Drei Sicherheitsebenen
- Tokenisierung statt Klartext: Der Shared Payment Token erlaubt es einer App wie ChatGPT, eine Zahlung anzustoßen, ohne die Zahlungsdaten des Käufers offenzulegen. Agentic Tokens der Kartennetzwerke binden die Zahlung zusätzlich an den Agenten.
- Prüfbare Freigabe: Der Nutzer bestätigt per Passkey oder erteilt vorab ein signiertes Mandat (AP2, W3C Verifiable Credential) – im Streitfall nachweisbar.
- Agenten-Identität: Visa und Mastercard registrieren und verifizieren Agenten; Händler erkennen sie über kryptografische Signaturen statt über Verhalten.
Agentische Tokenisierung: was ein Agentic Token anders macht
Tokenisierung ist im Kartenzahlungsverkehr nicht neu: Seit Jahren ersetzen Netzwerk-Tokens die echte Kartennummer, damit Händler und Wallets sie nicht im Klartext speichern. Agentische Tokenisierung baut darauf auf, beantwortet aber eine zusätzliche Frage: Wer zahlt hier eigentlich, und in welchem Rahmen darf er das? Mastercard beschreibt seine Agentic Tokens als dynamische, kryptografisch gesicherte Credentials, die jede Transaktion nachvollziehbar und authentifiziert machen. Agenten müssen bei Mastercard registriert und verifiziert sein, bevor sie damit zahlen können.
| Klassische Zahlungstokenisierung | Agentische Tokenisierung | |
|---|---|---|
| Zweck | Kartennummer schützen | Kartennummer schützen und den Agenten samt Freigabe binden |
| Gebunden an | Händler, Gerät oder Wallet | Registrierten Agenten, Nutzer und freigegebenen Rahmen |
| Grenzen | Keine eigenen, Limits liegen beim Konto | Vom Nutzer gesetzt, etwa Betrag, Zeitraum oder Händler |
| Sicht des Issuers | Normale Kartenzahlung | Erkennbar als agentisch ausgelöst, wie jede Zahlung ablehnbar |
| Freigabe | Mensch im Checkout (3-D Secure, SCA) | Passkey beim Auftrag oder vorab signiertes Mandat |
| Im Streitfall | Verhaltens- und Gerätesignale | Nachvollziehbare Kette: Agent, Freigabe, Transaktion |
Für Händler ist der Kern: Ein agentischer Token schützt nicht nur die Kartendaten, er schützt auch die Anmeldedaten des Nutzers vor dem Agenten selbst. Der Agent bekommt nie die Karte, sondern nur ein begrenztes, widerrufbares Zahlungsrecht. Fällt ein Agent aus oder wird kompromittiert, lässt sich genau dieses Recht sperren – die Karte des Kunden bleibt gültig.
Die Kartennetzwerke im Überblick
| Anbieter | Produkt | Kern |
|---|---|---|
| Visa | Intelligent Commerce, Trusted Agent Protocol | Authentifiziert, autorisiert und tokenisiert agentische Zahlungen; Trusted Agent Protocol und Agent Directory machen verifizierte Agenten für Händler erkennbar |
| Mastercard | Agent Pay | Agentic Tokens, Registrierung und Verifizierung der Agenten, agenten-bewusster Checkout |
| Stripe / OpenAI | Shared Payment Token (ACP) | Zahlung ohne Offenlegung der Kartendaten |
| Google / Coinbase | AP2 | Signierte Mandate; Stablecoins als gleichwertige Zahlungsart |
Agenten-Identität: woran Netzwerke und Händler einen Agenten erkennen
Klassische Betrugserkennung fragt: Verhält sich dieser Besucher wie ein Mensch? Bei agentischen Zahlungen ist die Antwort immer nein – und das ist gewollt. Die Frage lautet stattdessen: Ist das ein registrierter Agent, und handelt er für einen verifizierten Nutzer?
- Visa Trusted Agent Protocol (TAP): Visa hat das offene Framework im Oktober 2025 mit Partnern vorgestellt. Zusammen mit dem Agent Directory liefert es laut Visa ein konsistentes, sicheres Signal der Agenten-Identität, mit dem Händler verifizierten KI-Verkehr von nicht verifiziertem trennen.
- Mastercard Agent Pay: Agenten werden vor der ersten Zahlung registriert und verifiziert; die Agentic Tokens tragen diese Identität in die Transaktion.
