreibungen: Ein Server aus unsicherer Quelle beschreibt seine Werkzeuge so, dass das Modell Daten an Dritte weitergibt.
- Fehlende Nachvollziehbarkeit: Ohne Protokoll lässt sich nicht sagen, welcher Agent wann welche Aktion ausgelöst hat.
Architekturprinzipien
Erstens minimale Rechte: Jeder Server und jedes Werkzeug erhält nur die Rechte, die der konkrete Anwendungsfall braucht, mit eigenen Zugangsdaten statt geteilter Konten. Lesende und schreibende Werkzeuge werden getrennt. Zweitens menschliche Bestätigung: Folgenreiche Aktionen wie Zahlungen, Löschungen oder Nachrichten an Kunden brauchen eine Freigabe. Drittens Isolation: Inhalte aus nicht vertrauenswürdigen Quellen werden als Daten behandelt, nicht als Anweisungen, und Agenten, die solche Inhalte verarbeiten, erhalten keine gefährlichen Werkzeuge. Viertens Protokollierung aller Werkzeugaufrufe mit Benutzer, Agent, Parameter und Ergebnis.
Die Rolle des Rechtekonzepts
Ein Agent sollte nie mehr dürfen als die Person, in deren Auftrag er handelt. Wo möglich, nutzt der Server die Berechtigungen des angemeldeten Benutzers, statt eines technischen Kontos mit weitreichenden Rechten. Das verbindet die Agenten-Architektur mit dem bestehenden Berechtigungskonzept und verhindert, dass ein Agent zur Abkürzung um Freigaben herum wird.
Governance
Welche MCP-Server dürfen eingesetzt werden, wer gibt sie frei, und wie werden sie aktualisiert? Diese Fragen gehören in die KI-Governance, zusammen mit einem Verzeichnis der eingesetzten Agenten im KI-Inventar. Werden Agenten für Entscheidungen über Personen eingesetzt, sind zusätzlich Datenschutz und gegebenenfalls der AI Act zu prüfen.
Einstieg
Ein guter Start ist ein einzelner, eng umrissener Anwendungsfall mit lesenden Werkzeugen, Protokollierung und einer Evaluation mit Testfällen. Schreibende Werkzeuge folgen erst, wenn Qualität und Kontrolle nachgewiesen sind. Die Schritte enthält unsere Checkliste zur Absicherung von MCP-Servern; was Entwicklung und Betrieb kosten, beschreibt die Seite zu den Kosten eines KI-Agenten.