Der Webhoster Mittwald kommt nicht zur Ruhe. In der Nacht zum 12. November 2026 hat das Unternehmen aus Espelkamp sein Kundencenter, die Verwaltungsoberfläche mStudio und alle SSH-Zugänge erneut abgeschaltet. Angreifer hatten zuvor die Unternehmenswebsite mittwald.de kompromittiert. Es ist die zweite Abschaltung innerhalb einer Woche: Anfang November war bekannt geworden, dass Unbefugte über den MCP-Server des Hosters – die Schnittstelle für KI-Assistenten – in Kundenprojekte gelangt waren. Die Websites und Postfächer der Kunden laufen nach Angaben von Mittwald weiter.

Was seit der Nacht zum 12. November passiert ist

Den Ablauf dokumentiert Mittwald auf seiner Statusseite. Um 2:51 Uhr meldete der Hoster, der SSH-Zugriff sei erneut eingeschränkt, neue Nutzer könnten sich im mStudio nicht registrieren und die eigene Website sei nicht erreichbar. Um 4:10 Uhr folgte die Abschaltung der Anmeldung im mStudio und im Kundencenter, zunächst angekündigt „für die Dauer der nächsten Stunden“.

Um 6:52 Uhr nannte Mittwald den Grund: „Nach den Vorfällen in der letzten Woche haben die Angreifer ihre Attacken auf unsere Infrastruktur wieder aufgenommen.“ Ihnen sei es gelungen, „eine Sicherheitslücke auszunutzen und unsere Unternehmenswebseite zu kompromittieren“. Die Seite habe man vorübergehend vom Netz genommen. Welche Lücke das war, sagt Mittwald nicht.

Zum Ausmaß schreibt der Hoster: „Zugriff auf unsere internen Systeme konnten wir bislang nicht feststellen“. Die Abschaltung von Kundencenter, mStudio und SSH sei vorsorglich erfolgt, weil es sich „offensichtlich um professionelle Akteure handelt, die automatisierte KI-Systeme nutzen“. Spezialisierte IT-Forensiker seien eingebunden.

Eine Entwarnung gibt es bisher nicht. In der Meldung von 14:08 Uhr heißt es: „Aktuell können wir noch keine verlässliche Aussage dazu treffen, wann wir das mStudio und das Kundencenter wieder freischalten.“ Das nächste Update hat Mittwald für spätestens 18 Uhr angekündigt. Einzelheiten zu den Angriffen will das Unternehmen erst nennen, wenn die Gegenmaßnahmen abgeschlossen sind.

Was das für Kunden gerade bedeutet

  • Websites und E-Mail laufen. Laut Statusseite sind die bei Mittwald gehosteten Websites und die Postfächer durchgehend erreichbar, auch der Webmailer.
  • Verwalten geht nicht. Ohne mStudio, Kundencenter und SSH lassen sich Projekte derzeit nicht administrieren: keine Deployments über SSH, keine Änderungen an Domains, Postfächern oder Datenbanken über die Oberfläche. Betroffen sind laut Statusseite auch der AV-Manager und das Agentur-Portal.
  • Die Website des Hosters ist eingeschränkt. Die Seite mit Fragen und Antworten zum Vorfall, auf die Mittwald in der vergangenen Woche verwiesen hat, war am Nachmittag des 12. November nicht abrufbar. Aktuelle Informationen stehen auf der Statusseite, die getrennt betrieben wird.

Vor allem Agenturen trifft das. Mittwald richtet sich mit seinem Angebot an Agenturen und Freiberufler, die dort Websites für ihre eigenen Kunden betreiben. Sie können im Moment weder Updates einspielen noch Fehler beheben, wenn dafür ein Zugang nötig ist.

Symbolbild: Blick in den Gang eines Rechenzentrums mit weißen, verschlossenen Serverschränken auf beiden Seiten

Symbolbild: Serverschränke in einem Rechenzentrum – nicht bei Mittwald aufgenommen. Foto: PiDatacenters / Wikimedia Commons, CC BY-SA 4.0

Der erste Angriff: Einstieg über die KI-Schnittstelle

Begonnen hat alles mit dem MCP-Server. MCP steht für Model Context Protocol, einen offenen Standard, über den KI-Assistenten auf Werkzeuge und Daten zugreifen. Mittwald bot einen solchen Server an, damit Kunden ihre Projekte im mStudio von einem KI-Assistenten verwalten lassen können. Der Assistent handelt dabei mit den Rechten des Nutzers, der ihn verbunden hat.

Am 5. November um 11:34 Uhr deaktivierte Mittwald die Anmeldung im mStudio, beendete alle SSH-Verbindungen und schaltete seine Erweiterungen ab. Am Nachmittag sperrte der Hoster zusätzlich „einen geringen Teil der Projekte“. Um 17:02 Uhr folgte die Bestätigung auf der Statusseite: Die Analyse habe einen unbefugten Zugriff auf das mStudio über den MCP-Server ergeben.

