KI-Agenten 2026: Die Identitätsschicht ERC-8004 im Realitätscheck

Ein KI-Agent kann 2026 vieles allein: Er zerlegt eine Aufgabe in Schritte, greift über Schnittstellen auf Werkzeuge und Daten zu, unterschreibt seine eigenen Transaktionen und bezahlt eine fremde Maschine in Sekunden mit einem Stablecoin. Zwei der drei Bausteine dieser Maschinen-Ökonomie sind weitgehend gebaut. Das Bezahlen erledigt x402, das Coinbase aus dem jahrzehntelang ungenutzten HTTP-Statuscode 402 wiederbelebt hat. Die Frage, ob eine Berechnung ehrlich ablief, beantworten verifizierbare Verfahren von zkML bis zur Attestierung in abgeschotteter Hardware. Der dritte Baustein fehlte lange: Woher weiß ein Agent, oder ein Mensch, mit wem er es überhaupt zu tun hat, und ob die glänzende Erfolgsbilanz auf der anderen Seite echt ist?

Diese Identitäts- und Reputationsfrage ist der Kern von ERC-8004, einem Ethereum-Standard mit dem programmatischen Titel „Trustless Agents“. Vier Namen von Ethereum Foundation, MetaMask, Google und Coinbase stehen darunter, das Interesse der Branche ist entsprechend groß. Doch die ersten harten Daten aus dem Ethereum-Mainnet zeichnen ein nüchternes Bild: Registrieren ist leicht, betreiben ist schwer. Dieser Text erklärt, wie die Identitätsschicht funktioniert, warum eine On-chain-Reputation so schwer fälschungssicher zu bekommen ist, und was der ganze Aufbau für Haftung und Steuer in Deutschland bedeutet.

Zwei Bausteine stehen, der dritte fehlte: Identität

Man kann sich die Agenten-Ökonomie als Stapel aus drei Fragen vorstellen. Erstens: Wie bezahlt ein Agent für eine Leistung? Diese Frage ist inzwischen beantwortet. x402 ist im Juli 2026 unter dem Dach einer eigenen Stiftung institutionell geworden; an Bord sind unter anderem Visa, Mastercard, Stripe, Circle und Coinbase. Zweitens: Lief eine Berechnung korrekt ab? Dafür gibt es verifizierbare Nachweise, die eine Rechnung überprüfbar machen, ohne dass man dem Rechenknecht vertrauen muss. Drittens, und das ist die offene Flanke: Wer ist dieser Agent, und stimmt seine Vorgeschichte?

Solange zwei Agenten verschiedener Betreiber keine gemeinsame Sprache dafür haben, mit wem sie es zu tun haben, beginnt jede Interaktion entweder bei null Vertrauen oder landet wieder bei einem zentralen Türsteher, der bürgt. Beides skaliert schlecht, wenn Software im Sekundentakt mit fremder Software handelt. Genau diese Lücke adressiert ERC-8004. Der Standard versucht nicht, Agenten intelligenter oder sicherer zu machen; er gibt ihnen einen Ausweis, eine öffentliche Bewertungsspur und einen Weg, Arbeit unabhängig prüfen zu lassen. Bezahlen, Rechnen, Ausweisen: Erst wenn alle drei Schichten stehen, kann ein Agent einen anderen bezahlen, den er noch nie gesehen hat, und trotzdem wissen, mit wem er es zu tun hat.

Was ERC-8004 ist, und wer dahintersteht

ERC-8004 trägt in der offiziellen Vorschlagsliste die Nummer 8004 und den Titel „Trustless Agents“. Es ist ein Standards-Track-Vorschlag der Kategorie ERC, angelegt am 13. August 2025, und er baut auf etablierten Bausteinen auf: den Token-Standards ERC-721, den Signaturformaten EIP-712 und der Vertragssignatur-Prüfung ERC-1271. Als Autoren führt das offizielle EIP-Dokument Marco De Rossi (MetaMask), Davide Crapis (Ethereum Foundation), Jordan Ellis (Google) und Erik Reppel (Coinbase) auf, also genau die vier Lager, die auch hinter der breiteren Zahlungsinitiative für Agenten stehen.