- Infrastruktur: Bei Visas europäischem Start unterstützten Cloudflare und Akamai die Händler bei der Umsetzung – die Erkennung passiert also oft bereits im CDN, bevor ein Request den Shop erreicht.
Praktische Folge: Wer KI-Crawler und Agenten pauschal per Bot-Schutz blockiert, sperrt künftig auch zahlungsfähige Käufer aus. Wie Sie Ihr Angebot für Agenten lesbar machen, beschreibt Sichtbar für KI-Agenten.
Der entscheidende Unterschied: anwesend oder nicht
Die wichtigste Unterscheidung im agentischen Zahlungsverkehr ist nicht technischer, sondern haftungsrechtlicher Natur: Sitzt der Mensch im Moment des Kaufs daneben oder nicht?
| Nutzer anwesend | Nutzer abwesend | |
|---|---|---|
| Typischer Fall | Kauf im Chat, Nutzer bestätigt | Automatischer Nachkauf, Preisschwelle erreicht |
| Freigabe | Im Moment der Transaktion, etwa per Passkey | Vorab erteilt, mit Grenzen |
| Nachweis | Bestätigung des Nutzers | Signiertes Mandat, vorher ausgestellt |
| Risiko für den Händler | Vergleichbar mit heute | Höher – Anfechtung „das wollte ich nicht“ |
Der zweite Fall ist der eigentlich neue. Er ist der Grund, warum AP2 die Nutzer-Freigabe als kryptografisch signiertes Mandat ausgestaltet und nicht als Flag in einer Datenbank: Im Streitfall muss belegbar sein, dass der Nutzer diese Art von Kauf, in diesem Rahmen, autorisiert hat. Für Händler ist das keine akademische Frage – davon hängt ab, wer eine Rückbuchung trägt.
Sicherheit und Compliance in der EU: PSD2, SCA, DSGVO
Ein Sonderrecht für Agenten gibt es nicht. Agentische Zahlungen unterliegen in der EU der PSD2 und den technischen Regulierungsstandards zur starken Kundenauthentifizierung (SCA). Die Kanzlei Osborne Clarke hält im März 2026 fest, dass derzeit kein eigenes Regime für diesen Bereich existiert. Die Streitfragen liegen woanders:
- Wirksame Autorisierung: Hat der Nutzer alle Elemente der Zahlung freigegeben – Empfänger, Betrag, Zeitpunkt – und lässt sich das revisionssicher belegen?
- Begrenzte Delegation: Empfohlen werden Betragsgrenzen, Frequenzlimits, Positiv- und Negativlisten für Zahlungsempfänger, Bedingungen für eine erneute Bestätigung (Step-up) und ein lückenloser Audit-Trail.
- Manipulation: Betrug verlagert sich darauf, Nutzer oder Agenten zu einer Zahlung zu verleiten. Ohne Limits und Stopp-Mechanismen eskaliert ein solcher Fall schnell.
- Haftung: Die Verteilung zwischen Agenten-Anbieter, Zahlungsdienstleister, Händler und KI-Plattform ist nicht abschließend geregelt und sollte vertraglich geklärt werden.
In den europäischen Live-Transaktionen von 2026 wurde die SCA über Passkeys gelöst: Visa sicherte alle Käufe seines Agentic-Ready-Programms mit Visa Payment Passkeys, auch die von Mastercard gemeldeten Bankentransaktionen nutzten Passkeys. Für den Datenschutz ist Tokenisierung ein Vorteil: Der Agent verarbeitet keine Kartendaten. Neben PSD2 nennt Osborne Clarke DSGVO, KI-Verordnung und operative Resilienz (DORA, NIS2) als Rahmen, an dem sich ein agentisches Zahlungsmodell messen lassen muss.
Stand Europa: live seit Sommer 2026
Was 2025 noch Pilot war, ist 2026 in Produktion gegangen:
| Datum | Meilenstein |
|---|---|
| Okt. 2025 | Visa stellt das Trusted Agent Protocol vor |
| 2025 | Visa meldet hunderte kontrollierte, reale agenten-initiierte Transaktionen mit Partnern und erwartet den Massenmarkt für 2026 |
| 2. Juni 2026 | Mastercard: alle europäischen Issuer auf Netzwerkebene für Agent Pay freigeschaltet; Worldline und ING wickeln eine vollständig in Europa orchestrierte agentische Zahlung in Produktion ab |
| 2. Juli 2026 | Visa meldet live agentische Käufe in Europa: über 30 Issuer, darunter Commerzbank, comdirect und DKB; Händler wie lastminute.com und Frasers |
Für deutsche Händler heißt das: Die Netzwerk-Seite ist bereit. Ob Sie agentische Zahlungen annehmen können, hängt jetzt vor allem an Ihrem Zahlungsdienstleister und an der Frage, ob Agenten Ihr Sortiment überhaupt finden und verstehen.
