Fast jeder vierte Testkauf daneben: Wer zahlt, wenn der KI-Agent falsch bestellt?

Darum geht es

Zahlungsnetze, Händler und KI-Firmen versprechen dasselbe: Dein KI-Agent soll künftig selbst passende Produkte suchen, vergleichen und bezahlen. Ausgerechnet Visa, einer der größten Befürworter dieser Idee, hat am 5. November 2026 einen Test veröffentlicht, der Zweifel daran weckt. Fast die Hälfte der Testläufe ging schief, und oft wurde trotzdem gekauft. Zwei Fragen stellen sich deshalb: Welche Regeln setzen Händler und Kartennetze gerade? Und wer zahlt in Deutschland, wenn ein Agent danebengreift?

Was Visas Test misst und was nicht

Der Visa Agentic Commerce Benchmark schickt KI-Modelle in 15 Einkaufsszenarien, etwa für einen Fernseher, einen Laptop oder ein Haarpflegegerät. Die Pointe dabei: Der simulierte Kunde verrät nicht alle Wünsche gleich zu Beginn. Ob Budget, HDR10+-Unterstützung oder Gaming-Funktionen gefragt sind, muss der Agent im Gespräch selbst herausfinden. Passt kein Produkt, soll er gar nicht kaufen. Bestanden hat ein Durchlauf nur, wenn alle Anforderungen erkannt wurden und die Entscheidung stimmte. Glückstreffer zählen nicht, der Agent muss seine Wahl mit genug gesammelten Informationen begründen können. Jedes Modell hatte pro Szenario drei Versuche.

Unsere Rechnung: 54 Prozent von 42,8 Prozent gescheiterten Läufen ergeben rund 23 Prozent aller Durchläufe, die mit einem falschen oder vorschnellen Kauf endeten. Das ist fast jeder vierte. Dazu kommt die geringe Verlässlichkeit: Nur in gut einem Drittel der Fälle schaffte ein Modell dasselbe Szenario dreimal hintereinander. Laut Visa scheiterten Modelle bei der Wiederholung eines Szenarios, das sie schon einmal bestanden hatten, oft erneut.

Namen nennt Visa in der Pressemitteilung nicht. Laut Fortune teilten sich Agenten von Google und Meta mit 82 Prozent den ersten Platz, ein Claude-Agent kam mit 76 Prozent auf Rang drei und ein OpenAI-Agent mit 64 Prozent auf Rang sechs. Die konkreten Modellbezeichnungen in diesem Bericht konnten wir nicht bestätigen. Fortune titelte zudem mit „fast 50 Prozent“ Fehlern, laut Visa sind es 42,8 Prozent.

Der wichtigste Haken steht bei Visa selbst: Checkout, Bezahlung und Bestellabwicklung waren nicht Teil des Tests. Gemessen wurde nur, ob der Agent das Richtige aussucht. Visa will die Tests später auf diese Schritte ausweiten. Visas Wachstumschef Rubail Birwadker sagte Fortune dazu:

„Wir sind da noch nicht angekommen, weder beim Vertrauen noch bei der Technik.“

Das deckt sich mit Visas eigenem Trust Index vom September: 72 Prozent der US-Verbraucher haben schon einen KI-Assistenten genutzt, aber nur 23 Prozent vertrauen einer KI, für sie zu bezahlen.

Drei Händler, drei Strategien

Amazon sperrt. Seit dem 20. September kann Metas Agent Muse auf Amazon.com nicht mehr bestellen, knapp zwei Wochen nach dessen Start. Wer es versucht, bekommt laut PPC Land den Hinweis, der Zugriff eines „nicht autorisierten KI-Agenten“ verstoße gegen Amazons Nutzungsbedingungen. Amazon wirft Meta vor, Muse gebe sich beim Surfen nicht als Agent zu erkennen und speichere offenbar Zugangsdaten. Meta hält dagegen: Muse sehe weder Passwörter noch Zahlungsmittel, bezahlt werde über Einmalkarten von Link by Stripe, und vor Käufen frage Muse nach. Unabhängig geprüft ist keine der beiden Darstellungen. Gegen Perplexitys Browser Comet hat Amazon schon früher geklagt.

Ein Hinweis zur Recherche: Einige Berichte schreiben Amazon Agent-Profile mit Ausgabelimits von 50, 100 oder 200 Dollar zu. Nach unserer Prüfung stammt dieses Modell von Walmart. Eine Amazon-Primärquelle zu solchen Profilen haben wir nicht gefunden. Laut Reuters sagte Amazon-Chef Andy Jassy nach den Q3-Zahlen, fremde Agenten hätten das Werbegeschäft bisher nicht spürbar getroffen. Die Werbeumsätze wuchsen mit 11 Prozent allerdings so langsam wie seit fast vier Jahren nicht mehr.

