Lücke im KI-Assistenten-Server: Angreifer kapert 56 Projekte bei Hoster Mittwald

Worum es geht

Der Webhoster Mittwald CM Service aus Espelkamp in Ostwestfalen bietet Hosting vor allem für Agenturen an. Am 7. November 2026 hat er einen Blogbeitrag mit dem Titel „Sicherheitsvorfall am MCP-Server“ veröffentlicht. Darin heißt es, ein Angreifer habe über eine Schwachstelle in Mittwalds MCP-Server Zugriff auf Kundenkonten bekommen. MCP steht für Model Context Protocol, einen offenen Standard, über den KI-Assistenten wie Chatbots mit fremden Diensten reden und dort Aktionen ausführen können. Mittwald hatte so eine Schnittstelle angeboten, damit Kunden ihr mStudio an einen KI-Assistenten anschließen können. mStudio ist die Verwaltungsoberfläche für Webprojekte.

Insgesamt 56 Kundenprojekte gelten als kompromittiert. Laut den Zeitangaben von Mittwald blieb der Angriff fast acht Tage unentdeckt. Die Nachrichtenseite The Record von Recorded Future hat am 9. November berichtet und spricht von „acht Tagen“. Der Analyst Parminder Kumar Sharma hat den Vorfall auf seiner Seite pk-sharma.com sehr genau aufgearbeitet. Er hat den Blogbeitrag, die FAQ, die Statusseite und eine Vorlage für Agenturen nebeneinandergelegt und alle Zeiträume nachgezählt. Auf dieser Auswertung beruht der folgende Überblick.

Der Ablauf: eine Woche Vorbereitung, fünf Minuten bis zum Einbruch

Mittwalds eigene Darstellung beginnt mit dem Abend des 21. Oktober. Laut dem Hoster war damals „die ganze IT-Welt mit PHP2Shell beschäftigt“, einer Doppel-Schwachstelle im Kern der Programmiersprache PHP. Ausgerechnet in diesem Moment soll der Angreifer die Lücke im MCP-Server zum ersten Mal getestet haben. Dass beides technisch zusammenhängt, behauptet Mittwald aber nicht. Auf der Statusseite ist nur zu sehen, dass das Team zu der Zeit mit dem PHP-Vorfall beschäftigt war.

Ab dem 23. Oktober bewegte sich der Angreifer wie ein ganz normaler Nutzer auf der Plattform. Er legte Testkonten an, probierte Erweiterungen aus und versuchte es mit einfachen Injection-Angriffen. Bei solchen Angriffen schleust man Befehle in Eingabefelder ein, in der Hoffnung, dass das System sie ausführt. Am 27. Oktober um 14:58 Uhr registrierte er ein weiteres Konto, fünf Minuten später um 15:03 Uhr nutzte er die Lücke aus. Ob man für den Angriff überhaupt ein Konto brauchte, sagt Mittwald nicht. Unklar ist auch, ob die Registrierung eine Bezahlung oder Prüfung voraussetzte. Fest steht nur, dass sie offen genug war, um am 5. November abgeschaltet zu werden.

Aufgefallen ist der Angriff erst am Vormittag des 4. November, als Mittwald nach eigenen Worten „ungewöhnliches Verhalten in einem unserer Systeme“ bemerkte. Um 11:11 Uhr wurde das erste Konto des Angreifers gesperrt. Um 12:53 Uhr hatte Mittwald einen ersten Eindruck vom Ausmaß, danach gingen Teile der Systeme vorsorglich vom Netz und der MCP-Server wurde abgeschaltet. Kurz nach Mitternacht sperrte Mittwald die betroffenen Projekte und schaltete die Neuregistrierung ab. Im Laufe des 5. November folgten Sperren für den mStudio-Login und den SSH-Zugang. Externe Forensiker halfen bei der Aufklärung, und laut Mittwald wurden „die zuständigen Behörden“ informiert. Am Samstag, dem 7. November, waren mStudio und SSH wieder erreichbar.

