Seit Juli 2026 gibt es ein Gremium, das KI-Agenten-Zahlungen standardisiert — mit Visa, Mastercard, American Express, Stripe, Google und AWS an Bord. Es regelt, wie eine KI eine andere bezahlt. Was es nicht regelt: ob die Gegenleistung etwas taugte.

Das klingt nach einer Lücke, die jemand bald schließt. Sie ist aber keine Lücke, sondern eine Grenze — und der Unterschied entscheidet darüber, welche Produkte in diesem Feld funktionieren werden und welche nicht.

Vier Probleme sind gelöst — Qualität ist keines davon

Die heutigen Standards für KI-Agenten-Zahlungen kümmern sich um vier Dinge: Autorisierung (darf dieser Agent überhaupt zahlen), Identität (wer ist er), Mandat (wofür genau, bis zu welchem Betrag) und Abwicklung — im Fachjargon Settlement, also die Frage, wie das Geld tatsächlich beim Empfänger ankommt.

Alle vier sind ernste Probleme, und alle vier werden gerade ernsthaft gelöst. Googles AP2 (Agent Payments Protocol, September 2025) deckt Autorisierung und Mandate ab. Das Agentic Commerce Protocol von OpenAI und Stripe kam im selben Monat. x402 liefert die Abwicklung. Visa fährt Intelligent Commerce und das Trusted Agent Protocol, Mastercard bündelt seine Arbeit unter Agent Pay for Machines.

Keines davon beantwortet, ob die bezahlte Leistung in Ordnung war. Dafür bräuchte man etwas, das urteilt — ein Oracle. Und ein Oracle für Leistungsqualität ist etwas ganz anderes als ein Oracle für einen Wechselkurs. Das eine liest eine Zahl ab. Das andere bildet sich eine Meinung.

Bei Kleinstbeträgen regelt sich Qualität von selbst

Wenn ein API-Aufruf einen Zehntelcent kostet, braucht es keine Prüfung. Ist der erste Aufruf schlecht, gibt es keinen zweiten. Man kann höchstens eine Einheit verlieren, eine Rückabwicklung wäre teurer als der Schaden, und die Wiederholung liefert genau das Signal, das eine Prüfung liefern sollte.

Deshalb sehen die Demos in diesem Feld so überzeugend aus. Sie zeigen fast nur den Fall, in dem das Problem gar nicht auftritt.

Es taucht erst auf, wenn drei Dinge zusammenkommen: Der Betrag ist groß genug, dass ein Totalverlust wehtut. Die Leistung ist unteilbar oder wird als Paket geliefert. Und Käufer und Anbieter treffen sich womöglich nur ein einziges Mal, sodass man sich nicht über Wiederholung disziplinieren kann.

Genau da liegt der interessante Teil des Agentenmarkts: Recherche, Datenlieferung, Analyse, Auftragsarbeit. Nicht der Zehntelcent-Aufruf.

Zwei Wege, und die Wahl entscheidet, wem die Streitfälle gehören

Der Markt hat sich geteilt. Nur geht es dabei nicht wirklich um Blockchain gegen Karte. Es geht darum, ob es einen Weg zurück gibt.

Kartengebunden

Der klassische Aufbau aus Issuer, Acquirer und Netzwerk bleibt. Neu ist eine Schicht darüber: kurzlebige Berechtigungen, die an einen Händler und einen Betrag gebunden sind. Stripe gibt dafür Shared Payment Tokens aus, die genau festlegen, welchen Händler ein Agent bezahlen darf, bis zu welcher Höhe und in welchem Zeitfenster; seit März 2026 decken sie auch Mastercard Agent Pay, Visa Intelligent Commerce und Ratenzahlungsanbieter ab.

Der entscheidende Nebeneffekt: Die gewachsenen Regeln für Rückbuchungen und Haftung bleiben erhalten. Man erbt ein Streitbeilegungssystem, statt eines bauen zu müssen.

