In den USA streiten sie darüber, wer eingekauft hat. In Europa steht längst fest, wer zahlt.
Fast die ganze eCommerce Welt schaut gerade auf autonome Agenten. Wer baut den besten? Welche Plattform wird zum zentralen Kanal? Wer kauft wen? Meta hat im September beide Seiten des bisherigen Kaufgespräches eingesammelt, und prompt lautete die Frage überall gleich: gehört denen jetzt der Handel?
Nein. Überhaupt nicht.
Der Agent ist der Teil, der gerade verschenkt wird. Wer darauf starrt, schaut der Vorstellung zu und übersieht den eigentlichen Wert.
Dreissig Jahre lang lautete die Frage: wem gehört der Kunde? Wer den Zugang hielt, hielt die Marge. Jede Plattformdebatte seit dem ersten Onlineshop war eine Variation davon, und wir haben uns so daran gewöhnt, dass wir sie für die einzige halten.
Sie wird gerade nachrangig. Nicht falsch, nachrangig. Zugang wird billig, sobald ihn eine Maschine herstellt, und was billig wird, hört auf, ein Vorteil zu sein.
Die Frage, die nachrückt, klingt nach Verwaltung: wessen Autorisierung gilt, wenn kein Mensch mehr selbst auf „Kaufen“ geklickt hat? Sie ist keine Verwaltungsfrage. Sie entscheidet, wer bezahlt, wenn etwas schiefgeht. Und wer bezahlt, setzt die Bedingungen.
In Kalifornien haben sie entschieden, wer einkauft
Im November 2025 hat Amazon Perplexity vor einem Bundesgericht in Nordkalifornien verklagt. Deren Browser Comet loggte sich mit den Zugangsdaten der Nutzer in Amazon-Konten ein, verglich Produkte und gab Bestellungen auf. Amazons Vorwurf lautet, die Anfragen wie gewöhnlichen Browserverkehr aussehen zu lassen, gegen die Nutzungsbedingungen zu verstossen und nach mehreren Abmahnungen einfach weiterzumachen.
Im März 2026 gab das Gericht Amazon recht und untersagte Comet den Einkauf. Im August hob das Berufungsgericht das wieder auf, und die Begründung ist der interessanteste Satz dieses Jahres: Das amerikanische Computerstrafrecht von 1986 meine den Zugriff durch eine Person. Der Agent sei aber ein Werkzeug, keine Person. Zugegriffen habe der Nutzer, nicht Perplexity, denn die Anfragen liefen über dessen eigenes Gerät.
Ein Werkzeug also. Wie ein Schraubenzieher, nur dass dieser bestellt.
Einer der Richter kommentierte dazu, ein Gesetz von 1986 sei für diese Sachlage nicht geschrieben worden. Damit ist in den USA geklärt, wer einkauft. Wer bezahlt, wenn das Werkzeug einen Fehler macht, hat dort niemand gefragt, weil die Klage von Computermissbrauch handelte und nicht von Geld.
Das amerikanische Recht gilt hier nicht. Interessant ist es trotzdem. Man behilft sich mit einem Strafgesetz aus der Zeit der Modems, weil es nichts Passenderes gibt. Bei uns ist es genau umgekehrt, dazu später.
Agenten können viel, aber noch nicht alles
Es ist mehr, als die meisten annehmen. Und es geht genau so weit, wie ein Mensch am Ende bestätigt.
Muse, Metas persönlicher Agent, ist am 8. September in den USA gestartet, seit dem 18. gibt es ihn in Kanada. Nicht in Deutschland, Frankreich, Italien, Spanien, den Niederlanden sowie Irland, und Meta nennt keinen Termin. Wer in Europa also mitdiskutiert, diskutiert über ein Produkt, das hier nicht verfügbar ist.
Meta beschreibt es selbst so: Muse arbeitet im Hintergrund weiter und fragt vor sensiblen Schritten nach, etwa vor einem Kauf. Bezahlt wird über Stripes Link, bei über einer Million Händlern direkt. Bei allen anderen stellt Link dem Agenten eine virtuelle Einmalkarte aus, zugeschnitten auf genau den freigegebenen Kauf.
Da ist sie, die Vollmacht, als Gegenstand. Ein Stück Plastik ohne Plastik, gültig für einen Betrag, einen Händler, einen Vorgang.