Was der Angreifer erbeutet hat

Im Blogbeitrag selbst steht nicht, was der Angreifer mitgenommen hat. Das findet sich erst in der FAQ. Dort heißt es, es seien Zugangsdaten, also Tokens, von Nutzern der MCP-Schnittstelle ausgelesen worden. Tokens sind digitale Ausweise, mit denen man nach dem Login angemeldet bleibt, ohne jedes Mal das Passwort einzugeben. Passwörter wurden laut Mittwald nicht abgegriffen, alle Tokens sind inzwischen widerrufen. Ein Token reichte allerdings, um mit den vollen Rechten des jeweiligen Nutzers ins mStudio zu kommen und damit an jedes Projekt, auf das dieser Nutzer zugreifen konnte.

In der Vorlage, die Mittwald für Agenturen und deren Kunden veröffentlicht hat, steht, was das konkret heißen kann. Erreichbar waren grundsätzlich die Dateien und der Code der Website, die Datenbank, im Projekt gespeicherte Zugangsdaten für andere Dienste und darüber verwaltete Postfächer. Ein Zugriff auf die Zugangsdaten zu fremden Diensten war laut der Vorlage technisch möglich, Hinweise darauf gebe es bisher aber keine. Auch dafür, dass Daten irgendwo veröffentlicht wurden, sieht Mittwald nach eigener Prüfung keine Anzeichen. Unabhängig bestätigt ist das nicht.

Sharma weist auf einen bemerkenswerten Punkt hin. Verkauft wurde der MCP-Server als Komfortfunktion, mit der ein KI-Assistent das Hosting-Konto bedienen kann. Tatsächlich war er Teil der Steuerungsebene der Plattform, weil er Schlüssel mit vollen Nutzerrechten ausgeben oder durchreichen konnte. Wie freundlich so ein Baustein heißt, ändert nichts daran, welche Rechte er hat.

Wie belastbar ist die KI-These?

Die Schlagzeile vom „KI-Angriff“ hängt an einem einzigen Satz. Laut Mittwald zeigen die Logs, dass der Angreifer sich „extrem schnell“ durch das System gearbeitet habe, was auf den Einsatz von KI-Werkzeugen „hindeute“. Zwischen manchen Schritten lägen nur Sekunden, ein Mensch hätte dafür deutlich länger gebraucht. The Record schreibt dazu nüchtern:

Mittwald hat keine weiteren Belege für eine Beteiligung von KI vorgelegt.

Auf die Frage, wie man KI-Werkzeuge von herkömmlichen Skripten unterscheiden könne, kam laut The Record zunächst keine Antwort. Sharma hält die Zeitabstände für ein schwaches Indiz. Abstände von wenigen Sekunden erzeugen auch gewöhnliche Skripte, Scanner und Automatisierungs-Frameworks, ganz ohne Sprachmodell. Die Logs belegen also bestenfalls, dass automatisiert vorgegangen wurde. Ob dahinter eine KI steckte, ist eine Vermutung von Mittwald. Dazu kommt, dass der Beitrag keinen einzigen konkreten Schritt nennt, keine Logzeile und keine Angabe, wie viele Schritte so schnell abliefen.

Am Ende des Beitrags sagt Mittwald voraus: „KI-Angriffe werden in Zukunft häufiger auftreten.“ Das ist eine Prognose des Unternehmens. Bemerkenswert ist dabei, dass Mittwald selbst KI-Hosting verkauft. Für die 56 Projekte und den Diebstahl der Tokens spielt es übrigens keine Rolle, ob eine KI beteiligt war.

