MCP Gateway 2026: Die besten Security-Plattformen für KI-Agenten
MCP Gateway für Unternehmen: sechs Plattformen im Vergleich – mit geprüften Kontrollen, Preisstatus, Identitätslücken und der $72,000-Kaufgrenze.
Runlayer ist 2026 das beste MCP Gateway für KI-Agenten in Unternehmen. Doch seit dem 22. August gelten neue Auswahlkriterien: Die MCP-Roadmap führt Agentenidentität und delegierte Berechtigungen nun als Prioritäten. Keine der geprüften öffentlichen Produktseiten der sechs Kandidaten nennt alle vier Bausteine der Roadmap, und keine veröffentlicht einen Preis in Dollar. Entscheidend ist deshalb der Pilot, der Identität, Berechtigungsumfang und Prüfbarkeit nachweist, bevor der Einkauf unterschreibt.
MCP Gateway im Vergleich: die besten Sicherheitsplattformen auf einen Blick
Runlayer führt das Ranking an, weil die Plattform einen kontrollierten Katalog, identitätsbezogene Richtlinien bis hinunter zum Agentenkonto und einzelnen Tool, Laufzeitprüfung sowie Audits auf Anfrageebene für mehr als 300 KI-Clients vereint. Proofpoint ist die stärkere Wahl für den Security-Betrieb, wenn die Erkennung von Schatten-MCP und Transaktionsforensik wichtiger sind als die Befähigung der Beschäftigten. Stacklok empfiehlt sich, wenn Kubernetes-Betrieb und Self-Hosting nicht verhandelbar sind.
Alle Preisangaben und Funktionen in diesem Vergleich wurden am 24. August 2026 anhand der aktuellen Anbieterseiten geprüft. „Individuelles Angebot“ ist dabei kein anderes Wort für eine versteckte Schätzung. Es bedeutet, dass der Anbieter auf den für diesen Vergleich geprüften Produkt- oder Preisseiten keinen Dollarbetrag veröffentlicht hat.
Die Entscheidungsregel ist einfach: Die Kontrollgrenze bestimmt die Plattform. Auch der größte Serverkatalog nützt nichts, wenn ein Produkt den Akteur nicht identifizieren, den Tool-Umfang nicht begrenzen, Ergebnisse nicht prüfen, Zugriffe nicht entziehen und einen Vorgang nach einem Vorfall nicht rekonstruieren kann.
Seit dem 22. August 2026 gelten neue Kaufkriterien
Der nächste MCP-Einkauf im Unternehmen muss einen Agenten als eigenständigen Akteur absichern – nicht bloß als Automatisierung innerhalb einer Benutzersitzung. Die neue MCP-Roadmap erklärt, dass die heutige Autorisierung auf einer Person basiert, die im Browser einen Zugriff genehmigt. Zugleich treten immer mehr Cloud-Agenten mit eigener Identität als Aufrufer auf: Sie handeln für abwesende Benutzer oder delegieren engere Berechtigungen an Subagenten.
Das Model Context Protocol, kurz MCP, ist die gemeinsame Schnittstelle, über die eine KI-Anwendung Tools, Datenquellen und Dienste findet und aufruft. Dadurch beantwortet das Modell nicht mehr nur Fragen, sondern führt Aktionen aus. Ein schreibgeschütztes Wissenstool, ein CRM-Konnektor mit Schreibrechten und ein Tool für Produktiv-Deployments können für denselben Agenten wie gleichartige aufrufbare Funktionen aussehen – obwohl sich die möglichen geschäftlichen Schäden deutlich unterscheiden.
Die Roadmap nennt vier Bausteine für das kommende Autorisierungsmodell:
- DPoP, kurz für Demonstrating Proof of Possession, bindet ein Token an einen kryptografischen Schlüssel und erschwert damit die Wiederverwendung eines kopierten Tokens.
- Workload Identity Federation erlaubt einer laufenden Workload, ihre Plattformidentität gegen einen kurzlebigen Zugriff einzutauschen, statt einen eingefügten API-Schlüssel mitzuführen.
- ID-JAG, ein Identity Assertion JWT Authorization Grant, bindet den Identitätsanbieter eines Unternehmens in den MCP-Autorisierungsablauf ein.
- Der Standard-Tokenaustausch überträgt Berechtigungen zwischen Sicherheitsdomänen, ohne ein einziges langlebiges Geheimnis zum Generalschlüssel zu machen.
Die bestehende Erweiterung Enterprise-Managed Authorization zentralisiert den Benutzerzugriff bereits beim Identitätsanbieter des Unternehmens. Der Client erhält ein ID-JAG und tauscht es gegen ein MCP-Zugriffstoken; Gruppen-, Rollen- und Conditional-Access-Richtlinien verbleiben beim Unternehmen. Die Erweiterung ist jedoch optional, die Unterstützung unterscheidet sich je nach Client, und die Roadmap zielt auf ein schwierigeres Problem: Eine autonome Workload muss sowohl belegen, wer sie ist, als auch, wessen begrenzte Berechtigung sie trägt.
Genau daraus entsteht die Delegationslücke: Eine Plattform kann ein Agentenkonto authentifizieren und trotzdem nicht nachweisen, dass ein Subagent genau diese Aktion, für genau diesen Benutzer und zu genau diesem Zeitpunkt ausführen durfte. Gemeinsam genutzte Dienstkonten, kopierte OAuth-Freigaben und statische Tokens verschleiern diese Kette. Ein Transaktionsprotokoll zeigt womöglich, welches Gateway einen Aufruf weitergeleitet hat, nicht aber den menschlichen Auftrag, den delegierten Umfang oder den kryptografischen Nachweis dahinter.
Das verändert auch die Budgetplanung. Ein Gateway, das nur wegen Allowlisten und Verkehrsprotokollen ausgewählt wurde, kann mit zunehmender Zahl autonomer Workloads zusätzlich eine Identitätsschicht, einen Secrets Manager, eine Sandbox und ein Discovery-Produkt benötigen. Das günstigste Angebot kann zur teuersten Architektur werden, wenn es die Delegationslücke bestehen lässt.
Eine Einschränkung ist entscheidend: Keine der sechs geprüften Produktseiten nannte am 24. August 2026 öffentlich DPoP, Workload Identity Federation, ID-JAG oder den Standard-Tokenaustausch. Das beweist nicht, dass den Anbietern interne Pläne oder unveröffentlichte Funktionen fehlen. Für Käufer bedeutet es aber: Jede Aussage ist als Ausrichtung an der Roadmap, nicht als Protokollkonformität zu behandeln, bis ein Pilot den konkreten Ablauf belegt.
Nach welchen Kriterien die Plattformen ausgewählt wurden
Die Shortlist bevorzugt Produkte, die MCP im Unternehmen als Betriebsproblem beherrschen: Inventar, Identität, Ausführungsgrenzen, Laufzeitrichtlinien und Nachweise. Ein Scanner für riskanten Code kann wertvoll sein, ebenso ein generisches API-Gateway für die Verkehrssteuerung. Ohne dauerhafte MCP-spezifische Durchsetzung reicht beides jedoch nicht für einen Platz unter den sechs Besten.
Die Bewertung leitet sich aus dem MCP-Sicherheitsleitfaden der NSA vom Mai 2026 ab und ergänzt ihn um die neue Identitäts-Roadmap:
- Discovery: genehmigte und nicht genehmigte Server, Clients, Tools und Versionen finden.