Der Standard beschreibt sich selbst knapp: Das Protokoll schlägt vor, Blockchains zu nutzen, um „discover, choose, and interact with agents across organizational boundaries without pre-existing trust“ und so „open-ended agent economies“ zu ermöglichen. Auf Deutsch: Agenten sollen sich über Betreibergrenzen hinweg finden, auswählen und miteinander handeln, ohne dass vorher jemand Vertrauen herstellen musste. Wichtig ist, was ERC-8004 nicht ist. Es ist kein Token, kein Produkt und keine Plattform, sondern eine schlanke Menge von On-chain-Registern, die Googles A2A-Protokoll (Agent2Agent) um eine Vertrauensinfrastruktur erweitern. Und es ist formal noch ein Entwurf (Status: Draft), auch wenn Referenz-Register längst live laufen, dazu weiter unten mehr. Wer die Debatte im Detail verfolgen will, findet den offenen Diskussionsfaden im Ethereum-Magicians-Forum, wo Beitragende von Consensys, Nethermind, Olas und der Ethereum Foundation am Feinschliff arbeiten.

Zwischen Entwurfsstatus und Praxis klafft dabei eine bemerkenswerte Lücke. Formal durchläuft ERC-8004 noch die öffentliche Prüfung, doch die Register existieren längst als lauffähiger Code. 2026 entstanden Referenzimplementierungen auf mehreren Testnetzen, und Ende Januar 2026 gingen die ersten Register auf dem Ethereum-Mainnet in Betrieb; genau auf diesem Datenstand fußt die weiter unten zitierte Vermessung. Weitere EVM-kompatible Ketten folgten. Ein Standard, der noch nicht final ist, aber schon auf mehreren Ketten läuft, ist typisch für das Tempo dieses Feldes: Gebaut wird, bevor das Regelwerk trocken ist.

Drei Register: Identity, Reputation, Validation

Das Herz des Standards sind drei getrennte, bewusst minimal gehaltene Register. Das Identity-Register beantwortet die Frage „Wer bist du?“: Jeder Agent erhält einen ERC-721-Token als globale Kennung, die aus Namespace, Chain-ID und Registry-Adresse zusammengesetzt ist, plus eine Registrierungsdatei mit seinen Kontaktpunkten. Das Reputation-Register beantwortet „Wie war deine Bilanz?“: Auftraggeber hinterlegen signierte Bewertungen, die Feinauswertung passiert außerhalb der Kette. Das Validation-Register beantwortet „Ist deine Arbeit nachprüfbar?“: Ein Agent kann seine Ergebnisse unabhängig verifizieren lassen, etwa durch erneute Ausführung, kryptografische Beweise oder abgesicherte Hardware.

Entscheidend ist die Idee austauschbarer, dem Risiko angepasster Vertrauensmodelle: Eine belanglose Auskunft darf sich mit einem billigen Signal begnügen, ein Auftrag über fünfstellige Summen verlangt Einsatz und harte Prüfung. Die folgende Tabelle fasst zusammen, was jedes Register speichert und wie daraus Vertrauen entsteht.

Die Trennung in drei Register ist kein Zufall, sondern Absicht. Identität, Reputation und Validierung folgen unterschiedlichen Logiken und dürfen sich nicht vermischen: Eine Kennung ist entweder gültig oder nicht, eine Reputation ist ein weiches, aggregiertes Signal, und eine Validierung ist ein harter Einzelnachweis. Weil alle drei on-chain adressierbar sind, lassen sie sich frei kombinieren, und Dritte können darauf aufbauen, ohne die Zustimmung eines Betreibers einzuholen. Genau diese Komponierbarkeit unterscheidet den offenen Ansatz von den geschlossenen Agenten-Verzeichnissen einzelner Plattformen, in denen ein Anbieter allein bestimmt, wer als vertrauenswürdig gilt.

