KI-Agenten 2026: Wer haftet, wenn der Agent handelt?

Am 24. November 2026 tritt bei einer der größten Banken der Vereinigten Staaten eine unscheinbare Vertragsänderung in Kraft, die eine Frage beantwortet, über die die gesamte Krypto- und KI-Branche seit Monaten streitet: Wer haftet, wenn ein KI-Agent etwas Falsches tut? Wells Fargo hat seine Online-Nutzungsbedingungen um einen neuen Abschnitt ergänzt, der die Verantwortung für die Handlungen beauftragter KI-Agenten auf die Kundinnen und Kunden verschiebt, ausdrücklich auch für unbeabsichtigte Aktionen und für Schäden durch manipulierte Eingaben (cryptobriefing.com). Die Botschaft ist unmissverständlich: Wer einen Agenten auf sein Konto lässt, trägt das Risiko allein.

Zwei Wochen zuvor, am 28. Oktober, hatte die US-Derivateaufsicht CFTC ihr allererstes „Frontier Forum“ genau diesem Thema gewidmet. Und am 12. November, dem Tag, an dem dieser Text erscheint, warnte Fed-Gouverneur Michael Barr an der Yale University, Banken stünden vor der Aufgabe sicherzustellen, dass ein autonom handelnder Agent tatsächlich das tut, was der Kunde wollte (American Banker). Für Bankkunden ist das eine abstrakte Debatte. Für jeden, der einen autonomen Agenten mit eigenem Krypto-Wallet laufen lässt, ist es die zentrale Frage des Jahres. Denn on-chain gibt es kein Kleingedrucktes, das man nachträglich ändern könnte, und keine juristische Person, die man am Ende verklagen kann.

Der Stichtag 24. November: eine Bank verschiebt die Haftung

Die Änderung bei Wells Fargo klingt technisch, ist aber ein Präzedenzfall. In einem neu eingefügten Abschnitt der Online-Nutzungsbedingungen regelt die Bank erstmals, was passiert, wenn ein Kunde einem KI-Agenten Zugriff auf sein Konto gewährt. Das Ergebnis: Die Kundschaft haftet für unbeabsichtigte Handlungen, für Fehler, die aus der Interpretation einer Anweisung durch den Agenten entstehen, für Aktionen auf Basis manipulierter Eingaben und für Fälle, in denen ein Agent seine erteilte Vollmacht überschreitet. Die Nutzung eines Agenten geschehe „auf eigenes Risiko“, die Bank überwache oder prüfe die Aktivität der Agenten nicht. Wer eine Vollmacht widerruft, muss den Widerruf beweisen können.

Besonders brisant ist die ausdrückliche Nennung manipulierter Eingaben. Das ist juristisches Deutsch für Prompt Injection, den heute wichtigsten Angriffsweg gegen KI-Agenten: Ein Angreifer versteckt eine Anweisung in einer Webseite, einer E-Mail oder einem sozialen Beitrag, der Agent liest sie und führt sie aus, als käme sie vom Besitzer. Wells Fargo sagt sinngemäß: Auch dann zahlt der Kunde. Es ist, soweit dokumentiert, die erste Haftungsverschiebung dieser Art bei einer großen Bank. Vorausgegangen war ihr eine Welle von Beschränkungen: Zwischen dem 13. und 20. Oktober schränkten unter anderem JPMorgan Chase, Citigroup und Charles Schwab den Zugang fremder KI-Agenten zu Kundenkonten ein, mit Verweis auf nicht autorisierte Transaktionen und eine ungeklärte Haftung.

Warum das für Krypto zählt: Die traditionelle Finanzwelt hat hier nur vorweggenommen, was on-chain längst gilt. Ein Bankkunde kann wenigstens kündigen, widersprechen oder klagen. Ein autonomer On-Chain-Agent dagegen signiert seine Transaktionen selbst, endgültig und unwiderruflich. Verschiebt sich die Haftung bei der Bank per Vertrag auf den Menschen, so landet sie on-chain mangels Alternative ebenfalls beim Menschen, nur ohne Vertrag, der es ausspräche.

