Sonderfolge Agenten-ShoppingWer die Regeln schreibt, wenn KI für uns einkauft

Die Folge zum Nachlesen

Transkript der gesendeten Folge in Lesefassung.

Paula: Rund um den 21. September sind zwei Dinge fast gleichzeitig passiert. Shopify hat seine Läden für Metas Einkaufs-Agenten Muse geöffnet – und Amazon hat genau diesen Agenten ausgesperrt.

Paul: Eine Tür geht auf, die andere knallt zu. Und dazwischen steht eine Frage, die bald jeden betrifft, der online bestellt.

Paula: Nämlich: Nach welchen Regeln dürfen Maschinen für uns einkaufen – und wer schreibt diese Regeln?

Paul: KI News Kompakt – Folge drei, und heute eine Sonderfolge. Ich bin Paul.

Paula: Und ich bin Paula. Heute nehmen wir uns mehr Zeit: für Agenten, die einkaufen, und für die unsichtbaren Protokolle dahinter.

Paul: Fangen wir mit Shopify an. Zur Erinnerung: Muse ist Metas persönlicher Agent, gestartet am 8. September in den USA. Der kann Mails lesen, Termine planen – und eben einkaufen.

Paula: Und bezahlt hat er bisher wie?

Paul: Seit dem Start über Link, die Geldbörse von Stripe. Laut Stripe muss man jeden Kauf im Chat freigeben, und für viele Shops erzeugt Link eine Einweg-Kreditkarte, begrenzt auf genau diesen Betrag. Muse sieht die echten Kartendaten nie.

Paula: Und was kam jetzt dazu?

Paul: Shop Pay, der Schnell-Checkout von Shopify. Firmenchef Tobias Lütke hat angekündigt, dass Muse damit in Shopify-Shops bezahlen kann. Und der Clou: In den USA ist das für die Händler standardmäßig eingeschaltet.

Paula: Standardmäßig heißt: Wer nicht will, muss aktiv abschalten?

Paul: Genau. Laut Berichten betrifft das rund eine Million Shops. Die Produkte findet Muse über Shopifys eigenen Katalog.

Paula: Und die Bestellung selbst?

Paul: Läuft laut Fachpresse über das sogenannte Universal Commerce Protocol – dazu gleich mehr, das ist eines der Protokolle, um die es heute geht.

Paula: Und Amazon macht das Gegenteil.

Paul: Amazon hat Muse blockiert. Nutzer bekamen sinngemäß die Meldung: Der weitere Zugriff durch einen nicht autorisierten KI-Agenten verstößt gegen Amazons Nutzungsbedingungen.

Paula: Mit welcher Begründung?

Paul: Amazon sagt, Agenten, die für Kunden bei anderen Firmen einkaufen, sollen offen auftreten und respektieren, wenn ein Anbieter nicht mitmachen will. Und Muse gebe sich beim Surfen nicht als Agent zu erkennen.

Paula: Klingt erst mal vernünftig. Wo ist der Haken?

Paul: Amazon hat selbst einen Agenten namens Buy for Me, der auf fremden Händlerseiten einkauft. Und da wurden Händler laut Tech Times zunächst einfach aufgenommen – wer raus wollte, musste sich melden.

Paula: Also dasselbe Opt-out-Prinzip, das Amazon bei Shopify jetzt kritisch sehen müsste.

Paul: So sehen es die Kritiker, ja. Und dann gibt es noch den zweiten Aufhänger: den Rechtsstreit zwischen Amazon und Perplexity.

Paula: Das ist die Geschichte mit dem Comet-Browser.

Paul: Genau, ein Browser mit eingebautem Agenten, der auch auf Amazon einkauft. Amazon hat geklagt, und am 9. März hat ein Bundesgericht in San Francisco Perplexity das vorläufig untersagt.

Paula: Und?

Paul: Am 4. August hat das Berufungsgericht, der Ninth Circuit, dieses Verbot wieder aufgehoben. Die Begründung ist spannend: Nicht Perplexity greife auf Amazons Rechner zu, sondern der Nutzer selbst – der Agent sei nur sein Werkzeug.

Paula: Und dabei spielte eine Rolle, was Perplexity dem Gericht über seine Server gesagt hat.