Kettengebunden

Hier gibt es keinen Betreiber im klassischen Sinn, weil die Abwicklung der Konsens der Kette selbst ist.

x402 stammt von Coinbase und wurde im Mai 2025 quelloffen gestellt. Die Linux Foundation kündigte im April 2026 an, das Protokoll zu übernehmen, und schloss die Übergabe am 14. Juli 2026 ab — an dem Tag nahm die x402 Foundation den Betrieb auf, mit 40 Mitgliedern, davon 17 Premier: Visa, Mastercard, American Express, Stripe, Adyen, Fiserv, Google, AWS, Cloudflare, Coinbase, Circle, Shopify, Ripple, Solana Foundation, Stellar Development Foundation, Monad Foundation und MoonPay.

Technisch weckt x402 den HTTP-Statuscode 402 „Payment Required" wieder auf, der seit den Anfängen des Web ungenutzt herumlag. Ein Agent trifft auf eine kostenpflichtige Schnittstelle, bekommt 402 zurück, zahlt und fragt noch einmal an — ohne Konto, ohne Abo, ohne Karteneingabe. Google beschreibt x402 in seiner Dokumentation als die Stablecoin-Erweiterung zu AP2.

Ist die Zahlung final, ist das Geld weg. Es gibt keine Rückbuchung, weil es niemanden gibt, der sie ausführen könnte.

Die Trennung ist unsauber, und das gehört dazugesagt

Stripe und Tempo haben am 18. März 2026 das Machine Payments Protocol gestartet — auf demselben HTTP-402-Mechanismus, absichtlich unabhängig vom Zahlungsweg, abgewickelt über die Tempo-Kette, aber mit Karten- und Fiat-Verfahren neben Stablecoins.

Das saubere Zwei-Lager-Bild ist also eine Vereinfachung. Was keine Vereinfachung ist: der Weg zurück. Danach sollte man wählen, nicht nach dem Etikett.

32 Cent pro Transaktion — die Zahl hinter dem Standard

In den 30 Tagen vor dem Foundation-Start liefen über x402 75,41 Millionen Transaktionen im Gegenwert von 24,24 Millionen Dollar, verteilt auf rund 94.060 Käufer und 22.000 Verkäufer. Macht im Schnitt etwa 32 Cent pro Transaktion. CoinDesk berichtete am 16. Juli 2026, dass Analysten einen erheblichen Teil davon nicht für echte Nachfrage halten, sondern für Testverkehr.

Der Durchschnitt ist hier der Punkt. Bei 32 Cent existiert das Prüfproblem nicht. Das heißt: Das Volumen, mit dem der Standard beworben wird, besteht fast ausschließlich aus dem Fall, den der Standard ohnehin schon abdeckt.

Wer haftet, wenn ein Agent unautorisiert zahlt, ist ungeklärt

Löst ein autonomer Agent eine unautorisierte Stablecoin-Zahlung aus, sagt das US-Recht nicht abschließend, wer dafür einsteht. Die jüngere Stablecoin-Gesetzgebung regelt die Ausgabe, nicht die Streitrechte bei maschinell ausgelösten Zahlungen. In Europa ist die Lage anders, aber ebenfalls nicht auf Agenten zugeschnitten.

Fünf Ansätze, nach Tragfähigkeit sortiert

1. Den Betrag zerlegen, statt ihn abzusichern.

Der stärkste Ansatz ist der unspektakulärste: aus einer großen Zahlung einen Strom kleiner machen. Pro Aufruf, pro Token, pro Meilenstein. Damit skaliert genau die Logik, die bei Kleinstbeträgen schon funktioniert — nach der ersten schlechten Einheit abbrechen, mehr als eine Einheit kann man nicht verlieren.

Der Einwand kommt zuverlässig vom Anbieter: Die Leistung sei unteilbar. Das stimmt viel seltener, als es behauptet wird. Eine Recherche lässt sich in Zwischenstände zerlegen, eine Datenlieferung in Chargen, eine Analyse in Teilergebnisse. Unteilbarkeit ist meistens der Wunsch nach Vorkasse und kein technischer Umstand.

2. Treuhand mit maschinell prüfbarem Abnahmekriterium.

Das funktioniert, wo sich Qualität eindeutig testen lässt: Schema stimmt, Antwortzeiten eingehalten, Testsuite grün, Prüfsumme passt, Ergebnis reproduzierbar. Das Kriterium wird vor der Zahlung festgelegt, gehasht und von beiden Seiten unterschrieben. Ein Prüfer läuft, sein Urteil gibt das Geld frei. Verstreicht die Frist ohne Urteil, fließt das Geld automatisch zurück — sonst hätte der Anbieter ein Interesse daran, die Prüfung hängen zu lassen.

