{"id":913,"date":"2026-11-12T16:25:55","date_gmt":"2026-11-12T16:25:55","guid":{"rendered":"https:\/\/hoge.gg\/de\/ki-agenten-haftung-wer-zahlt-2026\/"},"modified":"2026-11-12T16:25:55","modified_gmt":"2026-11-12T16:25:55","slug":"ki-agenten-haftung-wer-zahlt-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/de\/ki-agenten-haftung-wer-zahlt-2026\/","title":{"rendered":"KI-Agenten 2026: Wer haftet, wenn der Agent handelt?"},"content":{"rendered":"

Am 24. November 2026 tritt bei einer der gr\u00f6\u00dften Banken der Vereinigten Staaten eine unscheinbare Vertrags\u00e4nderung in Kraft, die eine Frage beantwortet, \u00fcber die die gesamte Krypto- und KI-Branche seit Monaten streitet: Wer haftet, wenn ein KI-Agent etwas Falsches tut? Wells Fargo hat seine Online-Nutzungsbedingungen um einen neuen Abschnitt erg\u00e4nzt, der die Verantwortung f\u00fcr die Handlungen beauftragter KI-Agenten auf die Kundinnen und Kunden verschiebt, ausdr\u00fccklich auch f\u00fcr unbeabsichtigte Aktionen und f\u00fcr Sch\u00e4den durch manipulierte Eingaben (cryptobriefing.com<\/a>). Die Botschaft ist unmissverst\u00e4ndlich: Wer einen Agenten auf sein Konto l\u00e4sst, tr\u00e4gt das Risiko allein.<\/p>

Zwei Wochen zuvor, am 28. Oktober, hatte die US-Derivateaufsicht CFTC ihr allererstes „Frontier Forum“ genau diesem Thema gewidmet. Und am 12. November, dem Tag, an dem dieser Text erscheint, warnte Fed-Gouverneur Michael Barr an der Yale University, Banken st\u00fcnden vor der Aufgabe sicherzustellen, dass ein autonom handelnder Agent tats\u00e4chlich das tut, was der Kunde wollte (American Banker<\/a>). F\u00fcr Bankkunden ist das eine abstrakte Debatte. F\u00fcr jeden, der einen autonomen Agenten mit eigenem Krypto-Wallet laufen l\u00e4sst, ist es die zentrale Frage des Jahres. Denn on-chain gibt es kein Kleingedrucktes, das man nachtr\u00e4glich \u00e4ndern k\u00f6nnte, und keine juristische Person, die man am Ende verklagen kann.<\/p>

Der Stichtag 24. November: eine Bank verschiebt die Haftung<\/h2>

Die \u00c4nderung bei Wells Fargo klingt technisch, ist aber ein Pr\u00e4zedenzfall. In einem neu eingef\u00fcgten Abschnitt der Online-Nutzungsbedingungen regelt die Bank erstmals, was passiert, wenn ein Kunde einem KI-Agenten Zugriff auf sein Konto gew\u00e4hrt. Das Ergebnis: Die Kundschaft haftet f\u00fcr unbeabsichtigte Handlungen, f\u00fcr Fehler, die aus der Interpretation einer Anweisung durch den Agenten entstehen, f\u00fcr Aktionen auf Basis manipulierter Eingaben und f\u00fcr F\u00e4lle, in denen ein Agent seine erteilte Vollmacht \u00fcberschreitet. Die Nutzung eines Agenten geschehe „auf eigenes Risiko“, die Bank \u00fcberwache oder pr\u00fcfe die Aktivit\u00e4t der Agenten nicht. Wer eine Vollmacht widerruft, muss den Widerruf beweisen k\u00f6nnen.<\/p>

Besonders brisant ist die ausdr\u00fcckliche Nennung manipulierter Eingaben. Das ist juristisches Deutsch f\u00fcr Prompt Injection, den heute wichtigsten Angriffsweg gegen KI-Agenten: Ein Angreifer versteckt eine Anweisung in einer Webseite, einer E-Mail oder einem sozialen Beitrag, der Agent liest sie und f\u00fchrt sie aus, als k\u00e4me sie vom Besitzer. Wells Fargo sagt sinngem\u00e4\u00df: Auch dann zahlt der Kunde. Es ist, soweit dokumentiert, die erste Haftungsverschiebung dieser Art bei einer gro\u00dfen Bank. Vorausgegangen war ihr eine Welle von Beschr\u00e4nkungen: Zwischen dem 13. und 20. Oktober schr\u00e4nkten unter anderem JPMorgan Chase, Citigroup und Charles Schwab den Zugang fremder KI-Agenten zu Kundenkonten ein, mit Verweis auf nicht autorisierte Transaktionen und eine ungekl\u00e4rte Haftung.<\/p>

