Model Context Protocol (MCP): Sicherheitsrisiken und bewährte Verfahren

Das Model Context Protocol (MCP) verändert die Art und Weise, wie KI-Systeme mit Geschäftstools, Datenquellen und Anwendungen verbunden werden. Anstatt lediglich Text zu generieren, können KI-Agenten mithilfe von MCP-Verbindungen Dateien lesen, Datenbanken abfragen, APIs aufrufen und Arbeitsabläufe auslösen.

Dadurch erweist sich MCP als nützlich für die Einführung von KI in Unternehmen. Zudem räumt das Unternehmen der MCP-Sicherheit hohe Priorität ein.

Wenn MCP-Server KI-Agenten mit sensiblen Daten und externen Tools verbinden, fungieren sie als Kontrollpunkte für Zugriff, Identität, Berechtigungen, Protokollierung und Reaktion. Ohne die richtigen Sicherheitsvorkehrungen kann ein nützlicher KI-Workflow schnell zu einem Sicherheitsrisiko werden.

Was ist das Model Context Protocol (MCP)?

Das Model Context Protocol ist ein offener Standard, der dazu dient, KI-Anwendungen mit externen Tools und Datenquellen zu verbinden. Einfach ausgedrückt bietet MCP KI-Agenten eine einheitlichere Möglichkeit, Kontext anzufordern, zugelassene Tools aufzurufen und Unternehmenssysteme zu nutzen.

Beispielsweise muss ein KI-Agent möglicherweise eine interne Wissensdatenbank durchsuchen, einen Kundendatensatz überprüfen, ein Dokument zusammenfassen, ein Ticket aktualisieren oder Daten aus einer Unternehmensanwendung abrufen. MCP bietet dem KI-System eine strukturierte Möglichkeit, über genehmigte Verbindungen mit diesen Ressourcen zu interagieren.

Das bedeutet, dass ein MCP-Server mit umfassendem Zugriff auf Tools das Ausmaß von Prompt-Injektionen, dem Diebstahl von Anmeldedaten, der Vergabe übermäßiger Berechtigungen oder dem Missbrauch von Agenten vergrößern kann. Sollte es einem Angreifer gelingen, einen KI-Agenten zu manipulieren oder eine MCP-Verbindung zu kompromittieren, könnte sich das Risiko auf die Systeme, Daten und Aktionen ausweiten, die über diesen Server zugänglich sind.

Wie funktionieren MCP-Server?

Die MCP-Architektur umfasst in der Regel vier Kernkomponenten: die KI-Anwendung oder den Host, den MCP-Client, den MCP-Server sowie die damit verbundenen Tools oder Dienste.

• KI-Anwendung oder MCP-Host – Führt die KI-Schnittstelle oder den KI-Agenten aus. Es nimmt die Aufgabe des Benutzers entgegen und entscheidet, wann externe Kontexte oder Werkzeuge benötigt werden. 
• MCP-Client – Sendet strukturierte Anfragen von der KI-Anwendung an den entsprechenden MCP-Server und leitet die Antwort des Servers an den Agenten zurück.
• MCP-Server – Dient als gesteuerte Schnittstelle zwischen dem KI-System und externen Ressourcen. Es stellt dem Agenten zugelassene Werkzeuge, Daten oder Aktionen zur Verfügung. 
• Verbundene Ressourcen – Dazu können Datenbanken, Dateisysteme, E-Mail-Sicherheitstools, Ticketingsysteme, Cloud-Dienste, Geschäftsanwendungen oder APIs gehören.

Eine typische MCP-Interaktion verläuft wie folgt:

Die Bedeutung von MCP für Unternehmen

MCP kann KI-Systeme für den Einsatz in Unternehmen praxistauglicher machen. Anstatt sich ausschließlich auf statisches Modellwissen oder vordefinierte Benutzeraufforderungen zu stützen, können Agenten mit Live-Systemen und dem jeweiligen Geschäftskontext interagieren.

Dadurch entsteht ein neuer Mehrwert. Dadurch steigt auch der Einsatz.

Ein einfacher Chatbot kann eine Frage möglicherweise falsch beantworten. Ein über MCP verbundener Agent kann vertrauliche Informationen abrufen, eine API aufrufen, einen Datensatz bearbeiten, einen Workflow auslösen oder Daten an ein anderes System senden. Das Risiko steigt, wenn Mitarbeiter auf interne Daten zugreifen, externe Tools nutzen oder Vorgänge ohne strenge Sicherheitskontrollen durchführen können.

