Die Identitätsfrage der KI-Agenten: Wer haftet, wenn die Software selbst handelt?

Ein Ausweis für die Software

Als Estlands Premierminister Kristen Michal am 17. Juni ankündigte, sein Land werde als erstes der Welt KI-Agenten eigene digitale Identitäten geben, klang das nach einer obskuren Verwaltungsfrage aus einem kleinen Ostsee-Staat. Tatsächlich rührt der Vorstoß an ein Problem, das 2026 jedes Unternehmen betrifft, das auch nur einen einzigen KI-Agenten produktiv einsetzt — und das sind inzwischen die meisten.

Der Kern der estnischen Idee ist bestechend einfach. Heute handelt ein KI-Agent, der für Sie eine Rechnung bezahlt oder einen Termin bucht, mit Ihrer Identität. Er borgt sich Ihren Login, Ihre Berechtigungen, Ihre Vollmacht — und im Zweifel kann hinterher niemand mehr sagen, ob Sie oder Ihre Software gehandelt haben. Estland will das auflösen: Der Agent bekommt einen eigenen „AI ID code", an den sich fein abgestufte Rechte knüpfen lassen — nur lesen, nur ein Dokument vorbereiten, oder auch zahlen, und falls ja, bis zu welchem Limit. Das Land kann das, weil es mit X-Road, e-ID und dem Staatsassistenten „Bürokratt" die digitale Infrastruktur dafür längst betreibt.

Michals Begründung ist der eigentliche Aufhänger dieser Reportage: „Es muss klar sein, wer mit welchen Rechten in wessen Namen handelt — und wer letztlich verantwortlich ist." Genau diese drei Fragen — Identität, Autorisierung und Haftung — sind das ungelöste Fundament der gesamten Agenten-Welle.

Warum das alte Modell bricht

Um zu verstehen, warum das ein Problem ist, hilft eine Analogie. Stellen Sie sich einen Hotel-Concierge vor, dem Sie für eine Aufgabe Ihren Generalschlüssel geben — den, der alle Türen öffnet. Solange der Concierge nur Ihren Koffer aufs Zimmer bringt, ist das bequem. Problematisch wird es, wenn ihn jemand mit einer freundlich formulierten Bitte dazu bringt, eine andere Tür zu öffnen. Genau so funktioniert ein KI-Agent, der mit den vollen Zugangsrechten seines Nutzers ausgestattet ist.

In der Fachsprache heißt diese Schwachstelle „Confused Deputy Problem" — der verwirrte Stellvertreter. Ein Programm mit hohen Rechten wird von einem Akteur mit niedrigen Rechten dazu gebracht, seine Autorität zu missbrauchen. Bei KI-Agenten ist das brandgefährlich, weil sie über Prompt Injection manipulierbar sind: Wer in einen Kanal schreiben kann, den der Agent liest — eine E-Mail, ein GitHub-Ticket, ein abgerufenes Dokument —, kann ihm Anweisungen unterschieben, die er dann mit der vollen Autorität seines Betreibers ausführt. Das Sicherheitsinstitut SANS beschreibt einen typischen Fall: Ein Infrastruktur-Agent hält gleichzeitig Zugangsdaten für vier Systeme — Cloud-Monitoring, Datenbank, Ticketing, Chat. Wird er gekapert, hat der Angreifer sofort alle vier — der „Explosionsradius" ist enorm.

Verschärft wird das durch schiere Masse. Maschinen-Identitäten übersteigen menschliche heute um ein Vielfaches: Sicherheitsfirmen nennen Verhältnisse von 80:1 (CyberArk) über 144:1 (Entro Labs) bis zu extremen Werten in großen Cloud-Umgebungen — je nach Zählweise. Allein auf Microsofts Copilot-Studio-Plattform hatten Nutzer bis Mitte 2026 über eine Million Agenten erstellt. Gartner erwartet, dass 2028 ein Drittel aller Unternehmens-Anwendungen agentische KI enthält. Kaum eine Organisation hat überhaupt einen Überblick, wie viele Agenten, Service-Accounts und API-Schlüssel mit welchen Rechten in ihren Systemen unterwegs sind.

Estland ist nicht allein

Der estnische Vorstoß ist die erste staatliche Antwort, aber längst nicht die einzige Initiative. Die Ukraine startete bereits im September 2025 mit „Diia.AI" den ersten staatlichen KI-Agenten, der Verwaltungsleistungen nicht nur erklärt, sondern ausführt — interessanterweise mit dem gegenteiligen Datenschutz-Ansatz: Diia.AI gibt nur depersonalisierte Anfragen an das Sprachmodell weiter, der Agent bekommt also gerade keine eigene Identität mit Zugriff auf persönliche Daten. Das US-Institut NIST rief im Februar 2026 eine „AI Agent Standards Initiative" ins Leben und veröffentlichte ein Konzeptpapier ausdrücklich zu „AI Agent Identity and Authorization". Singapur legte ein Governance-Framework für agentische KI vor.

Noch dynamischer ist die Industrie. Hier entsteht 2026 eine ganze Architektur für Agenten-Identität. Auf Protokoll-Ebene wurde das von Anthropic stammende Model Context Protocol (MCP) Ende 2025 an die Linux Foundation übergeben und um Server-Identität und OAuth-Mechanismen erweitert. Okta stellte mit „Cross App Access" eine Erweiterung vor, die Autorisierungsentscheidungen vom einzelnen Programm zum zentralen Identitätsanbieter verlagert. Microsoft brachte im April 2026 „Entra Agent ID" in die allgemeine Verfügbarkeit — Agenten werden dort als vollwertige Identitäten behandelt, mit Zero-Trust-Prinzipien wie für Menschen. AWS, Google und Cloudflare haben vergleichbare Bausteine.