Für „ist die Analyse klug" funktioniert das nicht, und es wird nie funktionieren.

3. Eine Sicherheitsleistung des Anbieters.

Der Anbieter hinterlegt eine Kaution, die er bei einem verlorenen Streit verliert. Wirtschaftlich ist das oft der bessere Weg: Statt jeden Auftrag zu prüfen, prüft man fünf Prozent und straft dafür hart. Abschrecken wirkt genauso, kostet aber ein Zwanzigstel. Prüfen ist teuer, abschrecken ist billig.

Die Kaution löst nebenbei den Kaltstart, weil sie Vertrauen kauft, das der Anbieter noch nicht hat. Genau diese Bauform empfehlen Xiong und Kollegen für die nächste Fassung von ERC-8004: Feedback soll etwas kosten, und zwar umso mehr, je stärker es wiegt.

4. Den Weg bewusst wählen.

Bei größeren Beträgen ist die Kartenschiene nicht die langsamere Wahl, sondern die einzige mit einem funktionierenden Weg zurück. Das sagt sich unbequem in einem Feld, das sich über Programmierbarkeit definiert — aber ein gewachsenes Streitbeilegungssystem baut man schwerer nach als eine Abwicklungsschicht.

5. Eine Schiedsinstanz.

Ein Modell als billiger Vorfilter gegen die vorher festgelegte Spezifikation, danach die Eskalation an Menschen. Ein Modell direkt im Zahlungspfad ist manipulierbar und liefert nicht immer dasselbe Ergebnis — als Signal für Reputation taugt es, als Auslöser für eine Geldbewegung nicht.

Goodhart: Das Abnahmekriterium wird zur Produktdefinition

Sobald ein Abnahmekriterium feststeht, richtet der Anbieter sich genau danach aus. Fünftausend Zeilen Müll bestehen eine Zeilenzahl-Prüfung.

Der Ausweg ist ein Perspektivwechsel: Prüfe nicht, ob das Ziel erreicht wurde, sondern ob es nachweislich verfehlt wurde. Keine Nullwerte in Pflichtfeldern, keine Duplikate, Zeitstempel laufen vorwärts, die Verteilung ist nicht entartet. Solche Kriterien lassen sich schwerer austricksen, weil sie einen Ausschlussbereich beschreiben und keine Punktzahl, auf die man hin optimieren kann.

Vollständig löst das nichts. Ab dem Moment, in dem die Kriterien feststehen, sind sie die eigentliche Produktdefinition. Man sollte sie schreiben, als würde sie jemand feindlich lesen — denn genau das wird passieren.

Gemessen: Die ERC-8004-Reputation ist überwiegend Sybil-Rauschen

Hier gehen Theorie und Messung am weitesten auseinander.

Der naheliegende Ansatz liegt seit dem 29. Januar 2026 als offener Standard auf dem Ethereum-Mainnet. ERC-8004 definiert drei Register. Die Identity Registry vergibt übertragbare Identitäten auf ERC-721-Basis. Die Reputation Registry nimmt öffentlich lesbares Feedback auf. Die Validation Registry speichert unabhängige Bestätigungen zur Leistung eines Agenten. Zusammen sollen sie es einem Agenten erlauben, ein unbekanntes Gegenüber einzuschätzen, bevor er Geld überweist.

Die Architektur ist durchdacht. Was tatsächlich in den Registern steht, ist es nicht.