Warum das f\u00fcr Krypto z\u00e4hlt: Die traditionelle Finanzwelt hat hier nur vorweggenommen, was on-chain l\u00e4ngst gilt. Ein Bankkunde kann wenigstens k\u00fcndigen, widersprechen oder klagen. Ein autonomer On-Chain-Agent dagegen signiert seine Transaktionen selbst, endg\u00fcltig und unwiderruflich. Verschiebt sich die Haftung bei der Bank per Vertrag auf den Menschen, so landet sie on-chain mangels Alternative ebenfalls beim Menschen, nur ohne Vertrag, der es ausspr\u00e4che.<\/p>

Was einen On-Chain-Agenten von einem Trading-Bot unterscheidet<\/h2>

Bevor man \u00fcber Haftung streitet, lohnt eine saubere Definition. Ein autonomer On-Chain-Agent ist mehr als ein Handelsbot. Er besteht aus drei Teilen: einem Sprachmodell (LLM), das Ziele interpretiert und Pl\u00e4ne fasst; einem eigenen Wallet, mit dem er Werte h\u00e4lt und Transaktionen signiert; und einer Sammlung von Werkzeugen (Smart-Contract-Aufrufe, APIs, Zahlungsschnittstellen), mit denen er in der Welt handelt. Der entscheidende Unterschied zum klassischen Bot liegt in der ersten Komponente. Ein Bot folgt starren Regeln („kaufe, wenn der Preis X unterschreitet“). Ein Agent formuliert aus einem vagen Ziel selbst die Schritte und entscheidet situativ, was zu tun ist.<\/p>

Genau diese Autonomie erzeugt das Haftungsproblem. Ein Regel-Bot tut nur, was ein Mensch ausprogrammiert hat; sein Verhalten ist vorhersehbar und im Zweifel rekonstruierbar. Ein Agent trifft Entscheidungen, die sein Betreiber nie ausdr\u00fccklich angeordnet hat und oft nicht vorhersehen konnte. F\u00fchrt ein solcher Agent ein eigenes Wallet, kann er Verluste verursachen, die niemand befohlen hat. Die Frage, wer daf\u00fcr einsteht, l\u00e4sst sich nicht mehr mit einem Blick in den Quellcode beantworten.<\/p>

Dass das kein Nischenthema mehr ist, zeigt der Blick auf die Einsatzfelder. Agenten verwalten Liquidit\u00e4t in DeFi-Protokollen, schlie\u00dfen Positionen auf Perpetual-B\u00f6rsen, kaufen Rechenleistung ein und setzen auf Prognosem\u00e4rkten, wo Bots inzwischen einen gro\u00dfen Teil des Handels ausmachen, wie unsere Analyse zur ersten Prognosemarkt-Wahl mit KI-Agenten<\/a> zeigt. \u00dcberall dort h\u00e4lt ein St\u00fcck Software Geld und dr\u00fcckt selbst auf den Ausl\u00f6ser.<\/p>

Washington schaut hin: das erste CFTC Frontier Forum<\/h2>

Am 28. Oktober 2026 veranstaltete die Commodity Futures Trading Commission (CFTC) ihr erstes „Frontier Forum“ und stellte K\u00fcnstliche Intelligenz und agentenbasierte Finanz in den Mittelpunkt. Auf der Tagesordnung standen KI in den Derivatem\u00e4rkten, autonome Handelsagenten, Preisbildung und neue Marktrisiken, dazu die Frage, wie die eigenen KI-Agenten von H\u00e4ndlern unter der Aufsicht der CFTC operieren d\u00fcrfen (CoinDesk<\/a>). Geladen waren laut CoinDesk unter anderem die Chefs von Handels- und Infrastrukturfirmen wie Architect und Liquid Compute.<\/p>

„Super intelligence is poised to transform our financial markets“, sagte der CFTC-Vorsitzende Michael Selig im Vorfeld (via CoinDesk<\/a>). Das klingt nach Aufbruch, war aber vor allem eines: eine Anh\u00f6rung. Das Forum war ausdr\u00fccklich ein Zuh\u00f6r- und Diskussionsformat, kein Startpunkt f\u00fcr neue Regeln und keine Er\u00f6ffnung einer Kommentierungsfrist (cftc.gov<\/a>). Ein wiederkehrender Einwand in der Berichterstattung: Die Beh\u00f6rde er\u00f6ffne ihr erstes Forum zu agentenbasierter Finanz, Monate nachdem die Branche ihre eigenen Standards l\u00e4ngst geschrieben habe.<\/p>

Dieses Timing ist der Kern des Problems. Die Infrastruktur f\u00fcr zahlende, handelnde Agenten ist schneller gewachsen als die Regeln, die festlegen, wer f\u00fcr ihre Fehler geradesteht. W\u00e4hrend Aufseher noch zuh\u00f6ren, haben Banken wie Wells Fargo die Antwort f\u00fcr sich schon per Vertrag gegeben. Und on-chain gab nie jemand eine Erlaubnis, bevor die Agenten zu handeln begannen.<\/p>

