Anonyme KI-Einkaufsagenten sind ein Geschenk an Betrüger

Stellen Sie sich ein Geschäft vor, in dem fast jeder Kunde maskiert hereinkommt und der Wachmann allein am Gang erkennen soll, wer einkauft und wer stiehlt. So ungefähr steht es derzeit um den agentischen Handel, und die Zahlen sollten jeden beunruhigen, der online verkauft.

Am 20. Oktober 2026 veröffentlichte Arkose Labs seinen Q3 2026 State of Agentic AI Trust Report. Wie PPC Land berichtet, legten nur 2,3 % der Agentensitzungen, die das Unternehmen als legitim einstufte, eine verifizierte Web-Bot-Auth-Signatur vor. Die übrigen 97,7 % gaben keine verifizierte Offenlegung ab. Bei 65,2 % der Kunden von Arkose erreichten Agenten Login-, Registrierungs- und Checkout-Abläufe.

Eine Einschränkung vorab: Arkose verkauft die Werkzeuge, die dieses Problem lösen sollen, die Daten stammen vom Unternehmen selbst, und es veröffentlicht Prozentwerte ohne absolute Zahlen. Die Angaben sind als Richtungsanzeige zu verstehen, nicht als Volkszählung. Die Richtung lässt sich allerdings kaum bestreiten.

Ehrliche Agenten sind die Ausnahme, nicht die Regel

Am aufschlussreichsten ist, wer überhaupt signiert. Laut Bericht signierte ChatGPT agent 78,4 % seiner Sitzungen und war der einzige Agent, der das in großem Umfang tat. Dennoch blieb die netzwerkweite Quote bei 2,3 %. Ein einzelnes vorbildliches Produkt bewegt wenig, wenn der Rest des Marktes schweigt.

Und die Schweigenden sind keineswegs unbekannt. Arkoses eigene Seiten beschreiben Metas Muse als einen Agenten, der in Netzwerken wie ein Chrome-Browser auftritt, und halten fest, dass solche Agenten weder eine Signatur noch einen besonderen User-Agent haben. Nach Angaben von Arkose wuchsen die Muse-Sitzungen in den vier Wochen nach dem kostenlosen Start für US-Verbraucher am 8. September um das 35-Fache. Niemand hat etwas integriert. Der Agent nutzte schlicht das ohnehin vorhandene Login-Formular.

Unserer Ansicht nach liegt hier der Kern. Die Branche hat sich jahrelang vorgestellt, Agenten würden höflich APIs mit sauberen Leitplanken nutzen. Gekommen sind stattdessen Agenten, die das gewöhnliche Web bedienen, im Auftrag echter Menschen handeln und keinen Grund haben, sich auszuweisen. Freiwillige Offenlegung setzte einen kooperativen Markt voraus, und der Markt hat nicht kooperiert.

Absichtsbewertung ist ein Pflaster, kein Fundament

Arkoses Antwort lautet, nach Verhalten, Gerät und Absicht statt nach Identität zu klassifizieren. Das ist ein vernünftiger Ansatz und derzeit wohl notwendig. Der leitende Forscher Mitchell Davies bringt es treffend auf den Punkt: Jeder Agent zeigt etwas Automatisierung, die eigentliche Frage ist also, was der Agent vorhat.

Doch was heißt das in der Praxis? Verteidiger müssen jeden Agenten anhand von Mausbewegungsspuren und Netzwerk-Fingerabdrücken nachbauen, und Agenten wechseln ohne Vorwarnung ihre Versionen. Arkose selbst vermerkt, dass Muse in der ersten Oktoberhälfte zu Privatanschlüssen wechselte und Grok Bot aufhörte, seine Anfragen zu signieren. Das ist ein Wettrüsten, und Wettrüsten begünstigen jene, die sich ständige Anpassungen leisten können. Betrüger können das.

Schlimmer noch: Die Kosten eines Fehlurteils sind ungleich verteilt und unsichtbar. Wer einen legitimen Agenten blockiert, verbucht den Verkauf nie als Verlust, weil die Sitzung einfach endet, so Arkose. Wer alles durchwinkt, stellt einen Blankoscheck aus. Kleine Händler ohne Betrugsabwehr-Team dürften sich vermutlich für das eine oder das andere Extrem entscheiden.

Hinzu kommt ein stilles Anreizproblem. Rutschen nicht offengelegte Agenten leichter an den Abwehrmaßnahmen vorbei als signierte, wird Offenlegung für ehrliche Anbieter zum Nachteil. Das ist verkehrt herum.

Offenlegung zur Eintrittsbedingung machen

Die technische Grundlage existiert. Web Bot Auth erlaubt es einem Agenten, seine Anfragen kryptografisch zu signieren. Laut der Zusammenfassung von ecommerceparadise hat Cloudflare es im Mai 2025 vorgeschlagen, und der IETF-Entwurf ist weiterhin ein Internet-Draft ohne RFC-Nummer. Er ist unfertig; unfertige Standards sind eine schlechte Ausrede zum Abwarten, vermutlich aber ein echter Grund für die geringe Verbreitung.

Unsere Position: Die Identitätsschicht sollte wie ein Kfz-Kennzeichen funktionieren. Jeder darf fahren, aber das Fahrzeug muss identifizierbar sein. Das heißt dreierlei.

• Große Agentenanbieter sollten standardmäßig signieren und öffentlich sagen, wenn sie es nicht tun.
• Händler und Zahlungsnetzwerke sollten signierten Agenten eine schnellere Spur geben, damit sich Ehrlichkeit lohnt.
• Regulierer und Kartennetzwerke sollten eine Offenlegungspflicht für Agenten erwägen, die Geld bewegen, da freiwillige Modelle ins Stocken geraten sind.

Signieren ist kein Allheilmittel. Arkoses eigene Seite warnt, dass ein Agent eine gültige Signatur vorlegen und trotzdem etwas versuchen kann, das Sie nie erlaubt haben; Identität muss also mit Autorisierungs- und Absichtsprüfungen kombiniert werden. Ein verifizierter Bot ist jedoch zur Rechenschaft zu ziehen, und darum geht es: Im Schadensfall kann jemand haftbar gemacht werden.

Das Fazit: Wer einen Onlineshop oder einen Banking-Ablauf betreibt, sollte nicht auf einen fertigen Standard warten. Finden Sie heraus, welche Agenten bereits Ihren Checkout erreichen, legen Sie Regeln pro Ablauf statt einer pauschalen Sperre fest und verlangen Sie von Anbietern Signaturen. Anonyme Agenten, die in großem Maßstab Transaktionen abwickeln, sind keine technische Kuriosität. Wird Offenlegung nicht zur Norm, sind sie eine offene Einladung.