---
**F.A.Z.** | September 2026 | [Originalartikel](https://www.faz.net/aktuell/wirtschaft/kuenstliche-intelligenz/amazon-sperrt-metas-ki-agenten-muse-hausrecht-oder-machtspiel-accg-201251572.html)
---
Erst am 8. September hatte Meta Muse in den USA vorgestellt. Der Agent erledigt im Browser Aufgaben, füllt Formulare aus und kauft nach Freigabe ein. Drei Unternehmen reagieren hier auf dieselbe Technologie. Dabei treffen sie keine rein technologische Entscheidung. Sie legen auch fest, wer die Kunden im künftigen Handel vertreten darf.
Ein Mensch kann Amazon besuchen, Produkte vergleichen und eine Bestellung auslösen. Beauftragt er jedoch einen Agenten damit, gilt dieser aus Sicht Amazons als unautorisiert. Das wirkt widersprüchlich, schließlich hat der Kunde den Agenten selbst mandatiert.
Amazon hat trotzdem ein starkes Argument, das konkreter ist, als es zunächst scheint. Nach Darstellung des Konzerns hat Muse den Zugriff nie angekündigt. Muse gibt sich beim Besuch der Seite nicht als Agent zu erkennen und speichert offenbar die Zugangsdaten der Kunden. Ein Händler muss aber wissen, wer seine Systeme nutzt, welche Daten abfließen und wer für Fehler haftet. Ist die Vollmacht des Agenten auf einen einzelnen Kauf beschränkt? Wer trägt das Risiko, wenn die falsche Größe bestellt wird, ein Preislimit missachtet wird oder eine Bestellung nicht wirksam widerrufen wird?
Metas Zusicherung, Muse könne Passwörter und Zahlungsdaten nicht einsehen, beantwortet diese Fragen nicht. Ein Kundenmandat ersetzt keine technische Identität, keine belastbare Haftung und keine Zustimmung des Händlers.
Damit entsteht ein System mit zwei Schlüsseln. Der Käufer autorisiert den Agenten. Der Händler autorisiert den Zugang. Fehlt einer der beiden Schlüssel, findet keine Transaktion statt.
In diesem Sinn ist Muse der anonyme Fall, für den Amazons Begründung gilt. Die interessantere Frage lautet jedoch: Was geschieht, wenn ein Agent nachweisen kann, wer er ist, in wessen Auftrag er handelt und was er tun darf?
Genau das ist das Ziel des Konzepts „Know Your Agent“. Was Banken und Zahlungsdienstleister mit „Know Your Customer“ für Menschen aufgebaut haben, soll für digitale Vertreter entstehen: eine überprüfbare Identität, die mit einem konkreten Mandat verbunden ist.
Die Zahlungsnetzwerke arbeiten bereits daran. So hat Visa im Oktober 2025 das „Trusted Agent Protocol“ vorgestellt, und Mastercard verfolgt mit „Agent Pay“ einen ähnlichen Ansatz. Mithilfe digitaler Signaturen soll bestätigt werden, welcher Agent zugreift, ob hinter ihm ein authentifizierter Kunde steht und ob er lediglich recherchieren oder tatsächlich kaufen darf. Die Vollmacht kann an einen bestimmten Zweck und eine einzelne Transaktion gebunden werden.
Für den Händler verändert das die Lage grundlegend. Er sieht dann nicht mehr einen beliebigen Bot, der Formulare ausfüllt. Stattdessen sieht er einen identifizierten Agenten mit einer nachweisbaren Vollmacht.
„Know Your Agent“ löst damit einen wesentlichen Teil des Sicherheitsproblems, aber nicht das gesamte. Eine verifizierte Identität beweist nämlich nicht, dass ein Agent Anweisungen fehlerfrei versteht. Eine digitale Vollmacht verteilt auch nicht automatisch die Haftung. Und ein bekannter Agent kann immer noch mehr Daten sammeln, als der Händler für vertretbar hält.
Hinzu kommt, dass kein Händler verpflichtet ist, solche Nachweise anzuerkennen. Muse selbst nutzt sie nicht und bezahlt über Stripe Wallet Link. Amazon könnte eine Signatur prüfen und den Agenten trotzdem abweisen.
Solange ein Agent anonym auftritt, kann Amazon die Sperrung mit einem einfachen Satz begründen: „Wir wissen nicht, wer da handelt.“
In einer funktionierenden KYA-Welt müsste die Erklärung jedoch anders lauten. „Wir wissen, welcher Agent handelt. Wir kennen den Kunden, das Mandat und den erlaubten Umfang. Wir lassen ihn trotzdem nicht herein.“
Know Your Agent beendet den Streit um den Zugang also nicht. Es verändert die Begründungslast. Je verlässlicher Identität, Vollmacht und Haftung technisch geregelt sind, desto schwieriger lässt sich eine pauschale Sperre begründen. Übrig bleibt die Entscheidung, welche Vertreter eines Kunden die Plattform akzeptiert.
