KI-Agenten können jetzt bezahlen. Forscher führen sie immer wieder hinters Licht

Stell dir vor, du bittest einen KI-Assistenten, dir ein Zugticket zu buchen, und er tut es einfach: findet den Tarif, bezahlt und schickt dir die Bestätigung. Keine Kartendaten eintippen, kein „Kauf bestätigen“-Knopf. Das ist das Versprechen „agentischer Zahlungen“, und einige der größten Namen aus Technik und Finanzwelt bauen gerade die Leitungen dafür.

Die interessantesten Signale in diesem Bereich kommen aber nicht von Produktvorstellungen. Sie kommen aus Forschungslaboren, in denen Sicherheitsforscher zeigen, wie sich diese Systeme austricksen lassen, und aus Anwaltskanzleien, die Europas neue Zahlungsregeln lesen und bemerken, dass KI-Agenten darin überhaupt nicht vorkommen.

Das ist die Geschichte einer Technologie, bei der die Probleme früher auftauchen als die Kunden. Genau das ist oft der Moment, in dem es sich lohnt, hinzuschauen.

Was „Agentenzahlungen“ eigentlich sind

Ein KI-Agent ist Software, die nicht nur Fragen beantwortet, sondern handelt: suchen, buchen, kaufen. Um etwas zu bezahlen, braucht er einen Weg, Geld zu bewegen, der nicht davon abhängt, dass ein Mensch ein Bezahlformular ausfüllt.

Dafür sind mehrere konkurrierende Standards entstanden. Die bekanntesten sind:

• x402, gestartet von Coinbase. Es belebt einen alten, ungenutzten Webcode wieder, „402 Payment Required“ (Zahlung erforderlich), damit eine Website einen Agenten um eine winzige Zahlung bitten kann, oft in Stablecoins, bevor sie Daten oder einen Dienst liefert. Im Juli 2026 ging es an eine neutrale Stiftung unter dem Dach der Linux Foundation.
• AP2, Googles Agent Payments Protocol, das signierte „Mandate“ nutzt: eine digitale Anweisung des Nutzers, was der Agent kaufen darf und bis zu welchem Betrag.
• ACP, das Agentic Commerce Protocol, eine weitere offene Spezifikation für den Bezahlvorgang durch Agenten.

Entwickler sind klar interessiert. Auf GitHub hat das x402-Projekt rund 6.700 Sterne und 2.200 Kopien („Forks“), auf denen andere aufbauen, AP2 etwa 3.300 Sterne und ACP etwa 1.500. Auch die Kartennetzwerke arbeiten an speziellen Zahlungstoken für Agenten.

Wie viel Geld fließt wirklich? Sehr wenig

Hier trifft der Hype auf die Realität. Die sorgfältigste Schätzung stammt aus einem Bericht von Visa und der Datenfirma Artemis, mit Daten bis April 2026. Nach dem Herausfiltern gefälschter „Wash“-Transaktionen und Tests fanden sie, dass etwa 15 Millionen Dollar über x402 geflossen waren, verteilt auf rund 110 Millionen Zahlungen, also etwa 14 Cent pro Zahlung. Die rohen, ungefilterten Zahlen lagen bei rund 136 Millionen Dollar; der Filter entfernte also fast 90 % der Beträge.

Seitdem gehen die Messungen weit auseinander. Ein roher Zähler auf der Blockchain zeigt stetigen Verkehr zwischen Maschinen, während andere Tracker einen Einbruch beim Wert melden: Die Abwicklung war bis August im Jahresverlauf um 93 % gefallen, laut Daten von Helios Analytics, die CCN zitiert, nach Spitzen von fast 800.000 Dollar pro Tag Ende 2025. Eine neutrale, geprüfte Zahl für echte Agentenzahlungen gibt es noch nicht.

Was bleibt, ist vor allem Software, die andere Software für kleine Datenhäppchen oder Rechenleistung bezahlt, nicht Menschen, die Zugtickets kaufen. Wenn Agenten heute für Verbraucher einkaufen, nutzen sie meist gewöhnliche Karten. Ein Start-up aus dem Sommerjahrgang 2026 von Y Combinator, Agentcard, gibt einfach virtuelle Prepaid-Visa-Karten an KI-Agenten aus.

Forscher fanden zuerst die Schwachstellen

Während das echte Volumen klein bleibt, wächst die wissenschaftliche Aufmerksamkeit schnell. Drei 2026 veröffentlichte Arbeiten stechen heraus.

