IAM-Verwaltung durch KI-Agenten: MCP-Server zeigen erste Fähigkeiten, aber Sicherheitslücken bleiben
12. November 2026 · 2 Min. Lesezeit
Identitäts- und Zugriffsverwaltungssysteme erhalten durch das Model Context Protocol erste Möglichkeiten, administrative Aufgaben von KI-Agenten ausführen zu lassen. Anbieter wie Okta, Microsoft, JumpCloud und Ping Identity haben MCP-Server veröffentlicht, die Benutzererstellung, Gruppenverwaltung und Zugriffskontrolle teilweise automatisieren können.
Die Fähigkeiten sind jedoch uneinheitlich verteilt. Okta bietet in der selbstgehosteten Version einen allgemein verfügbaren Server mit Werkzeugen für Benutzererstellung, Änderung und Löschung sowie Gruppenverwaltung. Microsofts MCP-Server kann Verzeichnisabfragen durchführen, erlaubt aber keine Änderungen am Verzeichnis selbst. JumpCloud ermöglicht Benutzerverwaltung und Gruppenwechsel, stellt aber keine Werkzeuge für Verzeichnisbenutzer bereit. Auth0 automatisiert Anwendungen und API-Verwaltung, nicht aber die Benutzerverwaltung im Verzeichnis. Ping Identity bietet 71 Werkzeuge, empfiehlt aber noch nicht, diese in Produktionsumgebungen einzusetzen.
Fünf Sicherheitsaspekte bestimmen die praktische Brauchbarkeit dieser Systeme. Erstens sollten MCP-Server standardmäßig deaktiviert sein oder nur Lesezugriff haben. Zweitens ist wichtig, unter welcher Identität der Agent handelt: OAuth-Administratorkonten mit Rollen ermöglichen bessere Nachverfolgung als gemeinsame API-Schlüssel. Drittens müssen Berechtigungen bei jedem Aufruf überprüft werden, nicht nur bei der Auflistung verfügbarer Werkzeuge. Viertens muss klar sein, was ein Mensch tatsächlich bestätigt hat: Okta nutzt das MCP-Elicitation-Protokoll für destruktive Operationen, aber die Vertrauensgrenze unterscheidet sich je nachdem, ob der Client eine Bestätigungsseite anzeigen kann oder nur JSON-Daten erhält. Fünftens müssen Audit-Protokolle den MCP-Client eindeutig identifizieren, um Agenten von manuellen Änderungen zu unterscheiden.
Ein grundlegendes Risiko bleibt bestehen: Prompt Injection über Gruppennamen, Benutzerattribute oder Audit-Einträge kann schädliche Anweisungen an das Sprachmodell einschleusen. Die Sicherheit darf nicht auf dem guten Verhalten des Modells beruhen, sondern muss durch Serverseitige Zugriffskontrolle erzwungen werden.
Ein Ansatz bindet Bestätigungen an einzelne Operationen statt an allgemeine Berechtigungen. Der Server speichert die genauen Werkzeugparameter und den erwarteten Zielzustand, bevor der Mensch bestätigt. Nach Authentifizierung sieht der Benutzer eine vom IAM-System generierte Bestätigungsseite. Nach Bestätigung erhält der Client einen kurzlebigen Token ohne Zugriff auf die allgemeine Admin-API.