MCP 2.0 erklärt: KI-Agenten sichern, bevor sie sich selbst sichern

Anmerkung: „MCP 2.0“ wird hier umgangssprachlich als Bezeichnung für die Weiterentwicklung der nächsten Generation des Model Context Protocol verwendet. MCP selbst verwendet eine datumsbasierte Versionierung (z. B. ist die aktuellste Version zum Zeitpunkt der Veröffentlichung dieses Dokuments 2025-11-25) und definiert offiziell keine Version 2.0.

KI-Agenten beantworten nicht mehr nur Fragen – sie ergreifen Maßnahmen. Sie lesen Dateien. Sie nehmen Änderungen an Systemen vor. Und in manchen Fällen treffen sie Entscheidungen, die sich auf das gesamte Unternehmen auswirken. Deshalb ist das Model Context Protocol (MCP) 2.0 so wichtig.

In einer aktuellen Folge von STRIVE, der Thought-Leadership-Reihe von Commvault zum Thema Cyber-Bereitschaft, habe ich mich mit Werner Nel, Principal für Sicherheit und KI-Intelligenz bei Commvault, zusammengesetzt, um zu erörtern, was MCP 2.0 tatsächlich verändert – und warum Sicherheitsverantwortliche es sich nicht leisten können, dies als bloßes kleines Spezifikations-Update abzutun.

Dies ist keine theoretische Diskussion. Es handelt sich um einen praktischen Blick darauf, wie Unternehmen KI-Innovationen vorantreiben können, ohne dabei das Risiko zu erhöhen.

Das Wichtigste in Kürze: Was sich mit MCP 2.0 wirklich ändert

MCP 2.0 markiert einen Wandel vom Einsatz künstlicher Intelligenz hin zur Rechenschaftspflicht.
OAuth kann einen Zugriff mit minimalen Berechtigungen für KI-Agenten ermöglichen.
Strukturierte Schemata können dazu beitragen, das Einschleusen von Befehlen und Missbrauch einzudämmen.
Bei der Erfassung können für risikoreiche Aktionen wichtige Kontrollpunkte eingefügt werden.
MCP 2.0 kann zwar zur Verbesserung der Sicherheit beitragen – beseitigt das Risiko jedoch nicht vollständig.
Es ist unerlässlich, die Befugnisse des Vermittlers und dessen Wirkungsbereich zu verstehen.

Warum MCP 2.0 einen Wendepunkt darstellt

Bei MCP 1.x ging es um die Einführung. Damit erhielten Unternehmen die Möglichkeit, KI-Modelle mit konkreten Tools und realen Daten zu verknüpfen. Doch wie Werner erklärt, war diese erste Welle nie darauf ausgelegt, die schwierigste Frage zu beantworten: Wie können wir KI-Agenten innerhalb des Unternehmens echte Arbeit verrichten lassen – ohne dass sie zu einem Sicherheitsrisiko werden? MCP 2.0 ist der erste ernsthafte Versuch der Branche, diese Frage zu beantworten.

Anstatt sich ausschließlich auf die Konnektivität zu konzentrieren, liegt der Fokus nun auf Autorisierung, Kontrolle und Transparenz – drei Aspekte, die Sicherheitsteams besonders am Herzen liegen, vor allem da sich Agenten von reinen Leseassistenten zu Akteuren mit tatsächlicher Macht entwickeln.

Die drei wichtigsten Veränderungen im Sicherheitsbereich

OAuth hält Einzug bei MCP. MCP 2.0 bietet nun OAuth-Unterstützung und gibt Unternehmen damit eine standardisierte Möglichkeit, Berechtigungen zuzuweisen und das Prinzip der geringsten Privilegien durchzusetzen. Anstatt sich auf vage Vertrauensannahmen zu stützen, können Agenten genau auf das beschränkt werden, was sie tun dürfen – und nicht mehr.
Strukturierte Schemata tragen dazu bei, das Risiko von Prompt-Injection zu verringern. Strukturierte Schemata fungieren als Whitelist für Agentenaktionen. Ist ein Tool nicht ausdrücklich im Schema definiert, wird es nicht ausgeführt. Dies kann dazu beitragen, das Risiko von Prompt-Injection und anderen Manipulationstechniken zu verringern, die in früheren Implementierungen leichter ausgenutzt werden konnten.
Abfrageabläufe verfügen über eine „Pause-Taste“. Durch Abfrageabläufe können Workflows während der Ausführung angehalten werden, sodass ein risikoreicher Schritt eine Bestätigung, Validierung oder sogar eine Eskalation der Anmeldedaten auslösen kann. Dies kann dazu beitragen, dass Teams von einem Ansatz nach dem Motto „Protokollieren und hoffen“ zu einer bewussteren Kontrolle über sensible Vorgänge übergehen.