Wie ein Agent zu einer On-chain-Identität kommt

Der Ablauf ist bewusst leichtgewichtig. Der Betreiber prägt für seinen Agenten einen Identity-Token (technisch ein ERC-721 mit URIStorage). Dieser Token zeigt auf eine Registrierungsdatei, die man sich als erweiterte A2A-AgentCard vorstellen kann: Sie listet, unter welchen Adressen der Agent erreichbar ist, etwa über das Model Context Protocol (MCP) für den Werkzeugzugriff, über A2A für die Kommunikation, über ENS oder DIDs, und welche Vertrauensmechanismen er unterstützt. Ab diesem Punkt hat der Agent eine portable Kennung, die er über Ketten und Plattformen hinweg mitnimmt, statt in jedem Ökosystem bei null anzufangen.

Die Authentifizierung läuft danach rein kryptografisch: Der Agent signiert eine Nachricht oder Transaktion, die Gegenseite liest den öffentlichen Schlüssel aus dem Register und prüft die Signatur; für Smart-Contract-Wallets übernimmt das ERC-1271. Zwei Dinge sind bemerkenswert. Erstens ist die Registrierung billig: auf einem Layer 2 kostet sie nur Bruchteile eines Euro, auf dem Ethereum-Mainnet wenige Euro. Zweitens ist die Identität übertragbar, weil sie eben ein NFT ist. Das ist mächtig (Identitäten können verkauft oder in ein anderes Wallet verschoben werden), aber es ist auch ein Risiko: Wechselt der Besitzer, wechselt der Verantwortliche hinter dem Agenten, ohne dass die Kennung selbst sich ändert.

Der Sektor in Zahlen

Die Identitätsschicht ist Infrastruktur und weitgehend tokenlos; sie hat keinen eigenen handelbaren Kurs. Davon zu trennen sind die börsengelisteten „KI-Agenten“-Tokens, die eine ganz andere Kategorie bilden und meist weit unter ihren Höchstständen notieren. Zur Einordnung: Laut CoinGecko bringt die Kategorie AI Agents am 5. September 2026 rund 3,11 Milliarden US-Dollar auf die Waage, umgerechnet etwa 2,68 Milliarden Euro (EUR/USD rund 1,16), bei einem Tagesumsatz von rund 327 Millionen Dollar (etwa 282 Millionen Euro). Die folgende Momentaufnahme zeigt die größten Vertreter.

Der Kontrast ist lehrreich: Während einzelne Agenten-Tokens Achterbahn fahren, wächst die Infrastruktur darunter still weiter. Der Wert von ERC-8004 hängt gerade nicht an einem Kurs, sondern daran, ob genügend Betreiber ihre Agenten dort registrieren und, wichtiger noch, tatsächlich betreiben.

Für Leserinnen und Leser ist die Unterscheidung wichtig, weil beide Ebenen oft in einen Topf geworfen werden. Ein steigender oder fallender Agenten-Token sagt nichts darüber aus, ob die Identitätsschicht darunter angenommen wird. Umgekehrt kann ein weitgehend tokenloser Standard wie ERC-8004 zum unverzichtbaren Fundament werden, ohne dass es dafür ein handelbares Papier gäbe. Wer die Reife des Sektors einschätzen will, sollte deshalb weniger auf Kurse schauen als auf betriebliche Kennzahlen: wie viele Agenten tatsächlich Aufträge annehmen, Bewertungen sammeln und über Ketten hinweg erreichbar sind.

Registrieren ist leicht, betreiben ist schwer

Hier setzt der ernüchterndste, zugleich aufschlussreichste Befund an. ERC-8004 bleibt formal ein Entwurf, doch seit Ende Januar 2026 laufen Referenz-Register auf dem Ethereum-Mainnet, und Agenten registrieren sich in nennenswerter Zahl. Eine akademische Bestandsaufnahme (arxiv-Kennung 2606.12128) hat 10.000 dieser ERC-8004-Agenten zwischen dem 29. Januar und dem 9. April 2026 systematisch vermessen. Das Ergebnis ist eine kalte Dusche für jeden, der von einer blühenden Agenten-Wirtschaft ausgeht.

