Mittwald unter Cyberangriff: MCP-Lücke, neue Attacke und Folgen für Kunden
Mittwald steht erneut unter Beschuss. Nachdem der Webhoster Anfang November einen Angriff über seinen MCP-Server offengelegt hatte, haben Unbekannte in der Nacht zum 12. November 2026 weitere Angriffe gestartet. Diesmal wurde nach Angaben des Unternehmens sogar die eigene Website kompromittiert. Kundencenter, mStudio und SSH-Zugänge wurden vorsorglich abgeschaltet. Die gute Nachricht für Website-Betreiber: Gehostete Webseiten und E-Mail-Postfächer sollen weiterhin erreichbar sein. Die schlechte: Wer gerade dringend etwas an seinem Hosting ändern muss, kommt möglicherweise nicht an die Verwaltung.
Stand dieses Beitrags: 12. November 2026, Abend. Mittwald veröffentlicht laufend Updates auf seiner offiziellen Statusseite. Weil sich die Situation kurzfristig ändern kann, gilt für die Verfügbarkeit einzelner Funktionen immer der dortige neueste Stand.
Zwei Angriffswellen – und warum man sie auseinanderhalten muss
Der aktuelle Vorfall ist nicht einfach eine Wiederholung der Schlagzeilen vom 5. November. Es gibt einen bereits untersuchten Einbruch über eine Schnittstelle für KI-Assistenten und eine neue Angriffswelle, bei der Mittwald am 12. November eine kompromittierte Unternehmenswebsite bestätigte. Wie genau die beiden Vorgänge technisch zusammenhängen, war am Donnerstagabend nicht abschließend öffentlich geklärt.
Ende Oktober: Sicherheitslücke im MCP-Server
Nach der Darstellung von Mittwald vom 7. November testete ein Angreifer schon am 21. Oktober eine Schwachstelle im MCP-Server. Am 23. Oktober nutzte er die Plattform zunächst mit regulären Testkonten. Am 27. Oktober um 15:03 Uhr nutzte er die gefundene Lücke gezielt aus. Mittwald bemerkte auffällige Aktivitäten am 4. November und sperrte Konten, widerrief Zugänge und schaltete den betroffenen MCP-Server ab.
Der Hoster gibt an, 56 kompromittierte Projekte forensisch untersucht zu haben. Die Zahl beschreibt die damals identifizierten betroffenen Projekte, nicht sämtliche Kundenwebsites. Mittwald wertet nach eigenen Angaben Daten ab dem 27. Oktober vorsorglich als potenziell kompromittiert. Nach wiederholten Scans hatte das Unternehmen am 6. November zunächst keine weiteren kompromittierten Projekte gefunden.
12. November: Neue Angriffe und abgeschaltete Verwaltung
In der Nacht zum 12. November nahmen die Angreifer laut Mittwalds Vorfallsprotokoll die Attacken wieder auf. Um 02:51 Uhr meldete der Betreiber erneut Einschränkungen beim SSH-Zugang. Ab 04:10 Uhr wurden auch die Anmeldungen ins Kundencenter und mStudio vorsorglich deaktiviert.
Um 06:52 Uhr erklärte Mittwald dann, dass eine Sicherheitslücke zur Kompromittierung der eigenen Unternehmenswebsite ausgenutzt worden sei. Die Seite wurde zeitweise vom Netz genommen. Einen Zugriff auf weitere interne Systeme konnte das Unternehmen bis zu dieser Meldung nicht feststellen. Das ist keine Garantie, dass ein solcher Zugriff unmöglich war – die forensische Untersuchung lief weiter. Mittwald zog externe IT-Forensiker hinzu.
In der Mitteilung vom Nachmittag berichtete der Hoster, an zusätzlichen Schutzmaßnahmen zu arbeiten. Laut dem späteren offiziellen Statusstand vom 12. November, 16:05 Uhr, sollten Kundencenter und mStudio bis spätestens Freitag, 13. November, 11 Uhr wieder freigegeben werden. Das ist ein angekündigtes Ziel und keine bereits bestätigte Wiederherstellung.
Sind Mittwald-Websites und E-Mails betroffen?