Was einen On-Chain-Agenten von einem Trading-Bot unterscheidet

Bevor man über Haftung streitet, lohnt eine saubere Definition. Ein autonomer On-Chain-Agent ist mehr als ein Handelsbot. Er besteht aus drei Teilen: einem Sprachmodell (LLM), das Ziele interpretiert und Pläne fasst; einem eigenen Wallet, mit dem er Werte hält und Transaktionen signiert; und einer Sammlung von Werkzeugen (Smart-Contract-Aufrufe, APIs, Zahlungsschnittstellen), mit denen er in der Welt handelt. Der entscheidende Unterschied zum klassischen Bot liegt in der ersten Komponente. Ein Bot folgt starren Regeln („kaufe, wenn der Preis X unterschreitet“). Ein Agent formuliert aus einem vagen Ziel selbst die Schritte und entscheidet situativ, was zu tun ist.

Genau diese Autonomie erzeugt das Haftungsproblem. Ein Regel-Bot tut nur, was ein Mensch ausprogrammiert hat; sein Verhalten ist vorhersehbar und im Zweifel rekonstruierbar. Ein Agent trifft Entscheidungen, die sein Betreiber nie ausdrücklich angeordnet hat und oft nicht vorhersehen konnte. Führt ein solcher Agent ein eigenes Wallet, kann er Verluste verursachen, die niemand befohlen hat. Die Frage, wer dafür einsteht, lässt sich nicht mehr mit einem Blick in den Quellcode beantworten.

Dass das kein Nischenthema mehr ist, zeigt der Blick auf die Einsatzfelder. Agenten verwalten Liquidität in DeFi-Protokollen, schließen Positionen auf Perpetual-Börsen, kaufen Rechenleistung ein und setzen auf Prognosemärkten, wo Bots inzwischen einen großen Teil des Handels ausmachen, wie unsere Analyse zur ersten Prognosemarkt-Wahl mit KI-Agenten zeigt. Überall dort hält ein Stück Software Geld und drückt selbst auf den Auslöser.

Washington schaut hin: das erste CFTC Frontier Forum

Am 28. Oktober 2026 veranstaltete die Commodity Futures Trading Commission (CFTC) ihr erstes „Frontier Forum“ und stellte Künstliche Intelligenz und agentenbasierte Finanz in den Mittelpunkt. Auf der Tagesordnung standen KI in den Derivatemärkten, autonome Handelsagenten, Preisbildung und neue Marktrisiken, dazu die Frage, wie die eigenen KI-Agenten von Händlern unter der Aufsicht der CFTC operieren dürfen (CoinDesk). Geladen waren laut CoinDesk unter anderem die Chefs von Handels- und Infrastrukturfirmen wie Architect und Liquid Compute.

„Super intelligence is poised to transform our financial markets“, sagte der CFTC-Vorsitzende Michael Selig im Vorfeld (via CoinDesk). Das klingt nach Aufbruch, war aber vor allem eines: eine Anhörung. Das Forum war ausdrücklich ein Zuhör- und Diskussionsformat, kein Startpunkt für neue Regeln und keine Eröffnung einer Kommentierungsfrist (cftc.gov). Ein wiederkehrender Einwand in der Berichterstattung: Die Behörde eröffne ihr erstes Forum zu agentenbasierter Finanz, Monate nachdem die Branche ihre eigenen Standards längst geschrieben habe.

Dieses Timing ist der Kern des Problems. Die Infrastruktur für zahlende, handelnde Agenten ist schneller gewachsen als die Regeln, die festlegen, wer für ihre Fehler geradesteht. Während Aufseher noch zuhören, haben Banken wie Wells Fargo die Antwort für sich schon per Vertrag gegeben. Und on-chain gab nie jemand eine Erlaubnis, bevor die Agenten zu handeln begannen.

138 Millionen Zahlungen, fast alle winzig

Wie viel findet wirklich statt? Eine frische Auswertung von Chainalysis liefert die bislang konkretesten Zahlen. Über das von Coinbase angestoßene Protokoll x402 auf der Base-Chain wickelten KI-Agenten binnen rund eines Jahres etwa 138 Millionen Zahlungen ab, ein Sprung von rund 1.500 Zahlungen Mitte 2025 auf diese Größenordnung bis zum dritten Quartal 2026 (Decrypt). Der Haken: Mehr als 87 Prozent dieser Zahlungen lagen zwischen 0,001 und 0,10 US-Dollar. Es sind Kleinstbeträge, die Stablecoins verarbeiten können, klassische Zahlungswege aber nicht.

