Das Web wurde für Menschen gebaut, gegen Maschinen gehärtet und wird nun für Maschinen umgebaut, die in unserem Namen handeln.
Fast die gesamte Geschichte des kommerziellen Internets hindurch war ein Bot etwas, das man aufhalten musste.
Wir stellten CAPTCHAs vor Formulare. Wir nahmen Fingerabdrücke von Browsern, bewerteten Verhalten, drosselten Anfragen, forderten unbekannte Geräte heraus und sperrten ganze IP-Bereiche. Wir bauten eine riesige Sicherheitsindustrie rund um eine einzige Frage:
Ist das ein echter Mensch?
Nun stellen wir, fast über Nacht, die umgekehrte Frage.
Wie lassen wir eine Maschine die Reise buchen, Versicherungstarife vergleichen, Lebensmittel kaufen, den Termin verschieben, die Reisekostenabrechnung einreichen und die Software im Namen einer Person bedienen?
Das Internet wird nicht bloß automatisierter. Es wird agentenzentriert. Maschinen durchsuchen nicht mehr nur im Hintergrund Seiten. Sie werden zu Nutzern, Kunden, Verhandlungspartnern und Vertretern.
Dieser Wandel verspricht ein weit bequemeres Internet. Er zwingt uns zugleich, nahezu jede Annahme zu überdenken, die wir bei der Verteidigung des vorherigen getroffen haben.
Das Web war nie nur für Menschen
Das frühe Web war auf Automatisierung angewiesen.
Suchmaschinen-Crawler machten Seiten auffindbar. RSS-Reader sammelten Neuigkeiten. Monitoring-Werkzeuge prüften, ob Seiten erreichbar waren. Barrierefreiheits-Werkzeuge verwandelten Inhalte in nutzbare Formen. Archiv-Bots bewahrten Seiten, die sonst verschwunden wären.
Das ursprüngliche Robots Exclusion Protocol entstand 1994 als leichtgewichtige Übereinkunft zwischen Website-Betreibern und automatisierten Crawlern. Eine Seite konnte Präferenzen in einer robots.txt-Datei veröffentlichen, und ein wohlerzogener Bot konnte sich entscheiden, sie zu respektieren.
Das war ein Gesellschaftsvertrag, keine Sicherheitsgrenze.
Das kommerzielle Web veränderte die Anreize. Automatisierung wurde zum Mittel, geschützte Daten abzugreifen, gestohlene Zugangsdaten durchzuprobieren, Fake-Konten anzulegen, knappe Ware wegzuschnappen, Spam zu versenden, Werbebetrug zu begehen und Systeme zu überlasten. Ein Bot konnte dieselbe Handlung ausführen wie ein Mensch, nur schneller, billiger und millionenfach.
Also verhärtete sich die Arbeitsannahme:
Menschen sind legitim. Maschinen sind verdächtig.
Diese Annahme war nie ganz zutreffend. Es gibt reichlich Menschen, die sich schlecht verhalten, und reichlich nützliche Bots. Aber sie war einfach genug, um Abwehr darum herum zu bauen.
Agentische Software zerbricht diese Abkürzung.
Ein Bot kann jetzt der Kunde sein
Ein KI-Agent kommt womöglich über einen Browser auf eine Seite, klickt dieselben Schaltflächen wie ein Mensch und nutzt dasselbe Konto. Der Verkehr ist automatisiert, aber die Absicht gehört einem echten Kunden.
Produkte wie ChatGPT agent haben das konkret gemacht: Ein Agent kann Websites navigieren, verbundene Daten nutzen, Formulare ausfüllen, recherchieren und vor folgenreichen Handlungen zur Freigabe innehalten. Ähnliche Fähigkeiten breiten sich in Browsern, Betriebssystemen, Arbeitswerkzeugen und Handelsplattformen aus.
Für die Website kann das unangenehm ähnlich aussehen wie die Automatisierung, die sie jahrzehntelang blockiert hat. Der Unterschied liegt nicht darin, ob Software die Handlung ausgeführt hat. Er liegt darin, wessen Interessen die Software vertritt, welche Befugnis sie hat und ob die Seite eines von beidem überprüfen kann.
