KI-Agenten on-chain: Milliardenmarkt zwischen x402 und Hack-Serie

Vor zwei Jahren war ein KI-Agent in der Kryptobranche meist nichts weiter als ein Marketingbegriff für einen etwas ausgefeilteren Handelsbot. Im Sommer 2026 ist daraus eine eigene Anlageklasse mit eigener Infrastruktur, eigenen Zahlungsschienen und eigenen Sicherheitsvorfällen geworden. Am 15. Juli 2026 haben Visa, Mastercard und Ripple gemeinsam mit rund 40 weiteren Unternehmen unter dem Dach der Linux Foundation die x402 Foundation gegründet, einen Zahlungsstandard, über den Software-Agenten eigenständig in Stablecoins bezahlen, ohne dass ein Mensch die einzelne Transaktion freigibt.

Gleichzeitig zeigen Vorfälle wie der Prompt-Injection-Diebstahl bei den Bots Grok und Bankr im Mai oder die milliardenschwere Sammelklage gegen die Macher von ElizaOS, dass genau jene Autonomie, die Agenten wirtschaftlich interessant macht, sie auch verwundbar macht. Dieser Artikel ordnet ein, wo der Sektor Mitte 2026 tatsächlich steht: welche Token und Frameworks den Markt prägen, wie die neuen Zahlungsschienen funktionieren, welche Sicherheitslücken bereits ausgenutzt wurden und was das für Anleger, Entwickler und Nutzer in Deutschland regulatorisch sowie steuerlich bedeutet.

Was ist ein KI-Agent on-chain? Definition und Abgrenzung

Ein KI-Agent on-chain ist mehr als ein Chatbot mit Krypto-Kenntnissen. Gemeint ist ein System aus einem Sprachmodell (LLM) als Planungsinstanz, einer eigenen Wallet, Zugriff auf externe Werkzeuge wie Programmierschnittstellen oder Handelsplätze und einem gewissen Grad an Autonomie. Der Agent interpretiert ein Ziel, plant die notwendigen Schritte und unterschreibt am Ende die Transaktion selbst, ohne dass ein Mensch jeden einzelnen Schritt bestätigen muss.

Das unterscheidet ihn von einem klassischen, regelbasierten Handelsbot. Ein Bot mit fest programmierten Wenn-Dann-Regeln, etwa kaufe, sobald der Kurs eine bestimmte Marke unterschreitet, besitzt keine echte Entscheidungsfreiheit außerhalb seines starren Regelwerks. Ein KI-Agent kann dagegen auch mit offenen, nicht vorprogrammierten Anweisungen umgehen und improvisieren, was ihn wirtschaftlich flexibler, aber auch schwerer vorhersehbar macht.

Wie eine solche Wallet in der Praxis technisch gesteuert wird und welche aufsichtsrechtlichen Fragen sich für die BaFin daraus ergeben, haben wir bereits in einem eigenen Artikel über KI-Agenten und ihre eigene Wallet im Detail behandelt. Der vorliegende Text konzentriert sich stärker auf Marktzahlen, die neuen Zahlungsschienen sowie die offenen Sicherheits- und Regulierungsfragen.

Ein Standardisierungsschritt, der im Hintergrund oft übersehen wird, ist ERC-8004: Der im Januar 2026 eingeführte Ethereum-Standard vergibt Agenten eine verifizierbare On-Chain-Identität, damit sich fremde Agenten und Dienste gegenseitig vertrauen können, ohne sich zu kennen. Nach Daten von The Defiant waren bis Mitte 2026 bereits 89.451 Agenten nach diesem Standard registriert, die meisten davon auf BNB Smart Chain (rund 34.278), gefolgt von Base (etwa 16.549) und Ethereum selbst (gut 14.000). Eine Auswertung von AgentPMT zeigt allerdings auch die Kehrseite: Von den im März 2026 verifizierten Identitäten hielten nur rund acht Prozent nach der ersten Aktivierung eine tägliche Handelsfrequenz aufrecht, ein Hinweis darauf, dass Registrierungszahlen und tatsächliche Nutzung deutlich auseinanderfallen können.

Der Sektor in Zahlen: Marktkapitalisierung und Spitzenreiter im Sommer 2026

Die eigene CoinGecko-Kategorie AI Agents kommt mit Stand 17. Juli 2026 auf eine Gesamtmarktkapitalisierung von rund 3,29 Milliarden US-Dollar, umgerechnet knapp 2,88 Milliarden Euro bei einem Kurs von 1 Euro zu 1,1435 US-Dollar. Das ist ein kleiner Teilsektor im Vergleich zum breiteren KI-Kryptomarkt, der laut mehreren Marktbeobachtern inzwischen deutlich über 20 Milliarden Dollar summiert, wächst aber schnell und wird von Analysten wie jenen der Boston Consulting Group als eines der Wachstumsfelder mit dem größten Potenzial für die kommenden Jahre gehandelt.

