--- id: CP-264 slug: ki-agenten-werkzeuge-mcp lang: de title: KI-Agenten, Werkzeuge und das MCP-Protokoll description: "Ein KI-Agent ruft in Ihrem Auftrag Werkzeuge auf: Mail, Dateien, APIs. Was dabei schiefgehen kann und wie Sie seine Rechte begrenzen." canonical_url: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ markdown_url: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „KI-Agenten, Werkzeuge und das MCP-Protokoll“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ (CC BY 4.0) wing: 4 theme: master_ai reflex: air-048 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ fr: https://startbrain.io/cyberpedia/fr/articles/agents-ia-outils-mcp/ en: https://startbrain.io/cyberpedia/en/articles/ai-agents-tool-use-mcp/ es: https://startbrain.io/cyberpedia/es/articles/agentes-ia-herramientas-mcp/ sources: - "n": 1 title: "Toolformer: Language Models Can Teach Themselves to Use Tools" publisher: arXiv url: https://arxiv.org/abs/2302.04761 published: "2023-02-09" accessed: "2026-11-03" - "n": 2 title: "ReAct: Synergizing Reasoning and Acting in Language Models" publisher: arXiv url: https://arxiv.org/abs/2210.03629 published: "2022-10-06" accessed: "2026-11-03" - "n": 3 title: LLM06:2025 Excessive Agency publisher: OWASP url: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ accessed: "2026-11-03" - "n": 4 title: LLM01:2025 Prompt Injection publisher: OWASP url: https://genai.owasp.org/llmrisk/llm01-prompt-injection/ accessed: "2026-11-03" - "n": 5 title: "Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection" publisher: arXiv url: https://arxiv.org/abs/2302.12173 published: "2023-02-23" accessed: "2026-11-03" - "n": 6 title: Prompt injection is not SQL injection (it may be worse) publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection published: "2025-12-08" accessed: "2026-11-03" - "n": 7 title: "Technical Blog: Strengthening AI Agent Hijacking Evaluations" publisher: NIST url: https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations published: "2025-01-17" accessed: "2026-11-03" - "n": 8 title: Security and governance - Microsoft Copilot Studio publisher: Microsoft url: https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance accessed: "2026-11-03" --- # KI-Agenten, Werkzeuge und das MCP-Protokoll Ein KI-Agent ist ein Sprachmodell, dem man Werkzeuge gegeben hat: ein Postfach lesen, Dateien öffnen, eine Website durchsuchen, eine API aufrufen. Forschungsarbeiten aus den Jahren 2022 und 2023 beschreiben Modelle, die darauf trainiert wurden zu entscheiden, welche APIs sie wann und mit welchen Argumenten aufrufen [1], oder die mit wenigen Beispielen dazu angeleitet wurden, zwischen Überlegen und Handeln zu wechseln und externe Quellen heranzuziehen [2]. Die OWASP, die die Liste der wichtigsten Risiken für Anwendungen auf Basis von Sprachmodellen führt, spricht von „Agency“: der Fähigkeit, über Erweiterungen Funktionen aufzurufen oder mit anderen Systemen zu interagieren. Die Anbieter nennen diese Erweiterungen auch Tools, Skills oder Plugins. Die Wahl der Erweiterung, die ausgeführt wird, kann dem Agenten selbst überlassen werden, der anhand der Anfrage oder des Ergebnisses eines früheren Aufrufs entscheidet [3]. Für Beschäftigte wird die Frage einfach: Was kann dieser Agent in meinem Namen tun, und wer prüft, bevor es geschieht? ## In 30 Sekunden - Wo es vorkommt: in jedem Assistenten, der Ihre E-Mails, Ihre Dokumente oder Webseiten liest und handeln kann (senden oder löschen), ohne dass Sie bei jedem Schritt klicken [3]. - Was der Angreifer will: eine Anweisung in einen Inhalt einschleusen, den der Agent liest, damit er an seiner Stelle handelt, zum Beispiel indem er sensible E-Mails weiterleitet [3]. - Der Reflex: Geben Sie dem Agenten nur das absolute Minimum an Rechten, verlangen Sie Ihre Freigabe vor jeder Aktion mit Wirkung (Senden, Löschen, Veröffentlichen) und prüfen Sie, was er vorbereitet hat [3]. - Wenn es schon passiert ist: Informieren Sie Ihr Sicherheitsteam, mit dem Datum und den Werkzeugen, die zu diesem Zeitpunkt mit dem Agenten verbunden waren. Die Aktivitätsprotokolle der Werkzeuge helfen, ungewöhnliche Aktionen zu erkennen [3]. ## Direkte Fragen ### Was unterscheidet einen Agenten von einem einfachen Chat-Assistenten? Ein Chat-Assistent antwortet. Ein Agent handelt: Er ruft das Modell wiederholt auf und stützt sich auf das Ergebnis früherer Aufrufe, um die nächsten zu steuern [3]. Jedes angeschlossene Werkzeug vergrößert, was ein Fehler oder eine Manipulation auslösen kann. ### Was ist das MCP-Protokoll? Die für diese Fiche zusammengetragenen Quellen beschreiben MCP nicht. Sie behandeln Werkzeuge, Erweiterungen und Konnektoren im Allgemeinen, und die weiter unten beschriebenen Risiken gelten für jede Art, einen Agenten an ein Werkzeug anzuschließen. Das Protokoll selbst wird deshalb hier nicht im Einzelnen erläutert. ### Was ist eine indirekte Prompt-Injection? Das ist der Fall, in dem das Modell Anweisungen erhält, die in einem externen Inhalt wie einer Website oder einer Datei versteckt sind, und sein Verhalten daraufhin ändert [4]. Forschende haben 2023 gezeigt, dass sich auf diesem Weg Anwendungen mit eingebundenem Modell aus der Ferne und ohne direkte Schnittstelle angreifen lassen, indem die Anweisungen in Daten platziert werden, die abgerufen werden könnten [5]. Der Angreifer braucht keinen Zugang zur KI: Er schreibt etwas, das sie irgendwann lesen wird [6]. Der Text kann für Menschen sogar unsichtbar sein, solange das Modell ihn auswertet [4]. ### Lassen sich diese Angriffe mit einem Filter blockieren? Nicht vollständig. Die OWASP hält es für ungewiss, ob es eine lückenlose Vorbeugung gibt [4]. Das britische NCSC erklärt, aktuelle Modelle unterschieden nicht zwischen Anweisungen und Daten: Sie sagten lediglich das nächste Wort voraus. Es hält es für möglich, dass sich Prompt-Injection im Gegensatz zur SQL-Injection nie vollständig beheben lässt, und empfiehlt, Risiko und Auswirkungen zu verringern [6]. Es warnt auch vor Produkten, die versprechen, Prompt-Injection zu „stoppen“ [6]. ### Was sollte ich prüfen, bevor ich den Agenten handeln lasse? Alles, was Ihren Bereich verlässt: versendete E-Mails oder geteilte Dateien. Die OWASP nennt das Beispiel eines E-Mail-Versands, bei dem der Nutzer jede vom Agenten verfasste Nachricht prüft und freigibt [3]. ## Wie es funktioniert Eine Anwendung gibt dem Modell eine Reihe von Werkzeugen und lässt es dann auswählen, welche es aufruft [3]. Die Anweisungen des Entwicklers und der zu verarbeitende Inhalt (eine E-Mail, eine Seite, eine Datei) treffen in derselben Eingabe ein. Aktuelle Agenten beruhen im Allgemeinen auf dieser Mischung aus vertrauenswürdigen Anweisungen und nicht vertrauenswürdigen Daten [7]. Das NCSC zieht daraus eine praktische Folgerung. Wenn der Agent Werkzeuge oder APIs aufgrund dessen aufruft, was das Modell sagt, erhält ein Angreifer, der das Modell manipuliert, das Äquivalent eines direkten Zugriffs auf diese Werkzeuge, mit dem schlimmsten Szenario, das daraus folgt [6]. ## Was Sie tun Die OWASP listet Maßnahmen auf, die die übermäßige Macht eines Agenten verringern. Deren Konfiguration steuern Sie nicht immer selbst, aber Sie können sie bei dem Team anfragen, das das Werkzeug einführt. - Werkzeuge reduzieren: Braucht der Agent keine Webadresse zu lesen, bekommt er diese Funktion nicht [3]. - Funktionen reduzieren: Eine Erweiterung, die E-Mails zusammenfasst, muss sie nur lesen, nicht löschen oder versenden [3]. - Genau abgegrenzte Werkzeuge offenen Werkzeugen wie „einen Befehl ausführen“ vorziehen: Bei Letzteren kann jeder beliebige andere Befehl gestartet werden [3]. - Berechtigungen reduzieren: Ein Werkzeug zum Lesen einer Datenbank darf sich nicht mit einer Identität anmelden, die auch ändern oder löschen kann [3]. - Mit Ihren eigenen Rechten handeln, nicht mit einem allgemeinen, hoch privilegierten Konto. Für ein Code-Repository nennt die OWASP eine OAuth-Verbindung mit dem kleinstmöglichen Geltungsbereich [3]. - Für Aktionen mit großer Wirkung eine menschliche Freigabe verlangen [3]. - Die Aktivität der Werkzeuge protokollieren, um ungewöhnliche Aktionen zu erkennen, und die Rate begrenzen, um die Zahl unerwünschter Aktionen in einem Zeitraum zu verringern [3]. Das NCSC schlägt eine einfache Regel vor: Wenn ein Modell Informationen von Dritten verarbeitet, sinken seine Privilegien auf die dieses Dritten. Ein Agent, der E-Mails externer Personen liest, darf deshalb keinen Zugriff auf privilegierte Werkzeuge haben [6]. Auf der Plattformseite beschreibt Microsoft für Copilot Studio Kontrollen, die Administratoren vorbehalten sind: Datenrichtlinien für Konnektoren, Aktionen und HTTP-Anfragen, Analyse der Konnektor-Abhängigkeiten vor der Bereitstellung, Überwachungsprotokolle und die Möglichkeit, die Veröffentlichung von Agenten