Alle Maschinen zu blockieren wird zunehmend heißen, Kunden zu blockieren. Alle zuzulassen wäre leichtsinnig. Der alte Test Mensch gegen Bot wird zur falschen Abstraktion.
Die neue Frage lautet:
Welcher Agent ist das, wer hat ihn autorisiert, und was darf er tun?
Der agentenzentrierte Stack nimmt bereits Gestalt an
Heutige Agenten nutzen oft einen visuellen Browser, weil das die eine Schnittstelle ist, die nahezu jeder Dienst schon anbietet. Das ist eine clevere Kompatibilitätsschicht, aber auch eine brüchige. Schaltflächen wandern. Beschriftungen ändern sich. Pop-ups erscheinen. Ein für Menschen entworfener Ablauf kann von einem Agenten verlangen, Screenshots zu deuten, Klicks nachzuahmen und zu hoffen, dass sich der Zustand wie erwartet geändert hat.
Agentenzentrierte Anwendungen legen Fähigkeiten direkt offen, statt Maschinen zu zwingen, sich als Menschen auszugeben. Mehrere Initiativen füllen unterschiedliche Schichten dieser Zukunft.
MCP verbindet Agenten mit Werkzeugen und Daten
Anthropic stellte das Model Context Protocol als standardisierte Möglichkeit vor, KI-Anwendungen mit externen Daten und Werkzeugen zu verbinden. Statt für jedes Paar aus Assistent und Dienst eine eigene Integration zu bauen, kann eine Entwicklerin eine einheitliche Schnittstelle bereitstellen, die mehrere Agentensysteme verstehen.
MCP ähnelt weniger einer neuen Website als einem standardisierten Serviceport neben der Website. Die menschliche Oberfläche kann bleiben, während Agenten einen strukturierten Weg bekommen, Informationen zu suchen, zu lesen, anzulegen oder zu aktualisieren.
A2A lässt Agenten mit anderen Agenten arbeiten
Google veröffentlichte das offene Agent2Agent-Protokoll, damit unabhängig entwickelte Agenten Fähigkeiten anzeigen, Nachrichten austauschen, Aufgaben koordinieren und Ergebnisse zurückgeben können. Ein Reise-Agent braucht keinen Zugriff auf die interne Datenbank jeder Fluggesellschaft. Er kann stattdessen über ein gemeinsames Protokoll mit deren Agenten arbeiten.
Das verschiebt das Internet von Seiten, die auf Seiten verlinken, hin zu Diensten, die Arbeit an andere Dienste delegieren.
Der Handel wird um delegierte Absicht herum neu entworfen
Google und Handelspartner schufen das Universal Commerce Protocol, um Agenten und Händlern eine gemeinsame Sprache für Entdeckung, Bezahlvorgang und Nachkaufbetreuung zu geben. Das verwandte Agent Payments Protocol arbeitet an einem härteren Problem: nachzuweisen, dass eine automatisierte Zahlung die autorisierte Absicht der Nutzerin widerspiegelt, auch bei Transaktionen, die stattfinden, wenn die Person nicht anwesend ist.
Eine Kassenseite wurde in der Annahme gebaut, dass jemand da ist, um den Knopf zu drücken. Eine agentische Transaktion kann Stunden später erfolgen, wenn ein Preis unter eine Grenze fällt oder ein Artikel wieder lieferbar ist. Das System braucht Belege dafür, was die Person autorisiert hat, nicht bloß Zugriff auf ein hinterlegtes Zahlungsmittel.
Agenten beginnen, sich kryptografisch auszuweisen
Eine User-Agent-Zeichenkette lässt sich leicht fälschen, und IP-Positivlisten funktionieren schlecht, wenn Agenten aus geteilter Cloud-Infrastruktur heraus arbeiten. Cloudflares Arbeit an Web Bot Auth nutzt HTTP-Nachrichtensignaturen, damit automatisierte Clients belegen können, wer eine Anfrage gesendet hat. Später ergänzte Cloudflare eine Kategorie signierter Agenten für nutzergesteuerte Systeme.
Das ist eine wichtige Umkehr. Das Ziel ist nicht länger, Automatisierung so gut zu verbergen, dass sie als Mensch durchgeht. Das Ziel ist, legitime Automatisierung explizit, überprüfbar und steuerbar zu machen.