- Identität und Delegation: zwischen Mensch, Agentenkonto, Workload und delegiertem Subagenten unterscheiden.
- Autorisierung: das Prinzip der geringsten Berechtigung auf Server-, Tool-, Ressourcen- und Aktionsebene durchsetzen.
- Lieferkettenschutz: unterstützte Projekte freigeben, Herkunft dokumentieren und anfällige Server patchen.
- Ausführungsgrenzen: Tools in Sandboxes isolieren und laterale Bewegungen nach einer Kompromittierung stoppen.
- Laufzeitprüfung: Parameter validieren und jedes verkettete Ergebnis als nicht vertrauenswürdige Eingabe behandeln.
- Entzug und Reaktion: Zugriffe schnell entfernen und einen unsicheren Aufruf während der Ausführung blockieren.
- Nachweise: Parameter, Identitäten, Richtlinienentscheidungen und Ergebnisse in das bestehende SIEM protokollieren, also das System für Security Information and Event Management.
Die NSA warnt außerdem, dass MCP-spezifische Proxys weiterhin begrenzt und noch nicht ausgereift sind. Deshalb erhält in diesem Vergleich kein Produkt ein makelloses Etikett. Ein Gateway ist ein Kontrollpunkt, kein vollständiges Sicherheitsprogramm.
Grundlage war ein Vergleich aktueller Webseiten. Produkt-, Dokumentations- und Preisseiten der Anbieter wurden in diesem Lauf geprüft; die nachstehenden Berechnungen beruhen auf offengelegten Paketen und ausdrücklich genannten Planungsannahmen. Produkte fielen aus der Auswahl, wenn ihre öffentlichen Unterlagen nur Scanning, Tests, Secrets oder generisches Routing beschrieben und nicht genügend Belege für eine Steuerungsebene im Unternehmen boten.
Sechs vollständige Plattformbewertungen und drei ausdrücklich benannte Ausschlüsse halten die Auswahl entscheidungsreif: Jeder Kandidat muss seine operative Grenze, den Bereitstellungsaufwand, die Preislogik und den notwendigen Nachweis offenlegen. Eine längere Logo-Leiste würde diese Zielkonflikte nur verdecken.
1. Runlayer: bestes MCP Gateway für kontrollierte Unternehmensagenten
Runlayer ist die beste Gesamtlösung, wenn Beschäftigte und Produktivagenten viele KI-Clients verwenden, das Security-Team aber einen einzigen kontrollierten Zugang zu Tools benötigt. Das MCP Gateway begrenzt Zugriffe vor dem Aufruf anhand von Benutzer, Gruppe, Rolle, Agentenkonto, Client, Konnektor, Tool, Ressource, OAuth-Status, Netzwerk und Laufzeitbedingung. Damit kommt Runlayer dem neuen Identitätsproblem in dieser Auswahl öffentlich am nächsten – auch wenn die Seiten des Anbieters noch keine Unterstützung für die künftigen Roadmap-Themen DPoP, Föderation oder ID-JAG beanspruchen.
Am besten geeignet für: Unternehmen, die den MCP-Zugriff über Engineering, Security, IT, Betrieb und Fachabteilungen hinweg vereinheitlichen.
Besonderheit: Ein gemeinsamer Katalog und eine Richtlinienebene für mehr als 300 KI-Clients; Akteur, Client, Konnektor, Tool, Richtlinienergebnis, Sicherheitsmetadaten und Resultat stehen zur Prüfung bereit.
Preis: Individuelles Angebot; auf den geprüften Produktseiten gibt es weder einen öffentlichen Dollarpreis noch eine Tarifübersicht.
Kostenlose Testversion: Keine Self-Service-Testversion beworben; öffentlich führt der Weg über „Book a Demo“.
- Richtlinien können Agentenkonten und einzelne Tools adressieren, nicht nur Benutzer oder ganze Server.
- Die Schatten-Discovery erfasst nicht verwaltete Agenten, MCPs, Skills, Plugins und Client-Konfigurationen.
- Der Katalog beginnt mit mehr als 18,000 MCPs und kann interne Server aufnehmen.
- Beschäftigte behalten Clients wie Claude Code, ChatGPT, Cursor, Codex, GitHub Copilot und Windsurf.
- Laufzeitprüfungen und Audits auf Anfrageebene machen denselben Kontrollpunkt für Rollout und Vorfallanalyse nutzbar.
- Ohne öffentlichen Preis ist ein erster Budgetvergleich unmöglich.
- Die öffentlichen Seiten dokumentieren die in der Roadmap genannten Standards für Workload-Identität und Delegation nicht.
- Eine umfassende Enablement-Plattform kann für eine einzelne Anwendung mehr Infrastruktur als nötig bedeuten.
- Ein Gateway sieht nur den Verkehr, der es erreicht; Endgeräte-Discovery und Durchsetzung müssen deshalb weiterhin nachgewiesen werden.
Runlayer gewinnt, weil es MCP-Governance als Infrastruktur für die Einführung behandelt und nicht als nachträglich ergänzte Security-Appliance. Beschäftigte können einen genehmigten Konnektor aus einem Katalog anfordern. Administratoren geben ihn für eine Gruppe, ein Agentenkonto, einen Client, ein Tool oder eine Ressource frei. Anschließend validiert das Gateway OAuth- und Sitzungsstatus, setzt Richtlinien durch, prüft den Aufruf und protokolliert das Ergebnis. Davon profitieren sowohl das Plattformteam, das Agenten nutzbar machen will, als auch das Security-Team, das Risiken begrenzen muss – auch wenn sich die Bündelung wiederverwendbarer Fähigkeiten zwischen Notion Skills und Claude Skills API verschiebt.
Ein konkreter Anwendungsfall ist ein mittelständisches SaaS-Unternehmen, dessen Entwickler Cursor und Claude Code einsetzen, während der Betrieb ChatGPT nutzt und ein Produktivagent Salesforce und Jira aktualisiert. Dieselbe Client-Vielfalt zeigt sich bei Browsern für KI-Agenten: Lokale Konfiguration vervielfacht Richtliniensysteme und Audit-Trails. Runlayer stellt allen diesen Clients denselben freigegebenen Konnektor und dieselbe Richtliniengrenze bereit, ohne ihnen ihre bevorzugte Oberfläche zu nehmen.
Die klar benannte Grenze liegt beim künftigen Delegationsnachweis. Ein „Agentenkonto“ ist ein nützliches Richtliniensubjekt. Im Unternehmenspilot muss die Plattform trotzdem zeigen, ob sie die eigenen Berechtigungen des Agenten von den durch einen Benutzer delegierten Rechten unterscheiden, den Grant für einen Subagenten verengen, Tokens gegen Replay binden und die Kette entziehen kann, ohne jede Workload mit demselben Konnektor abzuschalten.
Ein praxistauglicher Runlayer-Pilot
Der Erstplatzierte erhält den konkretesten Pilotplan. Die Schritte bilden den dokumentierten Ablauf für Katalog, Freigabe, Richtlinien, Clients und Audit ab, ohne vorzugeben, das Produkt sei in diesem Lauf bereitgestellt worden.
Drei Risikostufen registrieren
Einen schreibgeschützten internen MCP-Server, einen SaaS-Konnektor mit Schreibrechten und ein Tool für eine irreversible Aktion hinzufügen. Serververantwortliche und Datenklassifizierungen müssen im Katalog sichtbar bleiben.