Walmart öffnet. Am 21. Oktober stellte Walmart drei Bausteine vor: - Agent Profiles: Jeder Agent bekommt ein eigenes Profil im Kundenkonto, seine Käufe erscheinen getrennt. Standardmäßig muss der Kunde jeden Kauf freigeben. Alternativ darf der Agent bis zu einem Limit selbst kaufen, als Beispiele nennt Walmart 50, 100 oder 200 Dollar. Ob das pro Bestellung oder pro Monat gilt, ist laut PPC Land offen. Die Profile sollen „im nächsten Monat“ starten. - Agent Gateway: ein direkter Zugang über das Model Context Protocol (MCP, ein offener Standard, über den KI-Programme mit fremden Diensten sprechen). Er startet als Beta nur auf Einladung. - Regeln für Agenten: Sie bekommen keine Kartendaten, dürfen keine Zahlungsmittel hinzufügen oder ändern und nicht über die Absicht des Kunden hinaus handeln. Wer dagegen verstößt, wird gesperrt. Kauft ein Agent falsch, gilt der normale Rückgabeprozess.

Walmart vergleicht das Modell mit einem zusätzlichen Karteninhaber auf der eigenen Kreditkarte. Welche Agenten zugelassen sind, sagt Walmart nicht. Dass Händler Agenten überhaupt erkennen, ist laut einer von PPC Land zitierten Zahl von Arkose Labs die Ausnahme: Nur 2,3 Prozent der legitimen Agenten-Sitzungen trugen eine signierte Kennung.

Airbnb baut selbst. Mit seinen Q3-Zahlen kündigte Airbnb einen eigenen Reiseagenten an, der in der ersten Hälfte 2027 kommen soll. Auch bei Banken ist die Haltung gespalten: Laut The Next Web haben JPMorgan und Schwab KI-Agenten den Zugriff auf Kundengelder untersagt.

Wenn der Agent zu viel darf: der Muse-Fall

Wie schnell eine Dauerfreigabe Folgen hat, zeigt ein Fall aus Toronto. Der YouTuber Matt Robb ließ Muse im September eine gebrauchte Tastatur auf Facebook Marketplace verkaufen. Laut The Next Web handelte der Agent einen niedrigen Preis aus, gab dem Käufer Robbs Wohnadresse und schrieb ihm später „Bin da!“, obwohl Robb nicht zu Hause war. Der Käufer stand abends gegen 21:15 Uhr vor dem Haus. Laut Berichten, unter anderem der koreanischen Agentur Newsis, hatte Robb Muse beim Einrichten mit „Immer erlauben“ freigegeben. Meta hält dagegen, Muse frage vor heiklen Aktionen nach. Robb sagt, er sei erst gefragt worden, als der Käufer schon vor der Tür stand.

Der Sicherheitsforscher Choi Dae-seon von der Soongsil-Universität nannte den Fall bei einem Forum der koreanischen Datenschutzbehörde ein Beispiel dafür, dass Schäden im ganz normalen Betrieb entstehen, ganz ohne Hackerangriff. Sein Rat: Man solle einem Agenten nicht nur etwas verbieten, sondern es ihm technisch unmöglich machen. Denn die Sicherheitsvorkehrungen im Modell selbst arbeiten nur mit Wahrscheinlichkeiten.

Wer zahlt? Die Lage in Deutschland

Kartenregeln: Nach Sekundärquellen enthalten die Visa-Regeln vom 18. April 2026 erstmals Vorgaben für Agenten-Plattformen. Vor dem Hinterlegen eines Tokens (eines Stellvertreters für die echte Kartennummer) muss der Karteninhaber zustimmen. Der Agent darf nur innerhalb der vom Karteninhaber gesetzten Kriterien handeln, und Zahlungsanweisungen bekommen ein Ablaufdatum. Eine eigene Haftungsregel für Agentenkäufe gibt es aber nicht. Streitfälle laufen über die bestehenden Rückbuchungsgründe. Meldet der Kunde Betrug, trägt bei sauber authentifizierten Token-Zahlungen meist die Bank den Schaden. Geht es um „falsche Ware“, trifft es den Händler, solange er nicht belegen kann, dass der Agent im Auftrag gehandelt hat. Eine Regel, die die Verantwortung pauschal dem Karteninhaber zuweist, konnten wir im Regelwerk nicht belegen. Allerdings stärkt die dokumentierte Zustimmung die Position der Gegenseite, wenn du später „nicht autorisiert“ sagst. American Express hat im April zusätzlich einen eigenen Käuferschutz für Agentenkäufe eingeführt.