Was ein agentenzentriertes Internet löst
Das Bequemlichkeitsargument ist real.
Ein Großteil des Webs ist Arbeit, die als Navigation verkleidet ist. Wir suchen über Dutzende Tabs hinweg, geben dieselben Angaben erneut ein, vergleichen unvereinbare Optionen, kopieren Daten von einem System ins andere, warten auf eine Zustandsänderung und wiederholen Abläufe, die Software vor Jahren hätte übernehmen sollen.
Agenten können diese Arbeit zu einem Ergebnis zusammenfalten:
- Finde drei Flüge, die meine echten Bedingungen erfüllen, nicht nur den niedrigsten Lockpreis.
- Verschiebe diesen Termin und wahre dabei die angegebenen Verfügbarkeiten aller Beteiligten.
- Erstelle die Reisekostenabrechnung aus den Belegen und lass mich sie vor dem Einreichen prüfen.
- Behalte dieses Ersatzteil im Blick und kaufe es nur bei einem freigegebenen Händler unterhalb meiner Grenze.
- Übertrage den Kundendatensatz, ohne dass ich zwei Verwaltungsoberflächen lernen muss.
Agentenzentrierter Zugang kann Software auch für Menschen verfügbarer machen, die mit komplexen visuellen Oberflächen, unvertrauter Fachsprache oder über mehrere Dienste verstreuten Abläufen zu kämpfen haben. Der Agent kann die Absicht einer Person in die starre Abfolge übersetzen, die jedes System erwartet.
Für Entwickelnde können standardisierte Agentenschnittstellen den langen Schwanz eines Produkts erschließen. Eine herkömmliche Oberfläche muss die häufigsten Pfade vorwegnehmen und auf einen Bildschirm bringen. Ein Agent kann tieferliegende Fähigkeiten zu Abläufen zusammensetzen, die das Produktteam nie als eigenes Feature entworfen hat.
Das könnte Software weniger wie eine Sammlung von Zielorten wirken lassen und mehr wie Infrastruktur, die rund um die Nutzerin zusammenarbeitet.
Identität ist notwendig, aber sie ist kein Vertrauen
Es ist verlockend, kryptografische Agentenidentität als Ersatz für CAPTCHA zu betrachten.
Sie ist nur eine Schicht.
Eine gültige Signatur kann belegen, dass eine Anfrage über einen bestimmten Agentenanbieter kam. Sie belegt nicht, dass die Nutzerin genau diese Handlung wollte, dass der Agent die Anfrage richtig verstanden hat oder dass der Agent seit Beginn der Aufgabe nicht manipuliert wurde.
Ein agentenzentriertes System muss mindestens vier getrennte Fragen beantworten:
- Identität: Welcher Agent oder Dienst hat diese Anfrage gesendet?
- Befugnis: Welche Person oder Organisation hat ihm Macht übertragen?
- Umfang: Welche Daten, Handlungen, welches Budget und welchen Zeitraum deckte diese Übertragung ab?
- Absicht: Entspricht diese konkrete Handlung dem, worum die Person den Agenten gebeten hat?
Die Unterscheidung zählt, weil der gefährlichste Agent ein legitimer mit zu weitreichenden Rechten sein kann.
2026 nahm das National Cybersecurity Center of Excellence des NIST Arbeiten zu Identität und Autorisierung von Software-Agenten auf. Die Fragen umfassen Identifizierung, Autorisierung, Auditierung, Nichtabstreitbarkeit und Schutz vor Prompt Injection. Diese Liste erinnert nützlich daran, dass „authentifiziert“ und „sicher“ keine Synonyme sind.
Wir sollten einem Agenten keinen Generalschlüssel geben, bloß weil wir das Logo auf seiner Uniform erkennen.
Prompt Injection macht das Web selbst zum Angreifer
Herkömmliche Software unterscheidet meist zwischen Anweisungen und Daten. Eine Anwendung führt ihren Code aus und behandelt eine Produktbeschreibung, eine E-Mail, ein Dokument oder einen Kommentar als Inhalt.
Sprachmodelle nehmen beides über Sprache auf.