Weitere Angaben stammen aus der Zusammenfassung, die Mittwald am 6. und 7. November veröffentlicht hat und die derzeit nicht abrufbar ist. Wir geben sie deshalb nach Berichten wieder, die sie ausgewertet haben, vor allem The Record und Borns IT-Blog:

  • Der Angreifer soll die Schwachstelle am 21. Oktober erstmals ausprobiert und am 27. Oktober ausgenutzt haben. Aufgefallen ist er erst am 4. November. Er blieb also rund acht Tage unbemerkt.
  • Abgegriffen wurden Zugangstokens von Nutzern der Schnittstelle. In einem Kommentar bei Borns IT-Blog schreibt Mittwald: „Über die ausgelesenen Tokens konnte mit den Rechten der jeweiligen Nutzer auf Projekte zugegriffen werden.“ Passwörter seien nicht ausgelesen worden, die Tokens habe man widerrufen.
  • 56 Kundenprojekte gelten als kompromittiert.
  • Betroffen sind nach Angaben von Mittwald nur Kunden, die den MCP-Server eingerichtet hatten. Sie sollen persönlich per E-Mail informiert worden sein.
  • Die zuständigen Behörden seien informiert, sagte Geschäftsführer Robert Meyer laut The Record.

Am 7. November schaltete Mittwald das mStudio und die SSH-Zugänge wieder frei und führte bei dieser Gelegenheit die Anmeldung per Passkey ein. Die vorsorglich gesperrten Websites blieben gesperrt. Der MCP-Server ist seit dem Vorfall abgeschaltet.

„KI-Angriff“: Was dafür spricht und was offen ist

Mittwald spricht von Angreifern, die automatisierte KI-Systeme nutzen. Belegt hat das Unternehmen das bisher nur mit dem Tempo: Laut The Record sagte Geschäftsführer Meyer sinngemäß, zwischen einzelnen Schritten hätten teils nur Sekunden gelegen, für die ein Mensch deutlich länger brauche. Das Magazin merkt an, dass Mittwald keine weiteren Belege genannt und nicht auf die Frage geantwortet habe, wie sich KI-Werkzeuge von herkömmlichen Skripten unterscheiden lassen.

Das ist ein berechtigter Einwand. Auch ein gewöhnliches Skript arbeitet in Sekunden. Ob hier tatsächlich ein KI-System die Schritte geplant hat oder ein Angreifer seine Werkzeuge automatisiert hat, lässt sich von außen nicht beurteilen.

Offen sind außerdem diese Punkte:

  • Die Schwachstelle im MCP-Server. Technische Einzelheiten fehlen. Laut The Record ist nicht einmal klar, ob der Fehler in Mittwalds eigenem Code oder in einer verwendeten Bibliothek lag.
  • Der Zusammenhang der beiden Angriffe. Mittwald schreibt, „die Angreifer“ hätten ihre Attacken wieder aufgenommen, geht also von denselben Tätern aus. Wie sie diesmal auf die Website kamen, ist nicht bekannt.
  • Was in den 56 Projekten geschah. Ob Daten kopiert oder Dateien verändert wurden, hat Mittwald öffentlich nicht beschrieben.
  • Der angekündigte Bericht. Mittwald hatte für diese Woche eine ausführliche technische Aufarbeitung zugesagt. Sie steht noch aus.

Was Mittwald-Kunden jetzt tun können

  1. Statusseite verfolgen. Dort stehen die Meldungen des Hosters mit Uhrzeit. Auf E-Mails von Mittwald achten, aber keine Links aus unerwarteten Nachrichten öffnen: Vorfälle wie dieser ziehen Phishing nach sich. Die Adresse des mStudio lieber selbst eintippen.
  2. Arbeiten umplanen. Deployments und Wartungen, die SSH oder das mStudio brauchen, sind derzeit nicht möglich. Informiere deine eigenen Kunden, wenn Termine davon abhängen.
  3. Nach der Freischaltung Zugänge prüfen. Passwort ändern, Zwei-Faktor-Anmeldung oder Passkey einrichten, dann API-Schlüssel, SSH-Schlüssel und SSH-Nutzer der Projekte durchgehen und Unbekanntes entfernen.
  4. Wenn du den MCP-Server genutzt hast: Erneuere zusätzlich die Zugangsdaten, die in den Projekten liegen – Datenbank, Postfächer, Schlüssel für fremde Dienste wie Zahlungsanbieter. Suche nach unbekannten Dateien und nach Administratorkonten, die du nicht angelegt hast.
  5. Datenschutz bedenken. Wer als Agentur Kundendaten bei Mittwald verarbeitet und zu den Betroffenen gehört, muss prüfen, ob eine Meldung an die Datenschutzaufsicht nötig ist. Dafür gilt eine Frist von 72 Stunden ab Kenntnis.

Einordnung: Eine Schnittstelle mit vollen Rechten

Der Fall zeigt ein Risiko, das über Mittwald hinausgeht. Ein MCP-Server ist ein zusätzlicher Zugang zur Verwaltung, und er arbeitet mit den Rechten des Nutzers. Wer dort Tokens erbeutet, braucht kein Passwort mehr und muss auch keine Zwei-Faktor-Anmeldung überwinden. Solche Schnittstellen sind bei vielen Anbietern in den vergangenen Monaten schnell entstanden, weil Kunden ihre KI-Assistenten anbinden wollen.

Für alle, die KI-Assistenten mit Verwaltungszugängen verbinden, heißt das: Rechte so eng wie möglich fassen, Tokens kurz laufen lassen und Verbindungen entfernen, die nicht mehr gebraucht werden. Und für Anbieter: Eine neue Schnittstelle braucht dieselbe Prüfung und Überwachung wie die Anmeldung selbst.

Wir aktualisieren diesen Artikel, sobald Mittwald die Dienste wieder freigibt oder Einzelheiten zu den Angriffen nennt.

Quellen

Bildnachweis