MCP-Sicherheit: Wie OAuth deine KI-Tool-Verbindungen schützt
Wenn ein KI-Agent sich mit deinem CRM, deiner Buchhaltung oder deinem Postfach verbindet, hält er echte Zugangsdaten zu echten Geschäftsdaten. Das verdient dieselbe Sorgfalt wie jeder Mitarbeiter-Login, und ehrlich gesagt etwas mehr, denn ein Agent handelt schneller als ein Mensch und wird von allein nie misstrauisch. Die gute Nachricht: MCP hat Sicherheit auf OAuth standardisiert, und ein sicheres Setup ist gut verstanden. So sieht es aus.
Die Risiken, unverblümt
In nachlässigen Setups gehen drei Dinge schief. Zugangsdaten-Wildwuchs: API-Keys in Config-Dateien auf Laptops, nie rotiert, nie widerrufen. Zu breite Rechte: ein Agent, der nur Rechnungen lesen soll, aber Schlüssel hält, die Kunden löschen können. Und Stille: kein Protokoll, was der Agent wirklich getan hat, sodass niemand etwas rekonstruieren kann, wenn etwas komisch aussieht.
Was OAuth ändert
OAuth ist der Login-Ablauf, den du von "Anmelden mit"-Buttons kennst, und MCP hat ihn zum Standardweg für Agenten-Zugriff gemacht. Der Unterschied zum API-Key ist wie der zwischen Hausschlüssel und Hotel-Keycard. Der Hausschlüssel öffnet alles, für immer, und eine Kopie bemerkt niemand. Die Keycard öffnet ein Zimmer, läuft ab, und die Rezeption sperrt sie in Sekunden, ohne ein einziges Schloss zu tauschen.
Konkret gibt OAuth einer MCP-Verbindung vier Eigenschaften. Du bestätigst konkrete Rechte auf einem Consent-Screen, der Agent bekommt also Scopes statt alles. Zugangsdaten sind kurzlebig und erneuern sich automatisch, ein gestohlener Token altert schnell weg. Jede Verbindung lässt sich einzeln widerrufen, ohne die anderen anzufassen. Und kein statisches Geheimnis muss überhaupt in einer Config-Datei liegen.
Was das neueste MCP-Update ergänzt hat
Die 2026er-Revision von MCP hat den Login-Ablauf weiter verschärft. Autorisierungsserver weisen sich jetzt so aus, dass Apps es prüfen müssen, was einen bekannten Trick schließt, bei dem sich ein bösartiger Server in einen Login einklinken konnte. Client-Registrierungen sind an den ausstellenden Server gebunden. Kleine Änderungen, im Alltag unsichtbar, und genau das ist der Sinn. Das ganze Update haben wir hier erklärt: [Was ist MCP v2](/blog/what-is-mcp-v2).
Ein sicheres Setup als Checkliste
| Frage | Gute Antwort |
|---|---|
| Wie loggt sich der Agent ein? | OAuth mit Consent-Screen; API-Keys nur, wo es keine Alternative gibt |
| Woran darf er? | Die engsten Scopes, die den Job erledigen, lesend, bis Schreiben begründet ist |
| Kannst du den Stecker ziehen? | Widerruf pro Verbindung, in Sekunden, nicht per Ticket |
| Gibt es eine Papierspur? | Jeder Tool-Aufruf protokolliert mit Wer, Was und Wann |
| Wo liegen die Zugangsdaten? | Verschlüsselt, serverseitig, nie in Config-Dateien |
Ein Ort, der alles durchsetzt
Jede Regel oben ist leicht für ein Tool und unbeherrschbar für fünfzehn. Deshalb ist die praktische Antwort, den Agenten-Verkehr durch einen Punkt zu leiten, der sie einheitlich durchsetzt. Das ist einer der leiseren Jobs eines [MCP Gateways](/blog/what-is-an-mcp-gateway): ein Consent-Flow pro Tool, Zugangsdaten in einem verschlüsselten Tresor, ein Widerruf-Knopf, ein Audit-Log. Sicherheit, an die du nicht denken musst, ist die Sorte, die hält.