An der Spitze der reinen Agenten-Token steht Mitte Juli das Venice Token (VVV) mit einer Marktkapitalisierung von umgerechnet rund 428,6 Millionen Euro, gefolgt von Virtuals Protocol (VIRTUAL, etwa 369,8 Millionen Euro), der Artificial Superintelligence Alliance (FET, rund 313,8 Millionen Euro), der Agenten-Zahlungs-Chain Kite (KITE, etwa 246,4 Millionen Euro) und dem Wissensgraph-Projekt OriginTrail (TRAC, rund 107,9 Millionen Euro). Die folgende Tabelle fasst die fünf größten reinen Agenten-Token zusammen.

Quelle: CoinGecko, Kategorie AI Agents, Kurse und Marktkapitalisierung mit Stand 17. Juli 2026, umgerechnet zum EZB-Referenzkurs von 1 Euro gleich 1,1435 US-Dollar.

Interessant ist, wofür diese Token stehen: Venice ist im Kern ein Zugriffsschlüssel für private, unzensierte KI-Inferenz und wurde unter anderem vom früheren ShapeShift-Chef Erik Voorhees mitgegründet. Kite wiederum ist keine Anwendung, sondern eine eigene Layer-1-Chain, die Agenten von Anfang an als eigenständige Wirtschaftsteilnehmer mit eigener kryptografischer Identität, Wallet-Hierarchie und Governance behandelt. Die Artificial Superintelligence Alliance ist das Ergebnis eines 2024 begonnenen Zusammenschlusses von Fetch.ai, SingularityNET und Ocean Protocol unter dem gemeinsamen Token FET.

Zur Einordnung lohnt der Blick auf die Historie: Virtuals Protocol erreichte nach gängigen Marktdaten am 2. Januar 2025 ein Allzeithoch von rund 5,07 US-Dollar je Token und notierte damit etwa achtmal höher als heute. Kategorien wie AI Agents bei CoinGecko sind zudem Momentaufnahmen, die sich von Handelstag zu Handelstag teils zweistellig verschieben, weshalb einzelne Tagesbewegungen nicht überbewertet werden sollten.

Virtuals Protocol, ElizaOS und die Landschaft der Agenten-Frameworks

Hinter den Token stehen Frameworks, also die eigentliche Software, mit der Entwickler Agenten bauen und betreiben. Virtuals Protocol hat sich auf Base und Solana als No-Code-Launchpad etabliert: Nutzer können ohne eigene Programmierkenntnisse einen Agenten starten, der über einen sogenannten Butler-Workflow mit anderen Diensten interagiert. Nach eigenen Angaben laufen über die Plattform inzwischen mehr als 15.800 Agenten-Projekte, auch wenn die darüber erzielten Einnahmen, von Virtuals selbst als aGDP bezeichnet, seit ihrem Hoch im Januar 2025 spürbar zurückgegangen sind.

ElizaOS wiederum zählt zu den meistbeachteten Open-Source-Frameworks auf GitHub für sogenannte Action-Chaining-Agenten, die mehrere Werkzeuge nacheinander aufrufen und sich an frühere Interaktionen erinnern können. Seit November 2025 ist das Framework über eine Anbindung an Chainlinks Cross-Chain-Interoperabilitätsprotokoll CCIP auch kettenübergreifend einsetzbar. Das Problem: Die Qualität eines Frameworks sagt wenig über den Kurs des dazugehörigen Tokens aus, wie der folgende Abschnitt zeigt.

Daneben etablieren sich zunehmend Infrastruktur-first-Ansätze wie Kite, die weniger eine einzelne Anwendung als eine komplette Chain für Agenten liefern, oder Venice, das in erster Linie zensurfreien Zugang zu offenen KI-Modellen über eine eigene API verkauft und diesen Zugang darüber steuert, wie viele VVV-Token ein Nutzer hält oder sperrt. Diese Vielfalt an Ansätzen, App-Layer-Frameworks wie Virtuals und ElizaOS auf der einen, Infrastruktur-Chains wie Kite auf der anderen Seite, zeigt, dass sich noch keine dominante Architektur für Agenten durchgesetzt hat.

