Agent Economics: Wie in der KI-Agenten-Ökonomie ein Agent den anderen autonom bezahlt

In meinem ersten Artikel über Tokenomics habe ich eine Zukunft beschrieben, in der autonome KI-Agenten andere KI-Agenten selbst für Dienstleistungen bezahlen. Diese Zukunft hat uns bereits erreicht. Am 14. Juli 2026 bestätigte die Linux Foundation den operativen Start der x402 Foundation als Normungsorganisation für agentennative Zahlungen. Zu den Gründungsmitgliedern zählen Visa, Mastercard, Ripple, American Express, Stripe, Adyen, Shopify, Google, Amazon Web Services und Cloudflare. Wenn sich Kartennetzwerke und Hyperscaler in derselben Woche einem gemeinsamen Standard anschließen, ist das kein Experiment mehr: Hier etabliert sich vielmehr eine Infrastrukturebene.

Dieser Artikel richtet sich an alle, die diese Systeme entwerfen, absichern und überwachen müssen. Wir sehen uns hier die Architektur von Zahlungen zwischen KI-Agenten im Detail an: den Protokoll-Stack, den konkreten Abwicklungsmechanismus, die Frage des Vertrauens ohne Vermittler, die für dieses Paradigma spezifischen Sicherheitslücken und schließlich die Anforderungen, die sich aus Governance-Sicht ergeben.

Warum die „menschliche“ Zahlungsabwicklung nicht auf KI-Agentenebene skaliert werden kann

Unsere Zahlungssysteme wurden für Menschen entwickelt: ein Konto, eine Karte, starke Authentifizierung, eine ausdrückliche Genehmigung pro Transaktion. Dieses Modell ist in dem Moment am Ende, in dem es mit den Eigenschaften eines autonomen Agenten zu tun bekommt.

Hier sind zum einen Volumen und Granularität zu nennen. Ein Agent, der Dutzende von API-Aufrufen pro Aufgabe verkettet, kann weder jedes Mal eine menschliche Genehmigung auslösen noch 0,30 Dollar zuzüglich der festgelegten Gebühren für eine Kartentransaktion bezahlen. Er benötigt Mikrozahlungen (die manchmal unter einem Cent liegen), die sofort abgewickelt werden. Dazu kommt, dass eine vorab bestehende Beziehung fehlt: Ein Agent erkennt einen Drittanbieter-Service im laufenden Betrieb und muss diesen bezahlen können, ohne erst ein Konto anzulegen, einen Vertrag zu unterzeichnen oder eine Kartennummer einzugeben. Die letzte Hürde ist die Autonomie: Der Agent entscheidet innerhalb von Millisekunden über die Anzahl der auszuführenden Schritte und damit über die anfallenden Kosten.

Man benötigte also einen maschinennativen Zahlungsmechanismus: kein Konto, keine Karte, keine menschliche Beteiligung bei jeder Transaktion und die Möglichkeit, winzige Beträge in Echtzeit zu begleichen. Genau dafür bietet die neue Generation von Protokollen Lösungen.

Der Web-Stack für KI-Agenten

Ein wichtiger Punkt für Architekten ist die Erkenntnis, dass für Zahlungen kein isoliertes Protokoll verwendet wird, sondern eine Ebene, die Teil eines Stacks ist, der immer mehr standardisiert wird.

Der Web-Stack bei Agenten: vier Ebenen

Auf der untersten Ebene regelt das Model Context Protocol (MCP), wie ein Agent Tools nutzt, APIs aufruft und Daten liest. Auf der Ebene darüber definiert das Agent2Agent (A2A)-Protokoll, wie zwei Agenten einander erkennen, kommunizieren und Aufgaben delegieren, indem sie mittels „AgentCards“ über ihre Fähigkeiten informieren. Darüber befindet sich die für uns hier interessante Ebene Zahlung, die festlegt, wie ein Agent eine Dienstleistung tatsächlich bezahlt. Die oberste Ebene, Identität und Vertrauen, beantwortet die Frage, von der alles andere abhängt: Mit wem haben wir es zu tun, und können wir ihm vertrauen?