Vorschau: MCP 2.0 in Aktion

Diese Vorschau verdeutlicht, warum Befugnisse, Auswirkungen und Reversibilität die drei wichtigsten Fragen sind, die sich Unternehmen bei der Einführung von KI-Agenten stellen sollten.

Die Lücken, die MCP 2.0 nicht schließt (und warum das wichtig ist)

MCP 2.0 ist ein großer Schritt nach vorn – aber noch nicht das Ende der Reise. Wie Werner in STRIVE hervorhebt, gibt es nach wie vor erhebliche Lücken, die Unternehmen bei der praktischen Umsetzung berücksichtigen müssen. Beispielsweise können Unternehmen nach wie vor nicht vollständig kryptografisch nachweisen, dass ein MCP-Server das authentische Original ist (im Gegensatz zu einem Klon oder einer modifizierten Kopie). Ähnlich verhält es sich mit der Autorisierung und der Eingabedisziplin: Selbst wenn das Protokoll diese Aspekte verbessert, müssen Unternehmen weiterhin über Signaturtools und Binärdateien sowie über die Umgebung nachdenken, in der MCP-Server und -Modelle ausgeführt werden – denn eine Kompromittierung kann je nach Art der Bereitstellung zu weitreichenden Zugriffsrechten führen. Fazit: MCP 2.0 verbessert das Protokoll, doch müssen Unternehmen weiterhin kluge Entscheidungen in Bezug auf Vertrauen, Eindämmung, Überwachung und Kontrolle treffen.

Ein einfaches Rahmenwerk zur Bewertung des Risikos von KI-Agenten

Einer der praktischsten Momente in dieser Folge ist Werners „Risiko-Prüfkriterium“ mit drei Fragen – etwas, das CISOs und Architekten sofort anwenden können:

Welche Befugnisse hat mein Agent?
Wie groß ist der Einflussbereich?
Inwieweit sind die ergriffenen Maßnahmen reversibel?

Diese Fragen helfen Teams dabei, von allgemeinen Diskussionen über „KI-Risiken“ zu konkreten Entscheidungen über Berechtigungen, Eindämmungsmaßnahmen und den Umgang mit weitreichenden Aktionen zu gelangen, die sich möglicherweise nicht ohne Weiteres rückgängig machen lassen.

Die komplette Folge von STRIVE ansehen

Dieser Blogbeitrag kratzt nur an der Oberfläche. Im vollständigen 20-minütigen STRIVE-Podcast erfahren Sie:

Warum sich MCP 2.0 so schnell weiterentwickelt hat.
Was CISOs derzeit vorrangig angehen sollten.
In welche Richtung sich MCP 3.0 voraussichtlich entwickeln wird.
Wie Sicherheitsteams Schritt halten können, wenn die Agenten immer autonomer werden.

Sehen Sie sich die komplette STRIVE-Folge auf Readiverse an. Gehen Sie der Sache auf den Grund und prüfen Sie, ob Sie selbst bereit sind.

FAQs

F: Was ist MCP 2.0? A: MCP 2.0 ist ein aktualisiertes Protokoll, das regelt, wie KI-Modelle mit Unternehmensanwendungen und -daten interagieren, wobei der Schwerpunkt auf Sicherheit, Autorisierung und Kontrolle liegt. F: Inwiefern unterscheidet sich MCP 2.0 von MCP 1.x?

A: Bei MCP 1.x standen Konnektivität und Onboarding im Vordergrund. Bei MCP 2.0 liegt der Schwerpunkt auf der Absicherung dieser Interaktionen. F: Beseitigt MCP 2.0 Sicherheitsrisiken im Zusammenhang mit KI? A: Nein. Es kann zwar zur Verbesserung der Sicherheitshygiene beitragen, muss aber mit einer soliden Architektur und Governance einhergehen.

F: Was ist ein Bestätigungsablauf? A: Ein Bestätigungsablauf ermöglicht es KI-Workflows, vor der Ausführung risikoreicher Aktionen zur Bestätigung anzuhalten. Chris Mierzwa ist Senior Director für Portfoliomarketing bei Commvault.