Agent oder verkleideter Bot? Warum Websites das fast nie sicher erkennen

Darum geht es

Seit dem 11. November 2026 steht in den Beförderungsbedingungen von United Airlines ein neuer Satz. Regel 6.J.6 verbietet „den Einsatz von KI-Agenten, um ein Ticket zu erstellen, zu ändern oder zu bearbeiten und/oder eine Dienstleistung oder ein Produkt zu kaufen“. Ein KI-Agent ist ein Programm, das sich selbstständig durch Websites klickt und Aufgaben erledigt. Die Definition ist laut dem Reiseblog One Mile at a Time sehr weit gefasst: Sie gilt auch dann, wenn der Passagier jeden Schritt überwacht oder freigibt. Laut ShiftDelete darf United nach Regel 5.H solche Buchungen stornieren. PPC Land nennt außerdem Regel 6.K, nach der Tickets ungültig werden, Meilen gelöscht und Mitgliedschaften beendet werden können. Erlaubt bleiben die Suche nach Preisen und Hilfstechnik für Menschen mit Behinderung.

United steht damit nicht allein. JPMorgan blockiert laut CNBC seit dem 13. Oktober externe Agenten, die sich mit den Zugangsdaten von Privatkunden anmelden. Schwab-Chef Rick Wurster spricht von großen Agenten, die jede Woche „im Bereich von zehn bis zwanzig“ gestoppt werden. Amazon hat Metas Agenten Muse am 20. September ausgesperrt, und laut einer von CNBC zitierten Untersuchung schränken auch Kohl's und Neiman Marcus Agenten ausdrücklich ein.

Eines sagt allerdings keines dieser Unternehmen: wie es einen Agenten überhaupt erkennen will. Genau das ist die Frage dieses Artikels. Unsere These lautet: Die vorhandenen Werkzeuge zeigen bestenfalls, wer einen Agenten betreibt. Ob der Mensch dahinter den Auftrag wirklich gegeben hat, zeigt keines davon.

Werkzeug 1: Das Namensschild, das jeder fälschen kann

Jeder Browser schickt bei jeder Anfrage einen User-Agent-String mit, eine Art selbst ausgefülltes Namensschild („Ich bin Chrome auf einem Mac“ oder „Ich bin der Agent von Firma X“). Der IETF-Entwurf zu Web Bot Auth hält das nüchtern fest: Der User-Agent allein könne gefälscht werden, „das heißt, jeder kann versuchen, als dieser Agent aufzutreten“.

Wie das in der Praxis aussieht, beschreibt die Sicherheitsfirma Cequence in Zahlen, die Help Net Security am 12. November veröffentlicht hat. Ein Online-Marktplatz verzeichnete in einer Oktoberwoche 414.210 Besuche unter dem Namen eines verbreiteten KI-Agenten für Verbraucher. Den Namen des Agenten nennt der Bericht nicht. Alle Besuche zielten auf die Login-Seite, und alle endeten mit Fehlern. Dahinter steckte Credential Stuffing, also das massenhafte Durchprobieren gestohlener Kombinationen aus Nutzername und Passwort. Der falsche Agent war fleißiger als die echten: Er kam auf etwa das 1,5-Fache der echten Agenten-Besuche, die Cequence in derselben Woche über fünf Branchen hinweg zählte.

Unsere Rechnung dazu: 414.210 Besuche entsprechen rund 59.000 pro Tag oder etwa 41 pro Minute. Geteilt durch 1,5 ergeben sie rund 276.000 echte Agenten-Besuche. Das passt zu der Stichprobe von 281.627 Agenten-Besuchen, die Cequence für Mitte Oktober nennt. Davon lasen 85 Prozent nur Seiten oder verglichen Produkte. Etwa jeder siebte Besuch, also grob 40.000, ging weiter und buchte, kaufte, meldete sich an oder verwaltete ein Konto.

Schon Ende Oktober hatte Cequence einen Scanner gemeldet, der sich nacheinander als 32 verschiedene KI-Bots ausgab, um Passwortdateien und SSH-Schlüssel zu finden. Der Angreifer verriet sich, weil eine einzige Maschine binnen Sekunden behauptete, die Agenten mehrerer KI-Firmen zu sein.

Werkzeug 2: Die kryptografische Unterschrift – Web Bot Auth

Die technische Antwort auf das Fälschungsproblem heißt Web Bot Auth. Der Agent unterschreibt jede Anfrage mit einem geheimen Schlüssel. Den passenden öffentlichen Schlüssel veröffentlicht er an einer festen Adresse (/.well-known/http-message-signatures-directory). Die Website prüft die Unterschrift und weiß dann, dass die Anfrage wirklich von dem Betreiber kommt, dessen Name im Kopf der Anfrage steht. Laut Cloudflare-Dokumentation kommen dafür drei HTTP-Header (Signature, Signature-Input, Signature-Agent) und Ed25519-Schlüssel zum Einsatz.