Von den 10.000 registrierten Agenten legten laut der Untersuchung nur 67 (0,67 Prozent) überhaupt Dienstprofile offen, nur 628 (6,28 Prozent) erhielten je eine Reputationsbewertung, und ganze 19 wiesen die volle Betriebsreife aus Metadaten, Diensten, Feedback und ketten-übergreifender Registrierung nach. Zudem war die Verteilung extrem konzentriert: Die zehn größten Wallets hielten rund 51,4 Prozent aller Agenten, und ein einziger Auftraggeber steuerte fast zwei Drittel aller Bewertungen bei. Das Fazit der Autoren, wörtlich: „early ERC-8004 adoption is registration-heavy but operationally shallow“, also registrierungslastig, aber betrieblich flach. Der Übergang von der Agenten-Identität zur Agenten-Ökonomie bleibe unvollständig. Das ist dieselbe Geschichte wie bei den Agenten-Zahlungen: Erst werden die Schienen verlegt, der echte Verkehr kommt später, wenn überhaupt.

Für die Praxis heißt das: Wer heute einen Agenten über sein Register auswählt, findet vor allem leere Hüllen. Eine Kennung allein beweist nur, dass jemand ein NFT geprägt hat, nicht, dass dahinter ein funktionierender, geprüfter Dienst steckt. Die extreme Konzentration, wenige Wallets halten die Mehrheit der Identitäten und ein einzelner Auftraggeber liefert den Großteil der Bewertungen, macht die frühen Reputationsdaten zusätzlich wenig aussagekräftig. Das ist kein Defekt des Standards, sondern der normale Frühzustand eines Netzwerks: Erst kommen die Adressen, dann, vielleicht, das Leben darauf. Bis dahin gilt für teure Aufgaben die alte Regel, die Gegenseite unabhängig zu prüfen, statt einer jungen Note zu vertrauen.

Warum On-chain-Reputation so schwer fälschungssicher ist

Ein öffentlicher Reputationswert klingt bestechend einfach, ist aber ein Angriffsziel, sobald echtes Geld daran hängt. Die Sicherheitsfirma Halborn hat mehrere Wege beschrieben, wie sich Reputationssysteme für Agenten austricksen lassen. Die wichtigsten Muster:

• Sybil-Schwärme: Ein Betreiber startet Tausende Agenten, die sich gegenseitig positiv bewerten; im Maschinentempo entsteht so eine Reputation ohne echte Arbeit.
• Wash-Attestierung: Ein Agent lässt sich für erfundene Aufträge von sich selbst oder verbundenen Wallets bezahlen und erntet dafür lupenreines Feedback.
• Whitewashing: Ist eine Identität durch schlechte Bewertungen belastet, wird sie fallengelassen und eine frische geprägt; die Vorgeschichte startet wieder bei null.
• Kollusion: Ringe aus Agenten pushen sich wechselseitig hoch, ohne dass ein Außenstehender das Muster leicht erkennt.

Wie schnell eine schöne Reputationserzählung an der Realität zerbricht, hat die Krypto-Branche schon einmal teuer gelernt. Der KI-Fonds ai16z warb ausgerechnet mit einem „Marketplace of Trust“, einem Community-Reputationssystem, in dem sich erfolgreiche Tipp-Geber mehr Einfluss verdienen sollten, und kollabierte trotzdem, als die Autonomie-Versprechen nicht hielten. Gründer Shaw Walters wurde später ungewöhnlich offen und sagte gegenüber Decrypt: „You probably do not want to give an AI agent a bunch of money and expect it to make you more.“ Was von diesem toten Fonds für Anleger und Steuerzahler übrig bleibt, haben wir an anderer Stelle aufgearbeitet. Die Lehre für ERC-8004: Ein Wert im Reputation-Register ist ein Signal, kein Beweis. Die vorgeschlagenen Gegenmittel setzen deshalb auf Kosten und Nachweis: Präge- und Einsatzkosten (Staking) mit Strafabzug (Slashing) verteuern das Massen-Sybil, ein Nachweis der Personen- oder Prinzipalbindung (Proof of Personhood oder zkKYC) hängt jede Identität an einen realen Verantwortlichen, und die eigentliche Auswertung überlassen Auditoren-Netze und Versicherungspools spezialisierten Diensten statt einer naiven Durchschnittsnote.

