KI-Agenten ausgesperrt: Warum Amazon und Banken sie blockieren

Zwei Jahre lang versprach die Branche, ein KI-Agent werde für uns einkaufen, Flüge buchen und Geld überweisen. Im Herbst 2026 zeigt sich: Zuerst muss er durch die Tür kommen - und genau die fällt gerade zu. Amazon, Delta, Yelp und große US-Banken weisen Agenten von Meta, xAI und OpenAI ab. Ich halte das nicht für eine vorübergehende Panne, sondern für einen Vorgeschmack auf ein Internet, in das Agenten nur dort hineinkommen, wo jemand für ihren Zugang bezahlt.

Am Freitag, dem 17. Oktober 2026, veröffentlichte The Verge einen Artikel von Emma Roth mit einem Titel, der die vergangenen Wochen gut zusammenfasst: Websites schließen ihre Türen vor KI-Agenten. Nutzerinnen und Nutzer von Muse von Meta, Grok von xAI, Dots von OpenAI und Instinct berichten seit einigen Wochen immer wieder dasselbe. Sie geben dem Agenten einen Auftrag, er öffnet einen Shop, eine Airline- oder eine Bank-Website und bleibt dann auf einer Verifizierungsseite, einer Meldung über gesperrten Zugriff oder einer leeren Seite hängen. Einen Tag zuvor sagte Charles-Schwab-Chef Rick Wurster bei Bloomberg TV, sein Unternehmen blockiere jede Woche Dutzende Versuche großer KI-Agenten, auf Kundenkonten zuzugreifen.

Man könnte das als vorübergehende Reibung abtun, wie bei jeder neuen Technologie. Ich glaube, dahinter steckt etwas Dauerhafteres. Für die Sperren gibt es drei verschiedene Gründe: Sicherheit, Geld und die Kontrolle über Kunden. Nur der erste wird offen genannt. Europa hat einen sehr ähnlichen Streit schon vor einem Jahrzehnt erlebt - im Bankwesen und unter einem anderen Namen.

Wer die Tür geschlossen hat

Die Liste ist lang und uneinheitlich. Amazon sperrte Muse um den 20. September für seinen Shop und behandelt laut The Verge auch Grok, Dots und Instinct ähnlich. Das ist nicht das erste Mal: Seit November 2025 streitet Amazon mit Perplexity über den Browser Comet. Der Fall landete vor Gericht; im August hob ein Berufungsgericht eine zuvor von Amazon erwirkte Verfügung auf (ich habe über das Urteil zum Einkaufsbot Comet geschrieben). Yelp sagte gegenüber TechCrunch offen, dass es nichtmenschlichen Traffic aussperrt - es sei denn, ein Agent bezahlt den Zugang im Rahmen eines Datenlizenzprogramms. Delta lässt Agenten keine Tickets kaufen. United verbietet in seinen Geschäftsbedingungen die Nutzung von Robotern und „anderen automatisierten Geräten“ ohne schriftliche Zustimmung.

Dann sind da die Banken. JPMorgan Chase und Charles Schwab bestätigten Sperren; Bloomberg zufolge gehen Citi und Bank of America ähnlich vor. Manche Sperren werden nicht öffentlich kommuniziert: Nutzer berichten, dass Agenten auf Cars.com und der Website von Amtrak nicht mehr funktionieren, obwohl die Unternehmen dazu nichts bekannt gegeben haben. Andere Sperren sind unbeabsichtigt. Walmart ist Partner von Meta, trotzdem kann ein Agent an der Schaltfläche „Bestätigen Sie, dass Sie ein Mensch sind“ hängen bleiben. Der gewöhnliche Bot-Schutz unterscheidet nicht zwischen einem bösartigen Skript und einem Helfer, den ein Kunde geschickt hat. Einige Nutzer bringen die Probleme von Muse mit einer Änderung der Standard-Crawler-Schutzvorgaben in Verbindung, die Cloudflare am 15. September eingeführt hat. Cloudflare erklärte gegenüber TechCrunch, dass dem Unternehmen keine Daten über die Sperrung persönlicher Agenten vorlägen.

Grund eins: Niemand weiß, wer die Verantwortung trägt

Am offensten brachte es Wurster selbst auf den Punkt. Das Problem sei nicht, dass der Agent dumm ist, sondern dass Kunden ihm Login und Passwort überlassen. Anschließend handelt der Agent in ihrem Namen an einem Ort, den die Bank weder sieht noch versteht.

Wurster stellte auch die entscheidende Frage: Wer haftet, wenn etwas schiefgeht? JPMorgan-Chef Jamie Dimon sagte während einer Telefonkonferenz zu den Geschäftszahlen, niemand wolle „abtrünnige Agenten“, von denen es Tausende geben könnte. Das ist keine Hysterie. Ein Agent, der das Kontopasswort kennt, ist ein ideales Ziel für einen Prompt-Injection-Angriff: Ein versteckter Befehl auf einer besuchten Website könnte genügen, damit er eine Überweisung ausführt, die der Kontoinhaber niemals veranlasst hätte. Ich habe darüber in Beiträgen geschrieben, wer haftet, wenn ein KI-Agent außer Kontrolle gerät, und über Muse, der ohne Zustimmung eine Privatadresse preisgab.