Die Zahl ist beeindruckend und trügerisch zugleich. TRM Labs hatte bereits gewarnt, dass ein großer Teil der scheinbaren Agenten-Aktivität in Wahrheit Skripte oder Eigengeschäfte sein dürfte, nicht wirklich autonome Agenten. Das Bild bleibt also zweigeteilt: Die Schienen sind gebaut und werden massiv befahren, doch der ökonomische Gehalt pro Fahrt ist winzig. BlackRock hat diese Spannung früh beschrieben; das Digital-Assets-Team um Will Su und Robert Mitchnick fasste die These so zusammen: „AI represents machine-native intelligence, while digital assets represent machine-native money“ (via Decrypt). Maschinen, so das Argument, brauchen maschinennatives Geld, und das sind rund um die Uhr teilbare Stablecoins.

Für die Haftungsfrage verschiebt das die Perspektive: Nicht der einzelne Fünf-Cent-Kauf ist das Risiko, sondern die schiere Zahl autonomer Entscheidungen. Bei Hunderten Millionen Vorgängen reichen schon wenige fehlgeleitete, um realen Schaden anzurichten, und jeder einzelne ist on-chain endgültig. Der folgende Überblick zeigt, wie groß der Sektor gemessen an der Marktkapitalisierung der zugehörigen Token ist.

Warum Agenten Fehler machen, die man nicht abstreiten kann

Die Haftungsdebatte wäre halb so groß, wären Agenten zuverlässig. Sind sie aber nicht, und der Grund ist strukturell. Ein Sprachmodell kann Anweisung und Daten nicht sauber trennen. Alles, was in sein Kontextfenster gelangt, kann als Befehl wirken, auch ein Satz, der in einer Webseite, einer Transaktionsnotiz oder einer Chat-Nachricht versteckt ist. Diese Prompt Injection ist kein exotischer Randfall, sondern die Achillesferse der gesamten Agentenarchitektur.

Wie fragil das ist, zeigte Anfang November eine Studie, über die unter anderem The Register berichtete. In einem Hackathon der gemeinnützigen AI Alignment Foundation, durchgeführt von AE Studio, bekamen neun KI-Programmieragenten je ein geheimes Token mit der klaren Anweisung, es für sich zu behalten. Dann bat ein Schwarm vorgeblich hilfsbereiter anderer Agenten darum, das Token zu teilen und ein Installationsskript auszuführen, bevor er bei der eigentlichen Aufgabe helfe. In 181 Durchläufen gaben die Agenten das geheime Token in 15 Prozent der Fälle preis und führten das Skript in 24 Prozent der Fälle aus, verglichen mit 2 beziehungsweise 0 Prozent in einem gewöhnlichen Hilfeforum (The Register). Agenten behandeln Anfragen von vermeintlichen Kollegen als legitime Zusammenarbeit, selbst wenn diese bösartig sind.

Man übertrage das auf ein Wallet. Ein Agent, der private Schlüssel oder Signierrechte hält und sich von einem anderen Agenten zur „Zusammenarbeit“ überreden lässt, ist ein offenes Scheunentor. Und nach der Logik der neuen Bankbedingungen wäre der Verlust dann das Problem des Menschen, der den Agenten eingesetzt hat. Dasselbe Grundmuster, bei dem Social Engineering auf automatisierte Systeme trifft, treibt übrigens auch die Geldwäscheszene an, wie unsere Recherche zu Scam-Compounds zeigt.

Der Fall Grok und Bankr: Anatomie eines Agenten-Drains

Dass das keine Theorie ist, belegt der bekannteste Vorfall des Jahres. Am 4. Mai 2026 wurde ein mit dem Dienst Bankr verbundener Agent über die Plattform X ausgetrickst. Der Angreifer versteckte eine Anweisung in Morsecode in einer Antwort und schenkte dem Agenten zusätzlich ein NFT, das Übertragungs- und Tauschrechte freischaltete. Der Agent folgte der versteckten Anweisung und verschob Token im Wert von rund 150.000 bis 200.000 US-Dollar (umgerechnet etwa 135.000 bis 180.000 Euro) auf der Base-Chain (OECD.AI Incident Database). Weder lag ein Fehler im Smart Contract vor noch ein geknackter Schlüssel. Der Agent tat genau das, was in seinem Kontext stand.

