NCA Social Media
Erstellt:
Aktualisiert:
Autor:
Roland Golla
CIS MCP Server Benchmark: Sicherheitsstandard für KI Agenten 2026

CIS MCP Server Benchmark: Sicherheitsstandard für KI Agenten 2026

Der CIS MCP Server Benchmark ist ein Sicherheitsstandard des Center for Internet Security für den Betrieb von MCP Servern. Er sammelt Best Practices, mit denen Teams Deployment und Betrieb der Server absichern, über die KI Agenten auf Tools und Daten zugreifen.

Version 1.0.0 ist der erste Benchmark unter dem neuen Dach CIS AI Benchmarks. Wie alle CIS Benchmarks entsteht er im Konsens einer Community aus Praktikern und ist als PDF für die nicht kommerzielle Nutzung kostenlos. An der Entwicklung haben laut CIS Tal Skverer und Tomer Schwartz mitgewirkt.

Warum das wichtig ist: Das Model Context Protocol ist die Stelle, an der aus einer KI Antwort eine echte Aktion wird. Ein Agent liest Dateien, ruft APIs auf oder schreibt in eine Datenbank. Genau dort setzt der Benchmark an.

CIS steht seit Jahren für Benchmarks zu Linux, Windows, Kubernetes oder Cloud Konten. Mit dem MCP Server Benchmark landet KI zum ersten Mal in derselben Liste. Für Security Teams heißt das: MCP Server werden prüfbar wie jeder andere Server.

Inhalt
NCA KI Workshop für Developer

Agentic Coding im Team, nicht nur im Glossar

Ein Tag inhouse mit Benjamin Klein für Developer, Tester und Admins. Context Engineering, Harness, ADRs und zwei Hands on Blöcke mit KI Agenten in eurem Setup.

  1. 1
    Kostenloses Vorgespräch
    Stand, Rollen und Ziele klären
  2. 2
    Workshoptag bei euch
    Praxis am Vormittag, Hands on danach
  3. 3
    Praxistag optional
    Agenten im eigenen Projekt
Benjamin Klein
Benjamin Klein
Senior Consultant
Zum Workshop für Developer arrow_forward

CIS MCP Server Benchmark mit NCA: Schnelle Hilfe vom Experten

Wir bauen und betreiben MCP Server selbst. Unser Sulu CMS hängt an einem eigenen MCP Server, unsere n8n Workflows ebenso. Deshalb kennen wir die Fragen, die der Benchmark aufwirft, aus dem Alltag: Welche Tools darf ein Agent sehen, wer stellt Tokens aus, was landet im Log. Dazu kommt unser Open Source Hintergrund mit Symfony, PHP und Cypress, wo Qualität über Tests und klare Regeln entsteht.

Passende Leistungen: Die NCA MCP Middleware für Unternehmensdaten bringt eure Systeme kontrolliert an KI Agenten. Die NCA Agentic AI Coding Guardrails setzen Regeln und Freigaben im Projekt auf. Beim Vibe Coding Security Audit prüfen wir bestehende Agenten Setups. Für den Betrieb im eigenen Netz hilft Self Hosted KI mit Multi Tenant, für die rechtliche Seite die DSGVO Beratung zum Vibe Coding.

Was ein CIS Benchmark ist

Ein CIS Benchmark ist eine Konfigurationsvorgabe für genau eine Technologie. Er sagt Zeile für Zeile, welche Standardwerte ihr ändern solltet und warum. Jede Empfehlung hat eine Begründung, einen Prüfschritt und einen Weg zur Behebung.

Drei Dinge machen CIS Benchmarks besonders:

  • Konsens: Fachleute aus der Community entwickeln und prüfen die Empfehlungen gemeinsam.
  • Herstellerneutral: Kein Anbieter schreibt sich seine eigenen Regeln.
  • Prüfbar: Weil jede Empfehlung konkret ist, lässt sie sich auditieren und oft automatisiert prüfen.

Viele Benchmarks unterscheiden Profile, meist Level 1 für den breiten Einsatz und Level 2 für Umgebungen mit hohem Schutzbedarf. Welche Profile der MCP Server Benchmark nutzt, steht im PDF selbst. Wer ihn einführt, sollte genau dort anfangen und nicht bei Zusammenfassungen aus zweiter Hand.

