25 Jahre. So lange beruhte der gesamte Online-Zahlungsverkehr auf einer einzigen Annahme: Der Mensch auf der anderen Seite des Bildschirms ist echt, autorisiert und hat die Kontrolle. Alles, was sich nicht wie ein Mensch verhielt, galt als Angriff. Diese Verteidigungslogik hat Billionen Transaktionen abgesichert. Und genau sie steht jetzt vor dem Abriss.
Der Zahlungsinfrastruktur-Anbieter Lithic formuliert es ungewöhnlich scharf: Alles, was der Zahlungsverkehr über Shopping anzunehmen gelernt hat, wird brechen. Der Grund hat einen Namen, der in diesem Jahr in keiner Produkt-Roadmap mehr fehlt — Agentic Commerce. KI-Agenten, die nicht nur Produkte empfehlen, sondern selbstständig suchen, vergleichen, in den Warenkorb legen und bezahlen. Für den Kunden ein Komfortgewinn. Für die Payment-Industrie ein Konstruktionsfehler im Fundament.
Was genau bricht, wenn KI-Agenten einkaufen?
Die Antwort liegt in der Architektur, nicht in der Absicht. Card-not-present-Transaktionen wurden über zweieinhalb Jahrzehnte rund um eine defensive Prämisse gebaut: Beweise, dass der Käufer ein Mensch ist. Device-Fingerprinting misst Tippgeschwindigkeit und Mausbewegungen. Fraud-Scoring bewertet Verhaltensmuster, die typisch menschlich sind — Verweildauer auf der Produktseite, Zögern vorm Klick, die unlogische Route durch den Shop. 3-D-Secure 2 schiebt im Zweifel einen Menschen dazwischen, der per Push, SMS oder Biometrie bestätigt: Ja, ich war das.
Ein KI-Agent erfüllt kein einziges dieser Signale. Er tippt nicht, er zögert nicht, er scrollt nicht. Er feuert API-Calls in Millisekunden ab, vergleicht hundert Angebote ohne emotionale Schwankung und kauft um 3 Uhr nachts, wenn der Algorithmus den Bestpreis findet. Aus Sicht jedes trainierten Fraud-Modells sieht das aus wie ein klassischer Carding-Angriff. Nicht ähnlich. Identisch.
Das ist kein theoretisches Problem. Wer schon einmal beobachtet hat, wie aggressiv moderne Bot-Protection anschlägt, kennt die Collateralschäden: falsch positive Ablehnungen kosten Händler nach Branchenschätzungen mehr Umsatz als der tatsächliche Betrug. Bei False-Positive-Raten, die im E-Commerce je nach Vertikal zwischen zwei und zehn Prozent der abgelehnten Transaktionen liegen, bedeutet jede neue Welle automatisierter Käufe zunächst eines — mehr fälschlich blockierte Umsätze.
Warum „Agent erkennen“ nicht reicht
Die naive Lösung wäre ein Whitelisting: Bekannte Agenten durchlassen, unbekannte blockieren. Doch damit verlagert sich das Problem nur. Ein gekaperter oder kompromittierter Agent ist wertvoller als jede gestohlene Kartennummer, denn er kommt mit echter Kaufhistorie, echten Zahlungsdaten und echtem Kundenvertrauen daher. Die Frage lautet also nicht „Bot oder Mensch?“, sondern dreigeteilt: Ist dieser Agent legitim? Ist er wirklich vom Kunden bevollmächtigt? Und hält er sich innerhalb dieser Vollmacht?
Genau hier setzt Lithics Argumentation an. Die bisherige Antwort des Zahlungsverkehrs auf Identität war die Authentifizierung des Menschen — einmalig, beim Checkout. Agentic Commerce verlangt stattdessen eine delegierte, fortlaufende Autorisierung: Der Kunde erteilt seinem Agenten Mandate mit harten Grenzen. Maximalbetrag, Händlerkategorien, Zeitfenster, Warenkorb-Struktur. Tokenisierung wird dabei vom Sicherheitsfeature zum Steuerungsinstrument: Nicht mehr die Karte wird tokenisiert, sondern die Vollmacht.
Die entscheidende Infrastrukturfrage des nächsten Jahrzehnts lautet nicht, ob Maschinen kaufen dürfen — sondern wie ein Händler beweist, dass die Maschine durfte.
Was bedeutet das für Händler in Deutschland?
Der DACH-Markt verschärft das Dilemma statt es zu entschärfen. PSD2 und die Strong Customer Authentication haben Europa ohnehin schon die strengste Checkout-Reibung der Welt beschert. Jeder zusätzliche Authentifizierungsschritt kostet messbar Conversion — deutsche Händler kennen die Abbruchraten bei schlecht implementiertem 3DS2 aus leidvoller Erfahrung. Nun kommt eine Käuferschicht hinzu, für die SCA konzeptionell nicht gebaut wurde: Der „Kunde“, der sich authentifizieren soll, ist Software.
Praktisch heißt das drei Dinge. Erstens: Wer heute in Shop-Systeme und Payment-Provider investiert, sollte nach der Agenten-Readiness der Fraud-Engine fragen — konkret nach delegierter Autorisierung, Verhaltensbaselines für Maschinen und mandatsbasierter Risikobewertung, nicht nach dem nächsten Captcha. Zweitens: Die Haftungsfrage ist offen. Kauft ein Agent das falsche Produkt oder überschreitet er still sein Mandat, trifft den Händler derzeit die volle Chargeback-Last. Ohne neue Regeln zur Mandatsnachweise werden Käuferschutz-Teams zum Flaschenhals. Drittens: Payment Service Provider wie Adyen oder Stripe bauen bereits an Protokollen für Agenten-Transaktionen. Deutsche Mittelständler, die auf Inhouse-Lösungen oder Legacy-Plugins setzen, riskieren, diesen Anschluss zu verpassen — wie damals beim mobilen Checkout.
Standardkrieg um die Kauf-Vollmacht
Hinter der Technikdebatte läuft ein Machtkampf. Wer den Standard setzt, mit dem Agenten ihre Legitimation nachweisen, kontrolliert den Engpass des gesamten Agentic Commerce. Kartennetzwerke arbeiten an eigenen Agenten-Frameworks, Big-Tech-Plattformen an proprietären Agent-Ökosystemen, Infrastruktur-Anbieter wie Lithic positionieren sich als neutrale Schiene dazwischen. Die Parallele zu den Anfängen von 3-D-Secure ist offensichtlich — inklusive der Gefahr, dass am Ende drei inkompatible Standards nebeneinanderstehen und Händler alle bedienen müssen.
2 bis 10 Prozent der Umsätze verlieren Händler heute schon durch falsch abgelehnte Transaktionen. Diese Zahl wird zum Prüfstein: Steigt sie mit dem Agenten-Aufkommen, hat die Branche versagt. Sinkt sie, während Maschinenkäufe wachsen, ist die neue Infrastruktur reif.
Die bequeme Strategie wäre Abwarten. Sie wird teuer. Händler, die jetzt ihre Payment-Stacks auf Mandatslogik, Tokenisierung und agentenfreundliche Fraud-Modelle prüfen, kaufen sich etwas, das man später nicht nachholen kann: die Position des Händlers, bei dem der Agent des Kunden überhaupt kaufen darf. Denn das ist die unbequeme Schlussthese — im Agentic Commerce entscheidet nicht mehr der Kunde, wer den Zuschlag bekommt. Der Agent entscheidet. Und der Agent kauft dort, wo die Infrastruktur ihn nicht wie einen Kriminellen behandelt.