Aus diesem Grund sollten MCP-Server als Vertrauensgrenzen betrachtet werden. Es handelt sich dabei nicht lediglich um „Entwickler-Routine“. Es handelt sich um Kontrollpunkte, an denen Organisationen Anforderungen hinsichtlich Identität, Berechtigungen, Tools, Sitzungen und Protokollierung durchsetzen sollten.

Wichtigste Sicherheitsrisiken für den MCP-Server

Sicherheitsrisiken im Zusammenhang mit MCP ergeben sich häufig aus Mängeln bei der Zugriffskontrolle, der Identitätsprüfung, der Verwaltung von Zugangsdaten und der Kontrolle von Tools. Die folgenden Bereiche sollten bei jeder MCP-Implementierung oder MCP-Bereitstellung eingehend geprüft werden.

Werkzeugvergiftung

Ein „Tool-Poisoning“ liegt vor, wenn Angreifer Tool-Beschreibungen, Parameter, Metadaten, Standardeinstellungen oder Eingabeaufforderungen manipulieren, die über MCP-Server zugänglich sind. Da KI-Agenten sich auf Werkzeugbeschreibungen stützen, um zu entscheiden, was ein Werkzeug bewirkt und wann es eingesetzt werden soll, können böswillige oder irreführende Anweisungen das Verhalten der Agenten beeinflussen.

Beispielsweise könnte eine Werkzeugbeschreibung so verändert werden, dass ein Agent Daten an den falschen Empfänger sendet, die übliche Validierung ignoriert oder eine riskante Aktion ausführt. Dieser Angriffsvektor ist besonders besorgniserregend, da bösartige Anweisungen möglicherweise nicht in einer sichtbaren Benutzeraufforderung, sondern innerhalb der Metadaten erscheinen können.

Fehler bei der Autorisierung durch verwirrte Stellvertreter

Ein „Confused Deputy“-Problem tritt auf, wenn ein MCP-Server Aktionen unter Verwendung seiner eigenen erweiterten Berechtigungen ausführt, anstatt die genehmigten Berechtigungen des anfragenden Benutzers zu nutzen.

In der Praxis bedeutet dies, dass der KI-Agent einen Server dazu veranlassen kann, Aktionen auszuführen, die der Nutzer normalerweise nicht ausführen könnte. Verfügt der Server über umfassenden Zugriff auf Unternehmenssysteme, kann dies zu unbefugten Handlungen, Datenoffenlegungen oder Änderungen unter falscher Identität führen.

Werkzeug-Shadowing und Kollision von Werkzeugnamen

Von „Tool-Shadowing“ spricht man, wenn ein bösartiges MCP-Tool ein legitimes Tool imitiert. Es kann vorkommen, dass ein ähnlicher Name, eine ähnliche Beschreibung oder eine ähnliche Funktion verwendet wird, sodass ein Mitarbeiter das falsche Werkzeug auswählt.

Dies kann vorkommen, wenn mehrere MCP-Server sich überschneidende Tools bereitstellen. Beispielsweise können ein legitimes Tool namens „search customer record“ und ein bösartiges Tool namens „search_customer_records“ für den Mitarbeiter ähnlich aussehen. Ohne eine Validierung der Werkzeuge und klare Vorgaben zur Benennung könnte das KI-System die unsichere Option auswählen.

Übermäßige Berechtigungen

MCP-Server stellen ein Risiko dar, wenn sie mehr Tools, Daten oder Aktionen bereitstellen, als der genehmigte Anwendungsfall erfordert. Ein Supportmitarbeiter muss möglicherweise lediglich den Ticketverlauf einsehen, doch der Server könnte auch Kundenexporte, administrative Maßnahmen oder Abrechnungsdaten offenlegen.

Zu weitreichende Berechtigungen führen dazu, dass jeder Fehler schwerwiegendere Folgen hat. Zudem bieten sie Angreifern mehr Möglichkeiten, wenn sie eine MCP-Verbindung kompromittieren oder das Verhalten des Agenten durch das Einfügen von Eingabeaufforderungen beeinflussen.