Der Fall ElizaOS/ai16z: Klage, Tokenverwässerung und die Lehre für Anleger

Kaum ein Fall zeigt die Kluft zwischen Technologie und Token-Ökonomie so deutlich wie die Geschichte von ai16z. Das Projekt, dessen Name bewusst an die Investmentfirma Andreessen Horowitz (a16z) erinnern sollte und dessen KI-Agent auf den Namen Marc AIndreessen hörte, migrierte zwischen Oktober und November 2025 seinen ursprünglichen Token AI16Z in einen neuen Token namens ELIZAOS. Dabei wuchs die Gesamtmenge laut der später eingereichten Klageschrift von 1,1 Milliarden auf 11 Milliarden Einheiten, ein Faktor zehn; aktuelle Daten von CoinGecko bestätigen die neue Obergrenze von 11 Milliarden Token.

Am 21. April 2026 reichte die auf Kryptorecht spezialisierte Kanzlei Burwick Law im Auftrag des spanischen Klägers Gorka Pikabea beim Bundesgericht für den Southern District of New York eine Sammelklage ein (Aktenzeichen 1:26-cv-3238). Beklagt werden Eliza Labs, Gründer Shaw Walters, Mitgründer Sebastian Quinn-Watson sowie die AI16Z DAO. Die Klageschrift wirft den Beklagten vor, nur 60 Prozent der neuen Token-Menge an Bestandshalter ausgegeben zu haben, während 40 Prozent verdeckt an private Investoren, das Team und dem Gründer nahestehende Adressen gingen, was die Position bestehender Halter über Nacht verwässert habe. Nach eigener Zählung der Kläger sollen mindestens 3.945 Wallet-Adressen Verluste erlitten haben, wie Cryptopolitan berichtete.

Hinzu kommt ein Vorwurf, der den Kern des Agenten-Hypes trifft: Laut Berichten des Fachmediums Protos hätten in Wahrheit Menschen und nicht der beworbene autonome Agent viele der öffentlichkeitswirksamen Antworten und Entscheidungen produziert. Der Token, der Anfang 2025 zwischenzeitlich mit deutlich mehr als einer Milliarde US-Dollar bewertet war, kommt laut CoinGecko Mitte Juli 2026 nur noch auf eine Marktkapitalisierung von rund 2,8 Millionen Euro (3,2 Millionen US-Dollar), ein Verlust von deutlich über 99 Prozent. Das Framework ElizaOS selbst wird technisch weiterhin genutzt und weiterentwickelt, was noch einmal unterstreicht: Die Qualität eines Open-Source-Projekts und der Kurs des dazugehörigen Tokens sind zwei verschiedene Dinge.

x402, AP2 und der Kampf um den Zahlungsstandard für Agenten

Der eigentliche Nachrichtenanlass dieses Sommers ist ein Zahlungsstandard. x402 reaktiviert den seit den 1990er-Jahren reservierten, aber nie genutzten HTTP-Statuscode 402 (Payment Required): Ruft ein Agent einen kostenpflichtigen Dienst auf, antwortet der Server mit diesem Code plus Zahlungsanweisung, der Agent begleicht die Forderung in Stablecoins, meist USDC auf Base, Solana, Stellar, Arbitrum oder Polygon, und wiederholt anschließend die ursprüngliche Anfrage. Coinbase hatte das Protokoll ursprünglich entwickelt; am 15. Juli 2026 übergab das Unternehmen die Stewardship an eine neu gegründete x402 Foundation unter dem Dach der Linux Foundation.

Bemerkenswert ist die Liste der Gründungsmitglieder: Neben den Kartennetzwerken Visa, Mastercard und American Express sind auch Ripple, Stripe, Adyen, Fiserv, Circle, Google, Amazon Web Services, Cloudflare, Shopify sowie die Solana Foundation und die Stellar Foundation dabei, insgesamt rund 40 Unternehmen, wie CoinDesk berichtete. In den 30 Tagen vor der Gründung wickelte das Netzwerk rund 75 Millionen Transaktionen im Gesamtwert von etwa 24 Millionen US-Dollar (umgerechnet knapp 21 Millionen Euro) zwischen rund 94.000 Käufern und 22.000 Verkäufern ab, im Schnitt Zahlungen von wenigen Cent bis niedrigen Euro-Beträgen.

Base-Gründer und Coinbase-Manager Jesse Pollak, treibende Kraft hinter x402, brachte die These im April 2026 gegenüber CoinDesk auf den Punkt: „Agents are defined in software and operating software, they want money as software.“ Nach seinen damaligen Angaben waren zu diesem Zeitpunkt bereits kumuliert rund 48 Millionen US-Dollar (umgerechnet etwa 42 Millionen Euro) über x402 geflossen, etwa 95 Prozent davon über Base, wie CoinDesk dokumentierte. Dieselbe Redaktion hatte die anfänglich verhaltene Nachfrage nach solchen Mikrozahlungen bereits im März 2026 kommentiert; die Zahlen vom Juli deuten darauf hin, dass sich das Tempo seither spürbar beschleunigt hat.