Jeden Akteur an eine Identität binden
Den Identitätsanbieter des Unternehmens anbinden und getrennte Richtliniensubjekte für einen menschlichen Benutzer, ein Produktiv-Agentenkonto und eine Subagenten-Testidentität anlegen. Jede Konfiguration ablehnen, die auf ein gemeinsam genutztes Dienstkonto zurückfällt.
Berechtigungen unterhalb der Serverebene begrenzen
Der Benutzer darf den Konnektor sehen, der Hauptagent ausgewählte Tools aufrufen und der Subagent das irreversible Tool nicht verwenden. Wo der Workflow eine Vertrauensgrenze überschreitet, kommen Netzwerk- und Laufzeitbedingungen hinzu.
Zwei unterschiedliche Clients anbinden
Dieselbe kontrollierte Fähigkeit durch einen Entwickler-Client und einen fachabteilungsnahen Client leiten. Dabei bestätigen, dass die Richtlinie der Identität und dem Kontext folgt und nicht einer lokalen Konfigurationsdatei.
Die Nachweiskette belegen
Für eine erlaubte und eine abgelehnte Anfrage Akteur, Client, Konnektor, Tool, Richtlinienergebnis, Sicherheitsmetadaten und Ergebnis exportieren. Danach den Zugriff auf Identitätsebene entziehen und bestätigen, dass bereits der nächste Aufruf scheitert, ohne auf den Ablauf eines zwischengespeicherten langlebigen Tokens zu warten.
Die 1Password-Schicht gehört genau hierhin
1Password ist die stärkste Ergänzung für Zugangsdaten in dieser Kategorie, weil es deren Verwahrung löst, ohne sich als MCP-Richtlinienebene auszugeben. Bei der aktuellen Runlayer-Integration können Administratoren statt eines Rohschlüssels eine op://-Referenz eingeben. Runlayer löst den aktuellen Wert beim Verbindungsaufbau über das 1Password SDK auf, verwendet ihn für die Anfrage und speichert weder den Rohwert noch einen Datenträger-Cache.
Auch für die Rotation ist das operativ nützlich. Die Integration vergleicht beim Abruf SHA-256-Hashes, protokolliert Abruf und Rotation eines Secrets ohne seinen Wert und verwendet bei der nächsten Verbindung die rotierte Zugangsinformation. Die aktuelle Preisseite von 1Password führt Unified Access als individuelles Angebot und umfasst Enterprise Password Manager, Device Trust, SaaS Manager und Privileged Access.
Ebenso wichtig ist die Grenze: Das Einspeisen von Zugangsdaten schafft allein noch keine delegierte Berechtigung. Auch ein sicher verwahrtes Secret kann einen Agenten mit zu weitreichenden Rechten autorisieren. Runlayer bleibt für Akteur, Tool und Laufzeitrichtlinie zuständig; 1Password hält die vorgelagerten Zugangsdaten aus der Gateway-Datenbank heraus.
2. Proofpoint AI MCP Security: am besten für Discovery und Audit-Forensik
Proofpoint AI MCP Security ist die beste Wahl, wenn die Security-Organisation das Programm verantwortet und nicht davon ausgehen kann, dass MCP-Verkehr bereits über ein genehmigtes Gateway läuft. Das Produkt verbindet Schatten-Discovery, Server-Härtung, ein geprüftes Register, zentrale Richtlinien, Inhaltsprüfung und Transaktionsforensik in einem Gesamtkonzept. Damit reicht es weiter als ein Proxy und ist stärker vom Security-Betrieb geprägt als die auf Enablement ausgerichtete Steuerungsebene von Runlayer.
Am besten geeignet für: Unternehmen, die nicht verwaltete MCP-Nutzung auf Laptops, in Clouds, bei Drittanbietern und hinter bestehenden Gateways finden müssen, bevor sie einen Standardweg freigeben.
Besonderheit: Vollständige Rekonstruktion einer Transaktion vom auslösenden Akteur über Anwendung und Modell bis zu den MCP-Servern, einschließlich OpenTelemetry-Export in das bestehende SIEM und den Observability-Stack.
Preis: Individuelles Angebot; die geprüfte Seite veröffentlicht weder einen Dollarpreis noch eine Tarifübersicht.
Kostenlose Testversion: Keine öffentliche Testversion beworben; der Kaufprozess beginnt mit „Request a Demo“.
- Die Discovery erfasst lokale, cloudbasierte, von Drittanbietern und über Gateways betriebene MCP-Server.
- Ein Register mit mehr als 800 vorab geprüften Open-Source-Servern enthält Herkunftskennzeichnungen.
- Das Gateway kann Authentifizierung, Autorisierung, Verschlüsselung und Integritätskontrollen ergänzen, ohne den Server zu verändern.
- OAuth-2.0-Richtlinien steuern den Tool-Zugriff von Benutzern und Agenten und können sensible Inhalte blockieren oder schwärzen.
- Die Verwaltung mehrerer Gateways und OpenTelemetry-Unterstützung eignen sich für verteilte Security-Abläufe.
- Die öffentlichen Unterlagen nennen weder DPoP, Workload Identity Federation und ID-JAG noch den Tokenaustausch.
- Kaufprozess und Dollarpreis bleiben ohne Vertriebsprozess undurchsichtig.
- Ein Katalog mit 800 Servern belegt nicht, dass ein bestimmter Server für eine bestimmte Datenzone sicher ist.
- Security-geführte Governance kann ungenutzt bleiben, wenn der genehmigte Weg mühsamer ist als der Schattenweg.
Proofpoints größter Vorteil ist die Verbindung von Discovery und Behebung. Laut Anbieter kann die Plattform fehlende Authentifizierung, fehlende Verschlüsselung, nicht genehmigte Remote-Hosts und ungeschützte lokale Server erkennen und den Verkehr anschließend auf kontrollierte Wege lenken. Für eine Bank, die verstreute MCP-Konfigurationen auf Entwicklerrechnern vorfindet, ist das am ersten Tag wertvoller als ein weiteres Tool-Verzeichnis.
Register und Paketierungsablauf reduzieren den Aufwand für die Lieferkette, beseitigen ihn aber nicht. Proofpoint gibt an, mehr als 800 Server vorab geprüft zu haben und einen Server in weniger als 15 Minuten in einen abgesicherten Container verpacken zu können. Das Unternehmen muss dennoch entscheiden, ob Tools, vorgelagerte Berechtigungen, Maintainer, Aktualisierungsprozess und Datenzone dieses Servers akzeptabel sind. Die Containerisierung einer gefährlichen Fähigkeit begrenzt das Ausführungsrisiko; sie macht die Fähigkeit nicht automatisch angemessen.
Wenn der Pilot den Anspruch bestätigt, rechtfertigt vor allem die Forensik den Aufpreis für die Suite. Die Plattform beschreibt eine Kette, die erfasst, wer eine Interaktion ausgelöst hat, welche Anwendung und welches Modell sie verarbeitet haben, welche Server aufgerufen wurden, ob Anomalien oder Rechteausweitungen auftraten und wie der OpenTelemetry-Export erfolgt. Im Pilot sollte sich ein abgelehnter Aufruf ebenso wie ein erlaubter destruktiver Aufruf allein aus dem SIEM rekonstruieren lassen, ohne die Proofpoint-Konsole zu öffnen. Bricht die Beweiskette am Gateway ab, bleibt das Audit-Versprechen ein Dashboard-Versprechen.
