42Crunch auditiert, scannt und bewertet jeden MCP-Server anhand einer deterministischen Baseline. Sie legen den Schwellenwert fest, der entscheidet, was für die Produktion gut genug ist — und jeder Befund enthält die Sanierungsempfehlung, um einen Server über diese Messlatte zu bringen.
Die meisten Teams, die heute MCP-Server bereitstellen, haben keine konsistente Möglichkeit, eine grundlegende Frage zu beantworten: Ist dieser Server tatsächlich sicher genug, um einem Agenten zugänglich gemacht zu werden? Eine einmalige Prüfung beantwortet das für einen Moment und ist dann veraltet, sobald sich der Server das nächste Mal ändert. 42Crunch ersetzt die Momentaufnahme durch eine Sicherheitslage — einen Score, der bei jedem Audit und jedem Scan neu berechnet wird, gestützt auf einen Schwellenwert, den Ihre Organisation kontrolliert, und ein Gate, das ihn automatisch durchsetzt.
Zwei Engines, zwei unterschiedliche Aufgaben, ein deterministisches Ergebnis.
Läuft automatisch bei jedem MCP Contract, ohne dass eine Live-Verbindung erforderlich ist. Die PromptDefense- und YARA-Engines durchsuchen jede Tool- und Prompt-Beschreibung nach agentengerichteten Bedrohungen — Prompt Injection, Tool Poisoning, Data Exfiltration, Tool Shadowing — und strukturelle Prüfungen decken das Design von Authentifizierung, Autorisierung und Rate-Limiting ab. Jeder Befund enthält einen Schweregrad und einen Sanierungshinweis.
MCP Audit entdecken →Verbindet sich mit dem laufenden Server und prüft, was der Contract nicht verraten kann: acht Prüfungen auf Protokollebene aus dem OWASP MCP Security Cheat Sheet — nicht authentifizierter Zugriff, fehlendes TLS, keine Nachrichtensignierung, Akzeptanz von Replay-Angriffen, gefälschte Identität — sowie Input-Format-Fuzzing gegen die deklarierten Parameter jedes Tools.
MCP Scan entdecken →Jedes Audit und jeder Scan fließt in einen einzigen deterministischen Score und eine Buchstabennote ein — derselbe Server, zweimal bewertet, liefert dasselbe Ergebnis, sodass er als Nachweis nutzbar ist, nicht als Schätzung. Dieser Score zählt nur, wenn jemand bereit ist, danach zu handeln. Das Security Quality Gate (SQG) ist ein von Ihrer Organisation definierter Mindestscore — eine Standard-Baseline als Ausgangspunkt, anpassbar pro Server, pro Umgebung oder pro Risikostufe — und wird automatisch in CI/CD geprüft. Ein Server unterhalb des Schwellenwerts erreicht die Produktion nicht. Kein manuelles Override, kein „das reparieren wir später".
Ein Score, der nur „Nein" sagt, ist für sich genommen nicht nützlich. Jeder Befund — aus beiden Engines — kommt mit der konkreten, umsetzbaren Anleitung, um ihn zu beheben, sodass der Weg von einem nicht bestandenen Gate zu einem bestandenen eine bekannte Größe ist, kein Forschungsprojekt.
Audit und Scan laufen gegen den Contract und den Live-Server.
Befunde fließen in einen deterministischen Score und eine Note ein.
Der Score wird gegen Ihr Security Quality Gate geprüft.
Unterhalb der Messlatte enthält jeder Befund die zur Behebung erforderliche Korrektur.
Audit und Scan erneut ausführen — sobald das Gate besteht, wird der Server ausgeliefert.
Befunde werden automatisch im Rahmen desselben Audits und Scans gegen OWASP, den EU AI Act, ISO 42001, das NIST AI RMF und CSA AICM getaggt — sodass eine Sicherheitslagebewertung nicht nur ein Release absichert, sondern auch den Nachweis liefert, den ein Regulator, Prüfer oder eine Kunden-Sicherheitsprüfung verlangen würde. Siehe KI-Regulierungskonformität für Details zu dieser Zuordnung über verschiedene Regionen hinweg.
Ein einzelner deterministischer Score und eine Buchstabennote, berechnet aus jedem Audit- und Scan-Befund zu einem MCP-Server — und zwar über agentengerichtete Inhaltsbedrohungen, Risiken auf Protokollebene und die strukturelle Qualität des Contracts hinweg. Er ist darauf ausgelegt, im Zeitverlauf verfolgt und über alle Server der Organisation hinweg verglichen zu werden, nicht als einmaliger Bericht gelesen zu werden.
Sie legen ihn fest. Das Security Quality Gate wird mit einem sinnvollen Standardwert ausgeliefert (Score 75 / Note B), ist aber vollständig anpassbar — ein strengerer Schwellenwert für einen Server, der sensible Daten verarbeitet, ein lockererer für einen internen Proof of Concept, unterschiedliche Schwellenwerte je Umgebung, während ein Server von der Entwicklung in die Produktion wandert.
Beides, je nachdem, wo es läuft. In CI/CD verweigert das Security Quality Gate einem Server unterhalb des Schwellenwerts das Bestehen — eine harte Blockade, keine Warnung. Außerhalb einer Pipeline erscheint derselbe Score im Dashboard, sodass ein Server priorisiert und behoben werden kann, bevor er überhaupt in Richtung dieses Gates geschoben wird.
Jeder Befund enthält einen Sanierungshinweis — eine konkrete, umsetzbare Anleitung, die genau auf dieses Problem zugeschnitten ist, kein allgemeiner Link zu Best Practices. Ein erneuter Lauf von Audit und Scan nach einer Behebung berechnet den Score sofort neu, sodass die Schleife von einem nicht bestandenen zu einem bestandenen Gate schnell und sichtbar ist.
Ein Penetrationstest ist eine Momentaufnahme — korrekt am Tag der Lieferung und veraltet, sobald sich der Server ändert. Die Sicherheitslagebewertung läuft bei jedem Audit und jedem Scan erneut, sodass Drift zwischen Prüfungen als Score-Änderung sichtbar wird, statt als Überraschung beim nächsten jährlichen Test entdeckt zu werden.
Richten Sie 42Crunch auf einen beliebigen MCP-Server und erhalten Sie einen bewerteten, benoteten Bericht — plus die Sanierungsempfehlungen, um jede Lücke zu schließen. Kein Agent, keine Bereitstellung, keine Verpflichtung erforderlich.