Schwache Authentifizierung

Eine unzureichende Authentifizierung kann dazu führen, dass sich unbefugte Benutzer, Agenten oder Dienste mit MCP-Servern verbinden können. Dieses Risiko verschärft sich, wenn MCP-Server von öffentlichen Netzwerken, nicht vertrauenswürdigen Clients oder nicht verwalteten Umgebungen aus erreichbar sind.

Eine starke Authentifizierung sollte für Benutzer, Agenten, Dienste und Maschinenidentitäten gelten. Sicherheitsteams sollten zudem prüfen, wie das Vertrauensverhältnis zwischen dem MCP-Host, dem MCP-Client und dem Server hergestellt wird.

Umfassende OAuth-Bereiche

Weit gefasste OAuth -Bereiche können umfassende Anwendungsberechtigungen gewähren, obwohl engere Bereiche für dieselbe Aufgabe ausreichen würden. Beispielsweise benötigt ein Agent möglicherweise nur Lesezugriff auf einen bestimmten Ordner, doch die Integration fordert unter Umständen den vollständigen Zugriff auf ein gesamtes Laufwerk oder ein Postfach an.

Dies erhöht das potenzielle Ausmaß der Auswirkungen einer Kompromittierung. Zur Absicherung von MCP-Servern gehört es, die Zugriffsbereiche zu überprüfen und den Zugriff auf das für den jeweiligen Arbeitsablauf erforderliche Minimum zu beschränken.

Token-Weiterleitung und API-Schlüssel mit langer Gültigkeitsdauer

Durch die Weitergabe von Token können Anmeldedaten offengelegt werden, wenn Benutzer- oder Dienst-Token ohne strenge Sicherheitsmaßnahmen den MCP-Ablauf durchlaufen. Werden Tokens unsachgemäß weitergeleitet, protokolliert, gespeichert oder wiederverwendet, können Angreifer Zugriff über die ursprüngliche Sitzung hinaus erlangen.

API-Schlüssel mit langer Gültigkeitsdauer führen zu ähnlichen Problemen. Persistente Schlüssel können gestohlen, wiederverwendet oder vergessen werden, insbesondere wenn sie im Code, in Protokollen, in lokalen Dateien oder in nicht verwalteten Entwicklerumgebungen gespeichert sind. Bei der sicheren Handhabung von Tokens sollten fest codierte Geheimnisse, nicht verwaltete Dienstkonten und die unnötige Offenlegung von Anmeldedaten vermieden werden.

Missbrauch der Maschinenidentität

MCP-Server nutzen häufig Dienstkonten, API-Token, Zertifikate oder andere Maschinenidentitäten. Angreifer könnten es auf diese Identitäten abgesehen haben, da sie einen stabilen Zugang zu Unternehmenssystemen ermöglichen.

Ein Sicherheitsteam sollte die mit MCP-Servern verknüpften Maschinenidentitäten als besonders wertvolle Ressourcen behandeln. Sie benötigen Regelungen zu Eigentumsverhältnissen, Rotation, Geltungsbereichsbeschränkungen, Überwachung und Widerruf.

Unklare Zuordnung des User-Agent

Die Teams müssen wissen, welcher Benutzer, welcher Agent, welches Dienstkonto oder welcher Workflow die jeweilige MCP-Anfrage und die jeweilige Tool-Aktion ausgelöst hat. Ohne die Angabe des User-Agents erschweren sich die Ermittlungen.

Wenn sich ein Datensatz ändert, auf eine Datei zugegriffen wird oder sensible Daten das System verlassen, müssen Sicherheitsexperten das Ereignis bis zur verantwortlichen Person und dem entsprechenden KI-Workflow zurückverfolgen. Fehlende Zuordnungsangaben führen zu Lücken bei der Prüfung und verlangsamen die Reaktion.

Häufige Angriffsszenarien auf MCP-Server

Angreifer können Schwachstellen bei der MCP-Bereitstellung auf verschiedene Weise ausnutzen. Diese Szenarien veranschaulichen, wie technische Lücken zu geschäftlichen Risiken werden können.

Ungeschützte MCP-Server

Ein ungeschützter MCP-Server kann von öffentlichen Netzwerken, nicht autorisierten Anwendungen oder nicht vertrauenswürdigen Clients aus erreichbar sein. Angreifer können nach zugänglichen Diensten suchen, Schwachstellen bei der Authentifizierung testen und versuchen, eine direkte Verbindung zu verfügbaren Tools herzustellen.