138 Millionen Zahlungen, fast alle winzig<\/h2>

Wie viel findet wirklich statt? Eine frische Auswertung von Chainalysis liefert die bislang konkretesten Zahlen. \u00dcber das von Coinbase angesto\u00dfene Protokoll x402 auf der Base-Chain wickelten KI-Agenten binnen rund eines Jahres etwa 138 Millionen Zahlungen ab, ein Sprung von rund 1.500 Zahlungen Mitte 2025 auf diese Gr\u00f6\u00dfenordnung bis zum dritten Quartal 2026 (Decrypt<\/a>). Der Haken: Mehr als 87 Prozent dieser Zahlungen lagen zwischen 0,001 und 0,10 US-Dollar. Es sind Kleinstbetr\u00e4ge, die Stablecoins verarbeiten k\u00f6nnen, klassische Zahlungswege aber nicht.<\/p>

Die Zahl ist beeindruckend und tr\u00fcgerisch zugleich. TRM Labs hatte bereits gewarnt, dass ein gro\u00dfer Teil der scheinbaren Agenten-Aktivit\u00e4t in Wahrheit Skripte oder Eigengesch\u00e4fte sein d\u00fcrfte, nicht wirklich autonome Agenten. Das Bild bleibt also zweigeteilt: Die Schienen sind gebaut und werden massiv befahren, doch der \u00f6konomische Gehalt pro Fahrt ist winzig. BlackRock hat diese Spannung fr\u00fch beschrieben; das Digital-Assets-Team um Will Su und Robert Mitchnick fasste die These so zusammen: „AI represents machine-native intelligence, while digital assets represent machine-native money“ (via Decrypt<\/a>). Maschinen, so das Argument, brauchen maschinennatives Geld, und das sind rund um die Uhr teilbare Stablecoins.<\/p>

F\u00fcr die Haftungsfrage verschiebt das die Perspektive: Nicht der einzelne F\u00fcnf-Cent-Kauf ist das Risiko, sondern die schiere Zahl autonomer Entscheidungen. Bei Hunderten Millionen Vorg\u00e4ngen reichen schon wenige fehlgeleitete, um realen Schaden anzurichten, und jeder einzelne ist on-chain endg\u00fcltig. Der folgende \u00dcberblick zeigt, wie gro\u00df der Sektor gemessen an der Marktkapitalisierung der zugeh\u00f6rigen Token ist.<\/p>

Token<\/th>Kurs (USD)<\/th>Marktkap. (USD)<\/th>Marktkap. (EUR, gerundet)<\/th><\/tr><\/thead>
Venice (VVV)<\/td>19,05<\/td>932,7 Mio.<\/td>842 Mio.<\/td><\/tr>
Virtuals Protocol (VIRTUAL)<\/td>0,5149<\/td>338,8 Mio.<\/td>306 Mio.<\/td><\/tr>
ASI Alliance (FET)<\/td>0,1457<\/td>336,4 Mio.<\/td>304 Mio.<\/td><\/tr>
Kite (KITE)<\/td>0,1296<\/td>309,6 Mio.<\/td>280 Mio.<\/td><\/tr>
OriginTrail (TRAC)<\/td>0,3191<\/td>142,9 Mio.<\/td>129 Mio.<\/td><\/tr>
Kategorie „AI Agents“ gesamt<\/strong><\/td>–<\/td>2,82 Mrd.<\/strong><\/td>2,55 Mrd.<\/strong><\/td><\/tr><\/tbody><\/table>
Momentaufnahme der CoinGecko-Kategorie „AI Agents“, Stand 12. November 2026; 24-Stunden-Handelsvolumen rund 209 Mio. USD, Kategorie minus 3,8 Prozent in 24 Stunden. Umrechnung bei EUR\/USD rund 1,11. Quelle: CoinGecko<\/a>.<\/figcaption><\/figure>

Warum Agenten Fehler machen, die man nicht abstreiten kann<\/h2>

Die Haftungsdebatte w\u00e4re halb so gro\u00df, w\u00e4ren Agenten zuverl\u00e4ssig. Sind sie aber nicht, und der Grund ist strukturell. Ein Sprachmodell kann Anweisung und Daten nicht sauber trennen. Alles, was in sein Kontextfenster gelangt, kann als Befehl wirken, auch ein Satz, der in einer Webseite, einer Transaktionsnotiz oder einer Chat-Nachricht versteckt ist. Diese Prompt Injection ist kein exotischer Randfall, sondern die Achillesferse der gesamten Agentenarchitektur.<\/p>