Paul: Richtig. Perplexity hatte im Frühjahr sinngemäß erklärt, kein Perplexity-Rechner habe je direkten Zugang zu einem Amazon-Rechner. Und genau da setzt Amazon an: Am 21. September hat Amazon eine erweiterte Klageschrift eingereicht —

Paula: Und behauptet, das stimmt nicht.

Paul: Ja. Laut Amazon hat die iPhone-Version von Comet die Anmeldedaten der Nutzer, also Sitzungs-Cookies, auf Perplexitys Server kopiert. Von dort hätten virtuelle Browser direkt auf Amazon zugegriffen – getarnt als ganz normales Google Chrome.

Paula: Das ist aber erst mal Amazons Darstellung. Entschieden hat darüber noch niemand.

Paul: Absolut. Amazon nennt nach eigenen Angaben über 185.000 Comet-Sitzungen auf Amazon bis Mitte Juni. Ob das vor Gericht hält, ist offen.

Paula: Einer öffnet, einer macht dicht, und vor Gericht wird gestritten, wer eigentlich zugreift. Warum dafür ein Deep Dive über Protokolle?

Paul: Weil genau das der Kern ist. Ein Agent wie Comet tut auf Amazon so, als wäre er ein Mensch mit Maus. Er klickt sich durch Seiten, die für Menschen gebaut sind.

Paula: Und Protokolle wären die Alternative?

Paul: Ja. Protokolle sind vereinbarte Regeln, wie zwei Maschinen miteinander reden. Also — denk an E-Mail. Du kannst von jedem Anbieter an jeden anderen Anbieter schreiben. Warum klappt das?

Paula: Weil alle sich auf dieselben Regeln geeinigt haben.

Paul: Genau. Oder das Web: Jeder Browser kann jede Website öffnen, weil alle HTTP sprechen. Niemand muss mit jedem einzeln verhandeln. Das ist die Idee.

Paula: Nochmal auf Deutsch?

Paul: Das war schon Deutsch. Aber gut: Ein Protokoll ist wie eine genormte Steckdose. Der Stecker passt überall, egal wer das Gerät gebaut hat.

Paula: Und bei Agenten gibt es jetzt wie viele Steckdosen?

Paul: Grob drei Arten. Erstens: Agent spricht mit Werkzeugen und Daten. Zweitens: Agent spricht mit anderem Agenten. Drittens: Agent kauft ein und bezahlt.

Paula: Dann der Reihe nach. Werkzeuge.

Paul: Da ist der Platzhirsch das Model Context Protocol, kurz MCP. Das hat Anthropic im November 2024 veröffentlicht. Man nennt es gern den USB-C-Anschluss für KI.

Paula: Heißt konkret?

Paul: Ein Kalender, eine Datenbank oder ein Onlineshop baut einmal einen MCP-Anschluss – und jeder KI-Assistent, der MCP spricht, kann ihn benutzen. Egal ob Claude, ChatGPT, Gemini oder Microsoft Copilot.

Paula: Moment, Anthropic hat das erfunden, und die Konkurrenz macht mit?

Paul: Ja. Im Dezember 2025 hat Anthropic MCP an eine neue Stiftung unter dem Dach der Linux Foundation abgegeben, die Agentic AI Foundation. Mitgegründet von Anthropic, OpenAI und dem Zahlungsdienst Block.

Paula: Mit Google und Microsoft als Unterstützer.

Paul: Genau, dazu etwa Amazon Web Services. Und die Verbreitung ist enorm. Wie oft werden die Entwicklerbausteine für MCP im Monat heruntergeladen?

Paula: Sag schon.

Paul: 97 Millionen Mal.

Paula: 97 Millionen – pro Monat?

Paul: Laut dem offiziellen MCP-Blog, Stand Dezember letzten Jahres. Dazu über 10.000 aktive MCP-Server. Das ist kein Pilotprojekt mehr, das ist Infrastruktur.

Paula: Gut, Nummer zwei: Agenten, die mit Agenten reden.

Paul: Das ist Agent-to-Agent, kurz A two A. Das hat Google im April 2025 vorgestellt. Bild: MCP ist der Werkzeugkasten, A two A ist das Telefon zwischen Kollegen.

Paula: Wofür braucht ein Agent Kollegen?

Paul: Stell dir vor, dein Reise-Agent verhandelt mit dem Agenten einer Airline. Jeder hat eine digitale Visitenkarte: Das kann ich, so erreichst du mich.