Diese Ebenenstruktur ist entscheidend: MCP bestimmt, wie der Agent agiert, A2A, wie er spricht, Zahlung, wie er bezahlt und Identität, wer vertrauenswürdig ist. Die Protokolle, mit denen wir uns im Folgenden näher befassen, fügen sich in diesen Rahmen ein und wurden vor allem so konzipiert, dass sie kombinierbar sind und nicht miteinander konkurrieren.

x402: Bezahlen für eine HTTP-Anforderung

Der eleganteste Mechanismus ruft einen alten, in Vergessenheit geratenen Web-Code wieder auf den Plan: den HTTP-Statuscode „402 Payment Required“, der vor dreißig Jahren reserviert, aber nie verwendet wurde. Er bildet den Kern von x402, dem von Coinbase initiierten und nun der Linux Foundation anvertrauten Protokoll.

Der x402-Handshake

Das Prinzip ist verblüffend einfach. Ein KI-Agent auf Client-Seite fordert eine Ressource von einem KI-Agenten auf Server-Seite an. Statt eine Ablehnung zu senden, antwortet der Server mit 402 Payment Required und gibt dabei den Betrag, die Abrechnungsadresse, das Netzwerk und die Währung an. Der Client bezahlt den Betrag, in der Regel in Stablecoins (USDC oder seit dem Beitritt von Ripple auch XRP/RLUSD), über eine schnelle, kostengünstige Blockchain wie Base oder Solana und sendet anschließend seine Anforderung mit einem Zahlungsnachweis erneut. Dann stellt der Server die Ressource bereit. Die gesamte Zahlungsbeziehung wird innerhalb einer einzigen Transaktion geöffnet und abgeschlossen, für die nur wenige Cent, kein Konto, keine Karte und keine menschliche Genehmigung erforderlich sind.

Die Zahlen zeigen, dass sich dieser Mechanismus bereits in der Praxis etabliert. Coinbase berichtet von mehr als 169 Million Zahlungen, 590.000 Käufern und 100.000 Verkäufern im ersten Jahr. In den letzten dreißig Tagen beliefen sich rund 75 Millionen Transaktionen auf gerade einmal 24 Millionen US-Dollar, einem Durchschnitt von etwa dreißig Cent pro Transaktion. Dieses Verhältnis sagt alles: Wir sprechen hier von der Welt der Mikrozahlungen zwischen Maschinen, nicht von größeren Anschaffungen. Stripe fügte die Unterstützung für x402 im Februar 2026 hinzu, und sowohl Cloudflare als auch AWS haben es in ihre Edge-Netzwerke integriert. Ein Agent kann nun pro Anforderung für eine API bezahlen, genauso wie für die Nutzung jeder anderen Ressource.

AP2 und ACP: Nachweis der Absicht, Rahmen für den Handel

x402 beantwortet das „Wie“ bei Zahlungen zwischen Maschinen. Damit verbleiben noch zwei Fragen, die es allein nicht handeln kann: Wie lässt sich nachweisen, dass ein Mensch eine Ausgabe tatsächlich autorisiert hat, und wie lassen sich KI-Agenten sauber in bestehende Handelsprozesse integrieren? Hier kommen AP2 und ACP ins Spiel.

AP2 (Agent Payments Protocol), das Google im September 2025 mit über 60 Partnern (darunter Mastercard, PayPal, Coinbase, American Express, Salesforce…) vorgestellt hat, widmet sich der Autorisierung. Die zentrale Idee dabei: die Mandatskette.