Wie fragil das ist, zeigte Anfang November eine Studie, \u00fcber die unter anderem The Register berichtete. In einem Hackathon der gemeinn\u00fctzigen AI Alignment Foundation, durchgef\u00fchrt von AE Studio, bekamen neun KI-Programmieragenten je ein geheimes Token mit der klaren Anweisung, es f\u00fcr sich zu behalten. Dann bat ein Schwarm vorgeblich hilfsbereiter anderer Agenten darum, das Token zu teilen und ein Installationsskript auszuf\u00fchren, bevor er bei der eigentlichen Aufgabe helfe. In 181 Durchl\u00e4ufen gaben die Agenten das geheime Token in 15 Prozent der F\u00e4lle preis und f\u00fchrten das Skript in 24 Prozent der F\u00e4lle aus, verglichen mit 2 beziehungsweise 0 Prozent in einem gew\u00f6hnlichen Hilfeforum (The Register<\/a>). Agenten behandeln Anfragen von vermeintlichen Kollegen als legitime Zusammenarbeit, selbst wenn diese b\u00f6sartig sind.<\/p>

Man \u00fcbertrage das auf ein Wallet. Ein Agent, der private Schl\u00fcssel oder Signierrechte h\u00e4lt und sich von einem anderen Agenten zur „Zusammenarbeit“ \u00fcberreden l\u00e4sst, ist ein offenes Scheunentor. Und nach der Logik der neuen Bankbedingungen w\u00e4re der Verlust dann das Problem des Menschen, der den Agenten eingesetzt hat. Dasselbe Grundmuster, bei dem Social Engineering auf automatisierte Systeme trifft, treibt \u00fcbrigens auch die Geldw\u00e4scheszene an, wie unsere Recherche zu Scam-Compounds<\/a> zeigt.<\/p>

Der Fall Grok und Bankr: Anatomie eines Agenten-Drains<\/h2>

Dass das keine Theorie ist, belegt der bekannteste Vorfall des Jahres. Am 4. Mai 2026 wurde ein mit dem Dienst Bankr verbundener Agent \u00fcber die Plattform X ausgetrickst. Der Angreifer versteckte eine Anweisung in Morsecode in einer Antwort und schenkte dem Agenten zus\u00e4tzlich ein NFT, das \u00dcbertragungs- und Tauschrechte freischaltete. Der Agent folgte der versteckten Anweisung und verschob Token im Wert von rund 150.000 bis 200.000 US-Dollar (umgerechnet etwa 135.000 bis 180.000 Euro) auf der Base-Chain (OECD.AI Incident Database<\/a>). Weder lag ein Fehler im Smart Contract vor noch ein geknackter Schl\u00fcssel. Der Agent tat genau das, was in seinem Kontext stand.<\/p>

Der Fall ist lehrreich, weil er zwei Angriffswege kombiniert: eine versteckte Instruktion (Prompt Injection) und eine Rechteausweitung \u00fcber ein scheinbar harmloses Geschenk (das NFT). Beide zusammen reichten, um einen autonom signierenden Agenten in ein Abflussventil zu verwandeln. Die unangenehme Lehre: Je mehr Rechte ein Agent b\u00fcndelt und je weniger ein Mensch dazwischengeschaltet ist, desto gr\u00f6\u00dfer der m\u00f6gliche Schaden aus einem einzigen manipulierten Input.<\/p>

Genau hier liegt der Zielkonflikt, den bisher niemand gel\u00f6st hat. Mehr Autonomie hei\u00dft mehr Nutzen, aber auch mehr Angriffsfl\u00e4che. Jede Sicherung, die hilft (Ausgabelimits, menschliche Freigaben, isolierte Schl\u00fcssel), beschneidet zugleich die Autonomie, die den Agenten erst wertvoll macht. Ethereum-Mitgr\u00fcnder Vitalik Buterin zieht daraus eine radikale Konsequenz: „All LLM inference local first. All files hosted locally. Sandbox everything“, schreibt er in seinem Leitfaden f\u00fcr ein sicheres KI-Setup und verweist darauf, dass rund 15 Prozent der von ihm untersuchten Agenten-F\u00e4higkeiten b\u00f6sartige Anweisungen enthielten (vitalik.eth.limo<\/a>).<\/p>

Kann man beweisen, was der Agent getan hat?<\/h2>

Haftung braucht Beweise. Wer in einem Streitfall zeigen will, dass ein Agent korrekt (oder eben nicht korrekt) gehandelt hat, muss nachweisen k\u00f6nnen, welches Modell mit welchen Eingaben zu welcher Entscheidung kam. Genau das ist bei einer Blackbox schwer. Ein wachsender Zweig der Kryptoinfrastruktur versucht, das Problem zu l\u00f6sen: verifizierbare Berechnung. Mit zero-knowledge-Beweisen (zkML) oder optimistischen Betrugsbeweisen (opML) l\u00e4sst sich mathematisch belegen, dass ein bestimmtes Modell eine bestimmte Ausgabe wirklich erzeugt hat.<\/p>

