Mittwald: Angreifer erbeuten Tokens über MCP-Server, mStudio und SSH gesperrt
Der Hoster Mittwald hat am 5. November 2026 mStudio-Login, SSH-Zugänge und Extensions gesperrt. Ein Angreifer hatte am 27. Oktober über den MCP-Server Tokens von Kunden ausgelesen, die mStudio mit KI-Assistenten verbunden hatten. Betroffene sollten Zugangsdaten in ihren Projekten erneuern.
Der Hoster Mittwald hat am 5. November 2026 den Login ins Kundenportal mStudio, alle SSH-Zugänge, die mittwald-Extensions und Bestellungen abgeschaltet. Grund ist ein Angriff auf den MCP-Server des Anbieters: Laut Mittwald stellte das Unternehmen am 4. November fest, dass bereits am 27. Oktober ein unbefugter Zugriff auf diese Schnittstelle stattgefunden hatte. Dabei wurden Sitzungs-Tokens von Nutzern ausgelesen.
Akut betroffen sind Kunden, die den MCP-Server eingerichtet haben, also mStudio mit einem KI-Assistenten verbunden hatten. Diese Kunden sollten Zugangsdaten zu Drittdiensten, die in ihren Projekten hinterlegt sind, schon jetzt erneuern. Wer den MCP-Server nie genutzt und keine persönliche Mail von Mittwald erhalten hat, ist nach Angaben des Hosters nach aktuellem Stand nicht betroffen, kommt aber vorerst ebenfalls nicht per SSH oder mStudio an seine Projekte.
Was ist passiert?
Der MCP-Server war eine Schnittstelle, über die Kunden ihr mStudio an KI-Assistenten anbinden konnten. Laut der FAQ-Seite von Mittwald tarnte der Angreifer seine Vorbereitungen mit Aktionen, die wie normales Nutzerverhalten aussahen, deshalb fiel der Zugriff erst nach rund einer Woche auf. Die Lücke lag im MCP-Server selbst, Mittwald hat ihn vom Netz genommen und die Lücke nach eigener Aussage geschlossen.
Die Maßnahmen kamen in mehreren Stufen: Am 5. November um 11:34 Uhr deaktivierte Mittwald den mStudio-Login, beendete alle SSH-Verbindungen und schaltete die Extensions ab. Am Nachmittag wurde ein kleiner Teil der Projekte deaktiviert, die Betroffenen bekamen eine Mail. Um 17:02 Uhr bestätigte der Hoster den unbefugten Zugriff auf das mStudio über den MCP-Server, um 17:49 Uhr sperrte er zusätzlich den Kundencenter-Zugang für Nutzer des AV-Managers. Der Stand von 21:00 Uhr nennt keine neuen Erkenntnisse. Die Statusseite verzeichnet schon ab dem 3. November Störungen und Einschränkungen. Ein Leser von Borns IT- und Windows-Blog berichtet, dass er in den 48 Stunden davor mehrfach nicht ins mStudio kam. Ob die Einträge der Statusseite mit dem Angriff zusammenhängen, sagt Mittwald nicht.
Wer ist betroffen?
Mittwald aus Espelkamp richtet sich vor allem an Agenturen und Freelancer, die dort Kundenprojekte mit WordPress, TYPO3, Joomla oder Magento betreiben. Für Nutzer des MCP-Servers schreibt der Hoster, das gestohlene Token habe Zugriff auf das mStudio mit den Rechten des jeweiligen Nutzers erlaubt, also auf alle Projekte, auf die dieser Zugriff hatte. Der Server gilt ab dem 27. Oktober als übernommen, jede Nutzung danach als potenziell kompromittiert.
Passwörter wurden laut Mittwald nicht ausgelesen. Die Tokens sind widerrufen, API-Keys wurden vorsorglich gesperrt. Hinweise auf veröffentlichte Daten hat der Hoster bisher nicht gefunden. Websites und E-Mail laufen nach Angaben von Mittwald weiter. Einen kleinen Teil der Projekte hat der Hoster vorsorglich deaktiviert, Projekte mit Spuren des Angreifers stellt er vorübergehend ab.
Wie kritisch ist das?
Für MCP-Nutzer ist die Lage ernst: Das Token wirkte mit den Rechten des jeweiligen Nutzers. Als Warnzeichen einer Kompromittierung nennt Mittwald unbekannte SSH-Benutzer, unbekannte Dateien im Projektverzeichnis und API-Keys, die niemand im Team angelegt hat. Ob Daten aus Projekten abgerufen wurden, ist noch nicht abschließend geklärt. Wer keine Nachricht von Mittwald erhalten hat, für dessen Projekte liegen laut Hoster bisher keine Hinweise vor. Mittwald will Betroffene persönlich informieren, sobald es Hinweise gibt. Für alle anderen Kunden geht es vor allem um Ausfallzeit: Einen festen Termin für die Freigabe nennt Mittwald nicht, Umzüge zu anderen Anbietern sind derzeit nicht möglich, und Projekte werden einzeln nach einem Sicherheitsscan freigeschaltet.
Was sollten Admins jetzt tun?
Die Schritte nach dem ersten Punkt gelten laut Mittwald für Nutzer des MCP-Servers. Alle anderen müssen nach aktuellem Stand nichts tun, Mittwald empfiehlt aber Zwei-Faktor-Authentifizierung.
- Klären, ob jemand im Team den MCP-Server eingerichtet hat, und das Postfach auf die persönliche Mail von Mittwald prüfen.
- Als MCP-Nutzer das mStudio-Passwort ändern und Zwei-Faktor-Authentifizierung aktivieren, sobald der Login wieder geht.
- In allen erreichbaren Projekten API-Keys, Project Tokens, SSH-Keys und SSH-Benutzer prüfen und unbekannte Einträge löschen.
- Zugangsdaten zu Drittdiensten, die in Projekten hinterlegt sind (Datenbanken, Mail, externe APIs), erneuern.
- Projektverzeichnisse auf unbekannte Dateien prüfen, Auffälligkeiten an den Kundenservice melden.
- Bei einer Rücksicherung festhalten, welche Änderungen seit dem 27. Oktober übernommen werden müssen. Mittwald spielt Backups nur nach Rücksprache ein.
- Agenturen: Endkunden informieren, Mittwald stellt dafür Formulierungshilfen bereit.
Einordnung für Unternehmen
Der Fall zeigt, dass KI-Schnittstellen mit weitreichenden Tokens dieselbe Sorgfalt brauchen wie ein Admin-Zugang. Wer Hosting-Konten an KI-Assistenten anbindet, sollte Tokens mit möglichst wenig Rechten und kurzer Laufzeit verwenden und sie wie Passwörter inventarisieren.
Passende Anleitungen auf S-EDV
- Zwei-Faktor-Authentifizierung (2FA/MFA) richtig einführen
- SSH-Key-Authentifizierung einrichten
- SSH-Hardening Deep-Dive: sshd_config, Match-Blöcke und ssh-audit für KMU-Server