Schwab sagt allerdings nicht „niemals“, sondern „nicht auf diese Weise“. Das Unternehmen kündigt an, externen Sprachmodellen über MCP-Server mit kontrollierter Authentifizierung Zugang zu geben. Sie sollen Kontostände prüfen und Informationen suchen können, aber kein Geld bewegen. Außerdem wirbt Schwab für einen eigenen KI-Assistenten. Dieses Muster wird uns noch begegnen: Einem externen Agenten gibt man ein kleines Fenster, dem hauseigenen die Schlüssel.

Grund zwei: Der Agent sieht keine Werbung

Sicherheit erklärt, warum Banken Agenten blockieren. Sie erklärt nicht Yelps offene Aussage, dass es einen Agenten hineinlässt, wenn er bezahlt. Auch Amazon lässt sich damit nicht vollständig erklären. Hier beginnt die Geschäftslogik, über die Unternehmen weniger gern sprechen.

Ein Onlineshop ist nicht nur ein Warenregal. Er verdient daran, dass Kunden sich umsehen: an Produktempfehlungen, gesponserten Suchergebnissen, „Kunden kauften auch“-Hinweisen und Werbebannern für Angebote, die der Shop gerade verkaufen möchte. Amazon verdient seit Jahren immer mehr mit Werbung, und Werbung funktioniert nur, wenn jemand hinsieht. Ein Agent schaut nicht hin. Er erhält den Auftrag „Kauf den günstigsten Filter für diesen Staubsauger“, vergleicht die Preise in drei Shops, kauft und verschwindet wieder. Er sieht kein beworbenes Set, lässt sich nicht zu einer Premiumlieferung verleiten und legt keinen zweiten Artikel in den Warenkorb. Für den Shop ist das ein Kunde, der zwar für die Ware bezahlt, aber nicht mit seiner Aufmerksamkeit.

Leserinnen und Leser von Slashdot, die den Artikel von The Verge kommentierten, brachten noch einen weiteren Punkt ins Spiel: Preistransparenz. Ein Händler, der seine Preise dynamisch ändert, möchte nicht, dass Tausende Agenten sie jedes Mal in Sekundenschnelle vergleichen, wenn jemand nach Schuhen sucht. Aus Kundensicht ist das ein Traum. Aus Sicht des Shops bedeutet es das Ende einer Marge, die darauf beruht, dass Menschen zu bequem zum Vergleichen sind.

Kritiker der Banken argumentieren in der Finanzbranche ähnlich: Ein Agent, der Ersparnisse selbstständig auf ein besser verzinstes Konto verschiebt, ist für eine Bank nicht deshalb ein Problem, weil er gefährlich ist, sondern weil er effektiv arbeitet. Die Banken bestätigen diesen Vorwurf nicht, aber er lässt sich schwer von der Hand weisen.

Grund drei: Wem gehört der Kunde?

Meta reagierte auf die Sperren mit einem Satz, der zugleich clever und ein wenig dreist ist:

Der Satz ist clever, weil er stimmt: Hinter dem Agenten steht ein Mensch mit einer Zahlungskarte. Dreist ist er, weil Meta sein Imperium selbst darauf aufgebaut hat, dass nicht Verlage und Shops, sondern Meta die Beziehung zum Nutzer besitzt. Jetzt will das Unternehmen dasselbe beim Einkaufen erreichen. Metas Agent stellt sich zwischen Kunden und Shop und entscheidet, wohin die Bestellung geht. Der Shop verliert nicht nur einen einzelnen Verkauf, sondern auch den Kontakt zum Kunden, Daten über ihn und die Möglichkeit, ihn an sich zu binden.

Elon Musk reagierte auf die Sperre von Grok auf seine eigene Art: Vielleicht solle er einen Konkurrenten zu Amazon gründen. Das klingt wie ein Scherz, zeigt aber, worum es geht. Der Streit dreht sich nicht darum, ob Agenten gebraucht werden, sondern darum, wer den Türsteher stellt: der Shop, die Plattform des Agenten oder ein Dritter wie Cloudflare, das bereits einen Marktplatz betreibt, auf dem KI-Bots für den Zugang zu Inhalten bezahlen.

Europa kennt den Streit schon: PSD2

Diese Geschichte dürfte vielen in Europa bekannt vorkommen. Vor 2019 funktionierten Finanzmanagement-Apps und einige Zahlungsdienstleister in Europa ähnlich wie heutige KI-Agenten: Kunden gaben ihnen Login und Passwort für ihr Bankkonto, und die Anbieter meldeten sich in ihrem Namen an und lasen den Bildschirminhalt aus. Das Verfahren hieß Screen Scraping. Banken lehnten es aus denselben Gründen ab, die Wurster heute nennt: Sie wussten nicht, wer auf der anderen Seite saß, und nicht, wer für einen Schaden verantwortlich war.

