Insights

Sicherheit für MCP, KI-Agenten und Compliance

Praktische Leitfäden statt Buzzwords. Jeder Beitrag stammt von CyberSec42 Research und folgt demselben Prinzip wie unsere Prüfungen: die eine Eigenschaft benennen, von der Ihr Produkt abhängt, und sie belegen statt behaupten.

Aktuelle Warnungen

Was eine aktuelle Sicherheitslücke für Ihre Systeme bedeutet und was jetzt zu tun ist.

Aktuelle Warnung

PHP2Shell: Was die kritischen PHP-Lücken für WordPress-Seiten bedeuten

Betroffene PHP-Versionen, Selbstprüfung in wenigen Minuten und die WordPress-Angriffsflächen, die nach dem Update offen bleiben.

Beitrag lesen Leitfaden

WordPress absichern: der praktische Leitfaden für Unternehmen

Updates, Plugins, Anmeldung, Schnittstellen, Server, Backups und Überwachung, mit Checkliste zum Abhaken.

Beitrag lesen Notfall

Website gehackt – was tun? Die ersten Schritte für kleine Unternehmen

Die ersten Schritte nach einem Hack: Anzeichen erkennen, Beweise sichern, bereinigen, Google-Warnung entfernen und Meldepflicht prüfen.

Beitrag lesen Selbstcheck

Website-Sicherheit für kleine Unternehmen: selbst prüfen und absichern

Der 15-Minuten-Selbstcheck für WordPress, Shopify, Wix oder Jimdo, und wann sich ein Test von außen lohnt.

Beitrag lesen Shopify

Shopify-Shop absichern: was Sie als Händler selbst tun müssen

Was Shopify schützt und was Händler selbst tun müssen: Konten, Zwei-Schritt-Anmeldung, Apps, Skripte und Phishing, mit Checkliste.

Beitrag lesen

MCP- und Agenten-Sicherheit

Wie MCP-Server und KI-Agenten zur Angriffsfläche werden, und wie Sie sie strukturell absichern.

MCP- und Agenten-Sicherheit

MCP-Server absichern: der praktische Leitfaden

Ein MCP-Server ist kein Plugin, sondern läuft mit vollem Zugriff. Die häufigsten Schwachstellen-Klassen und die konkreten Gegenmaßnahmen auf einen Blick.

Beitrag lesen MCP- und Agenten-Sicherheit

Die OWASP MCP Top 10, praktisch erklärt

Die offene Referenz für MCP-Sicherheit, Klasse für Klasse durchgegangen: woran jede scheitert und wie Sie konkret gegensteuern.

Beitrag lesen Eigene Forschung

CVE-2026-15583: SSRF im Grafana MCP Server erklärt

Unser Fund im Grafana MCP Server: wie Zugangsdaten an fremde Server gingen, wer betroffen war und was der Fix in 0.17.2 ändert.

Beitrag lesen Eigene Forschung

CVE-2026-114123: Fehlende Authentifizierung im D365 F&O MCP Server erklärt

Unser Fund im D365 F&O MCP Server: warum Azure-Bereitstellungen X++-Quellcode ohne Anmeldung zeigten und was der Fix in 1.11.0 ändert.

Beitrag lesen Eigene Forschung

CVE-2026-104776: Dateilesen über kubectl_patch in mcp-server-kubernetes erklärt

Unser Fund in mcp-server-kubernetes: wie kubectl_patch Dateien vom Server las, weil eine Prüfung der Geschwister-Werkzeuge fehlte.

Beitrag lesen Eigene Forschung

CVE-2026-110787: Wie der MCP-Endpunkt von pREST die expose-Einstellungen umging

Unser Fund in pREST: wie der MCP-Endpunkt die expose-Einstellungen umging und was 2.4.1 korrigiert.

Beitrag lesen MCP- und Agenten-Sicherheit

Die OWASP Top 10 für Agentic Applications, praktisch erklärt

Die neue OWASP-Referenz für autonome KI-Agenten (ASI01 bis ASI10), Klasse für Klasse: von Ziel-Kaperung bis abtrünnige Agenten.