Die Grenze ist die Genauigkeit der Identitätsabbildung. Proofpoint beschreibt öffentlich OAuth 2.0, Zugriffssteuerung für Benutzer und Agenten sowie Richtliniendurchsetzung. Einen neuen Ablauf für Workload-Identität oder delegierte Subagenten zeigt das Unternehmen nicht öffentlich. Käufer sollten getrennte Principals für Benutzer, Agent und Subagent verlangen und anschließend Entzug und Token-Replay testen, statt „agentenbasierte Autorisierung“ als Beleg zu akzeptieren.
3. Stacklok Enterprise: am besten für selbst gehostete Kubernetes-Umgebungen
Stacklok Enterprise ist die beste Plattform für Unternehmen, die bereits Kubernetes betreiben und MCP in ihre vorhandenen Laufzeit-, Identitäts-, Netzwerk- und GitOps-Kontrollen einbinden wollen. Der Open-Source-Kern ToolHive dient als Evaluierungsweg; das Enterprise-Produkt ergänzt die gehärtete Betriebsschicht und Support. Für Private Cloud, On-Premises und stark regulierte Bereitstellungen bietet Stacklok das klarste Zuständigkeitsmodell dieser Shortlist.
Am besten geeignet für: Plattformteams mit produktivem Kubernetes, etablierten Identitätsanbietern, Netzwerkrichtlinien und Observability.
Besonderheit: MCP-Server laufen als Pods, Namespaces bilden Vertrauensgrenzen und Kubernetes ServiceAccounts sowie OIDC-Claims werden MCP-Berechtigungen zugeordnet.
Preis: ToolHive ist Open Source unter Apache 2.0; Stacklok Enterprise wird nach einer Demo individuell angeboten.
Kostenlose Testversion: ToolHive lässt sich herunterladen und evaluieren; auf der geprüften Produktseite wird keine Enterprise-Testversion beworben.
- Mit dem quelloffenen ToolHive kann Security die Laufzeitumgebung vor dem Einkauf prüfen.
- Registry, Runtime, Gateway und Portal decken die wichtigsten MCP-Betriebsebenen ab.
- Kubernetes-Grenzen und Policy as Code passen zu vorhandenen Plattformkontrollen.
- Natives OpenTelemetry übermittelt Tool-Aufrufdaten an den bestehenden Observability-Stack des Unternehmens.
- Die Zuordnung von OIDC und ServiceAccounts behandelt Agenten eher wie Workloads als wie Browserbenutzer.
- Das Produkt setzt Kubernetes-Kompetenz und operative Zuständigkeit voraus.
- Open Source beseitigt Lizenzkosten, nicht aber Personalaufwand, Patching, Vorfallreaktion oder Supportkosten.
- Die geprüfte Seite dokumentiert die künftigen Delegationsstandards der Roadmap nicht.
- Unternehmen benötigen weiterhin aktive Discovery für MCP-Verkehr, der am genehmigten Cluster vorbeiläuft.
Stackloks Vorteil liegt in der architektonischen Kontinuität. Ein Plattformteam kann einen MCP-Server wie jede andere Workload behandeln: mit Namespace, Ingress-Pfad, Netzwerkrichtlinie, Service Account, Protokollen und Bereitstellungshistorie. Identitätsbegriffe helfen wenig, wenn die Sicherheitsgrenze am Tool-Prozess endet; Kubernetes gibt dem Team vertraute Kontrollen für Prüfung und Betrieb.
Ein konkreter Anwendungsfall ist ein Softwareunternehmen im Gesundheitswesen, das Daten aus Tool-Aufrufen in der eigenen Umgebung halten muss. Laut Stacklok laufen Register, Laufzeit, Gateway und Portal auf der Kubernetes-Basis, während ServiceAccounts und OIDC-Claims MCP-Berechtigungen zugeordnet werden. OpenTelemetry, der offene Standard für Traces und Metriken, übermittelt Aktivitäten an denselben Grafana-, Datadog-, Splunk- oder sonstigen Observability-Pfad, den das Unternehmen bereits betreibt.
ToolHive ermöglicht zudem den ehrlichsten Start, ohne ein Versprechen kaufen zu müssen. Dank Apache-2.0-Lizenz kann das Team den Kern prüfen und ausführen, eine kleine Auswahl freigegebener Server registrieren und den Betriebsaufwand vor einem Enterprise-Vertrag kennenlernen. Die Evaluierung sollte Upgrade-Verhalten, Zertifikatsrotation, Richtlinienverteilung, Serversignierung, Eindämmung von Container-Ausbrüchen und Rollback nach Vorfällen einschließen.
Die Grenze ist dieselbe Stärke mit umgekehrtem Vorzeichen: Stacklok ersetzt kein Plattformteam. Ein Gründer mit einem einzigen gehosteten Agenten und ohne Kubernetes-Praxis sollte nicht eigens für MCP einen Cluster einführen. Die vermeintlich kostenlosen Lizenzen können zu einem großen internen Betriebsproblem werden, wenn das Unternehmen zuverlässige Bereitstellung, Patching, Support und Discovery darum herum aufbauen muss.
Auch für Schattenverkehr braucht es eine ergänzende Antwort. Ein kontrollierter Cluster kann hervorragend sein, während Entwickler weiterhin lokale Server aus KI-Clients außerhalb des Clusters starten. Der Pilot muss zeigen, wie Endgeräte- oder Netzwerk-Discovery diese Pfade erkennt und wie Richtlinien sie zum genehmigten Gateway zwingen.
4. Operant AI: beste Testmöglichkeit und Schutz vom Endgerät bis zur Cloud
Operant AI lässt sich am schnellsten fundiert evaluieren, weil qualifizierte Kunden eine 7-Tage-Sandbox erhalten – ohne Kreditkarte und standardmäßig im reinen Beobachtungsmodus. Der Schutz reicht von Endgeräten der Beschäftigten über Produktivagenten und MCP-Verkehr bis zum Modellverkehr. Das ist besonders nützlich, wenn Coding-Agenten auf Laptops und Cloud-Agenten eine gemeinsame Angriffsfläche bilden. Die Plattform dokumentiert zudem die Durchsetzung für Non-Human Identities, kurz NHI, und beschränkt ihre Richtlinien damit nicht auf menschliche Benutzer.
Am besten geeignet für: Unternehmen, die Endgeräte mit Coding-Agenten, Cloud-Agenten, MCP-Server und KI-Anwendungen gemeinsam evaluieren müssen.
Besonderheit: Eine 7-Tage-Sandbox ohne Kreditkarte schaltet die gesamte Plattform frei; bezahlte Piloten werden vollständig auf das Abonnement im ersten Jahr angerechnet.
Preis: Individuelles Angebot nach Endgeräten, Agenten und Governance-Tiefe; verfügbar sind monatliche, jährliche, volumenbasierte und mehrjährige Modelle.
Kostenlose Testversion: Bereitgestellte 7-Tage-Sandbox für qualifizierte Kunden, standardmäßig im Beobachtungsmodus.
- Die Discovery reicht von lokalen Entwicklertools und Endgeräten bis zu Cloud-Agenten und MCP-Servern.
- Die Laufzeiterkennung umfasst Prompt Injection, Jailbreaks, Tool Poisoning, unbefugte Zugriffe und den Abfluss sensibler Daten.
- Trust Zones, Blockierung, Schwärzung, Ratenbegrenzung und identitätsbezogene Durchsetzung stehen auf einer Plattform bereit.