Die EU entschied diesen Streit mit der PSD2-Richtlinie und den Vorschriften zur starken Kundenauthentifizierung, die am 14. September 2019 in Kraft traten. Der Kompromiss war einfach: Der Dienstleister muss lizenziert sein und sich gegenüber der Bank ausweisen. Die Bank muss ihm eine geeignete Schnittstelle, also eine API, bereitstellen und darf ihn nicht diskriminieren. Der Kunde stimmt einem klar festgelegten Zugriffsbereich zu und kann diese Zustimmung widerrufen. Anonymes „Sich-Ausgeben als Kunde“ wurde damit vom Normalfall zur Ausweichlösung für den Fall, dass die Bank-API nicht funktioniert.

Wichtig ist, was PSD2 nicht getan hat: Die Richtlinie verbot keine Dienstleister und erlaubte Banken nicht, sie einfach auszusperren. Sie zwang beide Seiten, sich an gesetzlich festgelegte Bedingungen zu halten - statt an die Vorgaben der jeweils mächtigeren Partei. In den USA gibt es für Agenten keinen vergleichbaren Rahmen. Deshalb macht jeder Shop und jede Bank eigene Regeln. Das erklärt das Durcheinander der vergangenen Wochen.

Was das für uns bedeutet

Viele Nutzer in Polen sehen dieses Problem vorerst noch nicht, denn KI-Agenten sind dort gerade erst eine Kuriosität. Die Gemius-Daten zeigen das deutlich: 65 Prozent der Befragten nutzen KI-Tools, aber 71 Prozent möchten nicht, dass KI selbstständig Kaufentscheidungen für sie trifft. Die Zahlen beschreiben Polen, nicht den deutschsprachigen Markt. Sie zeigen aber, dass die Nutzung von KI nicht automatisch bedeutet, dass Menschen ihr auch Kaufentscheidungen anvertrauen.

Ich sehe drei mögliche Szenarien. Keines davon entspricht dem offenen Internet, das die KI-Unternehmen versprechen.

• Ein Internet der Verträge. Ein Agent kommt nur dort hinein, wo sein Anbieter eine Vereinbarung abgeschlossen hat. Meta geht bereits diesen Weg: Statt Amazon zu bekämpfen, hat das Unternehmen Vereinbarungen mit Walmart, Gap, Sephora und Best Buy getroffen; Shopify hat seine Shops für Agenten geöffnet. Die Qualität des Agenten hängt dann nicht vom Modell ab, sondern von der Partnerliste seines Anbieters - ungefähr so, wie die Qualität des Kabelfernsehens vom gebuchten Senderpaket abhängt.
• Ein Internet der Zugangstore. Ein Vermittler wie Cloudflare kassiert für jeden Agentenzugriff eine Gebühr und teilt sie mit der Website. In diesem Modell bezahlt der Agent für etwas, das er nicht mit Aufmerksamkeit bezahlt. Das ist fair, aber teuer. Am Ende landet der Preis im Abo der Nutzer.
• Ein Internet mit Regeln. Eine Aufsichtsbehörde behandelt Agenten wie die EU Zahlungsdienstleister: mit Lizenz, Identifizierung, festgelegtem Zugriffsbereich und einem Diskriminierungsverbot. Das wäre die langsamste Lösung, aber die einzige, bei der Kunden das Recht hätten, ihren eigenen Agenten zu schicken, und Shops wüssten, mit wem sie es zu tun haben.

Meiner Einschätzung nach wird Europa irgendwo zwischen dem zweiten und dritten Szenario landen, die USA zwischen dem ersten und zweiten. Für Shops und Banken in Europa ist die praktische Lehre schon heute klar. Wer PSD2 2019 als lästige Pflicht behandelte, musste danach jahrelang Schnittstellen nachbessern. Wer eine gute API entwickelte, gewann Partner. Bei Agenten dürfte es ähnlich laufen: Ein Shop, der einen berechenbaren und sicheren Zugang mit klar beschriebenen Berechtigungen anbietet, bekommt Bestellungen. Wer nur eine Schaltfläche mit der Aufschrift „Ich bin ein Mensch“ aufstellt, sperrt nicht Maschinen aus, sondern die Kunden, die sie geschickt haben.

Das Versprechen des KI-Agenten lautete: Sagen Sie ihm, was Sie wollen, und er erledigt den Rest im ganzen Internet. Der Herbst 2026 zeigt, dass das „ganze Internet“ eine Annahme war, keine Tatsache. Wie gut ein Agent ist, hängt von den Vereinbarungen ab, die ihm Zugang verschaffen, und davon, ob irgendwann Regeln festgelegt werden. Bis dahin bleibt für Überweisungen der Daumen auf dem eigenen Smartphone der beste Agent.