Konkurrenz kommt von Google: Das im September 2025 vorgestellte Agent Payments Protocol (AP2) definiert ein eigenes, kryptografisch signiertes „Mandate“-Format, mit dem ein Agent nachweisen kann, im Rahmen einer vom Menschen erteilten Vollmacht zu handeln. Über eine Erweiterung namens A2A x402, entwickelt zusammen mit der Ethereum Foundation und MetaMask, lässt sich x402 direkt in AP2 einbetten. Mehr als 60 Partner, darunter Mastercard, PayPal, Coinbase und American Express, unterstützen AP2 inzwischen, das im April 2026 die Version 0.2.0 erreichte. Die folgende Tabelle stellt beide Standards gegenüber.

DeFAI: Wenn Agenten selbst zu Liquiditätsanbietern werden

Unter dem Kürzel DeFAI, kurz für DeFi plus AI, läuft der Trend, autonome Agenten direkt in DeFi-Protokolle einzubetten, etwa als Liquiditätsmanager, Kreditvergabe-Entscheider oder Teilnehmer an Prognosemärkten. Nach Schätzungen, die bis zu rund 68 Prozent der im ersten Quartal 2026 neu gestarteten DeFi-Protokolle betreffen, baut inzwischen ein erheblicher Teil neuer Projekte mindestens einen autonomen Agenten fest ein. Führungskräfte aus der Branche bekräftigten auf einer im Mai von CoinDesk zusammengefassten Diskussion, DeFi sei damit keineswegs tot, sondern trete gerade erst in seine Massenmarktphase ein.

Ein konkretes Beispiel ist Olas, vormals Autonolas: Über die hauseigene App Pearl und den Mech Marketplace lassen sich Agenten mieten, die etwa auf Prognosemärkten handeln und ihre Transaktionen über Gnosis-Safe-Multisigs signieren. Nach Angaben aus dem Olas-Ökosystem sollen diese Agenten an manchen Tagen für mehr als 75 Prozent aller Safe-Transaktionen auf der Gnosis Chain verantwortlich sein, ein Hinweis darauf, wie stark einzelne Agenten-Communities inzwischen ganze Chains prägen können, auch wenn sich diese Zahl nicht unabhängig verifizieren lässt.

Governance läuft bei Olas über veOLAS, ein vote-escrow-Modell, bei dem Stimmrechte an die Sperrdauer der eigenen Token gekoppelt sind. Der ökonomische Reiz von DeFAI liegt auf der Hand: Ein Agent kann rund um die Uhr Kurse, Zinssätze und Liquiditätspools überwachen und reagieren, ohne Pause, Wochenende oder Zeitzone.

Kritiker warnen allerdings vor einem Herdeneffekt: Wenn viele Agenten auf ähnliche Marktdaten mit ähnlich trainierten Modellen reagieren, verstärken sie Kursbewegungen tendenziell, statt sie zu glätten, und schaffen zusätzliche Angriffsfläche für sogenannte Miner-Extractable-Value-Strategien (MEV), bei denen spezialisierte Akteure die vorhersehbaren Reaktionsmuster der Agenten gezielt ausnutzen. Reguliert ist dieses Zusammenspiel bislang nirgends.

Prompt Injection: Die Achillesferse autonomer Wallets

Das zentrale technische Problem heißt Prompt Injection: Ein Sprachmodell kann in vielen Fällen nicht zuverlässig unterscheiden, ob eine Anweisung vom legitimen Nutzer stammt oder in Wahrheit aus Daten kommt, die es eigentlich nur verarbeiten sollte, etwa eine Webseite, ein Social-Media-Kommentar oder die Metadaten einer Datei. Genau das nutzten Angreifer am 4. Mai 2026 aus, um eine mit dem Bot Grok verknüpfte Wallet zu leeren: Sie schenkten der Wallet zunächst ein Bankr-Club-Mitglieds-NFT, das automatisch höhere Transferrechte freischaltete, und versteckten anschließend in einer öffentlichen Antwort auf der Plattform X eine Anweisung in Morsecode. Laut dem Vorfallsregister der OECD.AI überwies die Wallet daraufhin Token im Gegenwert von umgerechnet rund 130.000 bis 175.000 Euro (150.000 bis 200.000 US-Dollar) auf dem Netzwerk Base; etwa 80 Prozent der Summe konnten später zurückgeholt werden. Es war bereits der zweite Vorfall an derselben Wallet innerhalb von 14 Monaten.