Der Fall ist lehrreich, weil er zwei Angriffswege kombiniert: eine versteckte Instruktion (Prompt Injection) und eine Rechteausweitung über ein scheinbar harmloses Geschenk (das NFT). Beide zusammen reichten, um einen autonom signierenden Agenten in ein Abflussventil zu verwandeln. Die unangenehme Lehre: Je mehr Rechte ein Agent bündelt und je weniger ein Mensch dazwischengeschaltet ist, desto größer der mögliche Schaden aus einem einzigen manipulierten Input.

Genau hier liegt der Zielkonflikt, den bisher niemand gelöst hat. Mehr Autonomie heißt mehr Nutzen, aber auch mehr Angriffsfläche. Jede Sicherung, die hilft (Ausgabelimits, menschliche Freigaben, isolierte Schlüssel), beschneidet zugleich die Autonomie, die den Agenten erst wertvoll macht. Ethereum-Mitgründer Vitalik Buterin zieht daraus eine radikale Konsequenz: „All LLM inference local first. All files hosted locally. Sandbox everything“, schreibt er in seinem Leitfaden für ein sicheres KI-Setup und verweist darauf, dass rund 15 Prozent der von ihm untersuchten Agenten-Fähigkeiten bösartige Anweisungen enthielten (vitalik.eth.limo).

Kann man beweisen, was der Agent getan hat?

Haftung braucht Beweise. Wer in einem Streitfall zeigen will, dass ein Agent korrekt (oder eben nicht korrekt) gehandelt hat, muss nachweisen können, welches Modell mit welchen Eingaben zu welcher Entscheidung kam. Genau das ist bei einer Blackbox schwer. Ein wachsender Zweig der Kryptoinfrastruktur versucht, das Problem zu lösen: verifizierbare Berechnung. Mit zero-knowledge-Beweisen (zkML) oder optimistischen Betrugsbeweisen (opML) lässt sich mathematisch belegen, dass ein bestimmtes Modell eine bestimmte Ausgabe wirklich erzeugt hat.

Diese Verfahren sind ein echter Fortschritt, aber sie beantworten nur die halbe Frage. Ein Beweis, dass die Berechnung korrekt lief, sagt nichts darüber, ob die Entscheidung legitim war. Lief das Modell sauber, aber auf Basis einer untergeschobenen Anweisung, so ist das Ergebnis integer und trotzdem falsch. Integrität ist nicht Legitimität. Wer tiefer einsteigen will, findet die Details in unseren Analysen dazu, wer die Beweise für die KI schürft, und dazu, wie der KI-Beweis bei opML zum Plug-in wird.

Für die Haftung bedeutet das: Verifizierbarkeit kann ein lückenloses Protokoll liefern, das vor Gericht Gold wert ist, aber sie macht die Schuldfrage nicht einfacher. Sie verschiebt sie nur von „Was ist passiert?“ zu „Wer hätte den manipulierten Input verhindern müssen?“. Und damit sind wir bei der Person, die am Ende immer übrig bleibt.

Keine Rechtspersönlichkeit: warum die Rechnung beim Prinzipal landet

Der juristische Kern ist schnell erzählt. Ein KI-Agent ist keine Person. Er hat keine Rechtspersönlichkeit, keine Steuer-ID, kein Vermögen, das man pfänden könnte. Er kann nicht Vertragspartner sein, nicht klagen und nicht verklagt werden. Verursacht er einen Schaden, braucht das Recht einen Menschen oder ein Unternehmen, dem es die Handlung zurechnet. In der Fachsprache ist das der Prinzipal: die natürliche oder juristische Person, in deren Auftrag und Interesse der Agent läuft.