Paula: Und woher weiß ich, dass die Visitenkarte echt ist?

Paul: Genau das kam mit Version eins Punkt null im März 2026: Die Visitenkarten können jetzt kryptografisch signiert werden, also fälschungssicher.

Paula: Wer steckt heute hinter A two A?

Paul: Google hat es schon im Juni 2025 an die Linux Foundation abgegeben. Im April meldete das Projekt über 150 beteiligte Organisationen – darunter Amazon Web Services, Microsoft, Salesforce, SAP und IBM.

Paula: Und im August ist es zu MCP in dieselbe Stiftung gezogen.

Paul: Genau, im August in die Agentic AI Foundation. Also — die beiden großen Grundlagen-Protokolle wohnen jetzt unter einem Dach. Das spricht eher für Einigung als für Formatkrieg.

Paula: Mhm.

Paul: Und jetzt wird es beim Geld unübersichtlich —

Paula: Dritte Steckdose: Einkaufen und Bezahlen.

Paul: Ja, und da gibt es mehrere Protokolle, die sich teils überlappen. Das wichtigste im Moment ist das Universal Commerce Protocol, kurz UCP. Vorgestellt am 11. Januar 2026 von Google, entwickelt zusammen mit Shopify.

Paula: Was regelt UCP?

Paul: Den ganzen Einkauf: Produktkatalog, Warenkorb, Kasse, Bestellung. Ein Shop legt unter einer festen Adresse auf seiner Website eine Art Steckbrief ab. Da steht: Das biete ich an, diese Zahlungsarten nehme ich.

Paula: Und der Agent liest das?

Paul: Genau, und gleicht ihn mit seinem eigenen ab. Kommt der Agent nicht allein weiter, gibt der Shop einen Link zurück, und der Mensch schließt den Kauf selbst ab.

Paula: Also eine eingebaute Übergabe an den Menschen.

Paul: Ja. Und UCP ist nach eigenen Angaben offen und so gebaut, dass es mit MCP, A two A und Googles Bezahlprotokoll zusammenspielt. Beim Start waren Etsy, Wayfair, Target und Walmart dabei, dazu Visa, Mastercard, Stripe und Adyen als Unterstützer.

Paula: Wer entscheidet bei UCP?

Paul: Ein sogenannter Tech Council.

Paula: Wer sitzt da drin?

Paul: Google, Shopify, Etsy, Target, Wayfair.

Paula: Und seit April?

Paul: Seit dem 24. April auch Amazon, Meta, Microsoft, Salesforce und Stripe.

Paula: Amazon sitzt also im Gremium des Protokolls, über das Muse bei Shopify einkauft – und sperrt Muse gleichzeitig auf der eigenen Seite aus?

Paul: So ist es. Ein gemeinsamer Standard ist eine gemeinsame Sprache – keine Pflicht zum Gespräch.

Paula: Gut. Aber du hast von mehreren Kassen-Protokollen gesprochen.

Paul: Richtig. Das zweite ist das Agentic Commerce Protocol, kurz ACP, von OpenAI und Stripe. Das kam am 29. September 2025 zusammen mit dem Sofort-Kauf in ChatGPT, Instant Checkout.

Paula: Und wie läuft das?

Paul: Tja. Im März 2026 hat OpenAI den Sofort-Kauf im Chat laut Forbes und The Information deutlich zurückgefahren. Laut Shopify-Präsident Harley Finkelstein waren bis dahin nur etwa ein Dutzend Shopify-Händler live.

Paula: Ein Dutzend? Bei Millionen Shops?

Paul: Ein Dutzend. Jetzt setzt OpenAI eher auf eigene Händler-Apps in ChatGPT, etwa von Walmart, Target oder Instacart. Das Protokoll selbst pflegt Stripe weiter.

Paula: Das ist also eher das Beispiel für: Die Ankündigung war größer als die Wirklichkeit.

Paul: Kann man so sagen. Drittens: Googles Agent Payments Protocol, kurz AP zwei. Vorgestellt im September 2025 mit über 60 Partnern, darunter Mastercard, PayPal, American Express und Adyen.

Paula: Und was macht AP zwei anders als UCP?