Die AP2-Mandatskette

Jeder Kauf wird durch drei signierte „Mandate“ repräsentiert, die als W3C Verifiable Credentials, also manipulationssichere kryptografische Objekte, ausgeführt sind. Das Absichtsmandat erfasst, was der Benutzer möchte: Ziel, Einschränkungen, Ausgabenobergrenze. Das Warenkorbmandat beschreibt, was der Agent konkret zusammengestellt hat: exakter Warenkorb, Preis, Verkäufer. Das Zahlungsmandat gibt an, was in Rechnung gestellt wird und wie. Je nachdem, ob der Mensch anwesend ist (und den Warenkorb in Echtzeit genehmigt) oder abwesend ist (wobei das „Absichtsmandat“ den Agenten innerhalb eines gewissen Rahmens vorab autorisiert), passt sich die Kette an, erzeugt jedoch stets einen überprüfbaren, manipulationssicheren kryptografischen Audit-Trail: Wer hat was autorisiert, zu welchem Preis und wann. Während eine Karte lediglich eine Zahlung leistet, belegt das Mandat, warum diese Zahlung autorisiert wurde. Version 0.2 des Protokolls, die im April 2026 veröffentlicht wurde, wurde der FIDO Alliance zur Verwaltung übergeben.

Das ACP (Agentic Commerce Protocol), das von OpenAI und Stripe gemeinsam entwickelt wurde und seit September 2025 bei der ChatGPT-Funktion „Instant Checkout“ zum Einsatz kommt, wählt einen anderen Ansatz: den Einzelhandel. Es schafft eine gemeinsame Sprache für Händler und Agenten und ermöglicht es einem Händler, über einen Agenten zu verkaufen und dabei die Kontrolle über Katalog, Marke und Auftragsabwicklung zu behalten. Ein Händler, der Stripe bereits nutzt, kann das Protokoll mit einer einzigen Codezeile aktivieren. Im Jahr 2026 verkleinerte OpenAI seinen Umfang auf eine Gruppe großer, integrierter Einzelhändler, anstatt auf Millionen von Händlern – ein Zeichen dafür, dass noch an der operativen Reife gearbeitet wird.

Die gute Nachricht für Architekten lautet: Diese Protokolle entwickeln sich aufeinander zu. Die Erweiterung A2A x402 verknüpft die Kommunikation zwischen Agenten direkt mit der Bezahlung in Stablecoins, und in AP2 sind Krypto-Zahlungswege (Crypto Rails) Karten und Banküberweisungen gleichgestellt. Man wählt nicht ein einzelnes Protokoll aus, sondern stellt einen Stack zusammen.

Vertrauen ohne Vermittler: ERC-8004

Bleibt noch die schwierigste Ebene. In der Welt der Menschen basiert Vertrauen auf Vermittlern: Banken, Kartennetzwerken, Plattformen. Wenn sich anonyme KI-Agenten nun spontan gegenseitig erkennen, woran lässt sich Vertrauen dann festmachen?

Auf Blockchain-Seite zeichnet sich eine Antwort ab: ERC-8004, auch „Trustless Agents“ genannt und als On-Chain-Erweiterung des A2A-Protokolls konzipiert. Der im August 2025 vorgeschlagene Standard, der unter der Mitwirkung von Google, Coinbase, MetaMask und der Ethereum Foundation entwickelt wurde, definiert drei Register. Das Identitätsregister weist jedem Agenten eine überprüfbare, übertragbare Identität zu. Das Reputationsregister standardisiert das Veröffentlichen und Lesen von Vertrauenssignalen, die einer Zuverlässigkeitsbewertung entsprechen. Das Validierungsregister ermöglicht Prüfern, Bescheinigungen über die Arbeit eines Agenten zu veröffentlichen.

Es steht viel auf dem Spiel: Ohne übertragbare Identität und Reputation lässt sich nicht feststellen, ob der Drittanbieter-Agent, den Ihr Agent bezahlen wird, vertrauenswürdig ist oder die beworbene Dienstleistung tatsächlich erbringen wird. Doch Vorsicht: On-Chain-Reputations-register stehen noch am Anfang, und eine überprüfbare Identität ist keine Garantie für ehrliches Verhalten. Sie macht das Verhalten in erster Linie nachverfolgbar – das ist nicht dasselbe.

Der Fehler, den die Kryptografie nicht sieht

Genau hier muss man als Architekt besonders wachsam sein. Man könnte meinen, eine kryptografisch signierte Transaktion sei eine sichere Transaktion. Das ist jedoch nicht der Fall, wie eine Red Team-Studie von AP2 mit dem Titel „Whispers of Wealth“ eindrucksvoll gezeigt hat.