- Scale enthält das Cloud MCP Gateway; Enterprise ergänzt VPC-, On-Premises- und Air-Gapped-Optionen.
- Dank der öffentlichen Testbedingungen lassen sich Belege vor einem Vertrag sammeln.
- Trotz ausführlicher Tarifseite bleiben Dollarpreise individuell.
- Bei Pro ist das Cloud MCP Gateway ein Add-on; der Einstiegstarif ist daher nicht das vollständige MCP-Produkt.
- Private, lokale und Air-Gapped-Bereitstellungen erfordern Enterprise.
- Die breite Abdeckung von Endgeräten und KI kann Kontrollen doppeln, die ein etablierter Security-Stack bereits enthält.
Operants Pakete sind auch ohne Dollarpreise ungewöhnlich aussagekräftig. Pro enthält Endpoint Protector für die Überwachung von Schatten-KI und Agent Protector für Laufzeitüberwachung; Cloud MCP Gateway und AI Gatekeeper sind Add-ons. Scale umfasst Endpoint Protector, Agent Protector und Cloud MCP Gateway jeweils vollständig, während AI Gatekeeper weiterhin ein Add-on bleibt. Enterprise bündelt alle vier Produktbereiche und ergänzt individuelle Schutzmechanismen, Skalierung über mehrere Regionen, SSO, SCIM, Vorlagen für das Gerätemanagement, API- und Webhook-Zugriff sowie VPC-, On-Premises- und Air-Gapped-Bereitstellung.
Daraus ergibt sich ein klarer Auslöser für die Tarifwahl. Soll anfangs nur die Aktivität auf Endgeräten und bei Agenten beobachtet werden, kann Pro das Gespräch eröffnen. Sobald eine zentrale Durchsetzung für MCP-Verkehr Pflicht wird, beginnt der ehrliche Vergleich bei Scale oder bei einem Pro-Angebot mit Gateway-Add-on. Regulierte private Bereitstellungen führen zu Enterprise.
Die 7-Tage-Sandbox reicht für einen gezielten Nachweis, nicht für einen Unternehmensrollout. Zugelassene Kunden erhalten für den Test eine vollständig bereitgestellte Instanz mit allen freigeschalteten Modulen und Integrationen. Dafür sollten ein Coding-Client, ein Cloud-Agent und drei MCP-Server mitgebracht werden. Zuerst wird im Beobachtungsmodus der erkannte Graph dokumentiert, anschließend die Blockierung für einen nicht vertrauenswürdigen Server, einen Tool-Poisoning-Fall und einen Pfad mit sensiblen Daten aktiviert. Der Alarm muss den für die Reaktion nötigen Identitäts- und Aktionskontext behalten.
Die Grenze liegt bei Überschneidungen und Preisintransparenz. Ein Unternehmen, das bereits für Endgeräte-Discovery, DLP, API-Sicherheit, ein KI-Gateway und ein SIEM zahlt, könnte Kontrollen doppelt erwerben. Operant sollte das Paket deshalb gegen die ersetzten Kontrollen bepreisen und im Angebot Endgeräte, Produktivagenten, MCP Gateway, Datentypen, Aufbewahrung, Bereitstellungsmodell und Mehrverbrauch getrennt ausweisen.
5. Netskope One Agentic Broker: am besten für bestehende Netskope-DLP-Kunden
Netskope One Agentic Broker passt am besten, wenn Netskope bereits die sicheren Webzugriffe und Datenschutzkontrollen des Unternehmens stellt. Das Produkt erkennt MCP-Server, Clients, Tools, Ressourcen und Prompt-Anfragen, bewertet öffentliche Server über den Cloud Confidence Index, setzt Zugriffsrichtlinien durch und protokolliert Aktivitäten auf Toolebene. Das Kaufargument ist die Kontinuität mit Netskope One DLP – nicht der isolierte Vergleich einzelner MCP-Funktionen.
Am besten geeignet für: Bestehende Netskope-Kunden, die öffentliche und entfernte MCP-Nutzung aus Coding-, Chat- und Entwickler-Clients steuern.
Besonderheit: Risikobewertung öffentlicher Server und MCP-spezifische DLP-Richtlinien innerhalb eines etablierten Secure-Access-Stacks.
Preis: Individuelle Kundenbestellung, lizenziert nach überwachten Benutzern, Transaktionspaketen oder beidem.
Kostenlose Testversion: Auf der geprüften Produktseite wird keine öffentliche Testversion beworben.
- Die kontinuierliche Sichtbarkeit umfasst Sitzungen, Server, Clients, Tools, Ressourcen und Prompts.
- Der Cloud Confidence Index bewertet Authentifizierungstyp, Protokollversion und riskante Servermerkmale.
- Eine standardmäßige Blockierungsrichtlinie kann die Nutzung öffentlicher MCP-Angebote verhindern, bis ein Server freigegeben wurde.
- Detaillierte Protokolle für Initialisierung, Tool-Anfragen und Antworten ermöglichen nachträgliche Untersuchungen.
- DLP-Richtlinien können sensible Informationen im agentischen Datenverkehr erkennen und blockieren.
- Zum Erstellen und Durchsetzen von DLP-Richtlinien ist die DLP-Add-on-Lizenz erforderlich.
- Nicht verbrauchte Transaktionskontingente werden nicht übertragen.
- Das Erreichen des Transaktionslimits kann den Dienst für den Rest des Monats aussetzen.
- Die Produktdarstellung ist am stärksten für öffentlichen und entfernten MCP-Verkehr; private Laufzeitumgebungen und Workload-Identität müssen sorgfältig nachgewiesen werden.
Netskopes Vorteil für Käufer ist der bereits vorhandene Richtlinien- und Datenkontext. Ein Unternehmen, das sensible Daten schon mit Netskope klassifiziert und Webzugriffe dort durchsetzt, kann diese Kontrolle auf MCP erweitern, statt Tool-Verkehr an eine neue DLP-Engine zu übergeben. Das kann Richtliniendesign und Vorfallweiterleitung verkürzen – beides kostet häufig mehr als das Gateway selbst.
Die Lizenzbedingungen verdienen mehr Aufmerksamkeit als die Funktionsseite. Eine Benutzerlizenz enthält ein festes monatliches Transaktionskontingent; Transaktionspakete können die benutzerbasierte Lizenzierung ergänzen oder ersetzen. Nicht genutzte Transaktionen werden nicht übertragen. Netskope benachrichtigt bei 80 Prozent der lizenzierten Transaktionsmenge. Laut Bedingungen kann der Dienst für den Rest des Monats ausgesetzt werden, sobald das Kontingent überschritten ist.
Ein Planungsszenario zeigt, warum diese Einheit zählt. 1,000 überwachte Benutzer x 50 MCP-Request-Response-Transaktionen pro Arbeitstag x 22 Arbeitstage = 1.1 Millionen Transaktionen pro Monat. Das sind Workload-Annahmen, keine beobachtete Nutzung. Sie müssen durch Pilotdaten ersetzt werden; anschließend ist ein Spitzenmonat statt eines Durchschnittsmonats zu dimensionieren, weil ungenutztes Volumen verfällt, während Mehrverbrauch den Dienst stoppen kann.
Die DLP-Abhängigkeit ist ein weiterer Budgetposten. In der technischen Dokumentation von Netskope steht, dass für das Erstellen und Durchsetzen von DLP-Richtlinien die Add-on-Lizenz erforderlich ist. Ein Angebot mit Agentic Broker, aber ohne DLP, könnte Sichtbarkeit demonstrieren und zugleich genau die Kontrolle auslassen, die den Kauf begründet.