Besonders relevant für Geschäftsentscheider ist die Zahlungs-Ebene. Googles im September 2025 vorgestelltes „Agent Payments Protocol" (AP2) hat über 60 Partner, darunter Mastercard, PayPal und American Express. Es arbeitet mit drei kryptografisch signierten „Mandaten" — für die Absicht, den Warenkorb und die Zahlung —, sodass nachweisbar bleibt, wozu ein Nutzer seinen Agenten tatsächlich autorisiert hat. Visa und Mastercard bauen eigene Varianten. Und unter dem Schlagwort „Know Your Agent" — analog zum „Know Your Customer" im Banking — entwickeln Anbieter wie Trulioo und Worldpay einen „Digital Agent Passport": eine fälschungssichere Berechtigung, die Herkunft, Nutzer-Bindung und Rechte-Umfang eines Agenten bündelt und sein Verhalten laufend überwacht.

Die Haftungsfrage, die niemand gelöst hat

So viel Bewegung es bei der Identität gibt — bei der Haftung herrscht ein gefährliches Vakuum. Der Grundsatz im Jahr 2026 ist klar: KI-Agenten sind in keiner Rechtsordnung eigene Rechtspersonen. Sie bleiben Werkzeuge, und ihre Handlungen werden Menschen oder Unternehmen zugerechnet. Die Haftung „kollabiert auf den Deployer" — auf das Unternehmen, das den Agenten einsetzt.

Den maßgeblichen Präzedenzfall lieferte schon 2024 das kanadische Verfahren Moffatt gegen Air Canada. Ein Chatbot der Fluglinie hatte einem Kunden eine falsche Auskunft zu Trauerfall-Tarifen gegeben. Air Canada argumentierte, der Chatbot sei eine „separate juristische Einheit", die selbst für ihre Aussagen verantwortlich sei. Das Gericht wies das ausdrücklich zurück: Das Unternehmen hafte für alle Informationen auf seiner Website — ob statische Seite oder Chatbot. Das Leitmotiv für jedes Unternehmen lautet seither: Du kannst dich nicht hinter deinem Agenten verstecken.

Der regulatorische Rahmen zieht nach, wenn auch unvollständig. Die neue EU-Produkthaftungsrichtlinie stuft Software einschließlich KI als „Produkt" mit verschärfter Haftung ein und verschiebt die Beweislast zugunsten Geschädigter; Artikel 50 des EU AI Act verlangt ab August 2026 Transparenz- und Protokollpflichten. In den USA stellt ab 2026 wirksames Recht klar, dass die autonome Funktionsweise eines Systems kein Haftungsschild ist — „die KI hat entschieden" entlastet niemanden. Was alle diese Regeln eint: Sie machen das einsetzende Unternehmen verantwortlich. Estlands Ausweis schafft die technische Zuordenbarkeit, die solche Haftung überhaupt erst nachweisbar macht — aber er beantwortet die Verteilungsfrage zwischen Betreiber, Hersteller und Nutzer noch nicht. Genau das kreiden Beobachter dem Vorstoß an.

Was Unternehmen jetzt tun sollten

Aus all dem lassen sich drei konkrete Handlungsempfehlungen ableiten, unabhängig davon, ob man Agenten einkauft oder selbst baut.

Erstens: eine Inventur der nicht-menschlichen Identitäten. Man kann nicht steuern, was man nicht zählt. Angesichts von Verhältnissen jenseits von 80:1 zwischen Maschinen- und Menschen-Identitäten ist der erste Schritt, alle Agenten, Service-Accounts und Schlüssel samt ihrer Berechtigungen zu erfassen, jedem einen Verantwortlichen zuzuweisen und verwaiste Zugänge stillzulegen. Eine Untersuchung der Firma Astrix fand, dass 53 Prozent von 5.200 quelloffenen MCP-Servern statische, langlebige Schlüssel verwenden — und nur 8,5 Prozent das sicherere OAuth.

Zweitens: das Prinzip der minimalen Rechte mit kurzlebigen Zugangsdaten. Kein Agent sollte dauerhaft breite Vollmachten horten — genau das macht den verwirrten Stellvertreter so gefährlich. Das sicherere Muster: Der Agent erhält erst nach einer Richtlinienprüfung ein eng zugeschnittenes, nur Minuten gültiges Token für genau die anstehende Aktion. Dazu gehört abgestufte menschliche Aufsicht: Harmloses automatisch freigeben, Mittleres asynchron melden, Riskantes synchron mit Bestätigung absegnen. Estlands Idee gestufter Limits — nur lesen, nur Dokumente, Zahlung bis X Euro — ist dafür die staatliche Blaupause.

Drittens: eigene Identitäten und lückenlose Protokolle als Pflicht. Jeder Agent braucht eine eigene, verifizierbare Identität statt der geliehenen seines Nutzers — damit jede Handlung eindeutig zurückverfolgbar bleibt. Das ist nicht nur Sicherheitshygiene, sondern Compliance-Vorsorge: Wenn die Beweislast sich verschiebt und Protokollpflichten greifen, sind manipulationssichere Audit-Trails die beste Verteidigung im Streitfall.

Die eigentliche Botschaft des estnischen Vorstoßes ist also keine technische, sondern eine kulturelle. Wir treten in eine Phase ein, in der Software nicht mehr nur Informationen anzeigt, sondern eigenständig handelt — Verträge anbahnt, Geld bewegt, Behördengänge erledigt. Eine Gesellschaft, die das zulässt, muss beantworten können, wer dahintersteht. Estland hat als erstes Land entschieden, die Antwort in einen Ausweis zu schreiben. Die schwierigere Hälfte der Frage — wer am Ende zahlt, wenn es schiefgeht — bleibt vorerst offen.