Mittwald: Einbruch über den MCP-Server

Der Webhoster Mittwald aus Espelkamp, bei Agenturen im DACH-Raum weit verbreitet, hatte gut eine Woche lang einen Angreifer im System. Der Weg hinein führte über den hauseigenen MCP-Server, mit dem Kunden KI-Assistenten an die Verwaltungsoberfläche mStudio anbinden konnten. Laut Mittwald sind 56 Kundenprojekte kompromittiert. In der Nacht zum 12.11.2026 folgte ein zweiter Angriff, nach dem Mittwald Kundencenter, mStudio und SSH erneut abschaltete.

Was passiert ist

Den Ablauf hat Geschäftsführer Robert Meyer am 07.11. im Firmenblog beschrieben:

Datum	Was geschah
21.10.2026	Der Angreifer testet erstmals eine Lücke im MCP-Server
ab 23.10.	Er bewegt sich wie ein normaler Kunde, legt Testkonten an und probiert einfache Injections
27.10.	Er registriert ein weiteres Konto und nutzt die Lücke wenige Minuten später aus
04.11.	Mittwald bemerkt ungewöhnliches Verhalten, sperrt das erste Konto und schaltet den MCP-Server ab
05.11.	Projekte mit Angriffsspuren werden gesperrt, dazu mStudio-Login, SSH, Extensions und Bestellungen
06.11.	56 Projekte und der MCP-Server sind forensisch ausgewertet, weitere Scans finden keine zusätzlich betroffenen Projekte
07.11.	mStudio und SSH sind wieder erreichbar

Ausgelesen wurden laut FAQ Session-Tokens, keine Passwörter. Mit einem solchen Token kam der Angreifer an alle Projekte, auf die der jeweilige Nutzer Zugriff hatte. Mittwald hat alle Tokens widerrufen und API-Keys vorsorglich gesperrt. Hinweise auf veröffentlichte Kundendaten gebe es nicht. Ob Dateien, Datenbanken oder Postfächer abgerufen wurden, teilt Mittwald den Betroffenen persönlich mit.

Was genau die Lücke war, sagt Mittwald bisher nicht. Ob der Fehler im eigenen Code steckte oder in einer MCP-Bibliothek, ist offen. Ein ausführlicher Bericht war für die Woche ab 09.11. angekündigt und steht noch aus.

Der zweite Angriff

In der Nacht zum 12.11. griffen die Angreifer laut Statusseite erneut an und nutzten eine Lücke in der Unternehmenswebsite aus. Mittwald nahm die Seite vom Netz und schaltete Kundencenter, mStudio und alle SSH-Zugänge vorsorglich ab. Eine Übernahme oder ein Defacement der Website habe es nicht gegeben, sagte Mittwald gegenüber heise. Zugriff auf interne Systeme habe man nicht festgestellt. Gehostete Websites und Postfächer liefen durchgehend weiter.

Am 13.11. gegen Mittag waren mStudio, SSH und Kundencenter wieder freigeschaltet, am Nachmittag auch mittwald.de. Ein Postmortem ist angekündigt. Der MCP-Server bleibt bis auf Weiteres offline, als Ersatz verweist Mittwald auf sein Kommandozeilen-Tool.

Waren es KI-Angreifer?

Mittwald geht davon aus. Meyer begründet das mit dem Tempo in den Logs: Teils lagen nur Sekunden zwischen Schritten, für die ein Mensch deutlich länger bräuchte. Auf Nachfrage von The Record konnte Mittwald allerdings nicht klar abgrenzen, ob das KI-Werkzeuge waren oder gewöhnliche Skripte. Für die eigenen Maßnahmen spielt das keine Rolle.

Was ihr tun solltet

Betroffen ist nach aktuellem Stand nur, wer den MCP-Server genutzt hat. Mittwald schreibt diese Kunden per E-Mail an. Wer ihn nach dem 27.10. verwendet hat, soll laut FAQ von einer Kompromittierung ausgehen und alle Schritte durchgehen:

Passwort im mStudio ändern und Zwei-Faktor-Authentifizierung aktivieren. Seit 07.11. gehen auch Passkeys.
API-Keys, Projekt-Tokens und SSH-Keys in allen Projekten prüfen und unbekannte Einträge löschen. Besonders auf SSH-Benutzer achten, die ihr nicht selbst angelegt habt.
Zugangsdaten zu Drittdiensten erneuern, die in den Projekten hinterlegt sind: Datenbanken, Mail-Konten, externe APIs.
Alle anderen Nutzer eurer Projekte informieren. Agenturen stellt Mittwald Vorlagetexte für die eigenen Kunden bereit.

Wer den MCP-Server nie eingerichtet hat, muss laut Mittwald nichts tun, sollte aber 2FA einschalten.

Was der Fall zeigt

Ein MCP-Server, der einem KI-Assistenten Zugriff auf die Hosting-Verwaltung gibt, hält dieselben Rechte wie der Kunde selbst. Fällt er, liegt alles offen, was der Kunde erreichen kann. Wer solche Anbindungen bei anderen Anbietern nutzt, sollte prüfen, ob sich die Rechte des Tokens einschränken lassen, etwa auf einzelne Projekte oder nur lesend.