Die Grenze ist der Umfang. Die Produktseite betont öffentliche MCP-Server und Client-Verkehr, während die Dokumentation entfernte Server sowie ein Inventar abdeckt, das auch lokale und containerisierte Implementierungen umfasst. Der Pilot sollte lokale Discovery, Routing privater Server, die Identität autonomer Workloads und durchgängige Richtlinien außerhalb eines Browsers oder Mitarbeitergeräts belegen.
6. Salt Agentic Security Platform: am besten für API-lastige Umgebungen
Salt Agentic Security Platform ist die beste Wahl, wenn die riskantesten Agentenaktionen eines Unternehmens bereits durch eine große, schlecht erfasste API-Landschaft laufen. Der Agentic Security Graph verbindet Agenten, MCP-Server, Tools und APIs und legt anschließend Discovery, Posture-Analyse, Richtlinien und Laufzeiterkennung über diesen Aktionspfad. In dieser Shortlist bietet Salt die breiteste Sicht von APIs bis zu Agenten, ist aber nicht der eindeutigste Kauf für ein sofort einsetzbares MCP Gateway.
Am besten geeignet für: Banken, Händler, SaaS-Plattformen und andere Unternehmen, in denen Agentenrisiken untrennbar mit Schatten-, internen, Partner- und öffentlichen APIs verbunden sind.
Besonderheit: Ein Graph bildet sämtliche Agenten, MCP-Server und APIs ab und verbindet Posture- und Laufzeitkontext über die gesamte Aktionsebene.
Preis: Individuelles Angebot; auf den geprüften Seiten gibt es weder Dollarpreise noch eine öffentliche Tarifübersicht.
Kostenlose Testversion: Keine Self-Service-Testbedingungen beworben; „Try Salt“ führt zu einer Demo-Anfrage.
- Die Discovery erfasst Agenten, MCP-Server, verbundene Tools sowie Schatten- und Zombie-APIs.
- Die Posture-Analyse meldet riskante MCP-Konfigurationen, übermäßige Agentenrechte, offengelegte Zugangsdaten und schwache API-Autorisierung.
- Der Laufzeitschutz verfolgt MCP-Tool-Nutzung, API-Aktivität, Datenzugriff und ungewöhnliches Verhalten.
- Der Policy Hub enthält 100 vorgefertigte Richtlinien und erlaubt unbegrenzt viele individuelle Richtlinien.
- Vorhandener API-Sicherheitskontext kann den nachgelagerten Schadensradius einer Agentenaktion offenlegen.
- Die öffentlichen Seiten beschreiben API-Sicherheit und Graph-Transparenz genauer als die Bereitstellungsmechanik eines MCP Gateway.
- Das Produkt veröffentlicht weder Dollarpreise noch Self-Service-Testbedingungen.
- Ein Plattformteam benötigt weiterhin ein genehmigtes Register, einen Zugangsdatenpfad und ein Zugriffskonzept auf Toolebene.
- Die geprüften Seiten nennen die künftigen Standards der Roadmap zur Agentenidentität nicht.
Der aktuellste konkrete Nachweis von Salt ist die Richtlinienbibliothek. Am 20. Juli 2026 teilte das Unternehmen mit, dass der Policy Hub 100 vorgefertigte Richtlinien erreicht hat. Davon werden 61 automatisch aktiviert, mehr als 12 richten sich an KI- und agentische Sicherheit und die Zuordnungen decken acht Compliance-Frameworks ab. Die Richtlinien behandeln MCP-Konfiguration, Agentenautorisierung, Datensicherheit, OAuth, API-Architektur, Risiken durch Drittanbieter und Laufzeitverhalten.
Ein konkreter Anwendungsfall ist ein Händler, dessen Serviceagent Erstattungen über eine interne API auslösen kann. Der MCP-Server kann korrekt konfiguriert sein, während die zugrunde liegende Erstattungs-API zu weitreichende Berechtigungen oder ungewöhnliche Sequenzen akzeptiert. Salts Graph soll Agent, MCP-Tool, API, Daten und Verhalten verbinden, damit das Security-Team den Aktionspfad statt nur den Prompt sieht.
Genau deshalb steht Salt zugleich auf Platz sechs. Das öffentliche Material ist bei Discovery, Posture, Richtlinien, API-Risiko und Laufzeitschutz konkret, beschreibt den täglichen Ablauf einer MCP-Steuerungsebene aber weniger genau als Runlayer, Proofpoint oder Stacklok: Katalogfreigabe, Gateway-Routing, Einspeisen von Zugangsdaten, Richtlinien je Tool und Verteilung an Clients. Für bestehende API-Security-Kunden kann das die richtige Ergänzung sein. Bei einem neu aufzubauenden MCP-Plattformbetrieb muss eine Demo diese Mechanik belegen, bevor der Graph als Gateway gelten kann.
Welche Plattform passt zu welchem Unternehmen?
Zuerst entscheidet die schwierigste Kontrollgrenze in der eigenen Umgebung, bei Gleichstand die Identität.
Runlayer wählen, wenn Beschäftigte und Agenten viele Clients nutzen und das Unternehmen einen genehmigten Katalog benötigt, der einfacher als eine Schattenkonfiguration ist. Runlayer gewinnt, wenn Enablement, Agentenkonten, Berechtigungen auf Toolebene, Laufzeitprüfungen und Audit in einer Betriebsebene zusammenkommen müssen.
Proofpoint wählen, wenn Security mit einer unbekannten Umgebung beginnt. Discovery, Behebung, Server-Härtung, Inhaltsprüfung und Transaktionsforensik machen die Plattform zur stärksten ersten Anschaffung für Schatten-MCP und auditgetriebene Programme.
Stacklok wählen, wenn MCP in der eigenen Kubernetes-Umgebung laufen muss und Platform Engineering bereits Identität, Netzwerkrichtlinien, GitOps und Observability verantwortet. Der Open-Source-Kern ist zugleich der beste Weg, die Laufzeitumgebung vor einem Vertriebsvertrag zu prüfen.
Operant wählen, wenn Coding-Agenten der Beschäftigten, Cloud-Agenten, MCP-Server und KI-Anwendungen gemeinsam bewertet werden sollen. Die öffentliche 7-Tage-Sandbox ermöglicht den reibungsärmsten Nachweis; die entscheidenden MCP-Durchsetzungsstufen liegen bei Scale und Enterprise.
Netskope wählen, wenn Netskope Web, Cloud und sensible Daten bereits schützt. Gegen Netskope spricht, wenn DLP noch nicht budgetiert ist, das Transaktionsvolumen unvorhersehbar bleibt oder die Laufzeitumgebung überwiegend privat und autonom statt öffentlich und benutzerbezogen ist.
Salt wählen, wenn MCP nur eine Kante in einem größeren API-Aktionsgraphen bildet. Gegen Salt spricht, wenn zuerst ein genehmigter Katalog, ein Broker für Zugangsdaten und ein clientnahes MCP Gateway gebraucht werden – nicht API-Posture und Laufzeitverhalten.
Ein Test kann jede Entscheidung kippen: Der Anbieter soll einen Agenten zeigen, der für einen Benutzer handelt, eine enger begrenzte Aufgabe an einen Subagenten delegiert, ein erlaubtes Tool aufruft, bei einem weiterreichenden Tool abgewiesen wird und eine vollständige, widerrufbare Nachweiskette hinterlässt. Gelingt das nicht, schließen Discovery, Dashboards und Kataloggröße die Delegationslücke nicht.
