Das Model Context Protocol (MCP) ist ein offener Standard, der es KI-Assistenten ermöglicht, sich über eine gemeinsame Schnittstelle mit externen Tools und Daten zu verbinden, wie z. B. einem CRM, einem Analytics-Konto, einem Dateispeicher oder einer Datenbank. Die Hauptrisiken sind übermäßige Berechtigungen, Prompt Injection durch Inhalte, die der Assistent liest, nicht vertrauenswürdige Drittanbieter-Server und eine schwache Verwaltung von Anmeldedaten. Vor der Einführung sollten Governance-Regeln festgelegt werden: welche Server zugelassen sind, worauf jeder zugreifen darf, wer Schreibaktionen genehmigt und wie Aktivitäten protokolliert werden.
Anthropic führte MCP Ende 2024 als offenes Protokoll ein, und es wurde seitdem von anderen KI-Anbietern und Entwicklertools übernommen. Ein MCP-Server stellt Tools, Ressourcen und Prompts bereit; ein MCP-Client, wie Claude, ChatGPT in unterstützten Modi oder ein IDE-Assistent, verbindet sich damit. Ein Marketingteam könnte MCP-Server verwenden, damit ein Assistent Google Analytics-Daten lesen, einen Shopify-Shop abfragen, Google Drive durchsuchen oder auf Slack posten kann.
Warum ist MCP für Marketingteams wichtig?
Vor MCP erforderte die Verbindung eines Assistenten mit jedem Tool eine benutzerdefinierte Integration. MCP standardisiert diese Verbindung, sodass ein Assistent über viele Systeme hinweg arbeiten kann. Das macht Aufgaben wie das Abrufen der Kampagnenergebnisse der letzten Woche von der Werbeplattform und deren Zusammenfassung in einem Dokument viel einfacher.
Dieselbe Bequemlichkeit ist die Quelle des Risikos. Ein Assistent mit Zugriff auf zehn Systeme kann zehnmal so viel Schaden anrichten, wenn er irregeführt oder falsch konfiguriert wird.
Was sind die wichtigsten Sicherheitsrisiken?
Prompt Injection
Wenn ein Assistent eine Webseite, eine E-Mail oder ein Dokument liest, das versteckte Anweisungen enthält, kann er diesen folgen. In Kombination mit MCP-Tools, die Nachrichten senden oder Daten ändern können, könnte eine böswillige Anweisung dazu führen, dass der Assistent Informationen preisgibt oder unerwünschte Aktionen ausführt. Sicherheitsforscher haben solche Angriffe gegen mehrere MCP-Setups demonstriert.
Zu weitreichende Berechtigungen
Viele Server authentifizieren sich mit einem einzigen Token, das alles gewährt, was der Benutzer tun kann. Ein Assistent, der eigentlich nur Berichte lesen sollte, könnte über dasselbe Token Kampagnen löschen.
Nicht vertrauenswürdige Server
Jeder kann einen MCP-Server veröffentlichen. Ein Server aus einer unbekannten Quelle könnte Daten protokollieren, seine Tool-Beschreibungen nach der Installation ändern oder anfälligen Code enthalten. Das lokale Ausführen nicht verifizierter Server gibt ihnen Zugriff auf den Computer.
Offenlegung von Anmeldedaten
API-Schlüssel, die in einfachen Konfigurationsdateien gespeichert, zwischen Mitarbeitern geteilt oder in Repositories übertragen werden, sind eine häufige Schwachstelle. Die MCP-Spezifikation hat eine OAuth-basierte Autorisierung für Remote-Server hinzugefügt, aber die Implementierungen variieren.
Was sind die praktischen Grenzen von MCP?
- Assistenten können das falsche Tool wählen oder falsche Parameter übergeben
- Große Datenabrufe können Kontextgrenzen überschreiten und abgeschnitten werden
- Die Serverqualität variiert stark; einige werden von Anbietern gewartet, viele von Einzelpersonen
- Nicht jeder Client unterstützt jede MCP-Funktion oder jeden Transport
- Die Audit-Protokollierung wird oft dem Serverautor überlassen und kann minimal sein
Welche Governance-Regeln sollten zuerst festgelegt werden?
- Liste zugelassener Server: nur offizielle Anbieter-Server oder intern geprüfte
- Standardmäßig schreibgeschützt: Schreib- und Löschaktionen erfordern eine explizite Genehmigung pro Anwendungsfall
- Anmeldedaten mit den geringsten Rechten: separate Token mit minimalen Bereichen für jeden Server
- Menschliche Bestätigung für jede Aktion, die sendet, veröffentlicht, ausgibt oder löscht
- Keine Server, die das Lesen nicht vertrauenswürdiger Inhalte mit sensiblen Schreibzugriffen in einer Sitzung kombinieren
- Protokollierung: aufzeichnen, welche Tools von wem und mit welchem Ergebnis aufgerufen wurden
- Eigentümer pro Server: jemand, der für Updates und die Überprüfung von Änderungen verantwortlich ist
Die Regel zur Kombination von Fähigkeiten verdient Betonung. Ein Assistent, der das offene Web durchsucht und auch die Erlaubnis hat, Kunden E-Mails zu senden, ist eine risikoreiche Kombination. Trennen Sie sie oder verlangen Sie eine Bestätigung für jede ausgehende Aktion.