„Five Attacks on x402“ (Fünf Angriffe auf x402), im Mai von Forschern der Ohio State University, der australischen CSIRO und der University of Manchester veröffentlicht, testete das Protokoll mit mehr als 25.000 Zahlungsanfragen. Sie zeigten, dass ein Nutzer belastet werden konnte, ohne den Dienst zu erhalten, dass eine einzige Zahlung 248-mal wiederverwendet wurde, um einen Dienst an einem Live-Endpunkt freizuschalten, dass bezahlte Inhalte über gewöhnliche Web-Caches durchsickerten und dass ein gefälschter Server bei der Dienstsuche fast 72 % des Agentenverkehrs abfing. Sie fanden 11 Schwachstellen in drei Open-Source-Toolkits.

Eine Sicherheitsanalyse von Googles AP2, veröffentlicht im August, katalogisierte 48 verschiedene Bedrohungen, acht davon mit hohem Schweregrad. Ihre zentrale Erkenntnis ist die wichtigste: Ein gültiges signiertes Mandat garantiert nicht, dass der Nutzer die Zahlung wirklich wollte, wenn die Informationen, die der Agent vor dem Signieren gesehen hat, manipuliert wurden.

Eine formale Analyse von vier Protokollen (x402, MPP, ACP und AP2), ebenfalls aus dem August, ließ mit mathematischen Verifikationswerkzeugen 86 Testfälle laufen. Vierzig davon lieferten Befunde, die zuvor nicht dokumentiert waren.

Diese Angriffe wurden meist an Referenz-Toolkits und in Testnetzen erprobt. Große Betreiber im Produktivbetrieb wie Coinbase und Cloudflare haben manche vielleicht schon behoben. Aber sie zeigen, dass die Sicherheitsschicht rund um Agentenzahlungen noch längst nicht fertig ist.

Europas neue Regeln erwähnen KI-Agenten nicht

Die Europäische Union schreibt seit Jahren ihre Zahlungsregeln neu, bekannt als PSD3 und Zahlungsdiensteverordnung (PSR). Die endgültigen Kompromisstexte wurden im April 2026 zur Billigung übermittelt; die Veröffentlichung wird in der zweiten Jahreshälfte erwartet. Die Regeln würden 21 Monate nach Inkrafttreten gelten.

Laut einer Zusammenfassung der Rechtssparte von PwC enthält der Text keine Bestimmungen zu KI-Agenten, von Agenten ausgelösten Zahlungen oder Zahlungsmandaten. Eine Analyse der Kanzlei Annerton vom September listet die offenen Fragen auf: ob ein vorab erteiltes Mandat als Autorisierung einer Zahlung gilt, ob ein Agent selbst ein regulierter Zahlungsdienst sein könnte und wie die starke Kundenauthentifizierung, also der Schritt „in der Banking-App bestätigen“, funktionieren soll, wenn eine Maschine für dich handelt.

Die allgemeinen Regeln gelten weiter, und sie weisen in eine Richtung. Der Zahlungsdienstleister bleibt haftbar, wenn die Authentifizierung versagt oder er verdächtige Transaktionen übersieht, und die eigene Haftung eines Verbrauchers ist auf 50 Euro begrenzt. Unsere Lesart der Analysen, eine Interpretation und kein gefestigtes Recht, ist, dass Banken und Zahlungsfirmen in der EU am ehesten die Verluste tragen, wenn ein manipulierter Agent etwas bezahlt. Das würde sie zu natürlichen ersten Kunden für Werkzeuge machen, die prüfen, worum ein Agent tatsächlich gebeten wurde.

Auch die Europäische Zentralbank schaut hin. Im September rief sie Unternehmen auf, sich ihrer Innovationsplattform für den digitalen Euro anzuschließen, mit einem Arbeitsstrang „KI im Zahlungsverkehr“, der 2027 KI-Agenten und Mikrozahlungen behandelt.

Das Geld folgt, langsam

Wenn Zahlungsfirmen Werkzeuge zur Kontrolle von Agenten brauchen, muss jemand sie bauen. In Europa steckt diese „Vertrauensschicht“ noch in den Kinderschuhen:

• Ralio in London sammelte im April 2,5 Millionen Dollar in einer Pre-Seed-Runde ein. Das Unternehmen prüft jede Agentenzahlung anhand von Regeln, schickt unklare Fälle an einen Menschen und protokolliert die Entscheidungen.
• SolvaPay in Stockholm sammelte, ebenfalls im April, 2,4 Millionen Euro ein, damit Softwaredienste KI-Agenten direkt abrechnen können.
• Cygrid in Berlin sammelte im Oktober 2,66 Millionen Euro ein, um zu steuern, was Identitäten von KI-Agenten tun dürfen, konzentriert sich aber nicht auf Zahlungen.