Paul: UCP ist der ganze Einkauf, AP zwei ist speziell die Frage: Wie beweise ich, dass der Mensch das wirklich wollte? Dafür gibt es digitale Aufträge, sogenannte Mandate.

Paula: Wie funktioniert so ein Mandat?

Paul: Zuerst gibt es eine Absichtserklärung. Etwa: Kauf mir weiße Laufschuhe, höchstens 100 Euro. Dann ein Warenkorb-Mandat: genau diese Schuhe, genau dieser Preis, digital unterschrieben. Google sagt dazu: Was du siehst, ist, was du zahlst.

Paula: Und wenn später Streit entsteht?

Paul: Dann gibt es eine fälschungssichere Kette von der Absicht bis zur Zahlung. Und AP zwei erlaubt sogar Käufe, während du gar nicht dabei bist – solange der Agent sich an die vorab festgelegten Regeln hält.

Paula: Und das ist genau der Teil, bei dem ich vorsichtig wäre.

Paul: Verständlich. Übrigens hat Google AP zwei am 28. April an die FIDO Alliance abgegeben. Das ist das Gremium, das auch hinter Passkeys steht. Dort leiten Visa und Mastercard die Arbeitsgruppe für Zahlungen.

Paula: Womit wir bei den Kartenfirmen wären.

Paul: Genau, die bauen die vierte Ebene. Visa hat im Oktober 2025 zusammen mit Cloudflare das Trusted Agent Protocol vorgestellt. Damit weist sich ein Agent beim Shop mit einer digitalen Signatur aus —

Paula: Damit der Shop einen ehrlichen Agenten von einem Betrugs-Bot unterscheiden kann.

Paul: Genau. Und Mastercard hat Agent Pay mit sogenannten Agenten-Tokens. Statt deiner Kartennummer bekommt der Agent eine Art Stellvertreter-Nummer, die nur für ihn und nur in einem Rahmen gilt.

Paula: Und läuft das schon, oder ist das Zukunftsmusik?

Paul: Unterschiedlich. Visa hat am 2. Juli gemeldet, dass Agenten in Europa echte Käufe abgeschlossen haben, mit über 30 beteiligten Banken. Aus Deutschland unter anderem Commerzbank, DKB und comdirect.

Paula: Mhm.

Paul: Allerdings bei einer Handvoll Händlern wie lastminute.com – echt, aber überschaubar. Bei Mastercard gab es im März mit Santander die erste Agenten-Zahlung Europas, laut Mastercard in kontrollierter Umgebung. Also Pilot.

Paula: Lass uns kurz sortieren, was davon wirklich breit läuft.

Paul: Breit laufen MCP und A two A – das sind Grundlagen, die heute in den großen Cloud-Plattformen stecken. Beim Einkaufen ist das Größte gerade Shopify mit Muse, und das nur in den USA.

Paula: Und der Rest?

Paul: Visa in Europa: echt, aber ausgewählte Banken und Händler. Mastercard: Pilot. AP zwei: Version null Punkt zwei, also früh. Und ACP: nach dem Rückzieher von OpenAI eher in der Warteschleife.

Paula: Gut. Dann zu den Folgen. Was heißt das für Händler und Marken?

Paul: Der größte Umbruch: Nicht mehr der Mensch scrollt durch Suchergebnisse, sondern der Agent wählt aus. Und der Agent sieht kein schönes Produktfoto zuerst, sondern Daten.

Paula: Also Titel, Preis, Verfügbarkeit, Größen.

Paul: Genau. Wer seine Produktdaten sauber und maschinenlesbar pflegt, taucht auf. Wer das nicht tut, existiert für den Agenten im Zweifel nicht.

Paula: Und was ist mit Werbung? Wenn der Agent entscheidet, wen interessiert dann ein gesponsertes Suchergebnis?

Paul: Genau das ist, laut Forbes, Amazons eigentliches Problem. Amazon hat im vergangenen Jahr rund 68 Milliarden Dollar mit Werbung umgesetzt – ein großer Teil davon mit gesponserten Plätzen, die Menschen beim Stöbern sehen.

Paula: Und ein Agent stöbert nicht.

Paul: Eben. Auf Hacker News hat das der bekannte Entwickler Simon Willison so zusammengefasst: Agenten seien ein direkter Angriff auf einen erheblichen Teil von Amazons Geschäftsmodell.