Wenn der Server sensible Daten oder Aktionen mit erheblichen Auswirkungen offenlegt, kann ein unbefugter Zugriff schnell zu einem schwerwiegenden Vorfall werden.

Falsch konfigurierte Berechtigungen

Falsch konfigurierte Berechtigungen können dazu führen, dass Agenten Daten abrufen oder Aktionen auslösen, die über den genehmigten Anwendungsfall hinausgehen. Ein Mitarbeiter mit eingeschränkten Zugriffsrechten könnte beispielsweise Zugriff auf vertrauliche Personalunterlagen, Kundendateien oder administrative Arbeitsabläufe erhalten, da der Server zu weitreichend konfiguriert wurde.

Diese Fehler treten häufig auf, wenn Teams bei der Einführung von KI-Pilotprojekten zu schnell vorgehen und nicht dieselben Standards für die Zugriffsprüfung anwenden wie bei anderen Unternehmenssystemen.

Nicht verwaltete API-Schlüssel

Fest programmierte, langfristig gültige oder unsachgemäß gespeicherte API-Schlüssel können gestohlen und erneut verwendet werden, um Zugriff auf verbundene Tools oder Dienste zu erlangen. Dieses Risiko steigt, wenn MCP-Server in lokalen Umgebungen schnell eingerichtet, projektübergreifend kopiert oder ohne formelles Geheimnismanagement bereitgestellt werden.

Angreifer suchen häufig im Quellcode, in Protokollen, in Konfigurationsdateien und auf Entwicklerrechnern nach Zugangsdaten. Einmal gestohlene API-Schlüssel können auch nach Beendigung der ursprünglichen MCP-Interaktion weiterhin Zugriff ermöglichen.

Unsichere Sitzungsverwaltung

Unzureichende Sitzungskontrollen können eine Wiedergabe, eine Übernahme oder einen fortgesetzten Zugriff ermöglichen, nachdem ein Benutzer, ein Agent oder ein Token nicht mehr als vertrauenswürdig eingestuft werden sollte. Dies ist bei agentenbasierten KI -Arbeitsabläufen von Bedeutung, da Sitzungen mehrere Schritte, Werkzeuge und Datenquellen umfassen können.

Sicherheitsmaßnahmen sollten festlegen, wann Sitzungen ablaufen, wie Tokens an Identität und Kontext gebunden werden und wie der Zugriff widerrufen wird, wenn sich das Risiko ändert.

Fehlende Protokolle

Fehlende oder unvollständige Protokollierung erschwert es, nachzuvollziehen, welcher Agent ein Tool aufgerufen hat, auf welche Daten zugegriffen wurde und welcher Benutzer oder welche Identität daran beteiligt war. Dies führt zu Problemen bei Sicherheitstests, der Reaktion auf Vorfälle, der Einhaltung von Vorschriften und der Nachbetrachtung nach einem Vorfall.

Die MCP-Interaktionsprotokolle sollten ausreichend detailliert sein, um die Untersuchung zu unterstützen, ohne dabei sensible Informationen unnötig offenzulegen.

Nicht zugelassene MCP-Server

Nicht genehmigte MCP-Server können Prozesse in den Bereichen Bestandserfassung, Eigentumsverhältnisse, Zugriffsprüfung, Überwachung und Reaktion auf Vorfälle umgehen. Dies ist das Problem des „Shadow MCP“.

Ein Entwickler kann zu Testzwecken eine Verbindung zu einem lokalen Server herstellen. Ein Team kann ein vom Anbieter bereitgestelltes MCP-Tool einsetzen. Ein Geschäftsbereich kann mit mehreren MCP-Servern experimentieren, bevor die Sicherheitsteams von deren Existenz Kenntnis erlangen. Jede nicht verwaltete Verbindung stellt einen potenziellen blinden Fleck dar.

Bewährte Verfahren für die MCP-Serversicherheit

Zur Gewährleistung der MCP ist ein praxisorientiertes Programm erforderlich, das auf Transparenz, Zugriffskontrolle, Validierung, Überwachung und Reaktion basiert. Die folgenden bewährten Verfahren zur MCP-Sicherheit können Unternehmen dabei helfen, Risiken zu minimieren.