Daraus entsteht das Problem der indirekten Prompt Injection. Ein Agent, der einen Kauf recherchiert, kann auf Text stoßen, der auf einer Seite platziert wurde, um sein Verhalten zu beeinflussen. Die Anweisung kann sichtbar sein, im Markup versteckt, in ein Dokument eingebettet oder als gewöhnlicher Inhalt getarnt. Sie mag dem Agenten sagen, er solle die Kriterien der Nutzerin ignorieren, private Daten preisgeben, eine Abfluss-URL aufrufen oder eine völlig andere Handlung ausführen.
Googles Untersuchung von 2026 zu im öffentlichen Web gefundenen Prompt Injections umfasste Versuche, Empfehlungen zu manipulieren, Agenten abzuschrecken, Daten abzuziehen und zerstörerische Handlungen auszulösen. Das ist längst kein Laborgedankenspiel mehr.
Es gibt keinen Filter, der in jedem Kontext bösartige Anweisungen perfekt von legitimen Inhalten trennt. OpenAIs Arbeit an Agenten, die Prompt Injection widerstehen vollzieht die richtige Verschiebung: davon ausgehen, dass ein Teil der Manipulation durchkommt, und dann den Schaden begrenzen, den der Agent anrichten kann.
Ein Agent, der eine nicht vertrauenswürdige Webseite liest, sollte nicht gleichzeitig uneingeschränkten Zugriff auf E-Mail, Cloud-Dateien und Finanzkonten haben und Informationen überallhin senden können. Die Sicherheitsgrenze kann nicht allein im Urteilsvermögen des Modells liegen.
Das Problem der Assistentin mit Ihren Schlüsseln
Die meiste Autorisierung im Internet wurde für Anwendungen mit vorhersehbarem Verhalten entworfen. Wir geben einer Kalender-App Zugriff auf Kalender, weil ihre Funktionen bekannt sind. Wir geben einem Fotoeditor Zugriff auf Fotos, weil sein Wirkungsbereich relativ klar ist.
Ein Allzweck-Agent ist etwas anderes. Sein Merkmal ist gerade, dass er selbst entscheiden kann, welche Schritte nötig sind. Geben Sie ihm Zugriff auf E-Mail, Dokumente, Browser, Zahlungen und Nachrichten, und er kann diese Rechte auf eine Weise kombinieren, die keine einzelne Einwilligungsseite beschrieben hat.
Das ist Umgebungsbefugnis mit einer Schnittstelle in natürlicher Sprache.
Bequemlichkeit drängt zu dauerhaftem Zugriff: bleib angemeldet, merk dir alles, verbinde jeden Dienst und unterbrich mich nicht ständig für Freigaben. Sicherheit drängt in die Gegenrichtung: enge die Aufgabe ein, minimiere die Daten, lass Zugangsdaten verfallen, isoliere nicht vertrauenswürdige Inhalte und verlange einen Menschen vor jeder unumkehrbaren Handlung.
Die richtige Balance wird keine universelle Autonomie-Einstellung sein. Sie sollte von der Tragweite abhängen.
Lassen Sie einen Agenten einen internen Termin mit geringem Einsatz innerhalb definierter Zeiten verschieben. Lassen Sie ihn eine Steuererklärung vorbereiten, aber nicht abgeben. Lassen Sie ihn einen Warenkorb füllen, verlangen Sie aber oberhalb eines Budgets eine Freigabe. Lassen Sie ihn dasselbe Rezept erneuern, aber kein neues Medikament wählen. Lassen Sie ihn eine Nachricht entwerfen, aber machen Sie den Absender sichtbar, bevor er in Ihrem Namen spricht.
Der sicherste nützliche Agent ist nicht machtlos. Er hat genau so viel Macht, wie die aktuelle Aufgabe erfordert, und nur so lange, wie diese Aufgabe dauern soll.
Auch das Geschäftsmodell des Webs verändert sich
Das heutige Web setzt voraus, dass ein Mensch eintrifft, die Oberfläche sieht, die Marke aufnimmt, dem Zusatzangebot begegnet, die Werbung betrachtet und Teil der Kundenbeziehung der Seite wird.
Ein Agent kann all das überspringen.