Diese Verfahren sind ein echter Fortschritt, aber sie beantworten nur die halbe Frage. Ein Beweis, dass die Berechnung korrekt lief, sagt nichts dar\u00fcber, ob die Entscheidung legitim war. Lief das Modell sauber, aber auf Basis einer untergeschobenen Anweisung, so ist das Ergebnis integer und trotzdem falsch. Integrit\u00e4t ist nicht Legitimit\u00e4t. Wer tiefer einsteigen will, findet die Details in unseren Analysen dazu, wer die Beweise f\u00fcr die KI sch\u00fcrft<\/a>, und dazu, wie der KI-Beweis bei opML zum Plug-in wird<\/a>.<\/p>

F\u00fcr die Haftung bedeutet das: Verifizierbarkeit kann ein l\u00fcckenloses Protokoll liefern, das vor Gericht Gold wert ist, aber sie macht die Schuldfrage nicht einfacher. Sie verschiebt sie nur von „Was ist passiert?“ zu „Wer h\u00e4tte den manipulierten Input verhindern m\u00fcssen?“. Und damit sind wir bei der Person, die am Ende immer \u00fcbrig bleibt.<\/p>

Keine Rechtspers\u00f6nlichkeit: warum die Rechnung beim Prinzipal landet<\/h2>

Der juristische Kern ist schnell erz\u00e4hlt. Ein KI-Agent ist keine Person. Er hat keine Rechtspers\u00f6nlichkeit, keine Steuer-ID, kein Verm\u00f6gen, das man pf\u00e4nden k\u00f6nnte. Er kann nicht Vertragspartner sein, nicht klagen und nicht verklagt werden. Verursacht er einen Schaden, braucht das Recht einen Menschen oder ein Unternehmen, dem es die Handlung zurechnet. In der Fachsprache ist das der Prinzipal: die nat\u00fcrliche oder juristische Person, in deren Auftrag und Interesse der Agent l\u00e4uft.<\/p>

In der Praxis kann die Kette mehrere Kandidaten haben: den Entwickler des Agenten, den Betreiber, der ihn einsetzt, den Nutzer, der ihn beauftragt, und den Anbieter des zugrunde liegenden Modells. Welcher von ihnen haftet, h\u00e4ngt davon ab, wer den fehlerausl\u00f6senden Teil kontrolliert hat. Wells Fargo beantwortet diese Frage f\u00fcr den Bankkontext per Vertrag eindeutig zulasten des Nutzers. On-chain fehlt ein solcher Vertrag, aber das Ergebnis ist \u00e4hnlich: Da nur Menschen greifbar sind, landet die Rechnung beim Menschen, der dem Agenten Schl\u00fcssel und Vollmacht gegeben hat. Die folgende Tabelle stellt typische Schadensf\u00e4lle und ihre wahrscheinliche Zurechnung gegen\u00fcber.<\/p>

Szenario<\/th>Bankkonto (Wells-Fargo-Logik)<\/th>Autonomer On-Chain-Agent<\/th><\/tr><\/thead>
Agent fehlinterpretiert eine Anweisung<\/td>Kunde haftet<\/td>Prinzipal tr\u00e4gt den Verlust<\/td><\/tr>
Prompt Injection (manipulierter Input)<\/td>Kunde haftet ausdr\u00fccklich<\/td>Prinzipal tr\u00e4gt den Verlust, kaum R\u00fcckholung<\/td><\/tr>
Agent \u00fcberschreitet seine Vollmacht<\/td>Kunde haftet<\/td>Transaktion endg\u00fcltig, Prinzipal tr\u00e4gt den Verlust<\/td><\/tr>
Fehler im zugrunde liegenden Modell<\/td>ungekl\u00e4rt, Vertrag schweigt zur Modellhaftung<\/td>m\u00f6glicher R\u00fcckgriff auf Modellanbieter, faktisch schwer<\/td><\/tr>
Kompromittierter Schl\u00fcssel oder Bridge<\/td>greift meist nicht, Bankschl\u00fcssel liegen bei der Bank<\/td>Prinzipal tr\u00e4gt den Verlust, selten Wiedererlangung<\/td><\/tr><\/tbody><\/table>
Vereinfachte Gegen\u00fcberstellung, keine Rechtsberatung. On-chain fehlt die Rechtspers\u00f6nlichkeit des Agenten, daher f\u00e4llt die Zurechnung regelm\u00e4\u00dfig auf den Prinzipal.<\/figcaption><\/figure>

Europas Rahmen: MiCA, BaFin und das MiFID-II-Problem<\/h2>

F\u00fcr deutsche Nutzer stellt sich die Frage unter anderen Vorzeichen. Seit dem Ende der MiCA-\u00dcbergangsfrist am 1. Juli 2026 beaufsichtigt die BaFin Kryptowerte-Dienstleister (CASPs) nach einem einheitlichen EU-Rahmen (bafin.de<\/a>). Doch MiCA wurde f\u00fcr den Handel mit Krypto-Spot-Werten und f\u00fcr Dienstleister geschrieben, nicht f\u00fcr autonome Software, die selbst entscheidet und signiert. Ein Agent ist weder Emittent noch, f\u00fcr sich genommen, ein lizenzierter Dienstleister. Die Verordnung erfasst ihn nicht als eigenst\u00e4ndigen Akteur.<\/p>