In der Praxis kann die Kette mehrere Kandidaten haben: den Entwickler des Agenten, den Betreiber, der ihn einsetzt, den Nutzer, der ihn beauftragt, und den Anbieter des zugrunde liegenden Modells. Welcher von ihnen haftet, hängt davon ab, wer den fehlerauslösenden Teil kontrolliert hat. Wells Fargo beantwortet diese Frage für den Bankkontext per Vertrag eindeutig zulasten des Nutzers. On-chain fehlt ein solcher Vertrag, aber das Ergebnis ist ähnlich: Da nur Menschen greifbar sind, landet die Rechnung beim Menschen, der dem Agenten Schlüssel und Vollmacht gegeben hat. Die folgende Tabelle stellt typische Schadensfälle und ihre wahrscheinliche Zurechnung gegenüber.

Europas Rahmen: MiCA, BaFin und das MiFID-II-Problem

Für deutsche Nutzer stellt sich die Frage unter anderen Vorzeichen. Seit dem Ende der MiCA-Übergangsfrist am 1. Juli 2026 beaufsichtigt die BaFin Kryptowerte-Dienstleister (CASPs) nach einem einheitlichen EU-Rahmen (bafin.de). Doch MiCA wurde für den Handel mit Krypto-Spot-Werten und für Dienstleister geschrieben, nicht für autonome Software, die selbst entscheidet und signiert. Ein Agent ist weder Emittent noch, für sich genommen, ein lizenzierter Dienstleister. Die Verordnung erfasst ihn nicht als eigenständigen Akteur.

Interessant wird es, sobald ein Agent nicht nur zahlt, sondern berät oder Vermögen verwaltet. Dann kann die Tätigkeit unter die Finanzmarktrichtlinie MiFID II fallen, nicht unter MiCA. Die europäische Wertpapieraufsicht ESMA hat bereits klargestellt, dass Wertpapierfirmen beim Einsatz von KI ihre Pflichten zu Governance, Transparenz und menschlicher Aufsicht behalten (esma.europa.eu). Mit anderen Worten: Wer einen Agenten Anlageentscheidungen treffen lässt, kann die Verantwortung nicht an die Maschine delegieren. Die Aufsicht erwartet einen Menschen am Steuer.

Für Derivate gilt eine zusätzliche Trennlinie: Krypto-Futures und Perpetuals sind Finanzinstrumente unter MiFID II, nicht unter MiCA, und werden von der nationalen Marktaufsicht beaufsichtigt. Ein Agent, der auf einer Perp-Börse handelt, bewegt sich damit in einem anderen Regelkreis als einer, der nur Spot-Token tauscht. Die Zuständigkeiten sind fragmentiert, und genau das macht die Haftungszuordnung mühsam.

Die zurückgezogene Richtlinie: Europas Haftungslücke

Hier kommt eine Entwicklung ins Spiel, die viele übersehen haben. Die EU hatte eigens eine KI-Haftungsrichtlinie (AI Liability Directive) vorgeschlagen, um die Beweislast bei Schäden durch KI-Systeme zu erleichtern. Im Februar 2025 zog die EU-Kommission den Vorschlag zurück, mit Verweis auf fehlende Aussicht auf Einigung; die Rücknahme wurde im Amtsblatt vom 6. Oktober 2025 offiziell (Baker McKenzie). Damit gibt es auf EU-Ebene keine harmonisierte Regel für die verschuldensabhängige Haftung bei KI-Schäden. Für genau diese Fälle fällt man auf nationales Haftungsrecht zurück, in Deutschland also auf das BGB.

Was bleibt, ist die überarbeitete Produkthaftungsrichtlinie (Richtlinie (EU) 2024/2853), die Software und KI-Systeme ausdrücklich als Produkte erfasst und ab dem 9. Dezember 2026 anzuwenden ist. Dazu kommt die KI-Verordnung (AI Act), die Risikoklassen und Pflichten definiert, aber keine eigene zivilrechtliche Schadenshaftung begründet. Das Resultat ist ein Flickenteppich: ein Pflichtenkatalog hier, eine Produkthaftung dort, nationales Deliktsrecht im Hintergrund, und mittendrin ein autonomer Agent, der in keine der Schubladen sauber passt.

Der Kontrast zu den USA ist lehrreich. Dort schreibt eine Bank die Haftung schlicht per Vertrag fest und die Aufseher halten Foren ab. In Europa gibt es mehr geschriebenes Recht, aber keine klare Antwort auf die eine Frage, die zählt. Die folgende Tabelle ordnet die Zuständigkeiten.