Benchmark, Controls und Companion Guides im Überblick

CIS hat sich dem Thema KI in mehreren Schritten genähert. Zuerst kamen Companion Guides, die die bekannten CIS Controls auf KI Umgebungen übertragen. Mit dem Benchmark folgt jetzt die konkrete Konfiguration für eine Technologie.

Die Dokumente konkurrieren nicht, sie arbeiten auf verschiedenen Ebenen. Die Controls sagen, was eine Organisation tun sollte. Die Guides übertragen das auf Agenten und Protokoll. Der Benchmark sagt, wie ein einzelner MCP Server dafür eingestellt sein muss. Die Tabelle zeigt die Aufteilung.

CIS Dokumente für KI Umgebungen

Dokument Ebene Wofür es da ist
CIS Controls Organisation Priorisierte Schutzmaßnahmen, die Safeguards, für das ganze Unternehmen
CIS AI Agent Companion Guide Agenten Autonomie, Tool Nutzung, Memory und Zusammenspiel mehrerer Agenten steuern
CIS MCP Companion Guide Protokoll Autorisierung, Tool Zugriff und Ausführungskontrollen bei MCP
CIS MCP Server Benchmark Konfiguration Konkrete Empfehlungen für Deployment und Betrieb von MCP Servern

Welche Risiken an einem MCP Server hängen

Ein MCP Server ist ausführbarer Code mit Zugriff auf eure Systeme. Er hält Tokens, kennt Endpunkte und führt aus, was ein Modell anfragt. Die typischen Schwachstellen kennt man aus Forschung und Vorfällen:

  • Zu breite Rechte: Ein Server darf schreiben, obwohl Lesen reicht. Mehr dazu bei MCP RBAC.
  • Weitergereichte Tokens: Der Server leitet ein Token ungeprüft an Dienste dahinter weiter.
  • Offene Endpunkte: Der Server lauscht auf allen Netzwerkschnittstellen statt nur lokal.
  • Tool Poisoning: Manipulierte Tool Beschreibungen bringen den Agenten zu Aktionen, die niemand wollte.
  • Ungeprüfte Server von Dritten: Ein Paket aus npm oder GitHub bringt verstecktes Verhalten mit.

Diese Liste ist unsere Einordnung der bekannten MCP Risiken, kein Auszug aus dem Benchmark. Sie zeigt aber, warum ein prüfbarer Standard überfällig war. Hintergründe zu sicherem KI Code findet ihr bei Vibe Coding Security.

So startet ihr mit dem Benchmark

Ein Benchmark wirkt erst, wenn er im Alltag ankommt. Dieser Ablauf hat sich bei Konfigurationsstandards bewährt:

  1. Inventar anlegen: Welche MCP Server laufen, wer hat sie installiert, welche Tools geben sie frei?
  2. PDF lesen und priorisieren: Erst die Empfehlungen umsetzen, die bei euch das größte Risiko schließen.
  3. Rechte schneiden: Eigene Tokens pro Server, nur die Scopes, die das Tool wirklich braucht.
  4. Sichtbarkeit schaffen: Jeder Tool Aufruf landet im Log, kritische Aktionen brauchen eine Freigabe, siehe Governed Agent Loop.
  5. Automatisch prüfen: Konfigurationen gehören in die Pipeline, genau wie Quality Gates für KI Code.

Für zentrale Kontrolle über viele Server lohnt ein Blick auf ein LLM Gateway und auf Observability mit Langfuse. Beides ersetzt den Benchmark nicht, macht seine Regeln aber an einer Stelle durchsetzbar.

CIS Benchmark, DSGVO und lokale KI

Der Benchmark stammt von einer US Organisation. Seine Prinzipien sind trotzdem neutral: minimale Rechte, klare Konfiguration, Nachvollziehbarkeit. Genau das braucht ihr auch für Datenschutz und Audits in Europa.

Unsere Linie bleibt: Coding aus der Cloud, Datenverarbeitung im eigenen Netzwerk. Kleine Modelle laufen lokal über Ollama, unser Coding Agent ist OpenCode. Wer gehostete Inferenz im Enterprise Umfeld braucht, findet mit Conversis in Duisburg einen Hosting Partner in Deutschland.

Mehr zu Compliance Fragen steht bei Lokale KI für Compliance. Welche Modelle mit Tool Calling gut zurechtkommen, zeigt KI Modelle für MCP und Tool Handling.

