Cyberangriff auf Hoster Mittwald: Angreifer drangen über KI-Schnittstelle ein und lasen Tokens aus

Der deutsche Webhoster Mittwald ist Opfer eines Cyberangriffs geworden. Angreifer nutzten eine Schnittstelle aus, über die Kunden KI-Assistenten an ihr Hosting anbinden konnten, und lasen Sitzungstokens von Nutzern dieser Schnittstelle aus. 56 Projekte sind nach Angaben des Unternehmens kompromittiert. Der Vorfall blieb eine Woche lang unbemerkt, bis Mittwald am 4. November 2026 ungewöhnliche Aktivitäten in einem System feststellte.

Mittwald sitzt in Espelkamp in Nordrhein-Westfalen und betreut vor allem Agenturen, die über das Unternehmen die Websites ihrer Kunden betreiben. Kunden verwalten ihre Projekte über das Kundenportal mStudio. Genau dort griff der Angriff an, allerdings nicht über das Portal selbst, sondern über einen technischen Umweg, der in der Branche derzeit viel diskutiert wird: den sogenannten MCP-Server.

Was ein MCP-Server ist und warum er zum Einfallstor wurde

MCP steht für Model Context Protocol. Es ist ein offenes Verfahren, mit dem KI-Assistenten auf andere Dienste zugreifen und dort Aufgaben ausführen können. Mittwald bot seinen Kunden einen solchen Zugang an, damit sie ihr Hosting über einen KI-Assistenten verwalten konnten. Statt sich im Browser durch das Kundenportal zu klicken, konnten Nutzer ihrem Assistenten zum Beispiel sagen, er solle eine Datei prüfen oder eine Einstellung ändern, und der Assistent erledigte das über den MCP-Server.

Nach Darstellung von Mittwald testete ein Angreifer eine Schwachstelle in diesem Server erstmals am 21. Oktober 2026. Am 27. Oktober wurde sie dann gezielt ausgenutzt. Nach dem vorläufigen Bericht, den Gründer und Geschäftsführer Robert Meyer am 7. November veröffentlichte, registrierte der Angreifer an diesem Tag um 14:58 Uhr ein weiteres Konto und nutzte die Lücke um 15:03 Uhr aus, um unbefugt auf Systeme des Hosting-Anbieters zuzugreifen. Dabei wurden Sitzungstokens von Nutzern ausgelesen, die die Schnittstelle verwendet hatten.

Ein Sitzungstoken ist ein digitaler Schlüssel, der eine angemeldete Sitzung bestätigt. Wer einen solchen Token besitzt, kann das Kundenportal mit den Rechten des jeweiligen Nutzers nutzen, ohne dessen Passwort zu kennen. Passwörter selbst wurden laut Mittwald nicht ausgelesen. Die betroffenen Tokens sind inzwischen ungültig. Bei einem Teil der Projekte gibt es Spuren, dass Dateien, Datenbanken oder Postfächer abgerufen wurden. Mittwald behandelt nach eigenen Angaben alle Daten ab dem 27. Oktober als kompromittiert.

Eine Woche unbemerkt: der Zeitplan des Vorfalls

Der Angriff blieb zunächst unbemerkt, weil der Angreifer seine Spuren nach Angaben von Mittwald tarnte. Erst am Morgen des 4. November 2026 fiel dem Unternehmen ungewöhnliches Verhalten in einem System auf. Um 11:11 Uhr wurde das erste Konto des Angreifers gesperrt, um 12:53 Uhr meldete die Statusseite eine laufende Untersuchung. Noch am selben Tag identifizierte Mittwald den MCP-Server als Einfallstor und schaltete ihn ab.

Am 5. November 2026 um 11:34 Uhr zog das Unternehmen dann die Notbremse: Die Anmeldung am Kundenportal mStudio wurde deaktiviert, alle SSH-Verbindungen wurden getrennt und deaktiviert, die Mittwald-Erweiterungen wurden abgeschaltet und es wurden keine Bestellungen mehr angenommen. Die Websites der Kunden liefen nach Angaben des Unternehmens währenddessen weiter. Kurz nach Mitternacht hatte Mittwald außerdem die Projekte gesperrt, bei denen es Spuren des Angreifers gab, und die Registrierung neuer Konten vorübergehend ausgesetzt.

Am 6. November untersuchte Mittwald die 56 kompromittierten Projekte und den MCP-Server forensisch. Wiederholte Überprüfungen hätten keine weiteren kompromittierten Projekte ergeben, teilte das Unternehmen mit. Für den 6. November hatte Mittwald außerdem Systemneustarts mit vorübergehenden Ausfällen von zehn bis 15 Minuten angekündigt.