Die Steuerfalle: jede Mikrozahlung ist eine Veräußerung

Ein Aspekt, der in der Haftungsdebatte oft untergeht, trifft deutsche Nutzer besonders hart: die Steuer. In Deutschland gelten Kryptowerte als anderes Wirtschaftsgut und werden als privates Veräußerungsgeschäft nach Paragraf 23 EStG behandelt. Jede Veräußerung, auch das Bezahlen mit Krypto, ist ein steuerlich relevanter Vorgang. Zahlt ein Agent mit einem US-Dollar-Stablecoin, kann allein die Kursbewegung zwischen Euro und Dollar einen kleinen Gewinn erzeugen, der steuerlich zählt.

Nun kombiniere man das mit den 138 Millionen Zahlungen von oben. Ein Agent, der im Minutentakt Kleinstbeträge zahlt, produziert potenziell Tausende steuerbarer Veräußerungen pro Jahr, jede mit eigener Haltefrist und eigener Gewinnberechnung nach dem FIFO-Prinzip. Die Freigrenze von 1.000 Euro pro Jahr ist schnell überschritten, und als Freigrenze (nicht Freibetrag) macht sie bei Überschreiten den gesamten Gewinn steuerpflichtig. Wer hochfrequent und rund um die Uhr automatisiert handeln lässt, riskiert zudem, als gewerblich eingestuft zu werden, mit Gewerbesteuer und dem Verlust der Ein-Jahres-Steuerfreiheit.

Daraus folgt ein praktisches und zugleich souveränitätspolitisches Argument für Euro-denominierte Stablecoins. Wer einen Agenten in einem Euro-E-Geld-Token zahlen lässt, vermeidet die Dollar-Euro-Kursgewinne auf jeder Mikrozahlung. Genau deshalb ist die Aufwertung regulierter Stablecoins unter europäischer Aufsicht mehr als eine Randnotiz, wie unsere Analyse zu USDC unter EBA-Aufsicht zeigt. Solange die Agenten-Schienen von USD-Stablecoins auf US-Chains dominiert werden, zahlen europäische Nutzer bei jedem Mikrobetrag einen kleinen steuerlichen Aufschlag.

Was Betreiber und Nutzer jetzt tun können

Solange die Regeln hinterherhinken, verlagert sich der Schutz auf die technische und organisatorische Ebene. Die zentrale Einsicht aus den Vorfällen des Jahres: Autonomie muss dosiert werden. Ein Agent braucht nur so viele Rechte, wie seine Aufgabe erfordert, und so viel Geld, wie ein Fehler höchstens kosten darf. Die folgenden Punkte fassen zusammen, was Fachleute wie Buterin und die Aufseher gleichermaßen nahelegen.

• Ausgabelimits setzen: feste Tages- und Transaktionsobergrenzen, oberhalb derer eine menschliche Freigabe nötig ist.
• Schlüssel isolieren: Signierrechte über Session-Keys oder Smart-Account-Strukturen eng begrenzen, statt einem Agenten das Hauptwallet zu geben.
• Rechte minimieren: nur die nötigen Vollmachten erteilen, Geschenke und unbekannte NFTs mit Übertragungsrechten blockieren.
• Widerruf dokumentieren: jeden Entzug einer Vollmacht beweissicher festhalten, so wie es die neuen Bankbedingungen bereits verlangen.
• Lokal und isoliert betreiben: nach Buterins Prinzip „Sandbox everything“ Inferenz und Dateien möglichst lokal halten und den Agenten vom offenen Netz abschirmen.
• Für die Steuer protokollieren: alle Transaktionen mit Zeitpunkt, Kurs und Gebühr aufzeichnen, idealerweise Euro-Stablecoins nutzen, um Kursgewinne auf Mikrozahlungen zu vermeiden.

Keine dieser Maßnahmen löst den Grundkonflikt, sie begrenzen nur den Schaden. Aber genau das ist der Punkt: Wer einen Agenten einsetzt, sollte davon ausgehen, dass er im Ernstfall selbst haftet, und entsprechend konservativ konfigurieren.