Validation: wenn Beweise die Reputation ergänzen

Genau an dieser Stelle trifft die Identitätsschicht auf die Schicht der verifizierbaren Berechnung. Das Validation-Register speichert Prüfanfragen und deren Antworten, und laut Chainlink kommen dafür drei Werkzeuge infrage: Stake-gesicherte erneute Ausführung durch unabhängige Prüfer, kryptografische zkML-Beweise oder Attestierungen aus abgeschotteter Hardware (TEE). Der Unterschied zur Reputation ist fundamental und wird gern verwechselt. Reputation beantwortet: Wer ist das, und wie war seine Bilanz? Verifizierbare Berechnung beantwortet: War genau dieser eine Auftrag korrekt ausgeführt? Das eine ersetzt das andere nicht, beide ergänzen sich.

Diese Prüfschicht ist ein eigenes, großes Thema, das wir separat vertieft haben, etwa dazu, wie zk-ML KI-Modelle überprüfbar macht, und welches Hardware-Risiko in der abgesicherten Ausführung (Confidential Computing) steckt. Für ERC-8004 zählt vor allem, dass das Validation-Register als Zeiger auf solche Beweise dient: Ein Agent kann nicht nur behaupten, gute Arbeit zu leisten, er kann für hochwertige Aufträge einen prüfbaren Nachweis nachreichen, der on-chain protokolliert und damit auditierbar wird. Wer teure Entscheidungen an einen Agenten delegiert, sollte sich auf diese Validierungsspur verlassen, nicht auf eine hübsche Reputationsnote allein.

Der Agenten-Stack: A2A, MCP, x402 und ERC-8004

ERC-8004 ergibt erst im Verbund Sinn. Es erweitert ausdrücklich Googles A2A-Protokoll, und im Standard-Diskussionsfaden weisen die Beitragenden auf eine A2A-Zahlungserweiterung hin, die auf x402 aufbaut. Vier Schichten greifen also ineinander: eine für das Auffinden und Ansprechen, eine für den Werkzeugzugriff, eine für das Bezahlen und eine für Identität und Reputation.

Der Datenanbieter The Graph benutzt ein anschauliches Bild: ERC-8004 sei der Ausweis, der einen Agenten überhaupt bedient bekommt, x402 das Portemonnaie, mit dem er zahlt. Dass beide zusammengehören, betont der Anbieter in einer Analyse ausdrücklich. Für die Zahlungsseite, gerade dort, wo Maschinen einander in vielen kleinen Beträgen bezahlen, lohnt der Blick auf unsere Reportage dazu, wie KI-Agenten über das Lightning Network selbst zahlen. Das erklärte Ziel der ERC-8004-Autoren, offene Agenten-Ökonomien über Betreibergrenzen hinweg, funktioniert nur, wenn diese vier Schichten sauber zusammenspielen: Ein Agent findet einen anderen (A2A), prüft dessen Ausweis und Bilanz (ERC-8004), lässt ihn eine Aufgabe erledigen (MCP) und bezahlt dafür (x402).

Der Reiz dieser Arbeitsteilung liegt darin, dass keine Schicht die andere ersetzen will. A2A klärt, wie zwei Agenten überhaupt eine Verbindung aufbauen und Aufgaben beschreiben; MCP, ursprünglich von Anthropic, standardisiert den Zugriff auf Werkzeuge und Datenquellen; x402 wickelt die Bezahlung ab; und ERC-8004 liefert den überprüfbaren Ausweis samt Bilanz. In der Theorie kann ein Agent damit einen wildfremden Dienstleister finden, dessen Identität und Vergangenheit prüfen, ihn beauftragen und in Sekunden bezahlen, ganz ohne Vertrag, Konto oder menschlichen Mittelsmann. In der Praxis steht und fällt dieses Versprechen mit der Frage, ob die Vertrauensschicht hält, was die Zahlungsschicht schon eingelöst hat.