Zum Vergleich: Das US-Unternehmen Baselayer sammelte im September 35 Millionen Dollar in einer Series A für einen „Know Your Agent“-Nachweis ein, rund zehnmal so viel wie die europäischen Runden.

Auch etablierte Anbieter bringen sich in Stellung. Eine gesponserte Patentanalyse von GlobalData ergab, dass der Anteil von Mastercard an Patentveröffentlichungen zu KI-Agenten im vergangenen Jahr von 0,7 % auf 5 % stieg, darunter eine Anmeldung zur überprüfbaren Zahlungsdelegation. Der Anteil von Visa bewegte sich kaum.

Warum das wichtig ist, auch wenn du nie Krypto anfasst

Man könnte all das als Nischentechnik abhaken. Aber die Frage dahinter, wer zahlt, wenn Software mit deinem Geld einen Fehler macht?, wird normale Bankkunden lange erreichen, bevor die meisten Menschen einen KI-Agenten einkaufen lassen.

Die neuen EU-Regeln enthalten bereits Schutzmechanismen, die die Richtung zeigen. Der Text gibt Verbrauchern ein Recht auf Erstattung, wenn Betrüger sich als ihr Zahlungsdienstleister ausgeben, und hält fest, dass das Durchlaufen des Authentifizierungsschritts allein nicht beweist, dass eine Zahlung autorisiert war. Zusammen mit der 50-Euro-Grenze für die eigene Haftung des Zahlers deutet das darauf hin, dass die Aufsicht eher den Menschen schützt als das Formular. Wenn dieser Ansatz auf KI-Agenten übertragen wird, landen die Kosten eines manipulierten Agenten vor allem bei Banken und Zahlungsfirmen. Das gibt ihnen einen starken Grund, bessere Schutzmechanismen zu verlangen, bevor sie Agenten frei Geld ausgeben lassen.

Für alle, die diese Systeme bauen, zeigt die Forschung eine klare Lücke: etwas, das vor dem Moment des Signierens sitzt, prüft, worum der Agent tatsächlich gebeten wurde und was er unterwegs gelesen hat, und ein manipulationssicheres Protokoll führt. Ob daraus ein eigenständiges Produkt oder eine Funktion in bestehenden Banksystemen wird, ist eine der offenen Fragen der nächsten zwei Jahre.

Was schiefgehen könnte

• Das Volumen holt vielleicht nie auf. Wenn Agenten weiter gewöhnliche Karten nutzen, könnten die neuen Protokolle eine Nische bleiben.
• Allgemeine Regeln könnten reichen. Die EU-Aufsicht könnte Agenten über bestehende Authentifizierungs- und Haftungsregeln oder technische Leitlinien abdecken, bevor ein Start-up einen Vorsprung gewinnt.
• Die Angriffe sind vielleicht schon behoben in den großen Produktivsystemen, die den Großteil des echten Verkehrs abwickeln.
• Die Kartennetzwerke könnten die Lösung mitliefern. Visa und Mastercard könnten Risikobewertungen in ihre eigenen Agentenprogramme einbauen und damit unabhängigen Start-ups den Raum nehmen.

Worauf man als Nächstes achten sollte

• Eine neutrale, geprüfte Zählung echter Agentenzahlungen. Die heutigen Tracker liegen um Größenordnungen auseinander.
• Cloudflares Monetization Gateway, im Juli 2026 gestartet und über x402 abgewickelt, ist das einzige Produkt mit großer Reichweite, das die Volumen wiederbeleben könnte.
• Die offizielle Veröffentlichung von PSD3 und PSR im EU-Amtsblatt und mögliche Leitlinien der Europäischen Bankenaufsicht dazu, wie Mandate und Authentifizierung für Agenten gelten.
• Größere Finanzierungsrunden für europäische Start-ups zur Agentenprüfung, ein Zeichen, dass Investoren glauben, Banken würden dafür zahlen.
• Die Patentanmeldungen von Mastercard zu delegierten Zahlungen, die beeinflussen könnten, was andere bauen dürfen.

Die Technik, mit der Maschinen einander bezahlen, gibt es. Ob du einer davon deine Karte anvertrauen würdest, ist eine andere Frage, und im Moment beantworten Forscher sie schneller als der Markt.