Widersprüche und offene Fragen

Die Darstellungen von Mittwald passen nicht überall zusammen. Im Blogbeitrag heißt es, der MCP-Server sei schon am 4. November als Einfallstor erkannt worden. Auf der Statusseite taucht er aber erst am 5. November um 17:02 Uhr auf. Zuvor war dort von einer „Einschränkung“ und einer „üblichen Sicherheitsprüfung“ die Rede, nach der „nur sehr wenige Kunden“ etwas tun müssten. Am 5. November um 12:11 Uhr hieß es dann, man könne nicht ausschließen, dass unbefugter Zugriff weiter möglich sei. Laut Blog war mStudio in der Nacht zum 6. November wieder nutzbar, laut Statusseite erst am 7. November um 10:56 Uhr. Auch beim Umfang gibt es zwei Lesarten. Im Blog werden alle Daten ab dem 27. Oktober als kompromittiert behandelt. Die FAQ sagt dagegen, wer den MCP-Server nie genutzt hat, sei nach aktuellem Stand nicht betroffen.

Vieles bleibt offen. Mittwald nennt weder die Art der Lücke noch eine CVE-Nummer, also eine offizielle Kennung für Sicherheitslücken. Unklar ist laut The Record auch, ob der Fehler in Mittwalds eigenem Code steckte oder in einer Open-Source-Bibliothek. Ebenfalls offen ist, wie viele Kunden hinter den 56 Projekten stehen, welche Behörden informiert wurden und warum der Angriff acht Tage lang niemandem auffiel. Einen ausführlichen Bericht hat Mittwald für die folgende Woche angekündigt. Bis zum 9. November war er noch nicht erschienen.

Was Betroffene jetzt tun sollten

Wer ein Mittwald-Konto hat, sollte zuerst die FAQ und die Statusseite lesen und auf E-Mails von Mittwald achten, denn Betroffene werden einzeln angeschrieben. Wer den MCP-Server genutzt hat, sollte laut FAQ Folgendes tun:

• das mStudio-Passwort ändern und die Zwei-Faktor-Anmeldung einschalten,
• API-Schlüssel, Projekt-Tokens und SSH-Schlüssel prüfen und unbekannte Einträge löschen,
• im Projekt gespeicherte Zugangsdaten für Datenbanken, Mail und externe Dienste erneuern,
• nach Spuren suchen: SSH-Nutzer, die man nicht selbst angelegt hat, fremde Dateien im Projektverzeichnis und unbekannte API-Schlüssel.

Agenturen können die Vorlage von Mittwald nutzen, um ihre eigenen Kunden zu informieren, und sollten mit jedem Endkunden klären, ob eine Meldung an die Datenschutzbehörde nötig ist. Die Vorlage erwähnt dafür eine Frist von 72 Stunden und, wo die EU-Richtlinie NIS2 greift, eine Erstmeldung an das BSI innerhalb von 24 Stunden. Maßgeblich ist aber das Gesetz, nicht die Vorlage. Wer den MCP-Server nie genutzt hat, muss laut FAQ nichts tun, Zwei-Faktor-Anmeldung oder die neuen Passkeys werden trotzdem empfohlen.

Einordnung

Der Vorfall gehört zu den ersten öffentlich dokumentierten Einbrüchen über einen MCP-Server bei einem großen deutschen Hoster. Er zeigt ein Risiko, das viele Anbieter gerade unterschätzen: Wer KI-Assistenten an Admin-Oberflächen anbindet, schafft eine neue Schnittstelle zum Internet, die mit den vollen Rechten der Nutzer arbeitet. Sharma rät deshalb, Tokens für solche Tool-Server nur kurz gültig und mit wenigen Rechten auszustellen. Außerdem sollte Alarm schlagen, wenn ein frisch registriertes Konto innerhalb von Minuten auffällige Aufrufe macht.

Mittwald hat vergleichsweise offen und schnell informiert, inklusive FAQ und Vorlage für Agenturen. Das verdient Anerkennung. Trotzdem fehlen zentrale technische Angaben, und das Schlagwort „KI-Angriff“ ist bisher nicht belegt. Es lenkt auch von der eigentlichen Frage ab: Warum hat die Überwachung eine Woche mit Testkonten, Injection-Versuchen und einem Einbruch fünf Minuten nach einer Registrierung nicht bemerkt? Ob der angekündigte Abschlussbericht darauf eine Antwort gibt, bleibt abzuwarten.