Identität ist kein Schutzschild

Ein verbreiteter Denkfehler lautet: Wenn ich weiß, wer der Agent ist und dass seine Bilanz sauber ist, bin ich sicher. Das stimmt nicht. Eine geprüfte Identität und ein makelloser Reputationswert sagen nichts darüber aus, ob sich derselbe Agent im nächsten Moment manipulieren lässt. Der praktische Beweis kam am 4. Mai 2026 mit dem Abgriff bei einem Grok- beziehungsweise Bankr-Agenten: Ein Angreifer versteckte eine Anweisung in Morsecode in einer X-Antwort und verschenkte zugleich ein Bankr-Club-NFT, das Transfer- und Tauschrechte freischaltete; der Agent bewegte daraufhin Token im Gegenwert von grob 175.000 US-Dollar auf Base. Der Vorfall ist in der OECD-AI-Incident-Datenbank dokumentiert und fällt in die OWASP-Kategorien Prompt Injection (LLM01) und den Missbrauch übermäßiger Berechtigungen. Der Kern des Problems: Ein Sprachmodell kann Anweisung und Daten nicht zuverlässig trennen, und keine Reputationsnote der Welt macht ein Modell dagegen immun.

Ethereum-Mitgründer Vitalik Buterin zieht daraus einen radikalen Schluss. In einem Blogbeitrag vom 2. April 2026 fordert er: „All LLM inference local first. All files hosted locally. Sandbox everything.“ Dazu plädiert er für strikte Tagesobergrenzen beim autonomen Ausgeben, oberhalb derer ein Mensch als zweiter Bestätigungsfaktor gegenzeichnen muss. Identität, Reputation und Validierung sind demnach notwendig, aber nicht hinreichend. Sie müssen auf harten Berechtigungsgrenzen sitzen: Was ein Agent maximal am Tag bewegen darf, welche Rechte ein geschenktes NFT eben gerade nicht freischalten sollte, und ab welcher Schwelle ein Mensch zustimmen muss. Ein Ausweis verhindert keinen Betrug am Steuer; er sagt nur, wer am Steuer sitzt.

Für ERC-8004 folgt daraus eine unbequeme Einsicht: Die Identitätsschicht kann Vertrauen zwischen Agenten organisieren, aber sie kann den einzelnen Agenten nicht gegen sich selbst schützen. Ein manipulierter Agent mit tadelloser Reputation ist gefährlicher als ein unbekannter, weil sein Ausweis die Gegenseite in falsche Sicherheit wiegt. Genau deshalb betonen die Autoren die abgestuften Vertrauensmodelle: Je höher der Einsatz, desto weniger sollte man sich auf eine Note verlassen und desto mehr auf harte Nachweise, enge Berechtigungen und einen Menschen in der Schleife. Reputation ist die Kür, Zugriffskontrolle bleibt die Pflicht.

BaFin, MiCA und die Haftungsfrage

Juristisch stößt die schöne neue Agentenwelt an eine harte Wand: Ein Agent hat keine Rechtspersönlichkeit und keine Steuernummer. Er kann keinen Vertrag schließen und keine Haftung tragen. Was auch immer eine ERC-8004-Identität behauptet, die Verantwortung fällt auf den menschlichen oder unternehmerischen Prinzipal, also je nach Konstellation auf den Entwickler, den Betreiber oder den Nutzer, abhängig davon, wer das Versagen kontrolliert hat. Die übertragbare NFT-Identität verschärft das noch: Wechselt der Besitzer der Kennung, wechselt der haftende Prinzipal, und das On-chain-Register verrät nicht zwangsläufig, wer heute wirklich die Schlüssel hält.

