Der deutsche Hoster Mittwald hat am Freitagvormittag die wichtigsten Kundenzugänge wieder geöffnet. Nach eigenen Angaben ist das Verwaltungsportal mStudio seit kurz vor 11 Uhr erreichbar, auch SSH-Zugriffe funktionieren wieder. Die eigene Schnittstelle für KI-Agenten – der sogenannte MCP-Server – bleibt dagegen abgeschaltet. Anlass ist ein Sicherheitsvorfall, bei dem Angreifer über eben diese Schnittstelle Sitzungs-Tokens von Kunden ausgelesen haben.

In einer FAQ ordnet Mittwald den Vorfall technisch ein: Der MCP-Server (Model Context Protocol) verbindet mStudio mit externen KI-Assistenten und ist damit eine Mischform aus API und Shell. Nutzer melden sich einmal an und erlauben einem Agenten, Befehle in ihrer Hosting-Umgebung auszuführen – vergleichbar mit einem OAuth-Login für einen Chatbot. Wer dieses Vertrauen gewinnt, braucht kein Passwort, nur das vom Server ausgegebene Token.

Chronologie des Vorfalls

Nach Angaben von Mittwald und Berichten von Günter Born verschafften sich die Angreifer bereits am 27. Oktober 2026 unbefugt Zugang über den MCP-Server. Ihr Verhalten sei bis zum 4. November „von normaler Nutzung nicht zu unterscheiden“ gewesen. Erst eigene Analysen führten das Hosting-Unternehmen an diesem Tag auf die Spur. Am 5. November, gegen 11:34 Uhr, zog Mittwald die Notbremse und sperrte vorsorglich mStudio-Login, SSH, die eigene Extension-Plattform sowie das Bestellsystem. Besonders betroffene Kundenwebsites wurden ebenfalls offline genommen. Am gleichen Abend bestätigte das Unternehmen offiziell, dass es den Vorfall untersucht.

Websites selbst blieben während der Sperre in vielen Fällen online – Administratoren konnten aber weder Fehler beheben noch dringende Patches einspielen. Vor allem für Betreiber von TYPO3- oder WordPress-Installationen, die in diesen Tagen ebenfalls kritische Updates nachzuziehen hatten, war das ein zusätzliches Problem. Am 6. November kündigte Mittwald die schrittweise Wiederherstellung an. Die aktuelle Meldung vom 7. November, 10:56 Uhr MEZ, formuliert es nüchtern: Das mStudio sei „nun wieder erreichbar und kann wieder genutzt werden“, SSH-Zugänge seien reaktiviert, der MCP-Server bleibe „bis auf Weiteres offline“.

Was wurde gestohlen – und was nicht

Nach bisherigen Erkenntnissen des Hosters sind keine Kundenpasswörter abgeflossen. Die Angreifer hätten ausschließlich Zugangstokens der MCP-Schnittstelle erbeutet – sprich: Sitzungsmarken, die Agenten das Arbeiten im Namen eines Kunden erlauben. Diese Tokens seien inzwischen allesamt widerrufen und „nicht mehr gültig“. Mittwald betont zudem, bisher gebe es keine Hinweise darauf, dass Daten im Internet veröffentlicht würden. Welche Informationen genau über die Sitzungstokens einsehbar waren, teilt das Unternehmen in der FAQ nicht im Detail mit; ein öffentlicher Abschlussbericht ist nach Ende der Ermittlungen angekündigt.

Symbolbild: Quellcode auf einem Laptopbildschirm

Bild: Symbolbild – Rust Code on Screen von Slashme, Lizenz CC0, via Wikimedia Commons.

MCP-Server: neue Angriffsfläche für Hoster

Der Vorfall rückt eine Technik ins Rampenlicht, die bei Hosting-Anbietern erst seit wenigen Monaten im Kundeneinsatz ist. Ein MCP-Server spricht das Model Context Protocol, mit dem KI-Agenten strukturiert auf Werkzeuge und Daten zugreifen. Für Hoster ist das praktisch, weil sich Routinearbeiten – Deployment, Logs auswerten, Backups starten – damit an einen Assistenten delegieren lassen. Technisch ist jeder MCP-Server allerdings eine mächtige, gewöhnlich nach außen erreichbare Schnittstelle, die im Namen eines Nutzers tief in dessen Umgebung hineinreicht.

Damit entsteht eine neue Risikoklasse: Statt wie früher ein einzelnes CMS zu kompromittieren, kann ein erfolgreicher Angriff auf eine MCP-Instanz potenziell viele Kunden gleichzeitig treffen. Besonders heikel sind dabei langlebige Tokens. Wenn die Lebensdauer eines Zugangstokens Stunden oder Tage beträgt, reicht Angreifern ein einmaliger Fund, um mit ruhiger Hand und wenig Auffälligkeiten zu arbeiten – wie es offenbar auch bei Mittwald zwischen dem 27. Oktober und dem 4. November geschehen ist.

Als Alternative zum MCP-Server verweist Mittwald in der FAQ ausdrücklich auf das eigene mittwald-CLI, mit dem sich dieselben Aufgaben scriptgesteuert erledigen lassen – allerdings ohne die Abstraktion eines KI-Agenten dazwischen. Ob und in welcher Form MCP bei Mittwald zurückkehrt, lässt der Hoster bislang offen.

Was Mittwald-Kunden jetzt tun sollten

Mittwald empfiehlt allen Nutzern der MCP-Schnittstelle in der FAQ vier konkrete Schritte: das Passwort des mStudio-Kontos zu ändern, die Zwei-Faktor-Authentifizierung zu aktivieren, SSH- und API-Schlüssel zu überprüfen sowie Zugangsdaten für externe Dienste zu erneuern, falls diese dem Agenten bekannt waren. Wer bereits vor dem Vorfall einen Agenten über MCP mit Produktionszugängen versorgt hatte, sollte außerdem die eigenen Logs auf ungewöhnliche Deployments, neue Cronjobs oder Änderungen an Webroots prüfen.

Für den Umgang mit KI-Schnittstellen über den konkreten Fall hinaus lohnt ein Grundsatz: Agenten-Zugänge sollten so wenig wie nötig dürfen und so kurz wie möglich leben. Kurzlebige Tokens, auf einzelne Projekte oder Server beschränkte Berechtigungen und eigene Monitoring-Routen für MCP-ähnliche Dienste reduzieren den Schaden, wenn eine solche Schnittstelle fällt. Mittwald steht nicht allein mit dem Thema – die Branche steht erst am Anfang, Hosting- und KI-Integrationen sicher zu verzahnen.

Quellen

Bildnachweis