Wo der Benchmark hilft und wo er endet

Der Benchmark beschreibt, wie ein MCP Server konfiguriert und betrieben wird. Er ersetzt keine Code Reviews, keine Tests und keine Rechteplanung im Team. Ein sauber konfigurierter Server mit einem schlecht gebauten Tool bleibt ein Risiko.

CIS selbst rahmt KI Sicherheit nüchtern. Angreifer tun nicht grundsätzlich Neues, sie werden schneller. Die Antwort sind solide Grundlagen, die man konsequent umsetzt und messen kann. Der MCP Server Benchmark überträgt genau diesen Ansatz auf die Protokollebene.

Am meisten bringt der Benchmark Teams, die MCP gerade einführen. Wer früh auf einen Standard setzt, muss später weniger zurückbauen. Wie schnell sich das Protokoll selbst bewegt, zeigt die MCP Roadmap.

Organizations that have invested in strong fundamentals are already better positioned to absorb this change.

Tony Sager, Senior Vice President und Chief Evangelist, Center for Internet Security – CIS Blog

Unsere Erfahrung mit MCP Servern im Alltag

Bei uns laufen MCP Server jeden Tag. Über sie entstehen Seiten wie diese im Sulu CMS, über sie starten wir Workflows in n8n. Dabei lernen wir ständig, wo Rechte zu breit sind und welche Tools ein Agent gar nicht sehen muss. Wie sich Antworten von MCP Servern schlank halten lassen, steht in MCP Responses optimieren.

Wir helfen Teams, MCP Server auszuwählen und einzuordnen. Beispiele aus dem Glossar: der GitHub MCP Server, der Cypress Cloud MCP für Testergebnisse und der Sylius MCP Server für Commerce. Wie Sulu und MCP zusammenspielen, zeigt Lovable zu Sulu CMS.

Für Sicherheitsthemen rund um KI lohnt auch der Blick auf Project Glasswing und das Traffic Light Protocol für die Weitergabe sensibler Informationen. Developer Teams lernen den sicheren Umgang mit Agenten im NCA KI Workshop für Developer.

CYPRESS.IO Ambassador und IT Consultant für QA Engenieering und Qualität in PHP Projekten.
NCA Vibe Coding Consulting

Roland Golla ist Entwickler aus Leidenschaft – seit über 20 Jahren. Er hat hunderte Projekte begleitet, von Legacy-Refactoring bis KI-Integration. Bei Vibe Coding verbindet er das Beste aus beiden Welten: Die Geschwindigkeit von KI-generiertem Code mit der Qualität professioneller Softwareentwicklung. Kein Bullshit, keine Agentur-Floskeln – direkte Hilfe von jemandem, der selbst täglich im Code steckt.

E-Mail Kontakt

Häufige Fragen zum CIS MCP Server Benchmark

Die wichtigsten Antworten zum CIS MCP Server Benchmark, zu den CIS AI Benchmarks und zum Einstieg im Team.

Was ist der CIS MCP Server Benchmark 2026?

Der CIS MCP Server Benchmark ist ein Sicherheitsstandard des Center for Internet Security für MCP Server. Er enthält Best Practices für Deployment und Betrieb der Server, über die KI Agenten auf Tools und Daten zugreifen. Version 1.0.0 ist der erste Benchmark unter dem Dach CIS AI Benchmarks und entstand wie alle CIS Benchmarks im Konsens einer Fachcommunity.

Ist der CIS MCP Server Benchmark 2026 kostenlos?

Ja, für die nicht kommerzielle Nutzung. CIS stellt seine Benchmarks als PDF kostenlos bereit, der Download läuft über ein Formular auf der CIS Website. Weitere Formate und Ressourcen gibt es für Mitglieder von CIS SecureSuite. Für den Einstieg reicht das PDF völlig aus, denn dort stehen alle Empfehlungen mit Begründung.

Welche CIS Dokumente gibt es 2026 für KI Sicherheit?

Neben dem MCP Server Benchmark gibt es mehrere Companion Guides, die die CIS Controls auf KI übertragen. Der MCP Companion Guide behandelt Autorisierung, Tool Zugriff und Ausführungskontrollen. Der AI Agent Companion Guide behandelt Autonomie, Tool Nutzung, Memory und Multi Agent Verhalten. Der Benchmark ist das konkreteste Dokument, weil er Konfigurationen für eine Technologie vorgibt.