Für die deutsche Aufsicht gilt der bekannte Grundsatz: MiCA und die BaFin regulieren Kryptowerte-Dienstleister und Emittenten, nicht das Software-Protokoll selbst. Das stellt die BaFin in ihrem Merkblatt zu Kryptowerte-Dienstleistungen klar. Sobald ein Agent aber Anlageberatung leistet oder ein Portfolio verwaltet, verlässt man MiCA und landet bei MiFID II. Die europäische Wertpapieraufsicht ESMA hat in ihrer Stellungnahme zum KI-Einsatz in Wertpapierdienstleistungen betont, dass Governance, Transparenz und menschliche Aufsicht auch dann Pflicht bleiben, wenn ein Algorithmus die Arbeit macht. Wie teuer die Lizenzseite dieser Ordnung inzwischen ist und wie sie den Markt bereinigt, zeigt unsere Analyse zu MiCA 2026 und den Kosten der Lizenz. Kurz gesagt: Die Identitätsschicht macht Zurechnung technisch sauberer, sie schafft aber keine neue Rechtsfigur. Hinter jedem Agenten steht am Ende ein Mensch, der geradesteht.

Steuer in Deutschland: Wer trägt die Last

Was ein Agent an Gewinnen realisiert, rechnet das Finanzamt dem Wallet-Inhaber zu. Krypto gilt in Deutschland als anderes Wirtschaftsgut nach Paragraf 23 EStG: Nach mehr als einem Jahr Haltefrist sind Veräußerungen steuerfrei, darunter fallen sie unter den persönlichen Steuersatz (bis 45 Prozent plus Solidaritätszuschlag). Es gilt eine Freigrenze von 1.000 Euro pro Jahr, und die Reihenfolge der Veräußerung wird üblicherweise nach FIFO bestimmt. Grundlage ist das BMF-Schreiben vom 6. März 2025, die Meldepflichten verschärft die EU-Richtlinie DAC8.

Für Agenten ist ein Detail heikel: Jede Stablecoin-Zahlung ist eine Veräußerung. Ein Agent, der im Sekundentakt Mikrobeträge zahlt, produziert damit Tausende steuerlich relevanter Vorgänge, und weil ein US-Dollar-Stablecoin gegenüber dem Euro schwankt, können dabei viele kleine Gewinne entstehen. Wer seinen Agenten rund um die Uhr hochfrequent handeln lässt, riskiert außerdem die Einstufung als gewerblich: Dann fällt Gewerbesteuer an, und die einjährige Steuerfreiheit entfällt. Die gute Nachricht: Eine saubere On-chain-Identität macht die Zurechnung transparenter, für den Steuerpflichtigen wie für das Finanzamt. Die schlechte: Sie macht die Vorgänge nicht weniger, sondern nur besser sichtbar. Wer einen Agenten mit eigenem Wallet laufen lässt, sollte die Buchführung von Anfang an mitdenken, nicht erst zur Steuererklärung.

Ausblick: von der Identität zur echten Ökonomie

Die Schienen werden schnell verlegt, der Verkehr darauf ist dünn. Das ist die ehrliche Zwischenbilanz von ERC-8004 im September 2026. Drei Fragen entscheiden, ob aus der Identitätsschicht mehr wird als ein Register voller schlafender Kennungen. Erstens: Wird die Reputationsauswertung robust genug, um Sybil-Schwärme und Whitewashing wirklich abzuwehren? Zweitens: Werden Validierungsbeweise (zkML, TEE) billig genug, um bei hochwertigen Aufträgen zum Standard zu werden statt zur Ausnahme? Drittens: Setzt sich ein offener Standard durch, oder drücken große Plattformen ihre eigenen, geschlossenen Agenten-Ausweise in den Markt?