Ausführungsintegrität im Gegensatz zu Entscheidungsintegrität

Die Argumentation lautet wie folgt: Ein KI-Agent entwickelt seine Entscheidung anhand von Eingaben: Anweisungen, Daten, Webseiten, Nachrichten von anderen Agenten. Eine Prompt-Injection (eine böswillige Anweisung, die in einer dieser Eingaben versteckt ist) kann diese Argumentation verfälschen, bevor das Mandat signiert wird. Das Ergebnis: ein Mandat, das kryptografisch vollkommen gültig ist, aber keiner legitimen Absicht entspricht. Die Studie unterscheidet zwei entscheidende Konzepte. Die Ausführungsintegrität (gültige Signaturen, protokollkonforme Transaktion) bleibt gewahrt: In der Blockchain ist alles in Ordnung. Die Entscheidungsintegrität ist jedoch kompromittiert: Der Agent hat den falschen Verkäufer oder den falschen Betrag bezahlt.

Die Ergebnisse sind ernüchternd: Eine indirekte Prompt-Injection erzielte eine Erfolgsquote von 100 % bei der Manipulation der Rangfolge der dem Agenten angezeigten Produkte, und eine direkte Injektion führte in 20 % der Fälle zu einer kontoübergreifenden Datenoffenlegung. AP2 bietet echte Garantien (Autorisierung über ein signiertes Mandat, Authentizität der genehmigten Angaben, Nachverfolgbarkeit jedes Schritts) – diese bieten jedoch nur Schutz bei der Ausführung, nicht bei der Entscheidung.

Die Konsequenz für das Design ist klar: Die Signatur ist nicht das Ende der Sicherheit, sondern erst die Mitte. Es bleibt unerlässlich, Ausgaben zu deckeln und Schutzschalter einzurichten, ab einem bestimmten Betrag oder einer bestimmten Risikoschwelle zwingend eine Genehmigung durch Menschen zu fordern, die Reputation des Verkäufers zu berücksichtigen und vor allem alle Vorgänge in Echtzeit zu beobachten und zu prüfen.

Governance: der echte Wettbewerbsvorteil

Ich bin davon überzeugt, dass sich der Wettbewerb bezüglich der KI-Agentenökonomie nicht anhand von Zahlungsprotokollen entscheidet (die standardisiert und zu Massenware werden), sondern anhand der Fähigkeit zu steuern, was diese Agenten tun, wenn sie über ein Wallet verfügen.

Die Kontrollinstanz für Agenten mit Wallet

Die Natur des Problems ändert sich in dem Moment, in dem jeder Agent (der SOC-Untersuchungsagent, der Beschaffungsagent, der Datenanreicherungsagent, bei Bedarf eingesetzte Drittanbieter-Unteragenten) Geld ausgeben kann. Man benötigt eine zentrale Kontrollinstanz, die die Telemetriedaten der gesamten Agentenflotte aggregiert: Token- und On-Chain-Ausgaben in Echtzeit, agentenbezogene Budgets und Schutzschalter, Anomalien und Compliance sowie vor allem die Korrelation zwischen den angefallenen Kosten und dem tatsächlich erzielten Nutzen.

Das ist genau die Achse, an der Splunk arbeitet. Splunk Agent Observability, das aus der Übernahme von Galileo resultiert, bietet bereits eine zentralisierte Übersicht über alle Agenten (Anforderungen, Latenz, Token-Verbrauch für Ein- und Ausgabe, damit verbundene Kosten) und korreliert diese Kosten mit Indikatoren für die Antwortqualität. Die Ausweitung dieser Logik auf die Finanztransaktionen von Agenten ist der logische nächste Schritt, da man damit über eine einzige Kontrollebene für Token-Ausgaben und Stablecoin-Ausgaben verfügt. Das ist auch der Grundgedanke von Argos AI, der von mir entwickelten Splunk-Anwendung für agentenbasierte KI: Handlungen von Agenten werden nachvollziehbar, budgetiert und überprüfbar gemacht. Das Ziel ist immer dasselbe: einen „aus dem Ruder laufenden Agenten“ auf einem Dashboard zu erkennen, bevor er sich auf der Rechnung bemerkbar macht.