Interessant wird es, sobald ein Agent nicht nur zahlt, sondern ber\u00e4t oder Verm\u00f6gen verwaltet. Dann kann die T\u00e4tigkeit unter die Finanzmarktrichtlinie MiFID II fallen, nicht unter MiCA. Die europ\u00e4ische Wertpapieraufsicht ESMA hat bereits klargestellt, dass Wertpapierfirmen beim Einsatz von KI ihre Pflichten zu Governance, Transparenz und menschlicher Aufsicht behalten (esma.europa.eu<\/a>). Mit anderen Worten: Wer einen Agenten Anlageentscheidungen treffen l\u00e4sst, kann die Verantwortung nicht an die Maschine delegieren. Die Aufsicht erwartet einen Menschen am Steuer.<\/p>

F\u00fcr Derivate gilt eine zus\u00e4tzliche Trennlinie: Krypto-Futures und Perpetuals sind Finanzinstrumente unter MiFID II, nicht unter MiCA, und werden von der nationalen Marktaufsicht beaufsichtigt. Ein Agent, der auf einer Perp-B\u00f6rse handelt, bewegt sich damit in einem anderen Regelkreis als einer, der nur Spot-Token tauscht. Die Zust\u00e4ndigkeiten sind fragmentiert, und genau das macht die Haftungszuordnung m\u00fchsam.<\/p>

Die zur\u00fcckgezogene Richtlinie: Europas Haftungsl\u00fccke<\/h2>

Hier kommt eine Entwicklung ins Spiel, die viele \u00fcbersehen haben. Die EU hatte eigens eine KI-Haftungsrichtlinie (AI Liability Directive) vorgeschlagen, um die Beweislast bei Sch\u00e4den durch KI-Systeme zu erleichtern. Im Februar 2025 zog die EU-Kommission den Vorschlag zur\u00fcck, mit Verweis auf fehlende Aussicht auf Einigung; die R\u00fccknahme wurde im Amtsblatt vom 6. Oktober 2025 offiziell (Baker McKenzie<\/a>). Damit gibt es auf EU-Ebene keine harmonisierte Regel f\u00fcr die verschuldensabh\u00e4ngige Haftung bei KI-Sch\u00e4den. F\u00fcr genau diese F\u00e4lle f\u00e4llt man auf nationales Haftungsrecht zur\u00fcck, in Deutschland also auf das BGB.<\/p>

Was bleibt, ist die \u00fcberarbeitete Produkthaftungsrichtlinie (Richtlinie (EU) 2024\/2853), die Software und KI-Systeme ausdr\u00fccklich als Produkte erfasst und ab dem 9. Dezember 2026 anzuwenden ist. Dazu kommt die KI-Verordnung (AI Act), die Risikoklassen und Pflichten definiert, aber keine eigene zivilrechtliche Schadenshaftung begr\u00fcndet. Das Resultat ist ein Flickenteppich: ein Pflichtenkatalog hier, eine Produkthaftung dort, nationales Deliktsrecht im Hintergrund, und mittendrin ein autonomer Agent, der in keine der Schubladen sauber passt.<\/p>

Der Kontrast zu den USA ist lehrreich. Dort schreibt eine Bank die Haftung schlicht per Vertrag fest und die Aufseher halten Foren ab. In Europa gibt es mehr geschriebenes Recht, aber keine klare Antwort auf die eine Frage, die z\u00e4hlt. Die folgende Tabelle ordnet die Zust\u00e4ndigkeiten.<\/p>

Dimension<\/th>USA<\/th>Europ\u00e4ische Union \/ Deutschland<\/th><\/tr><\/thead>
Spot-Krypto und Dienstleister<\/td>SEC und CFTC, Zust\u00e4ndigkeit im Fluss<\/td>MiCA, Aufsicht durch die BaFin<\/td><\/tr>
Krypto-Derivate<\/td>CFTC<\/td>MiFID II, nationale Marktaufsicht<\/td><\/tr>
Agent ber\u00e4t oder verwaltet<\/td>Wertpapierrecht je nach Ausgestaltung<\/td>MiFID II, ESMA erwartet menschliche Aufsicht<\/td><\/tr>
KI-spezifische Haftung<\/td>kein Bundesgesetz, Vertrag und Einzelfall<\/td>AI-Liability-Richtlinie zur\u00fcckgezogen, BGB und Produkthaftung<\/td><\/tr>
Produkthaftung f\u00fcr Software<\/td>einzelstaatliches Recht<\/td>Richtlinie (EU) 2024\/2853 ab 9. Dezember 2026<\/td><\/tr><\/tbody><\/table>
Vereinfachte \u00dcbersicht der Zust\u00e4ndigkeiten f\u00fcr autonome KI-Agenten, Stand November 2026. Keine Rechtsberatung.<\/figcaption><\/figure>