Beitrag lesen OWASP LLM Top 10

Die OWASP Top 10 für LLM-Anwendungen 2026, praktisch erklärt

Alle zehn Risiken der Fassung 2026 von LLM01 bis LLM10 mit Beispiel, Prüfweg und Gegenmaßnahme.

Beitrag lesen KI-Pentest

LLM-Pentest: die Checkliste für KI-Anwendungen vor dem Livegang

Scope, sieben Prüfbereiche von Prompt-Injection bis Kosten, OWASP-Zuordnung 2026 und Vorbereitung vor dem Livegang.

Beitrag lesen MCP- und Agenten-Sicherheit

MCP und OAuth: den Vertrauensanker absichern

MCP nutzt OAuth 2.1 als Vertrauensanker. So pinnen Sie Authorization-Server und PRM-Origin, schneiden den Scope und prüfen die Token-Audience.

Beitrag lesen MCP- und Agenten-Sicherheit

Prompt-Injection und Tool-Poisoning in MCP-Servern

Die gefährlichste MCP-Klasse: eingeschleuste Inhalte lösen die schreibenden Tools des Servers aus. So verhindern Sie es strukturell.

Beitrag lesen Prompt-Injection

Prompt-Injection testen: Testplan, Testfälle und Bewertung

Angriffsflächen erfassen, Testfälle für direkte und indirekte Injection, Treffer nach Auswirkung bewerten, mit Checkliste.

Beitrag lesen MCP- und Agenten-Sicherheit

KI-Agent-Sicherheit: der Überblick

KI-Agenten handeln mit echten Rechten in echten Systemen. Der breite Einstieg in ihre Angriffsflächen, von Tool-Zugriff bis MCP.

Beitrag lesen Microsoft 365 Copilot

Microsoft 365 Copilot sicher einführen: Risiken und Konfiguration

Oversharing, Vertraulichkeitsbezeichnungen, Prompt-Injection, Agenten und Audit: was vor der Einführung zu konfigurieren ist.

Beitrag lesen n8n

n8n sicher betreiben: Risiken, bekannte Lücken und Härtung

Bekannte Lücken und BSI-Hinweise, typische Fehlkonfigurationen, Webhooks, Community-Nodes und eine Härtungs-Checkliste.

Beitrag lesen

Penetrationstest und Security-Testing

Was ein belastbarer Sicherheitsnachweis kostet, wie er abläuft und wann welche Prüfung passt.

Penetrationstest

Penetrationstest: Ablauf, Dauer und was ihn kostet

Wie ein Penetrationstest abläuft, wie lange er dauert und wovon die Kosten abhängen. Ein ehrlicher Überblick über Scope und Nachweis.

Beitrag lesen Grundlagen

Schwachstellenanalyse: was sie ist und wann Sie eine brauchen

Was eine Schwachstellenanalyse leistet, wie sie sich vom Penetrationstest unterscheidet und wann welche Prüfung die richtige ist.

Beitrag lesen Pentest-Anbieter

Pentest-Anbieter auswählen: woran Sie einen guten Dienstleister erkennen

Woran Sie einen guten Pentest-Dienstleister erkennen: Kriterien, Warnsignale, zehn Fragen fürs Erstgespräch und was ins Angebot gehört.

Beitrag lesen API-Pentest

API-Pentest: die Checkliste für SaaS- und Software-Teams

API-Pentest nach OWASP API Security Top 10: Scope, Testkonten je Mandant, Prüfschritte mit Beispielen und Grenzen von Scannern.

Beitrag lesen Supabase

Supabase Row Level Security richtig einsetzen

Row Level Security richtig einsetzen: typische Fehler in KI-gebauten Apps, Policy-Beispiele und ein Selbsttest mit zweitem Konto.

Beitrag lesen Vibe Coding

Vibe Coding Sicherheit: die Checkliste für KI-gebaute Apps

Sieben typische Fehler in Apps aus Lovable, Bolt oder Cursor und je ein Selbsttest, den Sie ohne Security-Team machen können.

Beitrag lesen Website

Content Security Policy und Security-Header richtig einrichten

CSP ohne unsafe-inline, HSTS und frame-ancestors, mit Beispielen für Vercel, Netlify, Apache und nginx und einer Prüfanleitung.