Auf der Händlerseite steht inzwischen ebenfalls ein Agent, der die Produktdaten modelllesbar ausspielt, im Gespräch antwortet, einfache Verkäufe abschliesst und danach Sendungsverfolgung und Erstattung übernimmt. Mastercard hat diese Seite im Januar als Werkzeugkasten veröffentlicht und im September eine einzige Integration für Händler, Agenten und Zahlungsanbieter daraufgesetzt.
Wie weit das trägt? Für Europa weiss es keiner, es gibt schlicht keine Erhebung. Anders in den USA, Brasilien und den Vereinigten Arabischen Emiraten. Dort nennen 1.185 Händler ihre entscheidenden Vorbehalte: 46 Prozent geben Preis und Endbetrag widerwilligst an einen Agenten ab, 42 Prozent nennen Betrug, Streitfälle und Haftung. Preis und Haftung also fast gleichauf. Die Händler sortieren nicht nach Technik, sie wägen danach ab, wer den Nutzen hat und wer das Risiko trägt.
Warum Visa etwas verschenkt
Die Vollmacht braucht im Kern zwei Dinge, und beide haben verschiedene Besitzer.
Der erste Teil ist der Ausweis, sprich die Identität: im Grunde der Nachweis, dass dieser Agent echt ist und für einen bestimmten Menschen handelt. Visa hat dafür ein Verfahren entwickelt, das die Identität kryptografisch in die Kopfzeilen der Anfrage signiert, gebunden an die Domain des Händlers und an den konkreten Vorgang, mit Zeitstempel und Sitzungskennung gegen Wiedereinspielung. Anschliessend legt Visa die Spezifikation offen auf GitHub, mit lauffähigem Beispiel und einer Registrierungsstelle für die Schlüssel. Zwölf Partner von Adyen über Shopify bis Worldpay sind von Anfang an dabei, darunter auch europäische.
Grosszügig? Nein. Ein Schachzug.
Wer eine Schicht öffnet, macht sie zur Ware und schiebt den Gewinn in die Schicht daneben. Christensen hat das beschrieben, IBM hat es 1981 mit der offenen PC-Architektur vorgeführt und dabei die Industrie an Microsoft verloren. Der Zug ist alt. Er funktioniert nur für den, der die Nachbarschicht schon hält, und die Kartennetze halten sie, hier wie dort.
Der zweite Teil ist die Unterschrift, also die Autorisierung. Und die lässt sich nicht verschenken. Wer eingewilligt hat, mit welchem Limit, bei welchem Händler, ob eine Rückfrage kam und was der Agent dann tatsächlich getan hat, all das muss im Streitfall belegbar sein. Belegen reicht aber nicht. Irgendjemand muss am Ende bezahlen, und dafür braucht es eine Zulassung und Eigenkapital.
In Visas eigener Ankündigung steht zur Haftung kein Wort. Nicht eines.
Meta kontrolliert viel, aber nicht alles
In wenigen Tagen hat der Konzern beide Seiten des Kaufgesprächs besetzt. Auf der Käuferseite Muse, auf der Händlerseite einen Geschäftsagenten, der Kundengespräche in WhatsApp, Messenger und Instagram führt. Anfang September kam Stilla dazu: ein Stockholmer Team, acht Monate am Markt, gegründet von früheren Shopify-Leuten, 5 Mio. USD Vorfinanzierung, ein Produkt, das einen Firmenagenten mit gemeinsamem Kontext und Rechten je Nutzer über Slack, Linear, GitHub und Notion legt. Ein Kaufpreis wurde nicht genannt.
Reichweite, Kanal, beide Agenten. Drei von vier. Bezahlt wird über Stripe, dazu kamen Shop Pay und PayPal.
Seit dem 18. September ist auch die Plattform offen. Entwickler können Schnittstellen zu Muse bauen, über 1.500 Bewerbungen kamen in weniger als einer Woche. Namentlich angeschlossen sind Best Buy, Gap, Sephora, Walmart, Wayfair und Expedia, Instacart folgt. Damit wird aus der Reichweite ein Verzeichnis, und wer nicht darin steht, wird auch nicht gefunden. Das ist eine härtere Währung als jede Anzeigenplatzierung, weil man sie nicht dazubuchen kann.
Der vierte Teil ist trotzdem nicht käuflich. Er setzt eine Zulassung voraus, und die bekommt man nicht mit Geld allein.