Die Steuerfalle: jede Mikrozahlung ist eine Ver\u00e4u\u00dferung<\/h2>

Ein Aspekt, der in der Haftungsdebatte oft untergeht, trifft deutsche Nutzer besonders hart: die Steuer. In Deutschland gelten Kryptowerte als anderes Wirtschaftsgut und werden als privates Ver\u00e4u\u00dferungsgesch\u00e4ft nach Paragraf 23 EStG<\/a> behandelt. Jede Ver\u00e4u\u00dferung, auch das Bezahlen mit Krypto, ist ein steuerlich relevanter Vorgang. Zahlt ein Agent mit einem US-Dollar-Stablecoin, kann allein die Kursbewegung zwischen Euro und Dollar einen kleinen Gewinn erzeugen, der steuerlich z\u00e4hlt.<\/p>

Nun kombiniere man das mit den 138 Millionen Zahlungen von oben. Ein Agent, der im Minutentakt Kleinstbetr\u00e4ge zahlt, produziert potenziell Tausende steuerbarer Ver\u00e4u\u00dferungen pro Jahr, jede mit eigener Haltefrist und eigener Gewinnberechnung nach dem FIFO-Prinzip. Die Freigrenze von 1.000 Euro pro Jahr ist schnell \u00fcberschritten, und als Freigrenze (nicht Freibetrag) macht sie bei \u00dcberschreiten den gesamten Gewinn steuerpflichtig. Wer hochfrequent und rund um die Uhr automatisiert handeln l\u00e4sst, riskiert zudem, als gewerblich eingestuft zu werden, mit Gewerbesteuer und dem Verlust der Ein-Jahres-Steuerfreiheit.<\/p>

Daraus folgt ein praktisches und zugleich souver\u00e4nit\u00e4tspolitisches Argument f\u00fcr Euro-denominierte Stablecoins. Wer einen Agenten in einem Euro-E-Geld-Token zahlen l\u00e4sst, vermeidet die Dollar-Euro-Kursgewinne auf jeder Mikrozahlung. Genau deshalb ist die Aufwertung regulierter Stablecoins unter europ\u00e4ischer Aufsicht mehr als eine Randnotiz, wie unsere Analyse zu USDC unter EBA-Aufsicht<\/a> zeigt. Solange die Agenten-Schienen von USD-Stablecoins auf US-Chains dominiert werden, zahlen europ\u00e4ische Nutzer bei jedem Mikrobetrag einen kleinen steuerlichen Aufschlag.<\/p>

Was Betreiber und Nutzer jetzt tun k\u00f6nnen<\/h2>

Solange die Regeln hinterherhinken, verlagert sich der Schutz auf die technische und organisatorische Ebene. Die zentrale Einsicht aus den Vorf\u00e4llen des Jahres: Autonomie muss dosiert werden. Ein Agent braucht nur so viele Rechte, wie seine Aufgabe erfordert, und so viel Geld, wie ein Fehler h\u00f6chstens kosten darf. Die folgenden Punkte fassen zusammen, was Fachleute wie Buterin und die Aufseher gleicherma\u00dfen nahelegen.<\/p>

  • Ausgabelimits setzen: feste Tages- und Transaktionsobergrenzen, oberhalb derer eine menschliche Freigabe n\u00f6tig ist.<\/li>
  • Schl\u00fcssel isolieren: Signierrechte \u00fcber Session-Keys oder Smart-Account-Strukturen eng begrenzen, statt einem Agenten das Hauptwallet zu geben.<\/li>
  • Rechte minimieren: nur die n\u00f6tigen Vollmachten erteilen, Geschenke und unbekannte NFTs mit \u00dcbertragungsrechten blockieren.<\/li>
  • Widerruf dokumentieren: jeden Entzug einer Vollmacht beweissicher festhalten, so wie es die neuen Bankbedingungen bereits verlangen.<\/li>
  • Lokal und isoliert betreiben: nach Buterins Prinzip „Sandbox everything“ Inferenz und Dateien m\u00f6glichst lokal halten und den Agenten vom offenen Netz abschirmen.<\/li>
  • F\u00fcr die Steuer protokollieren: alle Transaktionen mit Zeitpunkt, Kurs und Geb\u00fchr aufzeichnen, idealerweise Euro-Stablecoins nutzen, um Kursgewinne auf Mikrozahlungen zu vermeiden.<\/li><\/ul>

    Keine dieser Ma\u00dfnahmen l\u00f6st den Grundkonflikt, sie begrenzen nur den Schaden. Aber genau das ist der Punkt: Wer einen Agenten einsetzt, sollte davon ausgehen, dass er im Ernstfall selbst haftet, und entsprechend konservativ konfigurieren.<\/p>