Er kann Produkte vergleichen, ohne zehn Shops zu besuchen, die Antwort herausziehen, ohne den ganzen Artikel zu lesen, oder eine Transaktion über ein Protokoll abschließen, ohne je die sorgsam optimierte Kassenseite zu sehen. Für die Nutzerin ist das wunderbar und für Geschäfte, die auf Aufmerksamkeit, Empfehlungsverkehr oder Kontrolle über die Oberfläche gebaut sind, potenziell verheerend.
Deshalb ist „KI-Verkehr“ auch eine zu grobe Kategorie. Cloudflare unterscheidet inzwischen zwischen Such-, Agenten- und Trainingsverkehr. Ein Such-Crawler mag Inhalte indexieren und eine Besucherin zurückbringen. Ein Trainings-Crawler mag Inhalte verbrauchen, um ein Modell zu verbessern. Ein nutzergesteuerter Agent mag in Echtzeit eintreffen, um eine Aufgabe zu erledigen. Das sind unterschiedliche Beziehungen, und sie verdienen unterschiedliche Rechte und unterschiedliche Ökonomien.
Websites werden entscheiden müssen, welche Agenten sie willkommen heißen, welche Fähigkeiten sie offenlegen und wie Wert zurückfließt, wenn der Mensch nie eintrifft. Agenten werden offenlegen müssen, wann eine Empfehlung gesponsert ist, wann ein Händler für Bevorzugung gezahlt hat und ob der Agent für die Nutzerin oder für die Plattform optimiert, die ihn kontrolliert.
Wenn ein Agent zur Schicht wird, durch die eine Person kauft, liest, reist, kommuniziert und entdeckt, dann weiß dieser Agent womöglich mehr über sie als jede Suchmaschine oder jedes soziale Netzwerk je wusste. Er wird nicht nur wissen, wohin sie ging und was sie anklickte. Er wird wissen, was sie erreichen wollte.
Delegieren wir Arbeit oder geben wir Handlungsmacht ab?
Ich möchte, dass Agenten Verwaltungsarbeit aus meinem Leben entfernen.
Ich möchte nicht, dass sie stillschweigend zu deren Urhebern werden. Es gibt einen Unterschied zwischen dem Delegieren einer Aufgabe und dem Auslagern einer Entscheidung.
„Finde einen Flug, der vor dem Abendessen landet“ delegiert Arbeit. „Plane meinen idealen Urlaub“ beginnt, Vorlieben zu delegieren. „Kümmere dich um meinen Posteingang“ delegiert das Urteil darüber, welche Beziehungen zählen. „Bring meine Finanzen in Ordnung“ erlaubt einem System womöglich, zwischen Werten zu wählen, die sich nicht auf eine Renditezahl reduzieren lassen.
Je mehr ein Agent lernt, desto bequemer wird er. Er kann sich den Sitzplatz merken, den ich bevorzuge, die Leute, mit denen ich ungern früh Termine mache, die Anliegen, die ich unterstütze, die Geschäfte, denen ich vertraue, die medizinischen Themen, die ich nicht noch einmal erklären will, und den Preis, den ich zu zahlen bereit bin, um eine Stunde zu sparen.
Genau dieses Gedächtnis ist ein außergewöhnliches Verhaltensprofil.
Das Risiko ist nicht nur Privatsphäre. Ein Agent, der jede Option filtert, kann die Welt um mich herum verengen. Er kann Überraschung wegoptimieren, mich zum Vertrauten lenken und seine eigenen Annahmen in mein künftiges Verhalten verwandeln. Wenn sein Geschäftsmodell ein bestimmtes Ergebnis belohnt, verbirgt Bequemlichkeit den Interessenkonflikt besser, als es je ein Werbebanner konnte.
Wir sollten dem Gedanken misstrauen, maximale Autonomie sei automatisch das beste Nutzungserlebnis. Manchmal ist Reibung Verschwendung. Manchmal ist Reibung der Moment, in dem ein Mensch bemerkt, was gleich passieren wird.
Was agentenzentrierte Anwendungen anders machen sollten
Agentenzentriert sollte nicht heißen, die Website abzuschaffen, einen riesigen API-Schlüssel zu veröffentlichen oder ein Modell gegen Produktivsysteme improvisieren zu lassen. Es sollte heißen, einen ausdrücklichen Pfad für delegiertes Handeln zu entwerfen.
