Banken blockieren KI-Agenten zu Recht, doch Mauern sind kein Plan

Würden Sie einem Fremden das Passwort Ihres Online-Bankings geben, weil er verspricht, Ihre Ersparnisse zu optimieren? Im Kern ist genau das der Handel, wenn sich ein Agent mit den eigenen Zugangsdaten eines Kunden anmeldet. Deshalb verdient die Nachricht, dass US-Banken die Tür schließen, weniger Empörung, als sie derzeit erfährt.

Das ist bislang berichtet worden. Axios berichtete, dass große US-Banken nicht autorisierte KI-Agenten von Drittanbietern entdecken, die in Kundenkonten agieren. Reuters meldete anschließend, dass große Banken solche Agenten daran hindern, in Konten zu operieren und Transaktionen auszuführen. Laut Banking Exchange haben Bank of America und Citigroup sie eingeschränkt und damit JPMorgan Gesellschaft geleistet; die New York Post verwendet in ihrer Schlagzeile das Wort „Albtraum“.

Die Sperre ist vertretbar, weil niemand vier Grundfragen beantworten kann

Eine Bank muss wissen, wer handelt, wessen Vollmacht diese Person oder Instanz trägt, was sie gerade tun darf und welche Nachweise danach vorliegen. Das ist nicht unsere Formulierung; sie entspricht in etwa der Beschreibung des Problems im Whitepaper von Ping Identity. Es nennt ein Detail, das die Nervosität der Banken erklärt: Ein Agent kann asynchron arbeiten, viele Werkzeuge verketten und Anfragen stellen, die einzeln gültig aussehen, während die Gesamtfolge von dem abweicht, was der Kunde wollte.

Ein passwortbasierter Login kann nichts davon ausdrücken. Er kann nicht sagen „Kontostand prüfen, aber nie Geld bewegen“, und er kann einen Menschen nicht von einem Skript unterscheiden. Meldet sich ein Agent mit den Zugangsdaten eines Kunden an, sieht die Bank den Kunden. Eine Betrugsabteilung, die da nicht mitspielt, macht aus unserer Sicht ihre Arbeit.

Die Haftung ist die andere Hälfte. Das Symposiumspapier der Consumer Bankers Association weist darauf hin, dass der Electronic Fund Transfer Act klare Spielregeln festlegte, darunter Grenzen der Verbraucherhaftung bei vielen nicht autorisierten Transaktionen. Unseres Erachtens wurden diese Regeln für Menschen und Karten geschrieben, nicht für einen Chatbot, der beschließt zu „helfen“. Solange nicht geklärt ist, wer den Schaden trägt, wenn ein Agent eine Anweisung falsch versteht, haben Banken jeden Anreiz, Nein zu sagen. Wir würden ebenfalls Nein sagen.

Doch pauschale Verbote sind ein verkappter geschlossener Garten

Hier trennen wir uns von den Befürwortern der Aussperrung. Blockieren ist eine Übergangslösung, keine Strategie. Das Risiko besteht darin, dass „Sicherheit“ allmählich zur Begründung dafür wird, dass jede Bank einen eigenen Agenten, eigene zugelassene Partner und ein eigenes Mautsystem aufbaut.

Der regulatorische Hintergrund zeigt, wie real dieses Risiko ist. Die Section-1033-Regel der CFPB, im Oktober 2024 finalisiert, würde Institute verpflichten, Verbraucherdaten autorisierten Dritten zur Verfügung zu stellen. Socure weist jedoch darauf hin, dass sie Gegenstand von Rechtsstreitigkeiten ist und von der neuen CFPB-Führung überprüft wird. Zudem hindere die Regel Banken nicht daran, Zugangsgebühren zu erheben, ein Punkt, der weiterhin heftig umstritten ist. Bei so wackeligem rechtlichem Fundament haben Banken unserer Einschätzung nach wenig Druck, sich zu öffnen, und viele Gründe, Kunden in den eigenen Kanälen zu halten.

Der Markt wartet unterdessen nicht. Invela berichtete im August, dass Plaid und Sierra KI-Agenten ermöglichen, Bankkonten zu verbinden und mitten im Gespräch auf Basis der Daten zu handeln. Open Banking Tracker führt bereits ein Verzeichnis von Banken, die eigene Model-Context-Protocol-Server bereitstellen. Zugelassener Agentenzugang ist also keine Science-Fiction; einige Institute bauen ihn.

Wie ein zugelassener Standard aussehen sollte

Unser Vorschlag ist leicht formuliert und schwer umzusetzen. Agenten sollten als regulierte Akteure behandelt werden, so die Wortwahl von Ping: mit eigener Identität, überprüfbarer Verbindung zum Kunden und Berechtigungen, die nach Zweck, Umfang, Dauer und Risiko begrenzt sind. Einen Kontostand abzufragen, eine Überweisung vorzubereiten und Gelder freizugeben sollten unterschiedliche Berechtigungsstufen sein, wobei folgenreiche eine menschliche Freigabe erfordern. Der Widerruf sollte sofort wirken, und jede Anfrage sollte eine Prüfspur hinterlassen.

Das ist im Grunde die Lehre aus dem Open Banking, erneut angewandt. Die Ablösung der Weitergabe von Zugangsdaten durch Schnittstellen mit Berechtigungen war ein Ziel der früheren Welle, und Agenten sind ein Belastungstest dafür, ob die Branche es ernst meinte. Konsentus argumentiert, agentische KI stelle die statischen Einwilligungsmodelle der PSD2 infrage; wenn die für einmalige Abläufe gedachte Einwilligung schon knirscht, ist ein an einen Bot übergebenes Passwort aussichtslos.

Unser Urteil

Wer Kunde ist, sollte seine Bankzugangsdaten keinem Agenten geben, so hilfreich die Demo auch aussieht. Banken sollten die Sperren beibehalten, bis sie etwas Besseres anbieten können, und einen Zeitplan dafür veröffentlichen. Entwickler von Agenten sollten aufhören, so zu tun, als sei der Bildschirmzugriff ein Feature.

Die Sperren sind die richtige kurzfristige Antwort. Wenn aber in einem Jahr die einzige Möglichkeit, einen Agenten mit dem eigenen Geld zu nutzen, jene ist, die die eigene Bank verkauft, hat die Branche ein Sicherheitsproblem durch ein Wettbewerbsproblem ersetzt. Aufsichtsbehörden und Banken sollten einen gemeinsamen Standard anstreben, nicht eine Sammlung von Gärten.