Beitrag lesen OWASP

OWASP Top 10 2025: alle Kategorien erklärt

Alle zehn Kategorien von A01 bis A10 mit Beispiel und Prüfweg, die Änderungen gegenüber 2021 und warum die Liste kein Prüfstandard ist.

Beitrag lesen KI-Agenten

Claude Code Security: KI-Coding-Agenten absichern

Rechte, Freigabemodi, Sandbox, Prompt-Injection, MCP und Secrets: wie Teams Claude Code und Cursor sicher einsetzen.

Beitrag lesen KI-Sicherheit

AI Red Teaming: was es ist und wie es abläuft

Unterschied zu Pentest und LLM-Scan, Ablauf eines Einsatzes, Angriffsziele und die Rahmenwerke MITRE ATLAS, OWASP und NIST.

Beitrag lesen Website

Website-Sicherheit prüfen: Schritt für Schritt selbst testen

Acht Prüfungen mit kostenlosen Werkzeugen, wie Sie die Ergebnisse lesen und was kein automatischer Scan findet.

Beitrag lesen Lovable

Lovable-Sicherheit: So machen Sie Ihre Lovable-App sicher

Was zu Sicherheitsproblemen in Lovable-Apps dokumentiert ist, was der Scan prüft und eine Checkliste vor dem Launch.

Beitrag lesen Firebase

Firebase Security Rules richtig schreiben

Warum der API-Schlüssel öffentlich sein darf, typische Fehler, Regel-Beispiele für Firestore und Storage und Tests mit dem Emulator.

Beitrag lesen

Compliance und Regulierung

NIS2, ISO 27001 und der Weg zum prüffähigen Nachweis, ohne Zertifizierungs-Theater.

NIS2

NIS2: wer ist betroffen und was jetzt zu tun ist

NIS2 betrifft weit mehr Unternehmen als die alte Richtlinie. Wer betroffen ist, welche Fristen gelten und welche Schritte jetzt konkret anstehen.

Beitrag lesen NIS2

NIS2-Registrierung beim BSI: wer, bis wann und wie es abläuft

Wer sich registrieren muss, die Frist nach § 33 BSIG, der Ablauf mit ELSTER-Zertifikat und was bei Versäumnis droht.

Beitrag lesen NIS2 Lieferkette

NIS2 in der Lieferkette: was Kunden jetzt von Zulieferern und Dienstleistern verlangen

Was Kunden unter NIS2 von Zulieferern verlangen: Rechtsgrundlage, typische Klauseln und Nachweise, Vorbereitung und Checkliste.

Beitrag lesen ISO 27001 für Software-Teams

ISO 27001 für SaaS und Startups: was wirklich zählt

Wie ein schlankes ISMS entsteht und wie Sie Nachweise sammeln, die im Enterprise-Einkauf standhalten. ISO 27001 gegen SOC 2 eingeordnet.

Beitrag lesen EU AI Act

AI Act und KI-Governance: was Unternehmen jetzt tun müssen

Welche Pflichten der EU AI Act für Ihr Unternehmen bringt, welche Fristen laufen und wie Sie KI-Governance praktisch aufsetzen.

Beitrag lesen KI-Richtlinie

KI-Richtlinie im Unternehmen: Pflicht, Inhalte und eine Mustergliederung

Ist eine KI-Richtlinie Pflicht, was gehört hinein, und eine Mustergliederung zum Übernehmen, mit den typischen Fehlern.

Beitrag lesen Cyber Resilience Act

Cyber Resilience Act: die Meldepflicht für Software- und SaaS-Hersteller

Seit 11.09.2026 gilt die 24-Stunden-Frühwarnung für ausgenutzte Schwachstellen. Fristen, Meldeweg, SaaS-Abgrenzung und Checkliste.

Beitrag lesen ISO 42001

ISO 42001: das KI-Managementsystem für KMU und SaaS-Anbieter

Aufbau der Norm, Annex A, Verhältnis zu ISO 27001 und EU AI Act und der Weg zur Zertifizierung durch eine akkreditierte Stelle.

Beitrag lesen