Der Fall ist kein Einzelfall. Sicherheitsforscher Chaofan Shou dokumentierte, dass mindestens 26 sogenannte LLM-Router, also Zwischendienste, die Anfragen an verschiedene KI-Modelle weiterleiten, heimlich schädliche Werkzeugaufrufe einschleusten und Zugangsdaten stahlen. In einem Fall leerten Angreifer darüber eine Ethereum-Wallet um umgerechnet rund 437.000 Euro (500.000 US-Dollar). Shou brachte das Problem gegenüber CoinDesk auf den Punkt: „26 LLM routers are secretly injecting malicious tool calls and stealing creds. One drained our client $500k wallet.“ Nutzer glauben, direkt mit einem vertrauenswürdigen Anbieter wie OpenAI oder Anthropic zu sprechen, während ihre Anfragen tatsächlich über kaum regulierte Zwischenstationen laufen, die vollen Zugriff auf die übertragenen Daten haben.

Der Sicherheitsforscher Simon Willison, der den Begriff Prompt Injection ursprünglich geprägt hat, fasst das Grundproblem in einem Konzept zusammen, das er „lethal trifecta“ nennt: Zugriff auf private Daten, Kontakt mit nicht vertrauenswürdigen Inhalten und die Fähigkeit, Informationen selbstständig nach außen zu senden. In Kombination sind das genau die drei Eigenschaften, die einen KI-Agenten mit eigener Wallet potenziell gefährlich machen, und zugleich fast zwangsläufig jene drei Eigenschaften, die ein nützlicher autonomer Zahlungsagent überhaupt erst braucht.

Wie groß das Bild dahinter ist, zeigt eine aktuelle Auswertung des Sicherheitsdienstleisters CertiK, über die Forbes am 17. Juli 2026 berichtete: Im ersten Halbjahr 2026 wurden demnach umgerechnet rund 1,15 Milliarden Euro (1,315 Milliarden US-Dollar) über 344 Vorfälle gestohlen, wobei kompromittierte Wallets mit rund 388 Millionen Euro (444 Millionen US-Dollar) inzwischen die teuerste Einzelkategorie stellen, noch vor klassischen Programmierfehlern. CertiK-Chef Ronghui Gu ordnete die neue Risikokategorie so ein: „An AI agent with wallet access is essentially a new kind of privileged key holder.“ Als Beispiel nennt der Bericht den Handelsbot JaredFromSubway, dem im Juni über präparierte Liquiditätspools umgerechnet rund 6,6 Millionen Euro (7,5 Millionen US-Dollar) entzogen wurden.

Autonomie versus Sicherheit: Ein ungelöster Zielkonflikt

Die naheliegendste Lösung, nämlich Ausgabelimits, Freigabelisten oder eine verpflichtende menschliche Bestätigung vor jeder Transaktion, löst das Problem technisch zuverlässig, hebt aber genau jenen Vorteil auf, der Agenten überhaupt attraktiv macht: die Fähigkeit, rund um die Uhr, über Zeitzonen und Wochenenden hinweg, ohne Wartezeit zu handeln. Ein Agent, der vor jeder Zahlung auf eine Bestätigung per Smartphone wartet, ist kaum schneller als ein Mensch, der die Transaktion gleich selbst ausführt.

In der Praxis pendeln die meisten Projekte deshalb zwischen zwei unbefriedigenden Polen: entweder enge Ausgabelimits pro Zeitraum und Whitelists erlaubter Gegenparteien, was Agenten stark einschränkt, oder größere Freiheit bei entsprechend höherem Risiko, wie es die Vorfälle bei Grok, Bankr und den LLM-Routern gezeigt haben. Ein allgemein akzeptierter Mittelweg hat sich bislang nicht durchgesetzt, auch weil Sprachmodelle grundsätzlich keine zuverlässige, überprüfbare Grenze zwischen einer Instruktion und einem bloßen Dateninhalt ziehen können, solange beide als derselbe Text im selben Kontext ankommen.

Parallelen zur Multisig- und Blind-Signing-Debatte bei klassischen Krypto-Wallets drängen sich auf: Auch dort zeigte sich zuletzt, etwa beim Bybit-Hack, dass technisch korrekt aufgesetzte Sicherungsmechanismen nutzlos werden, wenn die Anzeige- und Bestätigungsebene manipuliert werden kann. Bei KI-Agenten kommt als zusätzliche Ebene hinzu, dass nicht einmal ein aufmerksamer Mensch die Signierlogik in Echtzeit nachvollziehen kann, weil der Agent selbst entscheidet, was er wann unterschreibt.

