Mittwald-Angriff: Die Tür für die KI war die Tür für die Angreifer

Ein Webhoster baut seinen Kunden einen bequemen Zugang: Sag Claude, ChatGPT oder Cursor in normaler Sprache, was mit deinem Hosting passieren soll, und die KI erledigt es. Genau über diesen Zugang kamen laut Mittwald Angreifer ins Kundenportal. Heute hat der Hoster aus Espelkamp seine Systeme wieder geöffnet. Für Menschen, mit Pflicht-Zwei-Faktor. Die Tür für die KI bleibt zu.

Was passiert ist

Am 5. November meldete Mittwald auf seiner Statusseite einen unberechtigten Zugriff auf mStudio, die Verwaltungsoberfläche für Kundenprojekte, über den MCP-Server. MCP ist der Standard, mit dem KI-Assistenten externe Werkzeuge bedienen. Mittwald schaltete den MCP-Server, den mStudio-Login, SSH-Zugänge, Erweiterungen und Bestellungen ab und deaktivierte einzelne Projekte. Am 7. November liefen mStudio und SSH wieder.

In der Nacht auf den 12. November griffen die Angreifer erneut an. Laut Statusseite nutzten sie eine Sicherheitslücke, um die Firmenwebsite zu kompromittieren; Zugriffe auf interne Systeme hat Mittwald bisher nicht festgestellt. Der Hoster beschreibt die Angreifer als professionelle Akteure, die automatisierte KI-Systeme nutzen, und schaltete Kundencenter, mStudio und alle SSH-Verbindungen ab. Gehostete Websites und E-Mail blieben laut Mittwald erreichbar, IT-Forensiker sind eingeschaltet.

Heute, 13. November, um 11:23 Uhr: mStudio und SSH sind wieder freigeschaltet, seit 11:42 Uhr auch das Kundencenter. Laut Mittwald gibt es keinen Zugriff von außen mehr. Neu sind eine Zwei-Faktor-Abfrage per E-Mail und ein Captcha beim Login; Mittwald empfiehlt eine Authenticator-App und kündigt ein Postmortem an. Auf der Entwicklerseite steht weiter: Der MCP-Server ist derzeit nicht verfügbar.

Jeder KI-Connector ist ein neuer Admin-Zugang

Was ich daran spannend finde: Bei KI-Risiken reden wir fast immer über Daten, die in einen Chat fließen. Hier lief es andersherum. Der Connector gibt der KI Hände, und Hände kann man stehlen. Mittwalds MCP-Server verwaltet laut Doku die Infrastruktur per natürlicher Sprache, angebunden an sieben KI-Werkzeuge, darunter Claude, ChatGPT, Cursor und Codex CLI. Angemeldet wird per OAuth mit Tokens, die rund eine Stunde gelten, oder mit API-Tokens, die lange gelten und von Hand erneuert werden müssen. Das ist kein schlechtes Design. Es ist ein zweiter Admin-Eingang neben dem ersten, mit eigenen Regeln.

Aus meiner Sicht ist das die eigentliche Lehre für Agenturen und Marketing-Teams. KI repariert keine kaputten Arbeitsweisen, sie vergrößert die Risse. Wer nie sauber geklärt hat, wer welche Rechte hat, verteilt mit jedem Connector neue Schlüssel, und niemand führt Buch. Meine Faustregel: Zugänge, Kundendaten und die finale Freigabe bleiben intern und bei einem Menschen. Ein KI-Connector mit Rechten auf Kundenprojekte gehört genau in diese Kategorie, auch wenn er sich wie ein Produktivitäts-Feature anfühlt.

Der Haken

Die Gegenseite nutzt nach Mittwalds Worten selbst automatisierte KI. Heißt: Angriffe laufen im Maschinentempo, Abwehr und Kundenkommunikation im Menschentempo. Mittwald hat die ehrlichste Antwort gewählt, die es gibt: Eine Tür, die man nicht sicher bekommt, bleibt zu. Was technisch genau schiefging, sagt der Hoster noch nicht. Bis zum Postmortem ist jede Ursachen-Theorie Spekulation, auch meine.

Was ich jetzt tun würde

• Mittwald-Kunden: Authenticator-App einrichten, wie Mittwald empfiehlt, und die mStudio-API-Tokens durchgehen. Welche gibt es, wer nutzt sie, welche können weg?
• Alle anderen: diese Woche eine Liste aller KI-Connectors im Team anlegen (Hosting, CRM, Werbekonten, Cloud-Laufwerk). Pro Eintrag: welche Rechte, welches Token, wer kann es widerrufen.
• Schreibrechte für KI nur dort, wo vorher ein Mensch freigibt. Mittwalds eigene Anleitung setzt als Standard nur Lese-Scopes, und Lesen reicht für die meisten Use Cases.

FazitJede Tür, die du für deine KI einbaust, ist auch eine Tür für die KI von jemand anderem.