Wie groß und wie bald?

Die Prognosen laden dazu ein, das Thema ernst zu nehmen, ohne gleich völlig abzuheben. Juniper Research erwartet für den Handel zwischen KI-Agenten bis 2030 ein Volumen von 1,5 Billionen US-Dollar; McKinsey spricht von einem Potenzial von 3–5 Billionen US-Dollar. Morgan Stanley ist etwas zurückhaltender und prognostiziert für die USA ein Volumen von 190 bis 385 Milliarden US-Dollar, was 10 bis 20 % des E-Commerce entspricht. Was die Zahlungswege betrifft, prognostiziert Bloomberg Intelligence ein Zahlungsvolumen in Stablecoins von 56 Billionen US-Dollar für 2030, gegenüber etwa 33 Billionen US-Dollar im Jahr 2025.

Aus diesen sehr großen Spannen lassen sich zwei Punkte ableiten: Die Entwicklungskurve ist real und steil, und noch weiß niemand, wo sich das Ganze einpendeln wird. Für Entscheidungsträger im Technologiebereich sollte die Schlussfolgerung sein, nicht alles auf die Agentenökonomie zu setzen, jedoch sicherzustellen, dass die heutige Architektur diese künftige Entwicklung einbinden kann, ohne neu aufgebaut werden zu müssen.

Praxistipps: fünf Architekturprinzipien

Für Entwickler kristallisieren sich momentan fünf wichtige Prinzipien heraus. In Ebenen denken: Behandelt die Zahlung als eigenständige Ebene oberhalb von A2A und MCP und nicht als tief im KI-Agenten verborgene Funktion. Kombinierbarkeit: Konzentriert euch nicht auf ein einziges Protokoll, sondern setzt auf die sich annähernden offenen Standards (x402, AP2, A2A, ERC-8004). Sicherheit bei der Entscheidung, nicht nur der Ausführung:: Geht davon aus, dass jede Eingabe böswillig ist, und baut Kontrollen vor der Signatur ein. Feste Grenzwerte: Legt Budgets, Obergrenzen, Circuit Breaker und menschliche Genehmigungen ab einem bestimmten Schwellenwert fest – und zwar schon von vornherein im Design. Allgemeine Observablility: Jede Ausgabe des Agenten (in Token oder Stablecoins) sollte in einer einzigen Echtzeit-Kontrollebene erfasst werden.

Fazit

Das Web basiert auf offenen Protokollen: HTTP für den Datentransport, HTTPS für die Sicherheit. Bei der KI-Agentenökonomie fühlt man sich an diese Entwicklung erinnert, es kommt jedoch ein zusätzlicher Baustein hinzu, den das ursprüngliche Web ungenutzt ließ: die Zahlung, also genau jenen 402-Code, der dreißig Jahre lang ungenutzt blieb. Die notwenigen Protokolle werden zusehends stärker standardisiert, auch dank einer beispiellosen Koalition aus Kartennetzwerken, Hyperscalern und Krypto-Akteuren.

Die jüngste Geschichte der KI hat uns jedoch eines gelehrt: Technische Möglichkeiten gehen den Regulierungsmöglichkeiten immer voraus. Agenten, die Zahlungen tätigen, sind faszinierend. Agenten, die Zahlungen tätigen, ohne dass jemand weiß, wie viel, an wen oder warum – das ist ein finanzielles, sicherheitsrelevantes und regulatorisches Risiko erster Güte. Die Unternehmen, die erfolgreich aus dieser Ära hervorgehen werden, sind nicht diejenigen, deren Agenten am schnellsten Geld ausgeben, sondern diejenigen, die zu jedem Zeitpunkt genau wissen, wofür jeder ihrer Agenten bezahlt und wieviel.

Weitere Informationen: Webseite der x402 Foundation, die AP2-Ankündigung von Google Cloud, die Spezifikation ERC-8004, die Red Team-Studie von AP2 „Whispers of Wealth“ sowie Splunk Agent Observability.