Wenn die Software selbst bezahlt: Der Standardkrieg um Agentic Commerce 2026

Der Moment, in dem die Maschine die Kreditkarte zückt

Stellen Sie sich vor, Sie sagen Ihrem KI-Assistenten: „Bestell mir bis Freitag neue Laufschuhe in meiner Größe, unter 120 Euro, am besten die, die ich letztes Jahr hatte.“ Und dann passiert — nichts mehr, das Sie tun müssen. Der Agent durchsucht Shops, vergleicht Preise, legt das Paar in den Warenkorb, schließt den Kauf ab und meldet sich erst wieder mit der Versandbestätigung. Genau diese Vorstellung treibt 2026 eine der größten stillen Infrastruktur-Schlachten der Tech-Branche an.

Bislang waren KI-Agenten Berater: Sie konnten recherchieren, zusammenfassen, einen Link vorschlagen. Den letzten Schritt — bezahlen — mussten Menschen selbst gehen. Dieser Schritt fällt gerade. Innerhalb weniger Tage im Mai 2026 verkündete Visa ein Investment in die Coding-Plattform Replit, „um Entwicklern agentische Zahlungen zu ermöglichen“, und Google rüstete Google Pay mit einem neuen Protokoll für autonom auslösende KI-Käufe aus. Das sind keine Einzelfälle, sondern Mosaiksteine eines größeren Bildes: Die Branche baut gerade die Schienen, auf denen Software selbst Geld ausgibt.

Warum „bezahlen“ für Agenten ein hartes Problem ist

Auf den ersten Blick klingt das trivial — der Agent benutzt eben die hinterlegte Kreditkarte. In der Praxis bricht hier das gesamte Sicherheitsmodell des Online-Bezahlens zusammen. Das heutige System ist darauf ausgelegt, einen Menschen zu erkennen: Er gibt eine Kartennummer ein, bestätigt per Passwort oder Fingerabdruck, ist im Zweifel ansprechbar. Ein Agent ist nichts davon. Für einen Händler ist er zunächst ununterscheidbar von einem betrügerischen Bot.

Daraus ergeben sich drei Fragen, die alle Akteure gleichzeitig lösen müssen. Erstens die Identität: Woher weiß der Shop, dass dieser Agent wirklich im Auftrag eines echten Kunden handelt und nicht ein Angreifer ist? Zweitens die Grenze: Wie stellt man sicher, dass der Agent genau das kauft, was der Mensch wollte — und nicht versehentlich zehn Paar Schuhe? Drittens die Haftung: Wer zahlt, wenn doch etwas schiefgeht? Eine nackte Kreditkartennummer an einen Agenten weiterzureichen, beantwortet keine dieser Fragen — es vergrößert nur das Risiko.

Die technische Antwort, auf die sich praktisch alle Lager geeinigt haben, lautet: kryptografisch signierte, eng begrenzte Berechtigungen statt roher Zahlungsdaten. Man kann es sich wie einen digitalen Vollmachtszettel vorstellen, der nur für einen bestimmten Händler, einen bestimmten Betrag und einen bestimmten Einkauf gilt — und der fälschungssicher belegt, dass der Mensch ihn ausgestellt hat. Der Agent trägt nie die Kreditkarte selbst, sondern nur diese begrenzte Vollmacht.

Vier Lager, ein Schlachtfeld

So weit die Einigkeit. Über das Wie herrscht ein regelrechter Standardkrieg, in dem sich vier Lager formiert haben — teils konkurrierend, teils überlappend.

Google verfolgt den umfassendsten Ansatz mit zwei aufeinander aufbauenden Protokollen. Das Ende 2025 vorgestellte Agent Payments Protocol (AP2) regelt die sichere Zahlung über drei „Mandate“: ein Intent-Mandat (die ursprüngliche Absicht des Nutzers, etwa „kauf X, wenn unter Y Euro“), ein Cart-Mandat (die exakte, vom Nutzer bestätigte Warenkorb-Zusammenstellung) und ein Payment-Mandat (die Verknüpfung mit der Zahlungsmethode). Alle drei sind kryptografisch signiert und ergeben zusammen eine lückenlose, nicht abstreitbare Beweiskette — entscheidend für spätere Streitfälle. Darüber liegt das im Mai erweiterte Universal Commerce Protocol (UCP), das die Commerce-Schicht standardisiert: Produktsuche, Warenkorb, Checkout. AP2 zählt über 60 Partner, darunter Mastercard, PayPal, Amex und Coinbase; Google hat das Protokoll an die FIDO-Allianz übergeben, um es als offenen Industriestandard zu etablieren.

OpenAI und Stripe bilden das zweite Lager. Ihr gemeinsam entwickeltes, quelloffenes Agentic Commerce Protocol (ACP) steckt hinter ChatGPTs „Instant Checkout“. Kernstück ist ein neues Zahlungs-Primitiv namens Shared Payment Token — ein Einmal-Token, das auf einen Händler und einen Warenkorb-Betrag begrenzt ist und ChatGPT bezahlen lässt, ohne die Daten des Käufers offenzulegen. Wichtig für Händler: Sie behalten die Kundenbeziehung, akzeptieren oder lehnen Bestellungen ab, berechnen Steuern und wickeln Retouren wie gewohnt ab. Erste Schritte laufen mit Etsy- und über eine Million Shopify-Händlern.