mit generativer KI zu deaktivieren. Die Entwickler von Agenten können die Werkzeuge außerdem so konfigurieren, dass sie mit den Anmeldedaten des Nutzers ausgeführt werden [8]. ## Die Fallstricke - Der Agent mit übermäßigen Rechten. Die OWASP unterscheidet drei Ursachen: zu viele Funktionen, zu viele Berechtigungen, zu viel Autonomie [3]. Eine Erweiterung, die während der Entwicklung ausprobiert und dann aufgegeben wurde, kann für den Agenten erreichbar bleiben [3]. Eine Erweiterung eines Drittanbieters, die zum Lesen von Dokumenten ausgewählt wurde, kann sie womöglich auch ändern und löschen [3]. - Die in einer E-Mail versteckte Anweisung. Im Beispiel der OWASP bringt eine präparierte eingehende E-Mail einen Mailassistenten dazu, den Posteingang zu durchsuchen und sensible Informationen an den Angreifer weiterzuleiten [3]. - Das Bild, über das die Unterhaltung abfließt. Ein Nutzer bittet die KI, eine Seite mit versteckten Anweisungen zusammenzufassen, die sie dazu bringen, ein Bild einzufügen, das auf eine Adresse verweist: So gelangt die private Unterhaltung nach außen [4]. - Das veränderte Dokument in einer Wissensbasis. Verändert ein Angreifer ein Dokument, das eine Anwendung mit abrufgestützter Generierung nutzt, kann die Antwort der KI irreführend werden [4]. - Die Verkettung zwischen Werkzeugen. Eine Injection kann von einem früheren Aufruf einer kompromittierten Erweiterung stammen oder von einem anderen kompromittierten Agenten in einem Multi-Agenten-System [3]. - Der einzelne Test, der zu Unrecht beruhigt. Das NIST stellt fest, dass ein Modell bereits bekannten Angriffen widerstehen und doch Angriffen erliegen kann, die eigens für es entworfen wurden [7]. ## Reale Fälle ### Februar 2023: Demonstration an Bing Chat und Code-Assistenten Forschende, darunter Kai Greshake und Sahar Abdelnabi, reichten am 23. Februar 2023 einen Artikel ein, der indirekte Injection-Angriffe gegen reale Systeme zeigt, darunter den auf GPT-4 beruhenden Bing Chat und Engines zur Code-Vervollständigung. Ihrer Darstellung nach kann die Verarbeitung eines abgerufenen Prompts der Ausführung beliebigen Codes gleichkommen und steuern, ob und wie andere APIs aufgerufen werden. Sie stellen zu diesem Zeitpunkt einen Mangel an wirksamen Gegenmaßnahmen fest [5]. ### Januar 2025: die Bewertung der Agenten-Entführung durch das NIST Am 17. Januar 2025 veröffentlichte das Center for AI Standards and Innovation des NIST seine Tests zur Entführung von Agenten auf dem Framework AgentDojo. Die eigens für das getestete Modell entworfenen Angriffe stiegen von 11 % Erfolgsquote (beste Referenzattacke) auf 81 % [7]. Bei fünf Injection-Aufgaben, darunter das Senden eines Authentifizierungscodes an einen Dritten und das Ausführen eines schädlichen Skripts, lag der durchschnittliche Erfolg bei 57 % mit einem Versuch und bei 80 % mit 25 Versuchen pro Angriff [7]. Es handelte sich um simulierte Umgebungen, nicht um Vorfälle in Unternehmen [7]. ## Quellen 1. arXiv, „Toolformer: Language Models Can Teach Themselves to Use Tools“, 9. Februar 2023. https://arxiv.org/abs/2302.04761 (abgerufen am 3. November 2026) 2. arXiv, „ReAct: Synergizing Reasoning and Acting in Language Models“, 6. Oktober 2022. https://arxiv.org/abs/2210.03629 (abgerufen am 3. November 2026) 3. OWASP, „LLM06:2025 Excessive Agency“. https://genai.owasp.org/llmrisk/llm062025-excessive-agency/ (abgerufen am 3. November 2026) 4. OWASP, „LLM01:2025 Prompt Injection“. https://genai.owasp.org/llmrisk/llm01-prompt-injection/ (abgerufen am 3. November 2026) 5. arXiv, „Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection“, 23. Februar 2023. https://arxiv.org/abs/2302.12173 (abgerufen am 3. November 2026) 6. NCSC (Royaume-Uni), „Prompt injection is not SQL injection (it may be worse)“, 8. Dezember 2025. https://www.ncsc.gov.uk/blog-post/prompt-injection-is-not-sql-injection (abgerufen am 3. November 2026) 7. NIST, „Technical Blog: Strengthening AI Agent Hijacking Evaluations“, 17. Januar 2025. https://www.nist.gov/news-events/news/2025/01/technical-blog-strengthening-ai-agent-hijacking-evaluations (abgerufen am 3. November 2026) 8. Microsoft, „Security and governance - Microsoft Copilot Studio“. https://learn.microsoft.com/en-us/microsoft-copilot-studio/security-and-governance (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/ki-agenten-werkzeuge-mcp/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.