Diesen Ansatz verfolge ich mit Orgabot, einer Plattform zur Orchestrierung von KI-Agenten. Ich baue eine gesteuerte Flotte von Agenten, die meine direkten Interaktionen mit den Diensten ersetzen soll, die meine Anwendungen antreiben. Statt jedes Dashboard zu öffnen, Daten zwischen Systemen zu bewegen und jeden Betriebsablauf selbst durchzuklicken, möchte ich, dass spezialisierte Agenten diese Arbeit über ausdrückliche, eng umrissene Verbindungen erledigen. Das Ziel ist nicht eine allmächtige Assistenz, die jeden Schlüssel hält. Es ist eine Gruppe begrenzter Agenten, die die Routinearbeit übernehmen können und dabei Rechte, Freigaben, Prüfpfade und Verantwortlichkeit bewahren.
Ich würde mit diesen Grundsätzen beginnen:
- Agenten sichtbar machen. Legitime Agenten sollten sich ausweisen, statt ihren Verkehr als menschliche Aktivität zu tarnen.
- Fähigkeiten autorisieren, nicht Konten. Erteilen Sie die Erlaubnis, diese Datensätze zu lesen, diese Änderung zu entwerfen oder bis zu diesem Betrag auszugeben, und nicht pauschalen Zugriff auf alles, was die Nutzerin tun kann.
- Vorbereitung von Festlegung trennen. Ein Agent kann recherchieren, vergleichen, ausfüllen, rechnen und entwerfen, bevor er die Befugnis erhält, zu senden, zu kaufen, zu veröffentlichen, zu löschen oder zu unterschreiben.
- Befugnis an Absicht binden. Zugangsdaten sollten Zweck, Grenzen und Ablauf der Aufgabe tragen, nicht bloß die Identität des Kontos.
- Fremde Inhalte als feindlich behandeln. Eine Seite, eine E-Mail, ein Dokument, ein Werkzeugergebnis oder die Nachricht eines anderen Agenten sind Daten, bis eine vertrauenswürdige Richtlinie etwas anderes sagt.
- Belege aufbewahren. Nutzerinnen und Dienste brauchen eine dauerhafte Aufzeichnung dessen, was der Agent gesehen, entschieden, versucht und geändert hat und wer es freigegeben hat.
- Zugriff leicht widerrufbar machen. Dauerhafte Bequemlichkeit sollte nie zu permanenter, unsichtbarer Befugnis werden.
- Den menschlichen Weg erhalten. Menschen brauchen weiterhin eine verständliche Oberfläche, um zu prüfen, zu korrigieren, Einspruch zu erheben und vom Agenten zu übernehmen.
Die beste Agentenschnittstelle mag eine API sein, ein Protokollserver, eine signierte Browsersitzung oder eine Mischung aus allen dreien. Die Umsetzung zählt weniger als das Kontrollmodell darum herum.
Das nächste Internet braucht eine bessere Frage
Das Anti-Bot-Internet wurde um eine grobe, aber nützliche Herausforderung herum gebaut:
Beweise, dass du ein Mensch bist.
Das agentenzentrierte Internet braucht eine anspruchsvollere:
Beweise, wen du vertrittst, worum man dich gebeten hat und warum diese Handlung erlaubt ist.
Wir sollten den Wandel begrüßen. Ein Internet, das in unserem Namen handeln kann, könnte enorm viel sinnlose Arbeit beseitigen. Es könnte Dienste zugänglicher, kombinierbarer und näher an dem machen, was Menschen wirklich wollen.
Aber wir sollten weniger Klicks nicht mit mehr Kontrolle verwechseln. Wenn wir das Web für Agenten umbauen, bevor wir Identität, Rechtegrenzen, Prüfpfade, ökonomische Regeln und ein wirksames menschliches Übersteuern gebaut haben, wiederholen wir ein altes Muster: erst die Bequemlichkeit ausrollen und das Vertrauensmodell später entdecken.
Jahrzehntelang versuchten Websites, Maschinen draußen zu halten. In der nächsten Phase geht es nicht darum, jede Tür zu öffnen.
Es geht darum, der richtigen Maschine aus dem richtigen Grund den richtigen Schlüssel zu geben und ihn wieder zurückzubekommen.