Allerdings hat dieses Modell eine Schwachstelle. Ein Agent, der über die Sitzung des Nutzers auf eine Seite zugreift, ist für den Betreiber kaum von einem Menschen zu unterscheiden. Wer sich ausweist, macht sich erst sperrbar. Solange ein identifizierter Agent ebenso abgewiesen werden kann wie ein anonymer, hat kein Agent einen Grund, sich zu identifizieren. Die Begründungslast verschiebt sich nur, wenn jemand die Begründung auch einfordert.
Muse bewegt sich wie ein Mensch durch den Shop. Parallel dazu entstehen Protokolle, mit denen Agenten gar keine Website mehr benötigen. Das im Januar von Google und Shopify vorgestellte Universal Commerce Protocol ermöglicht es Agenten, Sortiment, Preise und Check-out direkt über Schnittstellen abzufragen. Dabei weist sich der Agent mit jeder Anfrage aus und signiert sie.
Man könnte meinen, damit erledige sich der Streit. Doch über eine Schnittstelle kommt ein Agent nur herein, wenn der Händler sie bereitstellt. Der zweite Schlüssel ist dort von vornherein Voraussetzung. Browsen ist der Weg, den Agenten nehmen, wenn der Händler diesen Schlüssel verweigert. Protokolle lösen das Identitätsproblem. Die Machtfrage lösen sie jedoch nicht, sondern machen sie lediglich sichtbar.
Amazon zeigt das bereits. Der Konzern sitzt seit April in dem Gremium, das das Universal Commerce Protocol steuert. Seinen Marktplatz hat er für fremde Agenten trotzdem nicht geöffnet. Der Satz „Wir kennen den Agenten, lassen ihn aber nicht herein“ ist damit keine Zukunftsvision mehr. Er beschreibt die Gegenwart.
Ein Händler muss keinen unbekannten Bot in sein Kundenkonto lassen. Doch Amazon ist mehr als nur ein Händler. Das Unternehmen betreibt einen Marktplatz, bietet Werbung an, übernimmt die Logistik und Zahlungsabwicklung und hat mit „Alexa for Shopping“, vormals „Rufus“, einen eigenen Einkaufsassistenten entwickelt.
Dazu gehört die Funktion „Buy for Me“, die Amazon in den USA einsetzt. Sie kauft für die Kunden auf den Websites fremder Marken ein und übermittelt dafür deren Namen, Adresse und Zahlungsdaten. Marken, die das nicht wünschen, müssen widersprechen. Für den eigenen Agenten nimmt Amazon also ein Widerspruchsmodell in Anspruch. Für fremde Agenten auf der eigenen Seite hingegen verlangt Amazon eine Zustimmung, die es dann verweigert.
Das ähnelt kaum noch der Abwehr eines Eindringlings. Es ähnelt vielmehr einem Kaufhaus, das Kunden nur mit dem hauseigenen Einkaufsberater eintreten lässt und diesen Berater zugleich in die Geschäfte der Konkurrenz schickt und mit seinem „Shop Direct“-Service sogar deren Produkte auch ohne deren Zustimmung im eigenen Kaufhaus ausstellt.
Amazon erzielte 2025 mit Werbedienstleistungen 68,6 Milliarden Dollar, weit überwiegend mit Anzeigen, die Sichtbarkeit im Moment der Kaufentscheidung verkaufen. Ein fremder Agent sucht nicht dort, wo Amazon ihn hinlenkt. Er muss keine gesponserte Platzierung berücksichtigen und kann Preise, Lieferzeiten und Rückgaberegeln über Anbieter hinweg vergleichen. Amazon verliert dann nicht sofort die Transaktion. Zunächst verliert es jedoch die Kontrolle darüber, was der Kunde vor der Transaktion sieht.
Allerdings handelt auch Meta nicht aus Verbraucherromantik. So hat der Konzern im vergangenen Oktober im eigenen Haus allgemeine KI-Chatbots von der Whatsapp-Business-Schnittstelle ausgeschlossen. Muse soll zur Schnittstelle werden, an der aus einem Wunsch eine Auswahl und aus der Auswahl ein Auftrag wird. Wer diese Schnittstelle kontrolliert, erfährt, welche Ziele Menschen delegieren, welche Grenzen sie setzen und welche Kompromisse sie akzeptieren.