Bestandsaufnahme aller MCP-Server

Verfolgen Sie interne, externe, genehmigte, nicht genehmigte, von Entwicklern erstellte und von Anbietern bereitgestellte MCP-Server. Die Bestandsaufnahme sollte folgende Angaben enthalten: den Serverbesitzer, den Verwendungszweck, die angeschlossenen Tools, die offengelegten Daten, die Authentifizierungsmethode, die Bereitstellungsumgebung sowie den geschäftlichen Anwendungsfall.

Eindeutige Verantwortliche zuweisen

Für jeden MCP-Server sollte ein Team oder eine Person benannt werden, die für dessen Zweck, Tools, Berechtigungen, Überwachung und Außerbetriebnahme verantwortlich ist. Die Zuordnung von Verantwortlichkeiten trägt dazu bei, vergessene Server, nicht verwaltete Zugangsdaten und unklare Eskalationswege bei Vorfällen zu vermeiden.

Das Prinzip der geringsten Berechtigungen durchsetzen

Beschränken Sie jede MCP-Server- und -Agentenverbindung auf die unbedingt erforderlichen Tools, Bereiche und Daten. Vermeiden Sie umfassende administrative Zugriffsrechte, es sei denn, der Anwendungsfall erfordert dies tatsächlich und es liegen entsprechende Genehmigungen vor.

Das Prinzip der geringsten Berechtigungen sollte für Benutzer, Agenten, MCP-Clients, Dienstkonten, OAuth-Bereiche, API-Schlüssel und verbundene Systeme gelten.

Verwenden Sie die sichere Token-Verarbeitung

Vermeiden Sie lang gültige Anmeldedaten, die Weitergabe von Tokens, fest codierte Geheimnisse und nicht verwaltete Dienstkonten. Verwenden Sie nach Möglichkeit kurzlebige Tokens, speichern Sie vertrauliche Daten in zugelassenen Systemen, ändern Sie Zugangsdaten regelmäßig und entziehen Sie Zugriffsrechte, sobald ein Arbeitsablauf, ein Server oder ein Benutzer diese nicht mehr benötigt.

Werkzeuge und Eingaben überprüfen

Überprüfen Sie vor der Ausführung die Tool-Definitionen, Tool-Beschreibungen, Parameter, Eingabeaufforderungen, Dateien und externen Inhalte. Dies trägt dazu bei, das Risiko von Tool-Poisoning, der Einschleusung bösartiger Befehle und einer unsicheren Tool-Auswahl zu verringern.

Sicherheitsteams können zudem einen MCP-Inspector oder einen ähnlichen Testansatz nutzen, um verfügbare Tools zu prüfen, Schemata zu überprüfen und das Serververhalten vor dem Einsatz in der Produktion zu validieren.

Das Tool „Monitor“ wird kontinuierlich aufgerufen

Protokollieren Sie, welcher Agent welches Tool aufgerufen hat, auf welche Daten zugegriffen wurde, welche Maßnahme ergriffen wurde und welcher Benutzer bzw. welche Identität daran beteiligt war. Bei der Überwachung sollte zudem auf ungewöhnliche Aktivitäten, unerwartete Tool-Kombinationen, wiederholte Fehler, umfangreiche Datenabrufe sowie Vorgänge geachtet werden, die außerhalb der üblichen Arbeitsabläufe liegen.

Eine gute Protokollierung unterstützt die Bedrohungsanalyse, die Entwicklung von Erkennungsmechanismen, die Untersuchung von Vorfällen sowie die Überprüfung der Einhaltung von Vorschriften.

Schutz vor Prompt-Injektion

Eine Prompt-Injektion liegt vor, wenn böswillige Anweisungen das Verhalten eines KI-Systems beeinflussen. Bei MCP können die Auswirkungen größer sein, da der Mitarbeiter möglicherweise Zugriff auf Tools und Daten hat.

Unternehmen sollten nicht vertrauenswürdige Inhalte überprüfen und eine Genehmigung für Maßnahmen mit erheblichen Auswirkungen verlangen, die durch die Schlussfolgerungen des Agenten ausgelöst werden. Zu diesen Aktionen können das Versenden von Nachrichten, das Ändern von Datensätzen, das Übertragen von Dateien, das Anpassen von Berechtigungen oder das Abrufen sensibler Daten gehören.