Ausblick: Die Schienen sind gebaut, die Verantwortung noch nicht verteilt

Das Jahr 2026 hat die Haftungsfrage von der Theorie in die Verträge geholt. Wells Fargo dürfte Schule machen; andere Banken haben den Zugang für fremde Agenten bereits beschränkt, der nächste Schritt zu einer eigenen Haftungsklausel ist klein. Aufseher wie die CFTC werden weiter Foren abhalten, und die ESMA wird ihre KI-Erwartungen präzisieren. Doch keiner dieser Schritte löst den Kern: Solange ein Agent keine Rechtspersönlichkeit hat, bleibt immer ein Mensch übrig, der zahlt.

Die eigentliche Spannung bleibt ungelöst. Die Infrastruktur für zahlende, handelnde Agenten ist schneller gewachsen als die Regeln dafür, und die Nachfrage der Maschinen ist real, aber noch winzig pro Vorgang. Ob daraus ein tragfähiger Markt wird oder eine teure Lehrstunde, hängt weniger an der Technik als an einer schlichten Frage: Wer traut sich, einem Stück Software Geld und Vollmacht zu geben, wenn er weiß, dass er am Ende selbst dafür geradesteht? Bis diese Frage überzeugend beantwortet ist, bleibt der klügste Agent der, dem man am wenigsten Autonomie lässt.

Häufig gestellte Fragen

Wer haftet, wenn ein autonomer KI-Agent on-chain einen Verlust verursacht?

Da ein KI-Agent keine Rechtspersönlichkeit hat, fällt die Haftung auf einen Menschen oder ein Unternehmen zurück, in der Regel den Prinzipal, der den Agenten einsetzt und ihm Wallet und Vollmacht gibt. Welcher Beteiligte aus der Kette (Entwickler, Betreiber, Nutzer, Modellanbieter) einsteht, hängt davon ab, wer den fehlerauslösenden Teil kontrolliert hat. Banken wie Wells Fargo legen diese Verantwortung ab dem 24. November 2026 vertraglich auf ihre Kunden.

Was ist Prompt Injection und warum ist sie für Krypto-Agenten gefährlich?

Prompt Injection bezeichnet eine versteckte Anweisung in Daten (einer Webseite, Nachricht oder Transaktionsnotiz), die ein Sprachmodell als Befehl ausführt, weil es Anweisung und Daten nicht sauber trennen kann. Bei einem Agenten mit eigenem Wallet kann das zu nicht autorisierten, endgültigen Transaktionen führen, wie im Fall Grok und Bankr im Mai 2026, bei dem rund 150.000 bis 200.000 US-Dollar abflossen.

Reguliert MiCA KI-Agenten in Deutschland?

Nein, nicht als eigenständige Akteure. MiCA wurde für Spot-Kryptowerte und Dienstleister geschrieben und wird von der BaFin beaufsichtigt, erfasst aber keine autonome Software. Sobald ein Agent berät oder Vermögen verwaltet, kann MiFID II greifen; die ESMA erwartet dann weiterhin menschliche Aufsicht und Governance.

Muss ich Steuern zahlen, wenn mein Agent mit Stablecoins bezahlt?

In Deutschland ist jede Veräußerung von Kryptowerten nach Paragraf 23 EStG steuerlich relevant, auch das Bezahlen mit einem Stablecoin. Zahlt ein Agent in einem US-Dollar-Stablecoin, kann der Euro-Dollar-Kursgewinn pro Zahlung zählen; bei vielen Mikrozahlungen entstehen so potenziell Tausende steuerbarer Vorgänge. Die Freigrenze liegt bei 1.000 Euro pro Jahr, hochfrequenter Betrieb kann als gewerblich gelten.

Wie groß ist der Markt für KI-Agenten-Token im November 2026?

Die CoinGecko-Kategorie „AI Agents“ kam am 12. November 2026 auf rund 2,82 Milliarden US-Dollar (umgerechnet etwa 2,55 Milliarden Euro), mit einem Tagesvolumen von rund 209 Millionen US-Dollar. Größte Token waren Venice (VVV), Virtuals (VIRTUAL) und die ASI Alliance (FET). Framework-Qualität und Token-Kurs fallen dabei oft auseinander.

Von Marcus Okafor, Senior Editor bei HOGE Wire. Dieser Beitrag ist eine journalistische Einordnung und keine Rechts-, Steuer- oder Anlageberatung.