Regulatorisches Niemandsland: MiCA, ESMA, BaFin und die Rechtspersönlichkeit

Die europäische Krypto-Verordnung MiCA wurde für Spot-Kryptowerte und deren Dienstleister geschrieben, nicht für autonom handelnde Software. Mit dem Auslaufen der letzten Übergangsfristen zum 1. Juli 2026 mussten alle in der EU tätigen Kryptodienstleister eine reguläre Zulassung vorweisen; die europäische Wertpapieraufsicht ESMA forderte nicht lizenzierte Anbieter auf, sofort keine neuen Kunden mehr anzunehmen, jegliches Marketing in der EU einzustellen und ihr Geschäft geordnet abzuwickeln.

Für einen Agenten, der eigenständig Vermögenswerte verwaltet oder gar Anlageempfehlungen ausspricht, wird es zusätzlich komplex: Sobald Software faktisch Anlage- oder Portfolioentscheidungen trifft, rutscht sie inhaltlich in den Anwendungsbereich der Finanzmarktrichtlinie MiFID II statt MiCA. Bereits am 30. Mai 2024 veröffentlichte die ESMA eine erste Orientierungshilfe zum Einsatz von KI in Wertpapierdienstleistungen, die von Unternehmen unter anderem verlangt, Governance-Strukturen, Transparenz und eine Form der menschlichen Aufsicht sicherzustellen; autonome Agenten als eigene Kategorie kommen darin allerdings noch nicht vor. Zusätzliche Brisanz bekommt das Thema durch die Marktmissbrauchsleitlinien der ESMA unter MiCA Titel VI (Artikel 86 bis 92), die Insiderhandel, unrechtmäßige Offenlegung und Marktmanipulation erfassen und ab dem 28. Juli 2026 vollständig anwendbar sind; ob koordiniertes Verhalten mehrerer baugleicher Agenten künftig als eine Form von Marktmanipulation gilt, ist bislang nicht geklärt.

Grundsätzlicher ist das Problem der Rechtspersönlichkeit: Ein Agent kann in keinem EU-Mitgliedstaat selbst Vertragspartei, Kontoinhaber oder Steuerpflichtiger sein. Haftung, Aufsicht und Besteuerung laufen deshalb zwangsläufig über die dahinterstehende natürliche oder juristische Person, den sogenannten Principal. Die laufende Überprüfung der Verordnung, informell MiCA 2.0 genannt, befindet sich seit Mai 2026 in einer öffentlichen Konsultation, die laut CoinDesk noch bis zum 31. August 2026 läuft und sich bislang vor allem mit Stablecoins, DeFi-Governance und der Frage befasst, wer ein Protokoll im MiCA-Sinne kontrolliert; autonome Agenten als eigene regulatorische Kategorie tauchen in den bisherigen Konsultationsunterlagen nicht explizit auf.

BaFin und die deutsche Aufsichtsperspektive

Für in Deutschland tätige Anbieter bleibt die BaFin die zuständige nationale Aufsichtsbehörde unter MiCA, verantwortlich für Zulassung und laufende Beaufsichtigung von Kryptowertdienstleistern (CASPs). Eine eigene, speziell auf autonome KI-Agenten zugeschnittene Regelung gibt es bislang nicht. Am 18. Dezember 2025 veröffentlichte die Behörde jedoch eine Orientierungshilfe zu IKT-Risiken beim Einsatz von KI in Finanzunternehmen, die Institute beim Umgang mit den entsprechenden Anforderungen des Digital Operational Resilience Act (DORA) unterstützen soll.

Die Orientierungshilfe ist zwar rechtlich nicht bindend, adressiert aber genau jene Fragen, die auch bei on-chain agierenden Agenten relevant werden: Risikomanagement über den gesamten KI-Lebenszyklus hinweg, von der Datenbeschaffung über Entwicklung und Betrieb bis zur Außerbetriebnahme, sowie das Management von Risiken, die von externen IKT-Dienstleistern ausgehen, etwa genau jenen LLM-Routern, die im Abschnitt zu Prompt Injection beschrieben wurden. Für deutsche Institute, die eigene Agenten einsetzen oder deren Einsatz durch Kunden zulassen, dürfte diese Orientierungshilfe in der Praxis zum Ausgangspunkt für interne Risikorichtlinien werden, auch wenn eine eigene Agenten-Verordnung auf EU-Ebene noch aussteht.

Die deutsche Steuerfrage: Wem gehört der Gewinn eines Agenten?

Steuerlich ändert ein KI-Agent an den Grundregeln zunächst wenig, verschärft aber ihre praktische Anwendung. Da ein Agent keine eigene Rechtspersönlichkeit und keine Steuer-ID besitzt, werden seine Gewinne und Verluste vollständig dem menschlichen oder unternehmerischen Inhaber der zugrunde liegenden Wallet zugerechnet. Für private Anleger gilt Kryptowährung weiterhin als anderes Wirtschaftsgut im Sinne von Paragraf 23 Einkommensteuergesetz: Nach Ablauf der einjährigen Haltefrist sind Veräußerungsgewinne steuerfrei, innerhalb der Frist greift der persönliche Einkommensteuersatz von bis zu 45 Prozent plus Solidaritätszuschlag, wobei eine Freigrenze von 1.000 Euro pro Jahr sowie die Verbrauchsfolgemethode Fifo gelten.