Die Kartennetzwerke sichern ihr ureigenes Terrain. Visas Trusted Agent Protocol (entwickelt mit Cloudflare) prüft und registriert Agenten zentral, sodass Händler einen „Visa-vertrauenswürdigen“ Agenten von schädlichem Bot-Verkehr unterscheiden können — mit minimalem Umbau auf Händlerseite. Mastercards Agent Pay setzt auf „Agentic Tokens“, die ein tokenisiertes Karten-Credential fest an einen bestimmten Agenten, einen Händler-Bereich und eine Zustimmungs-Regel binden. Beide bauen auf der Tokenisierungs-Technik auf, die das kontaktlose Bezahlen seit Jahren absichert.

Ein viertes, kleineres Lager kommt aus der Krypto-Welt: Coinbases x402 wickelt Stablecoin-Zahlungen direkt über das Web-Protokoll HTTP ab und zielt auf Maschinen, die sich selbst finanzieren — etwa Bezahlung pro KI-Abfrage. Die Vision ist faszinierend, die reale Nachfrage bislang gering: Berichte sprechen trotz milliardenschwerer Ökosystem-Bewertung von nur fünfstelligen Tagesvolumina, vieles davon Testverkehr.

Die unbeantwortete Frage: Wer haftet?

So ausgefeilt die kryptografischen Lösungen sind — die wirtschaftlich heikelste Frage ist juristisch, nicht technisch. Was passiert, wenn der Agent die falsche Reise bucht, das überteuerte Abo abschließt oder auf einen gefälschten Shop hereinfällt? Die Beratung NewtonX spricht von einem „Haftungs-Vakuum“ in dreistelliger Milliardenhöhe und warnt, dass die Finanzbranche zentrale Fragen schlicht noch nicht beantwortet hat.

Die Konturen einer Antwort zeichnen sich ab. Eine Stellungnahme der US-Verbraucherschutzbehörde CFPB von Anfang 2026 stellte klar, dass von Agenten ausgelöste Kartenzahlungen unter das bestehende Rückbuchungs- und Streitfall-Regime fallen — das Verbraucherrecht auf Widerspruch erlischt also nicht dadurch, dass man einen Agenten beauftragt hat. In der EU verschiebt die geplante KI-Haftungsrichtlinie die Beweislast tendenziell zur einsetzenden Partei, sofern diese nicht Mandate, Audit-Spuren und Zustimmungsnachweise vorlegen kann. Genau hier zahlt sich AP2s lückenlose Beweiskette aus: Sie ist weniger ein Sicherheits-Feature als ein Haftungs-Werkzeug. Die Branche fasst den Wandel so zusammen — die Klärung von Betrug und Streitfällen wandert nach vorn, ins Design der Autorisierung selbst. Wer den Akteurstyp korrekt identifiziert und seine Autonomie sauber begrenzt hat, steht im Streitfall besser da.

Was das für Unternehmen bedeutet

Für Entscheider in Handel, Fintech und SaaS ist das keine ferne Zukunftsmusik. Schon im Weihnachtsgeschäft 2025 beeinflussten KI-Quellen laut Adobe einen erheblichen Teil des globalen Online-Umsatzes; der Traffic aus generativen Assistenten wuchs dreistellig, und — kontraintuitiv — diese Besucher konvertierten häufiger und mit höherem Umsatz pro Besuch als klassischer Traffic. eMarketer schätzt, dass KI-Plattformen 2026 bereits gut ein Prozent des US-E-Commerce ausmachen, mit Vervielfachung gegenüber dem Vorjahr.

Daraus folgen konkrete Hausaufgaben. Händler müssen ihre Produktdaten und Checkout-Endpunkte maschinenlesbar bereitstellen — die Sichtbarkeit für KI-Agenten wird zur neuen Disziplin neben klassischem SEO — und legitimen Agent-Traffic von schädlichen Bots unterscheiden. Recht und Einkauf sollten die Haftung für fehlerhafte oder betrügerische Agenten-Käufe explizit mit den KI-Plattform-Anbietern regeln und Nachweise über Zustimmung und Mandate vorhalten. Fintech- und SaaS-Teams brauchen tokenisierte, eng begrenzte Berechtigungen und ein Echtzeit-Monitoring auf auffälliges Agentenverhalten.

Und schließlich ist da das strategische Risiko. Wer den Standard kontrolliert — Googles Vermittler-Server, Visas Agenten-Registry — wird zum Türsteher einer neuen Schicht des Internets. Für CIOs heißt das: Abhängigkeiten früh bewerten, statt sich später in ein Protokoll einzumauern. Die Chance ist real, der Lock-in auch. Der eigentliche Wettlauf 2026 entscheidet sich nicht daran, welcher Agent am klügsten einkauft — sondern daran, wessen Schienen er dabei benutzt.