Hier ist eine wichtige Unterscheidung nötig: Eine gesperrte Verwaltung bedeutet nicht, dass die dort gehosteten Websites abgeschaltet sind. Mittwald meldete am 12. November ausdrücklich, dass Kundenwebsites und E-Mail-Postfächer weiterhin erreichbar seien. Bei einem vorübergehend deaktivierten mStudio-Login kannst du also möglicherweise nicht die PHP-Einstellungen ändern, während deine WordPress-Seite für Besucher ganz normal funktioniert.
Anders sieht es aus, wenn dein Projekt zu den konkret vom ersten Vorfall betroffenen Installationen zählt. Mittwald hatte einzelne Projekte mit Angriffsspuren vorsorglich gesperrt und die betroffenen Kunden nach eigenen Angaben direkt informiert. Eine pauschale Aussage, sämtliche Hostingdaten seien gestohlen oder alle WordPress-Seiten infiziert, wäre deshalb falsch. Ebenso falsch wäre es, den Vorfall kleinzureden: Die 56 identifizierten Projekte und die erneute Attacke zeigen, dass die Untersuchung ernst zu nehmen ist.
Was ist ein MCP-Server – und warum ist eine solche Lücke besonders heikel?
MCP steht für Model Context Protocol. Über diesen technischen Standard können KI-Assistenten Werkzeuge und Dienste ansprechen. Bei einem Hoster heißt das beispielsweise: Ein berechtigter Nutzer kann ein KI-Werkzeug mit seinem Hostingkonto verbinden, damit es bestimmte Verwaltungsaufgaben ausführt oder Daten abfragt.
Das ist praktisch, schafft aber auch eine empfindliche Schnittstelle. Wenn ein Angreifer eine Schwachstelle in der Authentifizierung, Rechteprüfung oder Verarbeitung solcher Anfragen findet, kann er unter Umständen mehr erreichen als über einen gewöhnlichen Chatbot. Entscheidend ist nicht die künstliche Intelligenz selbst, sondern welche Rechte und Zugangstoken der angebundene Dienst besitzt.
Mittwald stellte seine MCP-Schnittstelle nach dem entdeckten Angriff offline und widerrief nach eigenen Angaben MCP-Sitzungen. Die Entwicklerdokumentation weist derzeit darauf hin, dass der MCP-Server nicht verfügbar ist; einen Termin für die Wiederaufnahme nennt sie nicht. Das betrifft die spezielle Mittwald-Schnittstelle, nicht pauschal alle MCP-Server oder sämtliche mit KI verbundenen WordPress-Websites.
War der Angriff wirklich KI-gesteuert?
Mittwald beschreibt auffällig schnelle Arbeitsschritte in den eigenen Protokollen, teils im Abstand weniger Sekunden. Der Hoster sieht darin Hinweise auf automatisierte KI-Unterstützung und spricht von professionellen Angreifern. Eine unabhängig öffentlich verifizierte technische Zuordnung der Attacken zu einem bestimmten KI-System liegt nach den vorliegenden Angaben aber nicht vor.
Ich finde diese Unterscheidung wichtig: Ein schneller, automatisierter Angriff ist noch kein Beweis dafür, dass eine KI autonom gehandelt hat. Herkömmliche Skripte können ebenfalls viele Schritte in Sekunden erledigen. Für Betreiber zählt ohnehin zuerst die Konsequenz: Sicherheitskontrollen müssen auch dann standhalten, wenn Angreifer ihre Versuche massiv automatisieren.
Was du als Mittwald-Kunde jetzt konkret tun solltest
- Offizielle Statusseite prüfen: Gehe direkt zu mittwald-status.de, statt dich auf veraltete Screenshots oder Social-Media-Gerüchte zu verlassen. Ein Fehler beim Login muss nicht bedeuten, dass dein Hosting ausgefallen ist.
- Mitteilungen von Mittwald lesen: Betroffene Kunden des ersten Vorfalls sollen direkt angeschrieben worden sein. Kontrolliere auch den Spam-Ordner, öffne fragwürdige Links aber nicht ungeprüft. Melde dich möglichst über die selbst eingegebene offizielle Adresse an, sobald die Verwaltung wieder freigegeben ist.