Genau hier entsteht ein neues Problem: Ein Agent, der rund um die Uhr automatisiert handelt, dürfte die für Privatpersonen übliche einjährige Haltefrist in vielen Fällen faktisch nie erreichen, weil er ständig umschichtet. Bei sehr hochfrequentem, vollautomatisiertem Handel besteht zudem das Risiko einer Einstufung als gewerbliche Tätigkeit, was die einjährige Haltefrist entfallen lässt und zusätzlich Gewerbesteuer auslösen kann. Erträge aus Staking oder Lending, die ein DeFAI-Agent im Rahmen seiner Strategie erzielt, zählen ohnehin als sonstige Einkünfte nach Paragraf 22 Nummer 3 EStG, unabhängig von jeder Haltefrist. Die BaFin ist in all dem ausdrücklich nur für die MiCA-Aufsicht zuständig, nicht für die Besteuerung, die bei den Finanzämtern auf Basis der Schreiben des Bundesfinanzministeriums verbleibt. Wie unklar die Grenzen speziell bei DeFi- und NFT-Erträgen in der Praxis bleiben, haben wir in einem eigenen Artikel zu DeFi- und NFT-Steuern in Deutschland ausführlich beschrieben.

Infrastruktur: Rechenleistung und verifizierbares Training für Agenten

Ein Agent ist nur so gut wie das Modell, das ihn antreibt, und die Infrastruktur, die dessen Berechnungen liefert. Weil zentrale Cloud-Anbieter für viele Krypto-native Teams entweder zu teuer oder aus Prinzip unerwünscht sind, greifen zunehmend mehr Agenten-Projekte auf dezentrale GPU-Marktplätze zurück. Wer in diesem noch jungen Markt tatsächlich Geld verdient und wo die Grenzen dieses Modells liegen, haben wir in einem eigenen Artikel über dezentrale Inferenz und das GPU-Geschäft 2026 untersucht.

Ein zweites, oft unterschätztes Problem ist Vertrauen: Woher weiß ein Nutzer, dass ein Agent tatsächlich mit dem behaupteten Modell und den behaupteten Daten gerechnet hat und nicht mit einer billigeren, schlechteren Abkürzung? Projekte wie Gensyn versuchen, genau das kryptografisch beweisbar zu machen, indem sie Trainingsschritte über ein Netzwerk verteilen und deren Korrektheit überprüfbar machen; wie das im Detail funktioniert, erklären wir in unserem Artikel zu Gensyn und beweisbarem KI-Training. Verwandt, aber breiter gefasst ist das Feld des sogenannten Verifiable Compute, das neben Training auch die laufende Inferenz eines Agenten überprüfbar machen soll, etwa über Trusted Execution Environments, zero-knowledge Machine Learning oder kryptoökonomische Absicherung; einen Überblick über die gängigen Ansätze bieten wir in unserem Artikel über Verifiable Compute.

Für einen Agenten, der eigenständig Geld bewegt, ist diese Vertrauensfrage keine akademische Nebensache: Wenn niemand nachprüfen kann, ob eine Handelsentscheidung tatsächlich auf dem behaupteten Modell beruhte oder durch eine manipulierte Zwischenstation verändert wurde, wie es bei den LLM-Router-Vorfällen der Fall war, bleibt jedes Renditeversprechen letztlich unbelegt.

Praktische Einordnung: Worauf Nutzer und Entwickler jetzt achten sollten

Aus den bisherigen Abschnitten lässt sich eine Reihe praktischer Grundregeln ableiten, die für Entwickler und für Anleger gleichermaßen gelten:

• Ausgabelimits pro Zeitraum und pro Gegenpartei setzen, statt einem Agenten unbegrenzten Wallet-Zugriff zu geben.
• Zwischenstationen wie LLM-Router nur von vertrauenswürdigen, im Idealfall selbst betriebenen Anbietern beziehen, nicht von der billigsten verfügbaren Option.
• Bei automatisiertem Hochfrequenzhandel frühzeitig prüfen, ob eine gewerbliche Einstufung droht, bevor das Finanzamt das von sich aus tut.
• Governance- und Ausgabemechanismen eines Frameworks, wie im Fall ElizaOS und ai16z, getrennt vom technischen Versprechen des Produkts bewerten.
• Bei neuen Zahlungsstandards wie x402 oder AP2 auf die tatsächliche Liste der Trägerunternehmen achten, nicht nur auf Ankündigungen.