Wie sollte ein Team einen MCP-Server vor der Genehmigung überprüfen?
Prüfen Sie, wer ihn veröffentlicht, ob der Code offen ist, wann er zuletzt aktualisiert wurde und welche Berechtigungen er anfordert. Lesen Sie die Tool-Beschreibungen, da sie effektiv Anweisungen an das Modell sind. Testen Sie ihn in einem Sandbox-Konto ohne echte Kundendaten, bevor Sie ihn mit Produktionssystemen verbinden.
Bevorzugen Sie Remote-Server mit OAuth und bereichsbasierten Berechtigungen vom Tool-Anbieter selbst, sofern verfügbar. Viele große Plattformen veröffentlichen jetzt offizielle Server.
Wie Alien Road das Model Context Protocol anwendet
Bei einem typischen Engagement beginnen wir damit, die Aufgaben aufzulisten, die der Kunde von einem Assistenten ausführen lassen möchte, und die Systeme, die diese Aufgaben berühren. Die meisten Marketing-Anwendungsfälle, wie Berichterstattung, Recherche und Entwurf, benötigen nur Lesezugriff, was das gesamte Setup prägt.
Die Einrichtung umfasst die Auswahl offizieller oder geprüfter Server, die Erstellung bereichsbasierter Anmeldedaten für jeden, die Konfiguration der Client-Anwendung, sodass Schreibaktionen eine Bestätigung erfordern, und das Schreiben einer einseitigen Richtlinie, die zugelassene Server und Eigentümer auflistet. Wir testen zuerst in Sandbox-Konten. Für Messung und Berichterstattung überprüfen wir Tool-Call-Protokolle mit dem Kunden, verfolgen die bei den abgedeckten Aufgaben eingesparte Zeit und zeichnen alle blockierten oder unerwarteten Aktionen auf, sodass die Governance anhand der realen Nutzung statt anhand von Annahmen überprüft wird.
Wie sieht ein risikoarmer erster Anwendungsfall aus?
Ein gutes erstes Projekt ist ein schreibgeschützter Berichts-Assistent. Er verbindet sich nur mit Lese-Bereichen mit Google Analytics, Search Console und der Werbeplattform und erstellt eine wöchentliche Zusammenfassung für das Team. Nichts kann geändert werden, und der schlimmste Fall ist eine ungenaue Zusammenfassung, die eine Person vor dem Teilen überprüft.
Sobald das gut läuft, könnte ein Team Schreibzugriff auf ein einzelnes risikoarmes Ziel hinzufügen, wie z. B. das Erstellen von Entwurfsdokumenten in einem freigegebenen Ordner, immer noch mit Bestätigung.
Wie verhält sich MCP zu Datenschutzregeln?
Wenn ein Assistent Kundendaten über einen MCP-Server abruft, können diese Daten in die Systeme des KI-Anbieters gelangen. Nach DSGVO und KVKK wird der Anbieter zum Auftragsverarbeiter, und das Unternehmen benötigt einen Auftragsverarbeitungsvertrag und einen klaren Zweck für die Übertragung.
Prüfen Sie, wo der KI-Anbieter Daten verarbeitet, ob Geschäftspläne sie vom Training ausschließen und wie lange Gesprächsprotokolle aufbewahrt werden. Bevorzugen Sie für Server, die personenbezogene Daten berühren, aggregierte Abfragen, wie z. B. Kampagnensummen, anstatt einzelne Kundendatensätze in das Gespräch zu ziehen.
Dokumentieren Sie diese Entscheidungen in derselben Richtlinie, die zugelassene Server auflistet, sodass eine einzige Seite sowohl Sicherheits- als auch Datenschutzfragen beantwortet.
Wo man diese Woche anfangen kann
Listen Sie jeden MCP-Server oder KI-Connector auf, der derzeit in den Assistenten Ihres Teams aktiv ist, einschließlich persönlicher Setups. Notieren Sie für jeden, wer ihn installiert hat, welche Anmeldedaten er verwendet und ob er Daten schreiben kann. Deaktivieren Sie alles, was niemand erklären kann, stellen Sie verbleibende Server auf die engsten verfügbaren Bereiche um und schreiben Sie die Genehmigungsregel für den nächsten auf, bevor ihn jemand installiert.
Weiterlesen: KI-Optimierung · KI-Optimierung