Paula: Jetzt die andere Seite: Verbraucher. Wenn der Agent Mist kauft – wer zahlt?

Paul: Nach deutschem Recht ist die Lage laut Händlerbund ziemlich klar: Die KI ist nur ein Werkzeug. Der Vertrag kommt mit dir zustande, als hättest du selbst geklickt.

Paula: Und das Widerrufsrecht?

Paul: Das bleibt. Wer als Verbraucher online über einen Agenten bestellt, hat weiter die üblichen 14 Tage. Aber —

Paula: Aber wenn der Agent innerhalb meiner Vorgaben falsch entscheidet?

Paul: Dann bist du laut Händlerbund in der Regel trotzdem gebunden. Anfechten kannst du eher, wenn technisch etwas schiefgeht oder der Agent deine Grenzen überschreitet.

Paula: Das heißt, das Risiko liegt erst mal beim Kunden.

Paul: So formuliert es auch das Verbraucherportal biallo: Solange nicht rechtssicher geklärt ist, wer für einen Fehlkauf der KI geradesteht, trägt man das Risiko selbst.

Paula: Und Betrug?

Paul: Das ist die zweite große Sorge. Laut einem Bericht, den etailment am 24. September aufgegriffen hat, warnen große Banken wie ING, NatWest und Bank of America vor Betrug und Datenlecks durch Einkaufs-Agenten.

Paula: Was fordern die?

Paul: Eine Kennzeichnung, wenn ein Agent beteiligt ist, mehr Transparenz über seine Entscheidungen und Schutz davor, dass Agenten Kunden zu Zahlungsarten mit schwächerem Käuferschutz lenken.

Paula: Und dann gibt es noch den Datenschutz. So ein Agent liest Mails, kennt Termine, kennt die Karte.

Paul: Ja. Die c't warnt: Wer einem Agenten zu viele Rechte gibt, macht ihn anfällig. Ein gefälschter Shop kann versteckte Anweisungen enthalten, die den Agenten zu Käufen verleiten.

Paula: Bleibt die Machtfrage. Wer kontrolliert diese Standards?

Paul: Da bin ich eigentlich optimistisch. Die Protokolle sind offen, der Code liegt öffentlich, MCP und A two A gehören einer Stiftung. Offen heißt doch: Keiner kann es an sich reißen.

Paula: Offen heißt, jeder darf den Bauplan lesen. Aber wer sitzt am Tisch, wenn entschieden wird? Bei UCP sind es Google, Shopify, Amazon, Meta, Microsoft, Stripe. Bei den Bezahlprotokollen führen Visa und Mastercard die Arbeitsgruppe.

Paul: Hm.

Paula: Ein kleiner Händler aus Bayern kann den Code lesen. Mitbestimmen, welche Daten ein Agent verlangt oder welche Gebühren anfallen, kann er kaum.

Paul: Okay, da hast du recht. Ich hatte offen mit neutral verwechselt. Offen ist gut – aber die Regeln schreiben am Ende die, die am Tisch sitzen.

Paula: Und die dürfen immer noch entscheiden, wen sie reinlassen. Siehe Amazon.

Paul: Also — die Mauer verschwindet nicht, sie bekommt nur eine genormte Tür. Und wer den Schlüssel hat, bleibt die eigentliche Machtfrage.

Paula: Und in Deutschland ist das meiste noch gar nicht angekommen.

Paul: Stimmt, Muse und Shop Pay für Agenten gibt es nur in den USA. Aber die Standards, die dort jetzt gesetzt werden, dürften später auch hier gelten.

Paula: Was heißt das jetzt für dich, wenn du so einen Einkaufs-Agenten ausprobieren willst?

Paul: Erstens: Gib jeden Kauf selbst frei, auch wenn es bequemer wäre, den Agenten allein machen zu lassen. Zweitens: Setz ein Limit und nutz, wo es geht, Einweg-Karten oder eine separate Karte.

Paula: Und drittens: Gib dem Agenten nur die Zugriffe, die er für diese Aufgabe braucht. Nicht das ganze Postfach, nicht das Bankkonto. Und wer selbst verkauft: Pflegt eure Produktdaten – der nächste Kunde ist vielleicht kein Mensch.

Paul: Das war KI News Kompakt. Neue Folgen gibt es montags bis freitags.

Paula: Bleibt neugierig – und bleibt kritisch.