Seminar MCP Security, OAuth und Enterprise IAM

MCP gibt Modellen Zugriff auf Unternehmensdaten und ausführbare Werkzeuge. Damit werden klassische API-Sicherheitsfehler mit neuen Risiken wie Tool Poisoning, indirekter Prompt Injection und unkontrollierter Aktionsausführung verbunden.

Das Seminar behandelt die offizielle Autorisierungsarchitektur und ergänzt sie um Enterprise-IAM, Netzwerkgrenzen, Inhaltskontrollen, Laufzeitisolation und belastbare Auditierung. Ziel ist ein mehrschichtiges Modell, bei dem ein einzelner Fehler nicht zur vollständigen Kompromittierung führt.

Zielgruppe

• Security und IAM Architects
• Entwickler sicherheitskritischer MCP-Server und Hosts
• Plattform-, DevSecOps- und Zero-Trust-Teams
• SOC-, Audit- und Governance-Verantwortliche

Vorkenntnisse

• Kenntnisse in OAuth, OpenID Connect, JWT, TLS und API-Sicherheit
• Grundverständnis der MCP-Rollen und -Primitiven
• Erfahrung mit Enterprise-IAM ist hilfreich

Seminarinhalte

MCP-Bedrohungsmodell

• Schutzgüter, Akteure, Vertrauensgrenzen und Datenflüsse
• Tool Poisoning, Prompt Injection, Schematäuschung und Datenexfiltration
• Confused Deputy, Tokenmissbrauch, unzulässiges Token-Passthrough und Replay
• SSRF, manipulierte Metadaten, unsichere Weiterleitungen und bösartige Server
• Überprivilegierte Tools, stille Nebenwirkungen und fehlende Benutzerfreigabe

OAuth-basierte MCP-Autorisierung

• Rollen von MCP-Server, Client, Resource Server und Authorization Server
• Protected Resource Metadata und Ermittlung zulässiger Authorization Server
• Client ID Metadata Documents, Vertrauensrichtlinien, Redirect-Validierung und PKCE
• Abwärtskompatible Dynamic Client Registration mit passendem application_type
• Issuer-Prüfung nach Autorisierungsantwort sowie Audience-, Scope- und Ressourcenprüfung
• Client-Zugangsdaten strikt an den ausstellenden Authorization Server binden
• Fehlerantworten, schrittweise Berechtigung und sicherer Token-Cache

Enterprise-Managed Authorization

• Zentraler IdP als Richtlinien- und Vertrauensanker
• Unternehmensweite Serverfreigabe und benutzerarme SSO-Abläufe
• Identity Assertion JWT Authorization Grant und Tokenaustausch
• Zuordnung von Gruppen, Rollen und Claims zu MCP-Berechtigungen
• Zentraler Entzug, Offboarding und mandantenbezogene Konfiguration

Identität, Delegation und Least Privilege

• Benutzer-, Client-, Workload- und Agentenidentität unterscheiden
• Delegierte gegenüber technischen Zugriffen und erlaubte Identitätsketten
• Tool-, Ressourcen-, Prompt-, Mandanten- und Datensatzberechtigungen
• Kurzlebige Tokens, Bindung an Zielressourcen und eingeschränkte Scopes
• Erneute Autorisierung und Vier-Augen-Freigabe für kritische Aktionen

Schutzschichten und Nachweisführung

• Gateway-Regeln anhand von Methode und Toolname
• Egress-Kontrolle, DNS-Regeln, Sandbox, Dateisystem- und Prozessgrenzen
• Schema- und Inhaltsvalidierung vor und nach einem Toolaufruf
• Secret Management, Rotation und Vermeidung von Geheimnissen in Modellausgaben
• Auditkette von Benutzerabsicht über Modellentscheidung bis zur Systemaktion
• Security Tests, Angriffssimulation und Incident-Eindämmung

Praktische Übungen

• Eine MCP-Zielarchitektur mit Vertrauenszonen und Datenflüssen modellieren
• Protected Resource Metadata und Tokenprüfungen konfigurieren
• Scopes und Policies für mehrere Tools und Datenklassen entwerfen
• Einen Enterprise-Managed-Authorization-Ablauf modellieren und Fehlerfälle prüfen
• Tool Poisoning, SSRF und überbreite Berechtigungen in Tests erkennen
• Eine lückenlose Auditkette für einen schreibenden Toolaufruf auswerten

Methodik

• Threat Modeling und kontrollierte Angriffssimulationen
• Konfigurations- und Policy-Übungen
• Analyse von Tokens, Metadaten und Auditereignissen
• Security-Review anhand einer produktionsnahen Zielarchitektur