Rückkehr zum Normalbetrieb und was noch offen ist

Am Samstag, den 7. November, gab Mittwald die Anmeldung am mStudio und die SSH-Zugänge wieder frei. Das meldete die Statusseite um 10:56 Uhr. Einzelne Websites blieben aus Sicherheitsgründen weiterhin abgeschaltet. Auch bestimmte Verwaltungsdienste wiesen am Sonntag, den 8. November, laut Statusseite noch Einschränkungen auf. Die für den Angriff genutzte MCP-Schnittstelle bleibt bis auf Weiteres außer Betrieb.

Das separate Kundencenter und die dort verwalteten Websites seien von dem Sicherheitsvorfall nicht betroffen gewesen, erklärte Mittwald. Das Unternehmen informiert Kunden, deren Projekte betroffen sind oder zusätzliche Sicherheitsmaßnahmen erfordern, nach eigenen Angaben unmittelbar per E-Mail. Einen ausführlichen Bericht versprach Mittwald für die folgende Woche, sobald Analyse und Wiederherstellung abgeschlossen sind. Wie viele Kunden insgesamt betroffen sind und welche Datenkategorien genau abgeflossen sind, nannte das Unternehmen in seinem vorläufigen Bericht nicht.

Eine Neuerung gab es parallel zur Wiederfreigabe: In mStudio lassen sich seitdem Passkeys als Anmeldemethode einrichten. Passkeys ersetzen das Passwort durch einen auf dem Gerät gespeicherten Schlüssel und gelten als deutlich sicherer gegen Phishing und Diebstahl von Zugangsdaten.

Was Kunden von Mittwald jetzt tun sollten

Mittwald rät allen Nutzern der kompromittierten MCP-Schnittstelle, ihr mStudio-Passwort zu ändern, die Zwei-Faktor-Authentifizierung zu aktivieren sowie API-Schlüssel und technische Zugangsberechtigungen zu überprüfen. Wer seine Zugangsdaten an anderen Stellen wiederverwendet, sollte sie auch dort ändern. Wer verdächtige Aktivitäten in seinen Projekten bemerkt, sollte sich direkt an den Support von Mittwald wenden.

Auch wer die MCP-Schnittstelle nie genutzt hat, kann den Vorfall als Anlass nehmen, die eigenen Zugangsdaten zu prüfen. Eine Zwei-Faktor-Authentifizierung schützt das Konto auch dann, wenn ein Passwort oder ein Token in falsche Hände gerät, weil ein Angreifer zusätzlich einen zweiten Faktor benötigt. Passkeys bieten denselben Schutz ohne zusätzliches Gerät, weil der Schlüssel auf dem eigenen Handy oder Computer liegt und nicht abgefangen werden kann.

Der Fall zeigt ein Risiko, das mit dem Siegeszug der KI-Assistenten wächst. Schnittstellen wie MCP öffnen Türen, die früher geschlossen waren: Ein Assistent, der Dateien lesen und Einstellungen ändern darf, braucht weitreichende Rechte. Wenn in einer solchen Schnittstelle eine Lücke steckt, kann ein Angreifer diese Rechte für sich nutzen, ohne dass ein Passwort gestohlen werden muss. Unternehmen, die KI-Schnittstellen anbieten, müssen sie deshalb genauso sorgfältig absichern wie ihre klassischen Anmeldeseiten. Für Nutzer heißt das: Bequemlichkeit durch KI-Anbindung ist praktisch, sollte aber immer mit einer Zwei-Faktor-Authentifizierung und regelmäßigen Kontrollen der Zugriffsrechte einhergehen.

Häufig gestellte Fragen

Was ist bei Mittwald passiert?

Angreifer nutzten eine Schwachstelle im MCP-Server von Mittwald aus, über den Kunden KI-Assistenten an ihr Hosting anbinden konnten. Sie lasen Sitzungstokens von Nutzern dieser Schnittstelle aus. 56 Projekte sind nach Angaben des Unternehmens kompromittiert. Der Angriff begann am 27. Oktober 2026 und wurde am 4. November entdeckt.

Sind meine Passwörter bei Mittwald betroffen?

Nein, nach Angaben von Mittwald wurden keine Passwörter ausgelesen, sondern Sitzungstokens. Die Tokens sind inzwischen ungültig. Trotzdem rät Mittwald allen Nutzern der MCP-Schnittstelle, ihr mStudio-Passwort zu ändern und die Zwei-Faktor-Authentifizierung zu aktivieren.

Ist meine Website bei Mittwald noch erreichbar?

Die Websites der Kunden liefen während des Vorfalls weiter. Einzelne Projekte mit Spuren des Angreifers wurden vorsorglich gesperrt und blieben auch nach der Wiederfreigabe von mStudio und SSH am 7. November zunächst abgeschaltet. Betroffene Kunden werden von Mittwald per E-Mail informiert.