Die IETF, das Gremium für Internetstandards, hat den Entwurf im September 2026 als offizielles Arbeitsdokument übernommen. Die aktuelle Fassung -01 vom 29. Oktober stammt von Thibault Meunier (Cloudflare) und S. Major (Google). Signaturen prüfen laut Herstellerangaben bereits Cloudflare, AWS WAF (seit November 2025), Akamai und DataDome. Unterschreiben tun unter anderem der ChatGPT agent (Kennung „https://chatgpt.com“), Browserbase, Anchor Browser, Blocks Goose und Amazons AgentCore Browser. Google testet das Verfahren mit „Google-Agent“, signiert nach eigener Aussage aber noch nicht jede Anfrage.

Das Problem ist die Verbreitung. Arkose Labs hat im dritten Quartal 2026 die eigenen Kundendaten ausgewertet. Danach trugen 97,7 Prozent der legitimen Agenten-Sitzungen keine geprüfte Signatur. Der ChatGPT agent signierte 78,4 Prozent seiner Sitzungen und war laut Arkose „der einzige Agent, der in großem Umfang signierte“. Unsere Rechnung: Wenn insgesamt nur 2,3 Prozent signiert waren, kann ChatGPT höchstens etwa 3 Prozent der legitimen Agenten-Sitzungen ausgemacht haben. Den Großteil stellten Agenten wie Muse, Instinct und Perplexitys Comet, die sich nicht zu erkennen gaben. Arkose nennt allerdings nur Prozentwerte und keine absoluten Zahlen, und die Daten sind nicht unabhängig geprüft.

Seitdem hat sich etwas bewegt. Laut Jérôme Segura von DataDome signiert Meta seit etwa dem 12. Oktober einen Teil der Muse-Anfragen, still und ohne Ankündigung. Segura nennt die Menge „relativ klein“. Arkoses Messzeitraum endete vor diesem Datum.

Was eine Signatur beweist – und was nicht

Selbst eine lückenlos signierte Agentenwelt würde Uniteds Problem nicht lösen. Das steht so im Standard selbst. Die Charta der IETF-Arbeitsgruppe nennt ausdrücklich als nicht zum Auftrag gehörend: die Authentifizierung des Endnutzers eines Agenten, ein Vokabular für Absichten und Reputation. Der Entwurf formuliert es noch deutlicher:

„Sie drückt keine Autorisierung, Delegation oder Einwilligung aus.“

An anderer Stelle heißt es, das Verfahren authentifiziere keine menschlichen Nutzer. Arkose-Chef Kevin Gosschalk bringt es auf eine Formel: Eine geprüfte Signatur sage „nur, welches Produkt anruft“. Cloudflare schreibt in einem Blogbeitrag vom 16. Oktober Ähnliches:

„Zu prüfen, wer einen Bot betreibt, schafft Verantwortlichkeit, aber Vertrauen hängt davon ab, was er als Nächstes tut.“

Cloudflare will Bots deshalb künftig zusätzlich danach bewerten, ob sie robots.txt und Bremssignale der Website respektieren.

Werkzeug 3: Zahlungs-Token von Visa und Mastercard

Den Nutzerauftrag wollen Visa und Mastercard abdecken. Visas Trusted Agent Protocol (TAP), gestartet im Oktober 2025, und Mastercard Agent Pay bauen auf demselben Signaturstandard auf und hängen zusätzlich Kunden- und Zahlungsdaten an. Was diese Daten belegen, ist aber begrenzt. Laut Visa-Spezifikation bestätigt der Kunden-Token, dass ein Kunde „identifiziert wurde“, damit der Händler erkennen kann, ob er ihn kennt. Die Kennzeichnungen „agent-browser-auth“ und „agent-payer-auth“ beschreiben nur die Art der Interaktion. Eine Zustimmung des Kunden ist darin nicht enthalten. Eine technische Gegenüberstellung auf tomcn.uk kommt zum gleichen Schluss: Alle drei Verfahren authentifizieren die Anfrage des Agenten, nicht den Karteninhaber. Die starke Kundenauthentifizierung, also die Freigabe per App oder Code bei der eigenen Bank, findet weiterhin beim Kartenaussteller statt.