- Bei früherer MCP-Anbindung besonders aufmerksam sein: Prüfe, welche Integrationen und Zugangstoken du für Mittwald eingerichtet hast. Folge den konkreten Anweisungen des Hosters zum Widerruf und zur Erneuerung von Zugängen. Entferne keine produktiven Integrationen auf Verdacht, wenn dadurch wichtige Abläufe ausfallen würden.
- Zusätzliche Anmeldesicherung aktivieren: Wenn die Kontoverwaltung verfügbar ist, nutze nach Möglichkeit einen Passkey oder eine weitere sichere Anmeldebestätigung. Mittwald hatte die Passkey-Einrichtung nach der ersten Freischaltung ausdrücklich empfohlen.
- Ungewöhnliche Änderungen untersuchen: Tauchen fremde Benutzer, unerklärliche Weiterleitungen oder unbekannte Dateien in WordPress auf, sichere Belege und ziehe den Support hinzu. Ein Backup ist sinnvoll, ersetzt aber nicht die Prüfung, ob ein Angreifer weiterhin Zugriff hat.
Falls dein Webshop oder deine Website Besucher weiterhin normal bedient, musst du nicht sofort in Panik alles abschalten. Anders ist es, wenn Mittwald dich ausdrücklich als betroffen informiert hat oder du konkrete Hinweise auf Manipulationen siehst. Dann haben die individuellen Sicherheitshinweise Vorrang.
MCP-Angriff ist nicht dasselbe wie PHP2Shell
Der zeitliche Zusammenhang sorgt für Verwirrung. Am 21. Oktober beschäftigten kritische PHP-Sicherheitslücken die Hostingbranche. Mittwald erwähnt das selbst in seiner Chronologie: Während viele Betreiber auf PHP2Shell reagierten, begann der Angreifer die spätere MCP-Schwachstelle zu testen.
Damit ist nicht belegt, dass PHP2Shell das Einfallstor des Mittwald-MCP-Angriffs war. Das Unternehmen bezeichnet ausdrücklich eine Lücke in seinem MCP-Server als Angriffsweg des ersten Vorfalls. Wie sich die PHP-Probleme technisch unterscheiden und welche Updates für Website-Betreiber wichtig waren, habe ich bereits im Ratgeber PHP2Shell: Kritische PHP-Sicherheitslücke – was Hoster und Website-Betreiber tun sollten erklärt.
Was der Fall über KI-Schnittstellen im Hosting zeigt
Wer eine KI mit Hosting, Dateien oder Administrationsrechten verbindet, sollte solche Integrationen wie einen zusätzlichen Administrator behandeln – nicht wie ein harmloses Eingabefeld. Zugriff auf produktive Systeme möglichst eng begrenzen, Berechtigungen dokumentieren und Zugangstoken regelmäßig aufräumen. Wenn eine Funktion nur lesend gebraucht wird, sollte sie auch nur lesen dürfen.
Ebenso wichtig ist die Trennung der Systeme. Ein kompromittierter Webauftritt, ein Verwaltungspanel und der eigentliche Hostingbetrieb sind nicht automatisch dasselbe. Dass Mittwald einzelne Zugänge abschaltete und den Betrieb der Kundenwebsites nach eigenen Angaben trotzdem aufrechterhalten konnte, zeigt, warum solche Trennungen im Ernstfall einen Unterschied machen.
Mein Fazit: Erst die Fakten, dann die Konsequenzen
Der erneute Angriff auf Mittwald ist ernst – gerade weil es beim ersten Vorfall nicht nur um eine theoretische Lücke ging, sondern um tatsächlich kompromittierte Projekte. Gleichzeitig gibt es keinen belastbaren Grund, daraus einen flächendeckenden Ausfall sämtlicher bei Mittwald gehosteter Seiten zu machen. Für Kunden ist entscheidend, ob das eigene Projekt betroffen ist, welche Zugänge gerade verfügbar sind und was Mittwald nach Abschluss der forensischen Prüfung zusätzlich mitteilt.
Ich würde die offiziellen Statusmeldungen deshalb höher gewichten als alarmierende Einzelmeldungen. Und bei der Frage nach der KI als Angreiferwerkzeug lohnt sich eine Portion Skepsis: Die möglichen Risiken sind real. Die konkrete technische Beweislage muss trotzdem sauber getrennt werden.