Für alle, die heute schon Agenten bauen oder einsetzen, lässt sich das in eine kurze Merkliste übersetzen:

• Identität als notwendig, aber nicht hinreichend behandeln; sie ersetzt keine Sicherheitsarchitektur.
• Autonomes Ausgeben hart deckeln und oberhalb einer Schwelle einen Menschen als zweiten Faktor verlangen.
• Bei teuren Aufgaben auf Validierungsbeweise setzen, nicht auf die Reputationsnote allein.
• Berechtigungen eng schneiden; kein geschenktes NFT und keine fremde Nachricht darf still Transferrechte freischalten.
• Den verantwortlichen Prinzipal dokumentieren, für Haftung wie für Steuer.

Am Ende steht nicht die Frage, ob Agenten eine Identität bekommen, das ist bereits entschieden. Die eigentliche Frage ist, ob ein Reputationswert je das bedeuten wird, was er behauptet. Solange 10.000 registrierte Agenten nur 19 wirklich betriebsbereite hervorbringen, ist ERC-8004 ein vielversprechendes Fundament auf der Suche nach einem Gebäude.

Häufig gestellte Fragen

Was ist ERC-8004 einfach erklärt?

ERC-8004 („Trustless Agents“) ist ein Ethereum-Standard, der KI-Agenten eine überprüfbare On-chain-Identität, eine öffentliche Reputationsspur und einen Weg zur unabhängigen Prüfung ihrer Arbeit gibt. Drei Register (Identity, Reputation, Validation) sollen es Agenten verschiedener Betreiber ermöglichen, einander zu finden und zu handeln, ohne dass vorher jemand Vertrauen herstellen muss. Er ist kein Token und formal noch ein Entwurf, läuft aber seit Ende Januar 2026 als Referenzimplementierung auf dem Ethereum-Mainnet.

Wie bekommt ein KI-Agent eine On-chain-Identität?

Der Betreiber prägt für den Agenten einen ERC-721-Identity-Token, der auf eine Registrierungsdatei zeigt. Diese Datei nennt die Endpunkte des Agenten (etwa MCP, A2A, ENS oder DIDs) und die unterstützten Vertrauensmechanismen. Danach authentifiziert sich der Agent rein kryptografisch, indem er signiert und die Gegenseite den öffentlichen Schlüssel aus dem Register prüft. Die Registrierung kostet auf einem Layer 2 nur Bruchteile eines Euro.

Verhindert ERC-8004 Betrug durch KI-Agenten?

Nein. Eine geprüfte Identität und eine gute Reputation sagen nichts darüber aus, ob ein Agent sich im Moment manipulieren lässt. Der Abgriff bei einem Grok- beziehungsweise Bankr-Agenten im Mai 2026 zeigte, dass Prompt Injection und übermäßige Berechtigungen Verluste im sechsstelligen Bereich verursachen können, unabhängig vom Reputationswert. Identität muss deshalb auf harten Ausgabelimits, engen Berechtigungen und menschlicher Freigabe oberhalb einer Schwelle sitzen.

Wer haftet, wenn ein autonomer KI-Agent Verluste verursacht?

Der menschliche oder unternehmerische Prinzipal, also je nach Fall Entwickler, Betreiber oder Nutzer. Ein Agent hat keine Rechtspersönlichkeit und kann nicht selbst haften. MiCA und die BaFin regulieren Dienstleister und Emittenten, nicht das Protokoll; berät ein Agent oder verwaltet er ein Portfolio, greift MiFID II mit der Pflicht zu Governance und menschlicher Aufsicht.

Wie werden Gewinne eines KI-Agenten in Deutschland versteuert?

Gewinne werden dem Wallet-Inhaber zugerechnet. Krypto gilt als anderes Wirtschaftsgut nach Paragraf 23 EStG: steuerfrei nach über einem Jahr Haltefrist, sonst zum persönlichen Satz, mit einer Freigrenze von 1.000 Euro pro Jahr und FIFO. Jede Stablecoin-Zahlung ist eine Veräußerung, sodass hochfrequente Agenten viele steuerbare Vorgänge erzeugen; ununterbrochener Handel kann zudem als gewerblich eingestuft werden.

Marcus Okafor schreibt für HOGE Wire über KI-Agenten, On-chain-Infrastruktur und die Regulierung digitaler Vermögenswerte.