Wer in den späten Neunzigern zum ersten Mal online ging, erinnert sich vielleicht an das Gefühl. Plötzlich lag die ganze Welt an Software offen da. Freeware, Shareware, kleine Tools von irgendwelchen Servern, auf die man über eine Linkliste stieß. Man lud herunter, doppelklickte und hoffte.
Manchmal lief das Programm. Manchmal fing man sich einen Virus ein, und das war keine Seltenheit. Das Skriptkiddie war eine Kulturfigur, McAfee und Norton wurden damit reich, und der Schaden konnte durchaus übel sein.
Dreißig Jahre später will man KI-Agenten installieren, und das Gefühl kehrt zurück.
Inhaltsverzeichnis
Wenn du KI-Agenten installieren willst, öffnet sich ein alter Basar
Ein Agent wird dadurch nützlich, dass man ihn mit Werkzeugen verbindet. In der Praxis heißt das oft MCP-Server, kleine Programme, die dem Agenten Zugriff auf etwas geben, auf deine Dateien, eine Datenbank, einen Browser. Man findet sie zu Tausenden auf GitHub und in diversen Verzeichnissen, und die meisten sind, freundlich gesagt, Wochenendprojekte.
Das ist derselbe Basar wie damals. Ein riesiges Angebot, kaum Qualitätskontrolle, und die Verantwortung liegt bei dem, der herunterlädt. Nur ist der Herunterladende heute oft jemand, der über Cowork oder ChatGPT Work gerade erst eingestiegen ist und kein Terminal mehr braucht. Der Einstieg ist leichter geworden, die Prüfpflicht ist geblieben. Über diesen Graben habe ich an anderer Stelle geschrieben.
Ein MCP-Server ist ein kleines Programm, das einem KI-Agenten Zugriff auf eine bestimmte Fähigkeit gibt, etwa auf Dateien, eine Datenbank oder einen Browser. MCP steht für Model Context Protocol, einen offenen Standard, den Anthropic 2024 vorgestellt hat.
Wie schlimm es um die Qualität steht, hat eine Untersuchung von BlueRock Security gezeigt. In einer Stichprobe öffentlich erreichbarer MCP-Server trugen 36,7 Prozent eine bestimmte Sicherheitslücke, 41 Prozent hatten überhaupt keine Zugangssicherung, und nur 8,5 Prozent nutzten eine saubere Anmeldung. Eine Liste aller verfügbaren Server ist also keine Hilfe, sondern eine Gefahrenquelle. Genau wie eine Linkliste mit tausend Download-Seiten es 1998 gewesen wäre.
Wie kam man damals aus dem Wildwest heraus
Die interessante Frage ist nicht, ob es damals gefährlich war. Sondern wie das Problem verschwand. Denn heute lädt kaum noch jemand blind Software von obskuren Servern, und Antivirenprogramme sind für die meisten Privatnutzer verzichtbar geworden.
Der eingebaute Schutz von Windows erreichte in der Bewertung von AV-TEST im Februar 2026 die volle Punktzahl und liegt damit nah an den Bezahlprodukten, für die man früher extra zahlte. Die Ära, in der man als Erstes nach dem Auspacken eine Antivirensoftware installierte, ist vorbei.
Nur kam diese Sicherheit nicht dadurch, dass jeder Nutzer zum Experten wurde. Sie kam durch eine Schutzschicht, die sich über die Jahre bildete. Erst die Antivirenindustrie, dann Signaturen und Reputationsprüfungen, dann App-Stores und Betriebssysteme, die nicht mehr einfach alles ausführen, was man ihnen vorsetzt. Und, das ist der Teil, den man leicht übersieht, ein Wandel bei den Quellen. Man lud irgendwann nicht mehr von der erstbesten Seite, sondern aus kuratierten Verzeichnissen, offiziellen Stores, geprüften Kanälen.
Der ehrlichste Satz aus der ganzen Antiviren-Geschichte lautet womöglich so. Die meisten erfolgreichen Infektionen umgehen den Schutz nicht technisch. Sie gelingen, weil jemand etwas aus einer zweifelhaften Quelle installiert hat. Software ist ein Auffangnetz, kein Ersatz für Urteil. Die Quelle war damals die halbe Sicherheit. Bei Agenten ist sie es wieder.
Wer wird die Schutzschicht der Agenten-Ära
Genau diese Schicht entsteht bei KI-Agenten gerade erst. Noch ist sie dünn, aber die ersten Instanzen sind da, und an ihnen kann man sich orientieren. Sie sind der Grund, warum man heute nicht mehr blind im Basar wühlen muss.