Der Konflikt zwischen Amazon und Meta taugt deshalb schlecht als Geschichte vom geschlossenen und vom offenen Unternehmen. Es sind zwei Werbekonzerne, die darum ringen, wer den Moment der Entscheidung kontrolliert.
Shopify folgt einer anderen Ökonomie. Das Unternehmen profitiert, wenn möglichst viele Nachfragequellen auf die Infrastruktur seiner Händler zugreifen. Diese Tür ist aber auch nur zu Shopifys Bedingungen offen: Der Agent kommt über den Shopify-Katalog herein und bezahlt über Shopifys „Shop Pay“. Auch das ist ein Tor, nur mit anderer Maut. Jedes der drei Unternehmen öffnet oder schließt seine Systeme dort, wo es dem eigenen Geschäftsmodell dient.
Aus einer Kundenvollmacht ergibt sich kein Rechtsanspruch auf Zugang zu einem privaten System. Auch ein identifizierter Agent kann Risiken verursachen, und nicht jede Sperre ist willkürlich.
Bei einer marktmächtigen Plattform reicht der Hinweis auf das Hausrecht jedoch nicht als endgültige Antwort aus. Wer den Zugang zu einem bedeutenden Teil des digitalen Handels kontrolliert, setzt mit seiner Hausordnung zugleich Marktregeln. Dann stellt sich die Frage, ob ein Agent aufgrund objektiver Risiken abgewiesen wird oder weil er die Werbeerlöse, die eigenen Assistenten und die Kontrolle über die Kundenschnittstelle gefährdet.
In Europa ist diese Frage keine rein akademische. Amazon ist mit Marktplatz und Werbegeschäft nach dem Digital Markets Act als Gatekeeper benannt. Zudem hat der Bundesgerichtshof 2024 bestätigt, dass der Konzern der erweiterten Missbrauchsaufsicht nach Paragraph 19a GWB unterliegt. Beide Regime richten sich gegen die Bevorzugung eigener Angebote. Ob die Abweisung fremder Agenten bei gleichzeitiger Privilegierung der eigenen darunter fällt, hat bislang jedoch niemand entschieden. Genau hier liegt die Lücke.
Die Anerkennung von Agentenmandaten wird somit selbst zum Wettbewerbsparameter. Plattformen entscheiden künftig nicht nur darüber, welche Anbieter einen Kunden erreichen, sondern auch darüber, welche digitalen Vertreter der Kunde einsetzen darf. Dadurch ergibt sich eine neue Form der Selbstbevorzugung: der eigene Agent als einzig akzeptierter Vertreter des Kunden.
„Know Your Agent“ ist allerdings nicht automatisch die Lösung. Entscheidend ist, wer festlegt, welcher Agent als vertrauenswürdig gilt.
Wenn Amazon beispielsweise allein darüber entscheidet, welche Agenten einen gültigen Ausweis erhalten, wird aus „Know Your Agent“ schnell „Choose Your Agent“. Dasselbe gilt, wenn nur einzelne Zahlungsnetzwerke oder Technologiekonzerne solche Identitäten ausstellen können. Und es gilt für Protokolle: Wer ihre Regeln schreibt, entscheidet mit, wer teilnehmen darf. Dann verschwindet der Türsteher nicht. Er erhält lediglich ein digitales Passamt.
Ein tragfähiger Standard muss deshalb interoperabel und überprüfbar sein. Agentenidentitäten sollten über Plattformgrenzen hinweg funktionieren. Ein Händler dürfte nur jene Nachweise verlangen, die für die konkrete Handlung erforderlich sind. Der Kunde muss sein Mandat begrenzen und es jederzeit widerrufen können. Die Ablehnung eines verifizierten Agenten muss auf nachvollziehbaren Kriterien beruhen.
Aus eigenem Antrieb wird keine Plattform diese Anforderungen umsetzen. Es braucht einen Anker außerhalb der beteiligten Konzerne, und diesen Anker baut Europa gerade auf. Bis Ende 2026 muss jeder Mitgliedstaat eine EUDI-Wallet anbieten, und sehr große Plattformen müssen sie als Anmeldeweg akzeptieren. Vollmachten für Software-Agenten kennt das System jedoch noch nicht. Diese Lücke zu schließen und die Gatekeeper-Regeln des DMA auf die Anerkennung solcher Vollmachten anzuwenden, wäre ein naheliegender Schritt. Erst dann kann KYA legitimen Schutz von strategischer Abschottung trennen.
Plattformen dürfen Bots abwehren. Doch einen identifizierten und bevollmächtigten Vertreter des Kunden wie einen Bot zu behandeln, ist etwas anderes. Dieser Zwiespalt muss im Agentic Commerce geklärt werden. Denn im Handel der Agenten ist der Kunde nur so souverän wie die Vollmacht, die andere anerkennen.