Was kostet eine MCP-Sicherheitsplattform für Unternehmen?
Der öffentliche Markt erlaubt kein Ranking nach Listenpreis. Bei Runlayer, Proofpoint, Stacklok Enterprise, Operant, Netskope und Salt zeigte am 24. August 2026 keine der sechs geprüften öffentlichen Produkt- oder Preisseiten einen Dollarpreis. Nur beim Open-Source-Kern ist Stacklok eine Ausnahme: ToolHive steht unter Apache 2.0 zum Download bereit, während die Enterprise-Distribution weiterhin über den Vertrieb verkauft wird.
Die Angebotseinheiten sind nicht direkt vergleichbar:
- Runlayer, Proofpoint, Stacklok und Salt beginnen mit Demos oder individuell zugeschnittenem Enterprise-Umfang.
- Operant berechnet nach Endgeräten, Produktivagenten, Produkten, Bereitstellungstiefe und Governance-Anforderungen.
- Netskope lizenziert nach überwachten Benutzern, Transaktionspaketen oder beidem und verlangt DLP separat.
- 1Password bietet Unified Access neben dem Gateway als individuell bepreiste Identitätsplattform an.
Jedes Angebot muss auf dieselbe jährliche Workload normiert werden: Identitäten, Agenten, MCP-Server, Tools, monatliche Transaktionen, Aufbewahrung, Umgebungen, Datenregionen, Bereitstellungsmodell, Support, erforderliche Add-ons und Verhalten bei Mehrverbrauch. Eine niedrige Grundgebühr ohne DLP-Lizenz oder mit Transaktionslimit ist nicht das günstigere Angebot.
Wenn Anbieterpreise privat bleiben, setzt das Build-versus-Buy-Modell eine nützliche Obergrenze. Dafür sind die eigenen Vollkosten-Stundensätze einzusetzen; die folgende Rechnung ist ein Planungsmodell und kein Marktpreis:
- Eigene Steuerungsebene: zwei Ingenieure x acht Wochen x 40 Stunden x $150 pro Stunde = $96,000 interne Arbeitskosten vor laufendem Support.
- Anbieterpilot: vier Wochen x 30 Stunden eines Platform Engineers plus 10 Stunden eines Security Engineers pro Woche x $150 pro Stunde = $24,000 interne Arbeitskosten vor Lizenz.
- Break-even der Lizenz im ersten Jahr: $96,000 minus $24,000 = $72,000.
Das Modell schließt Cloud-Laufzeit, Scanner von Drittanbietern, Secrets Management, DLP, SIEM-Speicher und laufenden Betrieb auf beiden Seiten bewusst aus. Diese Posten müssen symmetrisch ergänzt werden. Eine Kontrolle zählt nicht als Einsparung des Anbieters, wenn ein bestehendes Produkt sie bereits liefert; ebenso sind Open-Source-Lizenzkosten von null nicht mit Betriebskosten von null gleichzusetzen.
Das ist die geschäftliche Folge der neuen Roadmap. Identität und Delegation sind nun getrennte Nachweispunkte; ein Gateway-Angebot ohne Identitätsschicht ist daher unvollständig. Budgetiert werden muss die Berechtigungskette, nicht nur der Engpass für den Datenverkehr.
Diese Produkte sind für den Zweck ungeeignet
Oft ist das falsche Produkt durchaus nützlich – nur für die falsche Aufgabe vorgesehen.
MCPJam als produktive Sicherheitskontrolle
MCPJam ist eine leistungsfähige MCP-Testumgebung, aber keine Laufzeit-Durchsetzungsebene für diese Kaufentscheidung. Die aktuelle Preisseite konzentriert sich auf Inspector, OAuth Debugger, JSON-RPC Logger, Registry, Evaluierungsguthaben und Zusammenarbeit.
Die Preise sind ungewöhnlich transparent: Free kostet $0 pro Monat und enthält 200 Credits pro Tag sowie 25 Evaluierungsdurchläufe pro Tag. Team kostet bei jährlicher Abrechnung $30 pro Platz und Monat, einschließlich 10,000 Credits pro Platz und Monat sowie 5,000 Evaluierungsdurchläufen pro Monat. Enterprise wird individuell mit Jahresbindung, SSO/SAML, individuellem RBAC, Audit-Aufbewahrung, DPA und SLA angeboten.
MCPJam eignet sich dazu, Server vor dem Rollout zu untersuchen, zu debuggen und zu evaluieren. Testguthaben, SSO und ein Enterprise-SLA sind jedoch kein Beleg für Inline-Durchsetzung von Tool-Aufrufen, Workload-Identität, Netzwerk-Discovery oder Laufzeit-Eindämmung.
Promptfoo MCP Proxy als vollständige Steuerungsebene
Promptfoo MCP Proxy ist eine glaubwürdige, eng begrenzte Kontrolle für Allowlisting, Anwendungs- und Benutzerzugriff, Aktivitätsüberwachung, Warnungen bei sensiblen Daten und zentrale Richtlinien. Unter den gerankten Plattformen bleibt sie dennoch, weil die öffentliche MCP-Seite weder die Delegation von Agentenkonten und Workload-Identität noch Sandboxing, eine kontrollierte Serverlaufzeit oder die neuen Roadmap-Standards dokumentiert.
Die allgemeinen Promptfoo-Preise umfassen einen dauerhaft kostenlosen Community-Tarif mit bis zu 10,000 Red-Team-Prüfungen pro Monat sowie individuell bepreiste Enterprise- und On-Premise-Tarife. Promptfoo passt, wenn Red Teaming und ein fokussierter Proxy die Aufgabe sind. Ein schmaler Proxy sollte nicht ohne Nachweis von Discovery, Identität, Ausführungsgrenzen und Delegation zum MCP-Betriebssystem eines Unternehmens ausgebaut werden.
1Password Unified Access als Gateway-Ersatz
1Password Unified Access gehört in die Architektur, aber nicht in die Gateway-Box. Die Plattform verwaltet Identität, privilegierten Zugriff, Gerätevertrauen, SaaS-Discovery, Laufzeit-Zugangsdaten und Audit über ein individuelles Angebot. Die dokumentierte Runlayer-Integration zeigt die richtige Trennung: 1Password verwahrt das Secret und löst es zur Anfragezeit auf; Runlayer entscheidet, ob Akteur und Tool-Aufruf erlaubt sind.
Wer nur die Secrets-Schicht kauft, lässt Serverinventar, MCP-Routing, Tool Poisoning, Parametervalidierung, Inhaltsprüfung und Richtlinien je Tool offen. Wer nur das Gateway kauft, schafft womöglich eine weitere Secrets-Datenbank. Das Duo ist glaubwürdig, weil beide Produkte in ihrem Zuständigkeitsbereich bleiben.
Checkliste für den MCP-Sicherheitspiloten
Ein Anbieter besteht nur, wenn er Nachweise für die Aktion liefert – nicht eine Folie über die Funktion.
Den nicht genehmigten Pfad entdecken
Einen lokalen Server, einen Remote-Server und einen Server hinter dem genehmigten Gateway platzieren. Die Plattform muss alle drei finden oder ausdrücklich erfassen und jeweils Client, Tools, Version, Verantwortlichen und Datenzone identifizieren.