Was Sie in Ihrem Zahlungs-Setup anfassen müssen
Die gute Nachricht zuerst: In den heute produktiven Modellen bleibt Ihr bestehender Payment-Provider im Spiel, und Sie bleiben Merchant of Record. Es entsteht kein zweiter Zahlungs-Stack. Anzupassen sind vor allem vier Dinge:
- Transaktionen als agentisch kennzeichnen. Sonst mischen sich zwei Risikoprofile in einer Auswertung, und Sie merken zu spät, wenn der neue Kanal eine auffällige Rückbuchungsquote hat.
- Betrugsregeln nachjustieren. Klassische Signale greifen ins Leere: Es gibt keine Mausbewegung, keine Tippgeschwindigkeit, kein wiedererkennbares Gerät. Regeln, die auf solchem Verhalten aufbauen, stufen legitime agentische Käufe pauschal als verdächtig ein.
- Limits und Schwellen definieren. Ab welchem Warenwert verlangen Sie eine zusätzliche Bestätigung? Diese Entscheidung sollte bewusst fallen, nicht als Nebenprodukt einer Default-Konfiguration.
- Beleg-Aufbewahrung klären. Wenn Mandate im Streitfall die Beweisführung tragen sollen, müssen sie auch nach Monaten noch abrufbar und prüfbar sein.
Agentische Zahlungen einführen: in fünf Schritten
Auch für kleinere Unternehmen ist der Weg derselbe – nur der Umfang des Piloten ist kleiner.
- Zahlungsdienstleister fragen: Unterstützt er Agent Pay, Visa Intelligent Commerce oder den Shared Payment Token? Das entscheidet, ob Sie selbst integrieren müssen.
- Agenten zulassen statt blockieren: Bot-Schutz und CDN so konfigurieren, dass verifizierte Agenten durchkommen.
- Sortiment lesbar machen: Strukturierte Produktdaten mit Preis, Verfügbarkeit und Lieferzeit – ein Agent kann nicht kaufen, was er nicht versteht.
- Pilot begrenzen: Ausgewählte Warengruppen, Warenwert-Obergrenze, eigene Kennzeichnung im Reporting.
- Messen: Rückbuchungsquote, Stornos und Konversion des agentischen Kanals getrennt auswerten.
Stablecoins: eingeordnet
AP2 sieht Stablecoin-Zahlungen als gleichwertige Zahlungsart neben Karte und Kontoüberweisung vor – ein Punkt, der in der Berichterstattung überproportional viel Raum einnimmt. Für den DACH-Handel ist die nüchterne Einordnung: Das ist heute kein Thema für B2C-Sortimente. Relevant wird es zuerst bei Maschine-zu-Maschine-Zahlungen mit sehr kleinen Beträgen, bei denen Kartengebühren den Vorgang unwirtschaftlich machen – etwa wenn ein Agent einzelne API-Abrufe oder Datenpunkte bezahlt.
Offene Fragen, die noch niemand abschließend beantwortet
- Rückbuchungen bei fehlerhaftem Agenten-Verhalten. Die Regelwerke der Kartennetzwerke sind für menschliche Käufer geschrieben; wie eine Anfechtung ausgeht, bei der ein Agent falsch interpretiert hat, ist weitgehend ungeklärt.
- Haftungsverteilung zwischen Agenten-Plattform, Netzwerk und Händler. Signierte Mandate schaffen Beweisbarkeit, aber die Zuordnung der Verantwortung ist damit nicht automatisch geregelt.
- Umgang mit Preisänderungen zwischen Freigabe und Ausführung. Ein vorab erteiltes Mandat mit Preisobergrenze löst den Normalfall – nicht aber Konstellationen mit Rabattaktionen oder dynamischer Preisbildung.
Das spricht nicht gegen den Kanal, wohl aber für einen begrenzten Piloten mit definierter Warenwert-Obergrenze statt einer Öffnung des Gesamtsortiments.
Wie diese Zahlung in den Kaufprozess eingebettet ist, zeigt Agentic Checkout. Die Protokoll-Grundlagen liefern AP2, das Agentic Commerce Protocol und Googles Universal Commerce Protocol.