Am sichersten sind die Server, die der Hersteller selbst pflegt. Anthropic betreibt einen offiziellen MCP-Katalog und stellt eine Handvoll Referenz-Server bereit, für Dateizugriff, Websuche, einfache Speicherfunktionen. Das ist kein Fremdcode aus unbekannter Hand, sondern von der Firma gewartet, die den Standard erfunden hat. Für den Anfang ist das die naheliegendste Wahl, weil man damit gar nicht erst in die bekannten Fallen läuft.
Daneben haben sich kuratierte Listen etabliert, die aus dem Wust die brauchbaren Server heraussortieren. Die bekanntesten laufen unter den Namen awesome-mcp-servers, gepflegt von der Community, sowie ein nach Qualität sortiertes Ranking namens best-of-mcp-servers, das wöchentlich aktualisiert wird. Redaktionell gefilterte Übersichten wie die von MCPBundles gehen noch einen Schritt weiter und beschränken sich bewusst auf die Server, die echte Teams produktiv einsetzen, statt alles aufzuzählen, was existiert.
Ein praktischer Kniff senkt das Risiko zusätzlich. Viele der guten Server laufen inzwischen als Remote-Dienst, den man über eine Adresse einbindet, statt ihn lokal zu installieren. Was nicht auf dem eigenen Rechner installiert wird, kann dort auch nichts nachladen. Der Haken ist, dass man sein Vertrauen damit auf den Betreiber verlagert, statt es sich zu sparen. Aber für einen Einsteiger ist die Regel »Remote statt lokal« trotzdem die halbe Miete.
Vier Regeln, mit denen du sicher anfängst
Man muss die Technik nicht durchdringen, um vernünftig einzusteigen. Es reichen ein paar Faustregeln, die sich direkt aus der Geschichte von oben ableiten.
Die vier Einsteiger-Regeln im Detail
Offiziell vor Fremd. Was der Hersteller selbst pflegt, ist dem Wochenendprojekt vorzuziehen. Der offizielle MCP-Katalog und die Referenz-Server von Anthropic sind der sichere Startpunkt.
Kuratiert vor Rohliste. Nie aus einer Komplettliste aller Server greifen. Die kuratierten Verzeichnisse haben die Arbeit des Aussortierens schon gemacht. Auf Aktualität und offene Wartung achten, ein Server, der seit einem Jahr niemand mehr anfasst, ist ein Warnzeichen.
Remote vor lokal. Server, die über eine Adresse laufen, installieren nichts auf deinem Rechner und können dort nichts nachladen. Wo es die Wahl gibt, ist die Remote-Variante die sicherere.
Wenige statt viele. Nicht mehr als eine Handvoll gleichzeitig laufen lassen. Jeder zusätzliche Server ist eine zusätzliche Tür. Wer sechs Türen offen hat, überblickt keine mehr.
Und ein Punkt, der über allem steht. Kuratiert heißt nicht geprüft. Auch ein Server mit vielen Sternen auf GitHub kann eine Lücke haben, und eine Empfehlung, selbst von Leuten, die man schätzt, ist kein Sicherheitszertifikat. Die kuratierte Quelle senkt das Risiko, sie beseitigt es nicht.
Warum diesmal mehr auf dem Spiel steht
Bei aller Ähnlichkeit gibt es einen Unterschied zu den Freeware-Jahren, und er macht die Sache nicht harmloser. Ein Virus von damals tat, was in ihm steckte. Böse, aber statisch. Ein Agent handelt eigenständig und lässt sich zur Laufzeit von außen steuern, ohne dass der Schadcode je irgendwo sichtbar im Programm steht. Er entscheidet nicht, dir zu schaden. Er entscheidet, hilfreich zu sein, und genau das wird ausgenutzt.
Dazu kommt, dass vernetzte Agenten sich gegenseitig anstecken können, ganz ohne Angreifer. Wie eine Kontamination sich von Agent zu Agent fortpflanzt, ist ein eigenes Thema, und es zeigt, dass die Angriffsfläche größer ist als früher, nicht kleiner. Und wenn jemand die gekaperten Agenten gezielt fernsteuert, wird aus der Ansteckung ein Angriff. Was passiert, wenn dein Agent nachts für jemand anderen arbeitet, ist der düstere Nachbar dieses Artikels. Der Basar von 1998 hatte wenigstens keine Werkzeuge, die selbstständig weiterarbeiten, während man Kaffee holt.
Das ist kein Grund, es zu lassen. Es ist ein Grund, es so anzufangen, wie man rückblickend auch die Neunziger hätte anfangen sollen. Aus geprüften Quellen, mit wenigen Werkzeugen, und mit dem Wissen, dass die eigene Vorsicht das erste Sicherheitswerkzeug ist, nicht das letzte. Die Schutzschicht für Agenten wird kommen, so wie sie für Software gekommen ist. Bis dahin ist man selbst das Immunsystem. (lk)