Benutzer, Agent und Subagent trennen
Jeder Akteur erhält eine eigene Identität. Der Agent darf einen begrenzten Benutzerauftrag übernehmen; der Subagent muss einen engeren Grant erhalten. Jedes Design ablehnen, das die Kette in ein wiederverwendbares Token verwandelt.
An der Tool-Grenze durchsetzen
Ein Lese-Tool erlauben, ein Schreib-Tool bedingt erlauben und ein irreversibles Tool sperren. Bestätigen, dass der Agent die Sperre weder über einen anderen Client oder Serveralias noch über ein verkettetes Tool umgehen kann.
Beide Richtungen vergiften
Eine Anweisung in eine Tool-Beschreibung und eine bösartige Anweisung in ein Tool-Ergebnis einfügen. Die Plattform muss eingehende Metadaten und verkettete Ausgaben prüfen, nicht nur den ursprünglichen Prompt des Benutzers.
Die Ausführung begrenzen
Vom Server aus eine unerwartete Datei-, Netzwerk- oder Prozessaktion versuchen. Sandbox- und Netzwerkgrenzen müssen laterale Bewegungen stoppen, selbst wenn die Richtlinien-Engine die Absicht übersieht.
Ein Token stehlen und erneut verwenden
Ein Testtoken kopieren und aus der falschen Workload oder nach dem Entzug verwenden. Fragen, wie DPoP, Föderation, Tokenaustausch, Ablaufzeit, Audience und Schlüsselbindung das Ergebnis mit der Weiterentwicklung der Roadmap verändern werden.
Die Aktion rekonstruieren
Akteur, delegierenden Benutzer, Client, Agent, Server, Tool, Parameter, Richtlinienentscheidung, Ergebnishash – sofern verfügbar –, Endergebnis und Entzugsereignis in das SIEM exportieren.
Dieselbe Workload bepreisen
Allen Anbietern dieselben Benutzer, Agenten, Server, Tools, Transaktionen, Aufbewahrungsfristen, Umgebungen, Regionen, Add-ons und Supportannahmen vorgeben. Jeweils eine Jahressumme und einen Ausstiegsplan über drei Jahre vergleichen.
Das Plattformteam darf nicht nur erfolgreiche Aufrufe testen. Der Sicherheitsnachweis besteht aus der abgelehnten Anfrage, dem entzogenen Token, der blockierten verketteten Ausgabe, dem isolierten Prozess und der vollständigen forensischen Spur.
Häufig gestellte Fragen
Was ist die beste MCP-Sicherheitsplattform?
Runlayer ist insgesamt die beste MCP-Sicherheitsplattform für den unternehmensweiten Rollout von Agenten über mehrere Clients, weil sie Katalog, agentenspezifische Richtlinien, Laufzeitprüfungen und Audit verbindet. Proofpoint eignet sich besser für Schatten-Discovery und Forensik, Stacklok für selbst gehosteten Kubernetes-Betrieb.
Was sind MCP Security Tools?
MCP Security Tools steuern die Verbindung zwischen KI-Clients oder Agenten und den von ihnen aufgerufenen Tools. Eine vollständige Plattform erkennt Server, verifiziert Akteure, begrenzt Berechtigungen, prüft Aufrufe und Ergebnisse, beschränkt die Ausführung, entzieht Zugriffe und bewahrt Nachweise auf.
Was sind die wichtigsten MCP-Sicherheitslücken?
Zu den Hauptrisiken zählen zu weitreichende oder langlebige Zugangsdaten, Schattenserver, Tool Poisoning, Prompt- und Parameter-Injection, unsichere verkettete Ausgaben, schwache Ausführungsisolation, Token-Replay, übermäßige Agentenrechte, anfälliger Servercode und lückenhafte Audit-Trails.
Was gehört auf eine MCP-Sicherheitscheckliste?
Dazu gehören Inventar, Prüfung unterstützter Projekte, Workload-Identität, delegierter Umfang, Autorisierung je Tool, Sandboxing, Parametervalidierung, Eingabe- und Ausgabeprüfung, Verwahrung von Zugangsdaten, Schutz vor Token-Replay, schneller Entzug, Patching und SIEM-taugliche Nachweise.
Gibt es eine Open-Source-Plattform für MCP-Sicherheit?
Ja. Stackloks ToolHive ist der stärkste Open-Source-Plattformweg dieser Shortlist und unter Apache 2.0 lizenziert. Es bietet eine Grundlage für Evaluierung und Laufzeitbetrieb; das Unternehmen bleibt jedoch für Bereitstellung, Patching, Support, Discovery außerhalb des kontrollierten Pfads und ergänzende Sicherheitskontrollen verantwortlich.
Der Montagsplan: Belege kaufen, keine Versprechen
Am Montag wird ein Agent mit einem fachlichen Verantwortlichen und drei Tools ausgewählt: eines schreibgeschützt, eines mit Schreibrechten und eines für eine irreversible Aktion. Anschließend wird die Berechtigungskette vom Benutzer über den Agenten bis zum Subagenten gezeichnet. Für jeden Übergang sind Identität, Herkunft der Zugangsdaten, Umfang, Serververantwortlicher, Datenzone, Protokollziel und Verantwortlicher für den Entzug zu dokumentieren.
Am Dienstag läuft dieselbe Workload über die beiden Plattformen, die zur eigenen Betriebsgrenze passen. Für die meisten Unternehmen bedeutet das Runlayer gegen Proofpoint, Runlayer gegen Stacklok oder Operant gegen Netskope. Clients und Tools bleiben gleich, damit nur die Plattform die Variable ist.
Am Mittwoch folgen vier Fehlertests: eine vergiftete Tool-Beschreibung, eine bösartige Anweisung in einem Tool-Ergebnis, die Wiederverwendung eines kopierten Tokens aus der falschen Workload und der Versuch des Subagenten, das irreversible Tool aufzurufen. Festgehalten wird, welche Schicht welche Aktion blockiert und welche Nachweise erhalten bleiben.
Am Donnerstag werden Benutzerauftrag und Agentenidentität getrennt entzogen. Der Zugriff muss sofort enden, zwischengespeicherte Zugangsdaten müssen scheitern und das SIEM muss Akteur, delegierten Umfang, Parameter, Richtlinienentscheidung, Ergebnis und Ausgang rekonstruieren können.
Am Freitag erhalten beide Anbieter dieselbe jährliche Workload. Ihr vollständiges Angebot wird mit der $72,000-Lizenzgrenze für das erste Jahr aus dem Planungsmodell verglichen. Gekauft wird nur, wenn die Nachweiskette geschlossen ist und das Angebot die Eigenentwicklung bei Kosten, Kontrolle oder Betriebsrisiko schlägt. Besteht keine Plattform, bleibt der Agent schreibgeschützt und der Nachweis wird wiederholt, statt einen unkontrollierten Rollout zu finanzieren.
Die AI Business Workflow Audit Checklist erhalten
Die kostenlose AI Business Workflow Audit Checklist macht aus einer Agentenidee einen klar abgegrenzten Piloten mit Verantwortlichem, Berechtigungsgrenze, Abnahmekriterium, Budgetobergrenze und Stoppregel. Checklist und den nächsten verifizierten Build-Guide abonnieren.
2. Sept. 2026
Diese Seite in Google bevorzugen
Markieren Sie omidsaffari.com als bevorzugte Quelle, und Google hebt die Seite für Sie in Top Stories, AI Overviews und AI Mode hervor.