Werkzeug 4: Verhalten statt Ausweis

Was in der Praxis funktioniert, ist das genaue Beobachten. Cequence schildert einen Fall bei einem großen Telekommunikationsanbieter. Kurz nach dem Start eines großen Verbraucher-Agenten im September stieg dort ein neuer Datenstrom innerhalb von drei Wochen von rund 100 auf 19.000 bis 32.000 Anfragen pro Tag. Der Verkehr gab sich als normaler Desktop-Browser aus, meldete sich an, bestand sogar die Zwei-Faktor-Abfrage und legte Geräte in den Warenkorb. Aufgefallen ist er erst durch ein Browser-Update: Innerhalb von 48 Stunden lief fast der gesamte Strom (98 Prozent) auf der neuen Version. Echte Kunden brauchen dafür etwa zwei Wochen. So schnell aktualisiert nur ein Betreiber eine zentral verwaltete Flotte von Cloud-Browsern. Der Anbieter stufte über 270.000 Transaktionen als automatisiert, aber nicht bösartig ein und ließ sie unter Beobachtung weiterlaufen.

Bei einer Weltmarke lagen laut Cequence rund 82 Prozent der unberechtigten Login-Versuche so niedrig, dass klassische Bot-Erkennung nicht anschlug. Erst die Verhaltensanalyse blockierte in 31 Tagen 3,51 Millionen Versuche. Auch hier gilt: Das sind Herstellerangaben, und zur Methode sagt Cequence wenig.

Verhaltensanalyse erkennt also Automatisierung, manchmal sogar einen verkleideten echten Agenten. Ob Kundin Meier diesen Agenten beauftragt hat, sieht sie nicht. Signal-Chefin Meredith Whittaker hat das in einer Debatte am 6. November auf den Punkt gebracht: Chase habe Muse blockiert, weil die Bank nicht feststellen könne, dass es sich um den echten Nutzer handelt.

Und in Deutschland?

In den öffentlich auffindbaren Unterlagen von Lufthansa und Deutscher Bahn haben wir keine Agenten-Klausel nach dem Vorbild von United gefunden. Ob sie oder deutsche Banken Web Bot Auth prüfen, ist nicht öffentlich dokumentiert. Laut Dr. Web verlangt Lufthansa für den Online-Check-in schrittweise eine Travel ID, was Passagiere enger an ihr eigenes Konto bindet. Bei Zahlungen ist Europa dem Rest der Welt einen Schritt voraus: Laut Dr. Web hat Visa über 30 europäische Banken für Agenten-Zahlungen freigeschaltet, abgesichert durch die gesetzlich vorgeschriebene starke Kundenauthentifizierung. Diese Freigabe belegt tatsächlich die Zustimmung eines Menschen, allerdings nur zur Zahlung. Für einen Check-in oder eine Umbuchung gibt es nichts Vergleichbares.

Einordnung

United räumt laut ShiftDelete selbst ein, dass es bei Buchungen über ein Reisebüro womöglich nur das Reisebüro sieht. Das Verbot greift also genau dort am schwächsten, wo es nach Uniteds eigener Ankündigung ebenfalls gelten soll. Unsere Einschätzung: Solange kein Standard den Nutzerauftrag belegt, ist „Agenten-Verbot“ vor allem ein juristisches Etikett. Es gibt einem Unternehmen das Recht, im Einzelfall zu stornieren oder Konten zu sperren, und verschiebt die Haftung auf den Kunden, wie Jamie Dimon es offen angedeutet hat. Dass Unternehmen den Vertragsweg wählen, hat einen Grund: Ein US-Berufungsgericht entschied im August im Fall Amazon gegen Perplexity, dass Amazon den Agenten nicht über das Anti-Hacking-Gesetz stoppen kann. Seine Nutzungsbedingungen durchsetzen kann Amazon aber weiterhin.

Das eigentliche Risiko sind nicht die Agenten, die sich an die Regeln halten. Gefährlich sind die Angreifer, die sich deren Namen leihen. Ein Verbot, das sich am Namensschild orientiert, hält die Ehrlichen fern, die sich ausweisen, und lässt die Unehrlichen durch, die einfach ein anderes Schild tragen. Signaturen helfen gegen falsche Namensschilder, solange genug Agenten sie nutzen. Den fehlenden Baustein, also einen überprüfbaren Beleg dafür, dass ein bestimmter Mensch genau diese eine Aktion beauftragt hat, liefert heute keines der Verfahren. Bis es ihn gibt, bleibt die Verhaltensanalyse das wirksamste Mittel, und sie urteilt nur nach Wahrscheinlichkeiten.