Cloudflare hat neue Cloudflare-One-Funktionen angekündigt, die inspizierten MCP-Traffic erkennen, beteiligte Nutzer und Server sichtbar machen und direkte Verbindungen auf verwalteten Netzwerkpfaden kontrollieren sollen. Zusammen mit MCP Server Portals können Administratoren damit prüfen, ob KI-Agenten den vorgesehenen Zugang nutzen oder einen freigegebenen Pfad umgehen. Für Unternehmen ist das vor allem eine Antwort auf Shadow MCP: Mitarbeitende können Agenten mit wenigen Konfigurationsschritten an externe oder interne Werkzeuge anbinden, ohne dass die Verbindung im zentralen Inventar auftaucht.
Die Funktion löst das Sicherheitsproblem nicht allein. Cloudflare beschreibt selbst drei Kontrollpunkte mit unterschiedlichen Stärken: den MCP-Client, die Netzwerkgrenze des Geräts und den MCP-Server unmittelbar vor der Werkzeugausführung. Der sinnvolle GNS-Winkel ist deshalb kein einzelnes Produktversprechen, sondern eine Architekturentscheidung: Unternehmen müssen festlegen, welche Ebene Datenabfluss verhindert, welche unbekannte Verbindungen findet und welche riskante Aktionen endgültig ablehnt.
Warum MCP-Verkehr schwerer zu erkennen ist als eine bekannte SaaS-App
Eine MCP-Verbindung hat keinen garantiert eindeutigen Hostnamen und muss auch keinen Pfad wie „/mcp“ verwenden. Eine direkte Anfrage kann daher wie gewöhnlicher HTTPS-API-Verkehr aussehen. Cloudflare nennt Hostnamen, typische Pfade und JSON-RPC-Methoden weiterhin als nützliche Hinweise, weist aber zugleich auf Fehlstellen hin: Ein MCP-Server kann unter einer neutralen URL erreichbar sein, während ein fachfremder Dienst zufällig „mcp“ im Namen trägt.
Ein stärkeres positives Signal ist laut Cloudflare der HTTP-Header „MCP-Protocol-Version“, den konforme Streamable-HTTP-Clients je nach Protokollversion nach der Initialisierung oder bei POST-Anfragen mitsenden. Seine Anwesenheit spricht deutlich für MCP. Sein Fehlen beweist jedoch nicht das Gegenteil, weil ältere, lokale, benutzerdefinierte oder nicht konforme Verbindungen ohne dieses Signal auskommen können.
Drei Kontrollpunkte – und drei unterschiedliche Aufgaben
- Im Client lässt sich eine Werkzeugauswahl früh stoppen, bestätigen oder in ihren Argumenten bereinigen, bevor Daten das Gerät verlassen.
- Am Netzwerkübergang kann ein Secure Web Gateway Remote-MCP-Verbindungen verschiedener Clients zentral sehen und nicht freigegebene Pfade blockieren.
- Am MCP-Server stehen Identität, Werkzeug, validierte Argumente und Ausführungskontext für Autorisierung, Rate Limits und Protokollierung bereit.
Client-Kontrollen haben den frühesten Einblick und erfassen auch lokale stdio-Server, die keinen Netzwerkverkehr erzeugen. Ihre Schwäche ist die Verteilung: Richtlinien müssen in allen verwendeten Clients wirksam sein. Die Netzwerkebene bietet auf verwalteten Pfaden den breitesten Blick auf entfernte Verbindungen. Dafür benötigt sie geeignete Weiterleitung und gegebenenfalls TLS-Entschlüsselung; lokale Aufrufe und Verkehr außerhalb des kontrollierten Pfads bleiben unsichtbar.
Der Server besitzt den reichsten Ausführungskontext und ist der letzte Ort, an dem eine Aktion vor dem Tool-Handler gestoppt werden kann. Dort lassen sich Nutzer für ein konkretes Werkzeug autorisieren, Schreibaktionen anders behandeln als Lesezugriffe und Aufrufraten begrenzen. Diese Ebene schützt allerdings nur Server, die solche Regeln tatsächlich implementieren. Daraus folgt als nachvollziehbare Ableitung: Keine der drei Schichten ist allein ausreichend.