Schutz vor indirekter Eingabe von Befehlszeilen

Durch indirekte Prompt-Injektion können bösartige Befehle in Dateien, E-Mails, Dokumenten, Tickets, Webseiten, API-Antworten und Inhalten der Wissensdatenbank versteckt werden. Ein KI-Agent könnte den Inhalt im Rahmen eines normalen Arbeitsablaufs lesen und anschließend die versteckte Anweisung befolgen.

Dies ist insbesondere für MCP von Bedeutung, da Agenten häufig externe Tools nutzen, um Informationen abzurufen. Sicherheitsmaßnahmen sollten externe Inhalte als nicht vertrauenswürdig behandeln, selbst wenn diese aus einem angeschlossenen Unternehmenssystem stammen.

Erstellung von Leitfäden für die Reaktion auf Vorfälle

Organisationen sollten festlegen, wie Teams kompromittierte MCP-Server eindämmen, Tokens widerrufen, Tools deaktivieren, Protokolle überprüfen und den sicheren Betrieb wiederherstellen sollen.

Eine MCP-Sicherheitscheckliste sollte Maßnahmen für folgende Fälle enthalten: Offenlegung von Anmeldedaten, Entdeckung bösartiger Server, Tool-Poisoning, unbefugter Zugriff und verdächtige Agent-Aktivitäten. Sicherheitsteams sollten zudem wissen, wie sie betroffene MCP-Verbindungen isolieren können, ohne dass dadurch nicht betroffene Geschäftssysteme beeinträchtigt werden.

Wie kann Mimecast die Sicherheit von MCP-Servern unterstützen?

Mimecast Agentic AI Security unterstützt Unternehmen dabei, agentische KI-Aktivitäten in unternehmensweiten Umgebungen zu erkennen, zu steuern und zu sichern. Dies ist wichtig, da das MCP-Risiko nicht nur auf dem MCP-Server besteht. Oft beginnt es mit den Inhalten, Nutzern, Nachrichten, Links, Dateien und Arbeitsabläufen, die die Mitarbeiter bearbeiten.

Der umfassendere Ansatz von Mimecast im Bereich des Human Risk Management ist in diesem Zusammenhang von Bedeutung. Indem Mimecast Unternehmen dabei unterstützt, Nutzer, Kommunikationskanäle und Arbeitsabläufe bei der Zusammenarbeit zu schützen, kann das Unternehmen Maßnahmen zur Verringerung des Risikos von Prompt-Injektionen, Datenlecks und unsicheren Aktionen von Agenten fördern.

Für Sicherheitsteams besteht das Ziel nicht nur darin, einen einzelnen bösartigen MCP-Server zu blockieren oder ein einzelnes MCP-Tool zu überprüfen. Es ist vielmehr wichtig zu verstehen, wo agentische KI-Aktivitäten stattfinden, in welchem Zusammenhang diese mit menschlichem Verhalten stehen und in welchen sensiblen Arbeitsabläufen möglicherweise eine strengere KI-Governance erforderlich ist.

Aufbau einer sichereren MCP-Serversicherheit für Agentic AI

MCP kann KI-Agenten noch nützlicher machen, indem es sie mit Unternehmenswerkzeugen, Datenquellen und Anwendungen vernetzt. Dies kann den Mitarbeitern dabei helfen, den richtigen Kontext abzurufen, genehmigte Dienste aufzurufen und praxisnahe Geschäftsabläufe zu unterstützen.

Mit der zunehmenden Verbreitung agentischer KI wird die Sicherung des MCP zu einem Bestandteil eines umfassenderen KI-Sicherheitsprogramms werden. Unternehmen müssen wissen, wie sich Agenten mit Systemen verbinden, wie Benutzer und Geräte authentifiziert werden, wie mit sensiblen Daten umgegangen wird und wie böswillige Befehle erkannt werden, bevor sie Schaden anrichten können.

Mimecast Agentic AI Security kann Unternehmen dabei unterstützen, die Transparenz, die Governance und den Schutz in der gesamten Agentic-AI-Umgebung zu verbessern. Für Teams, die mit MCP arbeiten, kann diese umfassendere Sichtweise dazu beitragen, Risiken zu minimieren und gleichzeitig eine sicherere Einführung von KI im gesamten Unternehmen zu fördern.