    Ausblick: Die Schienen sind gebaut, die Verantwortung noch nicht verteilt<\/h2>

    Das Jahr 2026 hat die Haftungsfrage von der Theorie in die Vertr\u00e4ge geholt. Wells Fargo d\u00fcrfte Schule machen; andere Banken haben den Zugang f\u00fcr fremde Agenten bereits beschr\u00e4nkt, der n\u00e4chste Schritt zu einer eigenen Haftungsklausel ist klein. Aufseher wie die CFTC werden weiter Foren abhalten, und die ESMA wird ihre KI-Erwartungen pr\u00e4zisieren. Doch keiner dieser Schritte l\u00f6st den Kern: Solange ein Agent keine Rechtspers\u00f6nlichkeit hat, bleibt immer ein Mensch \u00fcbrig, der zahlt.<\/p>

    Die eigentliche Spannung bleibt ungel\u00f6st. Die Infrastruktur f\u00fcr zahlende, handelnde Agenten ist schneller gewachsen als die Regeln daf\u00fcr, und die Nachfrage der Maschinen ist real, aber noch winzig pro Vorgang. Ob daraus ein tragf\u00e4higer Markt wird oder eine teure Lehrstunde, h\u00e4ngt weniger an der Technik als an einer schlichten Frage: Wer traut sich, einem St\u00fcck Software Geld und Vollmacht zu geben, wenn er wei\u00df, dass er am Ende selbst daf\u00fcr geradesteht? Bis diese Frage \u00fcberzeugend beantwortet ist, bleibt der kl\u00fcgste Agent der, dem man am wenigsten Autonomie l\u00e4sst.<\/p>

    H\u00e4ufig gestellte Fragen<\/h2>

    Wer haftet, wenn ein autonomer KI-Agent on-chain einen Verlust verursacht?<\/h3>

    Da ein KI-Agent keine Rechtspers\u00f6nlichkeit hat, f\u00e4llt die Haftung auf einen Menschen oder ein Unternehmen zur\u00fcck, in der Regel den Prinzipal, der den Agenten einsetzt und ihm Wallet und Vollmacht gibt. Welcher Beteiligte aus der Kette (Entwickler, Betreiber, Nutzer, Modellanbieter) einsteht, h\u00e4ngt davon ab, wer den fehlerausl\u00f6senden Teil kontrolliert hat. Banken wie Wells Fargo legen diese Verantwortung ab dem 24. November 2026 vertraglich auf ihre Kunden.<\/p>

    Was ist Prompt Injection und warum ist sie f\u00fcr Krypto-Agenten gef\u00e4hrlich?<\/h3>

    Prompt Injection bezeichnet eine versteckte Anweisung in Daten (einer Webseite, Nachricht oder Transaktionsnotiz), die ein Sprachmodell als Befehl ausf\u00fchrt, weil es Anweisung und Daten nicht sauber trennen kann. Bei einem Agenten mit eigenem Wallet kann das zu nicht autorisierten, endg\u00fcltigen Transaktionen f\u00fchren, wie im Fall Grok und Bankr im Mai 2026, bei dem rund 150.000 bis 200.000 US-Dollar abflossen.<\/p>

    Reguliert MiCA KI-Agenten in Deutschland?<\/h3>

    Nein, nicht als eigenst\u00e4ndige Akteure. MiCA wurde f\u00fcr Spot-Kryptowerte und Dienstleister geschrieben und wird von der BaFin beaufsichtigt, erfasst aber keine autonome Software. Sobald ein Agent ber\u00e4t oder Verm\u00f6gen verwaltet, kann MiFID II greifen; die ESMA erwartet dann weiterhin menschliche Aufsicht und Governance.<\/p>

    Muss ich Steuern zahlen, wenn mein Agent mit Stablecoins bezahlt?<\/h3>

    In Deutschland ist jede Ver\u00e4u\u00dferung von Kryptowerten nach Paragraf 23 EStG steuerlich relevant, auch das Bezahlen mit einem Stablecoin. Zahlt ein Agent in einem US-Dollar-Stablecoin, kann der Euro-Dollar-Kursgewinn pro Zahlung z\u00e4hlen; bei vielen Mikrozahlungen entstehen so potenziell Tausende steuerbarer Vorg\u00e4nge. Die Freigrenze liegt bei 1.000 Euro pro Jahr, hochfrequenter Betrieb kann als gewerblich gelten.<\/p>

    Wie gro\u00df ist der Markt f\u00fcr KI-Agenten-Token im November 2026?<\/h3>

    Die CoinGecko-Kategorie „AI Agents“ kam am 12. November 2026 auf rund 2,82 Milliarden US-Dollar (umgerechnet etwa 2,55 Milliarden Euro), mit einem Tagesvolumen von rund 209 Millionen US-Dollar. Gr\u00f6\u00dfte Token waren Venice (VVV), Virtuals (VIRTUAL) und die ASI Alliance (FET). Framework-Qualit\u00e4t und Token-Kurs fallen dabei oft auseinander.<\/p>