Keine dieser Regeln löst das grundlegende Dilemma zwischen Autonomie und Sicherheit auf, sie verringern aber die Wahrscheinlichkeit, zum nächsten Fallbeispiel in einem CertiK- oder Forbes-Bericht zu werden.

Ausblick: Wohin entwickelt sich die Agenten-Ökonomie?

Die Boston Consulting Group rechnet damit, dass KI-Agenten bis 2030 zusätzliche Marktchancen im Technologiedienstleistungssektor von bis zu 200 Milliarden US-Dollar erschließen könnten, getrieben vor allem durch neue Unternehmensausgaben und nicht nur durch Kosteneinsparungen. SoftBank-Chef Masayoshi Son ging mit seiner in der Branche vielzitierten Prognose von bis zu 100 Billionen KI-Agenten bis zum Jahr 2040 noch deutlich weiter, wenn auch mit dem Vorbehalt, dass es sich dabei um eine sehr langfristige, spekulative Größenordnung handelt.

Realistischer für die kommenden zwölf bis 24 Monate erscheint eine Konsolidierung: Zahlungsstandards wie x402 und AP2 dürften weiter zusammenwachsen oder sich gegenseitig einbetten, Frameworks mit tatsächlicher Entwickler-Aktivität wie ElizaOS oder Virtuals werden sich von reinen Hype-Token trennen müssen, und Aufsichtsbehörden von der ESMA bis zur BaFin werden aller Voraussicht nach nachziehen müssen, sobald die ersten größeren Streitfälle vor Gericht landen. Bis dahin bleibt die Agenten-Ökonomie das, was sie im Sommer 2026 bereits ist: ein schnell wachsender, aber strukturell noch instabiler Markt, in dem dieselbe Autonomie, die Rendite verspricht, auch das größte Risiko trägt.

Häufig gestellte Fragen

Was ist ein KI-Agent im Krypto-Kontext genau?

Ein KI-Agent im Krypto-Kontext ist ein System aus einem Sprachmodell, einer eigenen Wallet und Zugriff auf externe Werkzeuge, das Ziele eigenständig interpretiert, Transaktionen plant und diese selbst signiert. Anders als ein klassischer, regelbasierter Handelsbot kann er auch mit offenen, nicht vorprogrammierten Anweisungen umgehen, was ihn flexibler, aber auch schwerer vorhersehbar macht.

Was ist x402, und warum ist es 2026 wichtig geworden?

x402 ist ein ursprünglich von Coinbase entwickelter Zahlungsstandard, der den HTTP-Statuscode 402 reaktiviert, damit Software eigenständig in Stablecoins bezahlen kann. Seit der Gründung der x402 Foundation am 15. Juli 2026 mit Visa, Mastercard, Ripple und rund 40 weiteren Trägerunternehmen gilt er als der bislang breiteste Branchenstandard für Agenten-Zahlungen.

Wie sicher sind Wallets, die von einem KI-Agenten gesteuert werden?

Weniger sicher als menschlich kontrollierte Wallets, weil Sprachmodelle Anweisungen aus Daten nicht zuverlässig von legitimen Nutzerbefehlen unterscheiden können. Der Prompt-Injection-Diebstahl bei den Bots Grok und Bankr im Mai 2026 zeigte, dass eine versteckte Anweisung in einem Morsecode-Kommentar ausreichte, um eine Wallet zum Transfer von umgerechnet mehreren Zehntausend Euro zu bewegen.

Wer haftet in Deutschland für Gewinne oder Verluste eines autonomen KI-Agenten?

Ein Agent besitzt keine eigene Rechtspersönlichkeit und keine Steuer-ID, daher werden Gewinne und Verluste dem menschlichen oder unternehmerischen Wallet-Inhaber zugerechnet. Für Privatanleger gilt in der Regel die einjährige Haltefrist nach Paragraf 23 EStG sowie die Freigrenze von 1.000 Euro, bei sehr hochfrequentem automatisiertem Handel droht jedoch eine Einstufung als gewerblich.

Welche Kryptowährungen stehen aktuell für den Sektor KI-Agenten?

Zu den nach Marktkapitalisierung größten Token zählen Mitte Juli 2026 Venice (VVV), Virtuals Protocol (VIRTUAL), die Artificial Superintelligence Alliance (FET), Kite (KITE) und OriginTrail (TRAC). Die gesamte CoinGecko-Kategorie AI Agents bringt rund 3,29 Milliarden US-Dollar auf die Waage.

Ein Beitrag der HOGE-Wire-Redaktion, Ressort KI und Krypto.