Ein Entscheidungsrahmen für die Einführung
Geschäftsführer müssen nicht jede Protokolldetailfrage entscheiden. Sie sollten jedoch ein Zielbild verlangen, das Prozesse, Kosten und Betriebsrisiken verbindet. Der Nutzen einer Gateway-Kontrolle steigt, wenn viele verwaltete Geräte unterschiedliche Agenten-Clients verwenden und unbekannte Remote-Verbindungen ein realistisches Risiko sind. Reine Client-Regeln können genügen, wenn Geräte und Werkzeuge vollständig standardisiert sind. Besonders kritische Schreibaktionen benötigen unabhängig davon eine serverseitige Prüfung.
- Zunächst genehmigte MCP-Server, verantwortliche Owner und erlaubte Geschäftszwecke inventarisieren.
- Einen freigegebenen Zugriffspfad über Portal und Gateway für verwaltete Geräte definieren.
- MCP-Verkehr zunächst protokollieren und Treffer anhand mehrerer Signale validieren.
- Direkte Verbindungen schrittweise blockieren und Ausnahmen mit Ablaufdatum dokumentieren.
- Für Werkzeuge mit Schreibwirkung serverseitige Autorisierung, Limits und Audit-Ereignisse ergänzen.
- Lokale stdio-Nutzung und nicht verwaltete Netzwerkpfade separat durch Client- und Gerätevorgaben behandeln.
Welche Daten besonders geschützt werden müssen
Ein MCP-Aufruf transportiert nicht nur den Namen des Werkzeugs. Die Argumente können Suchanfragen, Quellcode, Kundendaten oder Anweisungen für Änderungen enthalten; die Antwort kann ebenfalls sensible Informationen zurückgeben. Cloudflare zufolge kann eine Anfragekontrolle eine unsichere Aktion vor der Ausführung stoppen, während Antwortinspektion und Protokollierung sichtbar machen, was an den Agenten zurückgegeben wurde. Wo DLP-Prüfungen unterstützt werden, kann die Netzwerkebene auch JSON-RPC-Methoden und Argumente untersuchen.
Daraus entstehen Datenschutz- und Betriebskosten. TLS-Inspektion, detaillierte Logs und DLP-Regeln müssen mit Aufbewahrung, Zugriffsrechten und regionalen Vorgaben abgestimmt werden. Zudem verursachen ungenaue Regeln Fehlalarme oder blockieren legitime Automationen. Ein Pilot sollte deshalb nicht mit einer flächendeckenden Sperre beginnen, sondern mit Sichtbarkeit, einer geprüften Allowlist und wenigen klar riskanten Aktionen.
So misst das Unternehmen, ob die Kontrolle funktioniert
- Anteil erkannter MCP-Verbindungen über den freigegebenen Portalpfad
- Zahl direkter oder unbekannter Serververbindungen je Nutzer und Gerät
- Blockierte Schreibaktionen nach Werkzeug und Risikoklasse
- Ausnahmen ohne Owner, Begründung oder gültiges Ablaufdatum
- Fehlalarme und dadurch beeinträchtigte Geschäftsprozesse
- Lokale MCP-Nutzung, die ausschließlich durch Client-Kontrollen abgedeckt wird
Cloudflares Neuerung erweitert damit vor allem die Netzwerkperspektive auf MCP. Der geschäftliche Wert entsteht, wenn diese Sicht mit verbindlichen Client-Regeln und serverseitiger Autorisierung zusammenspielt. So wird aus einer schwer erkennbaren Agentenverbindung ein kontrollierter Prozess mit Eigentümer, erlaubtem Pfad und einer letzten Prüfung vor der Aktion. Ohne diese organisatorische Klammer bleibt selbst gute Erkennung lediglich ein weiterer Logeintrag.