Wer braucht den CIS MCP Server Benchmark 2026?

Jedes Team, das MCP Server betreibt oder an Agenten anbindet. Das gilt für Entwickler mit Coding Agenten genauso wie für Unternehmen, die interne Daten über MCP freigeben. Besonders wichtig ist der Benchmark, sobald ein Server schreiben darf, Tokens für Drittsysteme hält oder aus dem Netzwerk erreichbar ist. Dann gehört eine prüfbare Grundkonfiguration dazu.

Wie unterscheidet sich der Benchmark 2026 von den CIS Controls?

Die CIS Controls sind priorisierte Schutzmaßnahmen für die ganze Organisation und gelten technologieübergreifend. Ein Benchmark ist eine konkrete Konfigurationsvorgabe für genau eine Technologie. Die Controls sagen zum Beispiel, dass ihr sichere Konfigurationen pflegen sollt. Der MCP Server Benchmark zeigt, wie das bei einem MCP Server konkret aussieht. Beide ergänzen sich.

Was ist ein MCP Server?

Ein MCP Server stellt einem KI Agenten Fähigkeiten über das Model Context Protocol bereit. Das können Tools sein, etwa Mails lesen oder ein Ticket anlegen, aber auch Daten und Prompts. Der Server übernimmt Authentifizierung und Ausführung im Hintergrund. Damit ist er der Ort, an dem eine KI Antwort zur echten Aktion in euren Systemen wird.

Welche Risiken haben MCP Server?

Typisch sind zu breite Rechte, ungeprüft weitergereichte Tokens, offene Netzwerkendpunkte und Tool Poisoning, also manipulierte Tool Beschreibungen. Dazu kommen Server von Dritten, die verstecktes Verhalten mitbringen können. Ein kompromittierter Server liefert Angreifern alle Tokens und Rechte, die er hält. Deshalb gehört er wie jede kritische Infrastruktur unter klare Regeln.

Wie setze ich den Benchmark im Team um?

Startet mit einem Inventar aller MCP Server und ihrer Tools. Lest dann das PDF und setzt zuerst die Empfehlungen um, die bei euch das größte Risiko schließen. Gebt jedem Server eigene Tokens mit minimalen Rechten, loggt jeden Tool Aufruf und prüft Konfigurationen automatisch in der Pipeline. So wird der Benchmark Teil des Alltags.

Kann man den Benchmark automatisiert prüfen?

CIS bietet mit CIS-CAT Werkzeuge zur automatischen Prüfung gegen Benchmarks, die volle Version gibt es für SecureSuite Mitglieder. Welche Benchmarks dort abgedeckt sind, listet CIS in einem Coverage Guide. Ob der MCP Server Benchmark schon dabei ist, prüft ihr am besten dort. Unabhängig davon lassen sich viele Regeln als eigene Checks in CI Pipelines abbilden.

Ersetzt der Benchmark ein Security Audit?

Nein. Der Benchmark beschreibt die sichere Konfiguration und den Betrieb von MCP Servern. Er prüft nicht, ob eure eigenen Tools sauber programmiert sind, ob Rechte zur Organisation passen oder ob Agenten sinnvoll eingesetzt werden. Dafür braucht es Code Reviews, Tests und einen Blick von außen, etwa in einem Security Audit für KI Setups.

Passt der Benchmark zu DSGVO und lokaler KI?

Ja. Der Benchmark stammt von einer US Organisation, die Prinzipien sind aber neutral: minimale Rechte, klare Konfiguration, Nachvollziehbarkeit. Genau das braucht ihr auch für Datenschutz und Audits in Europa. Wer MCP Server im eigenen Netzwerk betreibt und kleine Modelle lokal über Ollama nutzt, kann den Benchmark direkt als Prüfliste verwenden.

Wie unterstützt NCA bei MCP Sicherheit?

Wir betreiben eigene MCP Server für Sulu CMS und n8n und kennen die Stolpersteine aus dem Alltag. Wir helfen Teams, ihre Server zu inventarisieren, Rechte zu schneiden und Guardrails für Agenten aufzusetzen. Der Start ist ein kostenloses Kennenlernen, danach schätzen wir den Aufwand und rechnen transparent minutengenau ab.