Wer daran zweifelt, sollte nachsehen, wer beim Käuferschutz unterschreibt. Muse ist der erste Agent, der unter den Schutz von Link fällt: Ersatz bei Beschädigung oder Verlust, Preisgarantie, kostenlose Rücksendung. Dieser Schutz kommt von Stripe. Nicht von Meta.
In keiner der Meta-Ankündigungen dieses Monats steht ein Wort dazu, wer zahlt, wenn die Transaktion über eine dieser Anbindungen schiefgeht. Nicht in der zu Muse, nicht in der zur Plattform.
Genau hier entsteht die stille Entscheidung. Das Eigentum an der Kundenbeziehung liegt beim Händler, die Kontrolle über den Kanal bei Meta, die Verantwortung für den Kauf bei jemandem, den keine dieser Ankündigungen adressiert. Solange die drei zusammenfielen, war die Frage müssig. Jetzt fallen sie auseinander, und keiner benennt sie klar.
Wer sich in dieses Verzeichnis einträgt, trifft eine Eigentumsentscheidung. Vorgelegt wird ihm eine technische Anbindung.
Bei uns ist die Frage schon beantwortet
Das ist der Unterschied, auf den es für einen europäischen Händler ankommt. In den USA ist der Agent da und das Recht nicht. Hier ist es beinahe umgekehrt.
Ein Agent, der eine Zahlung im Namen des Kunden auslöst, ist nach der europäischen Zahlungsdiensterichtlinie kein technisches Detail. Er erbringt einen regulierten Zahlungsdienst. Wer das anbietet, braucht eine eigene Zulassung oder einen Partner, der eine hat. Es gibt eine Ausnahme für rein technische Dienstleister, aber nur solange die zu keinem Zeitpunkt Kundengelder halten. Ein vollständiges Kaufprodukt mit Agenten bekommt in Europa damit niemand alleine auf die Strasse.
Und wenn der Agent danebengreift? Kauft er durch falsche Preiserkennung oder schlichte Halluzination etwas, das die Vorgaben des Kunden verfehlt, gilt die Zahlung in der Regel als nicht autorisiert, und der Zahlungsdienstleister erstattet. Erschwerend kommt hinzu, dass er meist nicht erklären kann, warum der Agent so entschieden hat, und damit ohne Argument gegen die Forderung dasteht. Taylor Wessing schreibt es nüchtern hin: unter allen Beteiligten tragen die Zahlungsdienstleister den höchsten Aufsichtsaufwand. Die Kartenanbieter bauen zwar eifrig an Agentenzahlungen, haben bisher aber nicht erklärt, wie sie Rückbelastungen und Streitfälle behandeln, wenn ein Agent die Bestellung ausgelöst hat.
Die kommende Verordnung, im November 2025 politisch geeint, zieht die Linie noch schärfer. Delegiert ein Zahlungsdienstleister die starke Kundenauthentifizierung an einen Dritten, ist das eine Auslagerung, die Haftung bleibt trotzdem bei ihm. Fairerweise: technische Dienstleister und Systembetreiber können für eigene Versäumnisse mithaften. Die Kartennetze tragen also nicht null Risiko. Sie tragen nur nicht das des Kunden.
Das Bemerkenswerte daran ist: dieselbe Verordnung, die Betrugslasten neu verteilt, Prüfpflichten schafft und Rückerstattungen normiert, erwähnt den Fall, dass ein Agent den Kauf auslöst, an keiner einzigen Stelle. Europa hat den Haftenden benannt, bevor der Agent hier angekommen war, und dabei vergessen, ihn zu benennen.
Was wir jetzt entscheiden
Die unbequeme Konsequenz spricht keiner aus. Solange die Fragen zu Identität, Autorisierung und Bezahlung nicht eindeutig beantwortet sind, kauft kein Agent wirklich allein.
Ein amerikanisches Gericht hat Agenten ein Werkzeug genannt und damit geklärt, wer einkauft. Wer zahlt, wenn das Werkzeug einen Fehler macht, hat es offengelassen. Der europäische Gesetzgeber hat diese Frage in einer Verordnung, die er im November geeint hat, nicht einmal gestellt.
Das heisst nicht, dass sie offenbleibt. Es heisst, dass sie jemand anders beantwortet, und zwar in dem Moment, in dem der erste grössere Schaden auf dem Tisch liegt. Wer bis dahin nicht weiss, wer für ihn geradesteht, erfährt es dann.
Vorher wäre vermutlich billiger.