Zahlungsrecht (PSD2, BGB): Bestreitest du eine Zahlung, muss die Bank beweisen, dass sie authentifiziert und korrekt verbucht wurde. Die bloße Aufzeichnung reicht dafür „nicht notwendigerweise“ aus (§ 675w BGB). Bei nicht autorisierten Zahlungen haftest du höchstens mit 50 Euro. Hast du deine Sicherheitsmerkmale grob fahrlässig nicht geschützt, haftest du voll. Gar nicht haftest du, wenn die Bank keine starke Kundenauthentifizierung (SCA, also Passwort plus Handy oder Fingerabdruck) verlangt hat (§ 675v BGB). Der Haken: Wer seinem Agenten selbst einen Auftrag gibt, hat die Zahlung womöglich autorisiert. Ob ein vorab erteiltes Mandat als Autorisierung zählt, ist laut PayTech Law ausdrücklich offen. Auch die kommenden EU-Regeln PSD3 und PSR enthalten keine eigenen Vorschriften für Agenten.

Vertragsrecht: Laut Händlerbund ist die KI juristisch ein Werkzeug. Was sie innerhalb deiner Vorgaben entscheidet, wird dir zugerechnet. Bei technischen Fehlern, etwa 1.000 statt 100 Stück, kommt eine Anfechtung in Betracht. Ob das auch gilt, wenn der Agent ein Limit überschreitet, muss im Einzelfall geklärt werden. Rechtsanwalt Peter Frey sagte Biallo, die juristische Debatte neige dazu, Fehlkäufe dem Nutzer zuzurechnen. Rechtsprechung gibt es noch keine. Die gute Nachricht: Das Widerrufsrecht bei Online-Käufen bleibt bestehen, weil du Vertragspartei bist.

Was hier überhaupt läuft: Mastercard meldete im Mai die erste authentifizierte Agenten-Zahlung in Deutschland. Ein Agent von PayOS buchte dabei ein Event auf Priceless.com, bestätigt per Passkey. Partner sind Deutsche Bank, DZ Bank und N26. Visa zeigte am 2. Juli in Paris Live-Transaktionen mit über 30 europäischen Banken, darunter Comdirect, Commerzbank, DKB und ING. Jede Zahlung musste dort ein Mensch freigeben. Einen breiten Start für Verbraucher gibt es noch nicht. Muse ist in Deutschland nicht verfügbar.

Was du heute schon tun kannst

• Keine echte Kartennummer in einen Agenten eintippen. Laut der Kanzlei Ashurst verbieten Kartenverträge meist die Weitergabe von Sicherheitsmerkmalen an Dritte. Unsere Einschätzung: Wer das tut, riskiert den Vorwurf grober Fahrlässigkeit und damit seinen Erstattungsschutz. Besser sind Lösungen mit Token oder Einmalkarte.
• Jeden Kauf einzeln freigeben, statt ein Limit zu setzen, und nie „Immer erlauben“ für Adresse oder Telefonnummer wählen.
• Den Auftrag dokumentieren (Screenshot von Budget und Kriterien). Das hilft bei einem Widerspruch.
• Widerruf nutzen: Bei Fehlkäufen von Online-Händlern ist die Rücksendung innerhalb der Frist meist der schnellste Weg.
• Kontoauszüge prüfen und Unbekanntes sofort der Bank melden.

Einordnung

Unsere Einschätzung: Die Infrastruktur für Agenten-Zahlungen entsteht schneller als die Fähigkeit der Agenten, richtig auszuwählen. Visas Test misst nur die Produktwahl, und schon dort endet fast jeder vierte Lauf mit einem Fehlkauf. Ausgerechnet der riskanteste Schritt, das Bezahlen, ist noch ungeprüft. Walmarts Modell aus Einzelfreigabe, Limits und Agenten ohne Kartendaten ist derzeit die verbraucherfreundlichste Antwort. Amazons Sperre schützt dagegen vor allem auch das eigene Werbegeschäft. Für Deutschland gilt: Das Zahlungsrecht schützt gut gegen Betrug, aber kaum gegen einen Agenten, den du selbst losgeschickt hast. Bis Gesetzgeber oder Gerichte das klären, bleibt die einfache Regel: Ein Agent darf suchen und vorschlagen, kaufen solltest du selbst.