Xihan Xiong, Zelin Li, Wei Wei, Qin Wang, William Knottenbelt und Zhipeng Wang haben die echten Registrierungen auf Ethereum, BNB Smart Chain und Base bis zum 13. Mai 2026 ausgelesen und das Ergebnis als „Can Trustless Agents Be Trusted? An Empirical Study of the ERC-8004 Decentralized AI Agent Ecosystem" veröffentlicht (arXiv:2606.26028, Fassung v2 vom 8. Juli 2026). Über die drei Ketten hinweg:

• Nur 3 %, 4 % und 15 % der Registrierungen (Ethereum / BSC / Base) hatten überhaupt eine gültige Registrierungsdatei mit mindestens einem erreichbaren Endpunkt. Der Rest waren Platzhalter, keine aktiven Agenten.
• 73,5 %, 59,2 % und 90,6 % der Bewerter wurden aus derselben Quelle finanziert — ein Muster, das auf koordinierte Sybil-Aktivität hindeutet.
• Nimmt man dieses Feedback heraus, bleiben 15,8 %, 77,9 % und 86,8 % der bewerteten Agenten ohne ein einziges gültiges Feedback zurück.
• Zwischen 98,7 % und 100 % aller Feedback-Einträge trugen weder einen Zahlungsnachweis noch einen Bezug zu einer konkreten Aufgabe.

Die Autoren sagen es deutlich: Die Reputation Registry kann in ihrer heutigen Form nicht als Vertrauenssignal dienen. Die Werte sind nicht vergleichbar, das Feedback hängt selten an einer nachprüfbaren Interaktion, und Manipulation kostet fast nichts.

Für dieses „fast nichts" gibt es einen Preis. Das Register mittelt arithmetisch, und der Wert eines Eintrags ist erst bei 10^38 gedeckelt. Ein einziger Eintrag zieht die Bewertung eines Agenten deshalb auf jeden beliebigen Zielwert — egal, wie viele ehrliche Bewertungen schon da sind. Der mittlere Agent überschreitet auf jeder der drei Ketten mit einer Bewertung die Vertrauensschwelle von 90. Auf Base kostet diese eine Bewertung 0,0027 Dollar. Und der mittlere Agent dort hütet ein Zahlungsvolumen, das 259-mal größer ist als der Angriff, der ihn kippt.

Die Autoren gehen dabei sauber mit den eigenen Zahlen um, und das gehört gesagt. Wo sich eine Zahlung nicht eindeutig einem Agenten zuordnen ließ, haben sie den Fall verworfen statt geraten — und die daraus folgenden 93,8 % der Base-Bewerter ohne jede Zahlungshistorie ausdrücklich als konservative Untergrenze ausgewiesen, nicht als Punktwert.

Ein Detail geht in der Berichterstattung unter: Auf den drei untersuchten Ketten gab es im gesamten Zeitraum kein bestätigtes Mainnet-Deployment der Validation Registry. Ausgerechnet die Komponente, die belegte Bestätigungen tragen soll — also der Teil, der das Problem tatsächlich angehen würde —, war nirgends im Einsatz.

Die Lehre ist nicht, dass der Standard schlecht ist. Sie ist: Feedback, das nicht an eine nachgewiesene, bezahlte Transaktion gebunden ist, lässt sich umsonst herstellen. Und Agenten stellen umsonst herstellbare Dinge sehr schnell her.

Damit trägt auch der Vergleich mit Bewertungsportalen wie Trustpilot nicht. Übertragbar ist die Idee einer öffentlichen Historie. Nicht übertragbar sind freiwillige Bewertungen, Sternedurchschnitte und ein zentraler Betreiber, der Einträge aussortieren kann. Tragen würde etwas anderes: unterschriebene Prüfergebnisse aus echten Transaktionen, in einem Protokoll, an das man nur anhängen kann und das der Anbieter nicht selbst schreibt. Kein Bewerten also, sondern ein Beobachtungsprotokoll. In diese Richtung zeigen auch die Empfehlungen der Studie — jeder Feedback-Eintrag soll auf eine abgeschlossene x402-Zahlung oder eine bestätigte Aufgabe verweisen müssen.

Kollusion und Kaltstart zeigen in dieselbe Richtung

Zwei Agenten, die sich gegenseitig beauftragen und einander durchwinken, bauen Historie ohne Leistung auf. Echte Transaktionskosten und Graph-Analyse dämpfen das, lösen es aber nicht.

Umgekehrt hat ein neuer Anbieter keine Historie und bekommt keine Aufträge, um sich welche aufzubauen. Beides zeigt in dieselbe Richtung: Reputation allein trägt nicht. Sie braucht etwas, das Geld kostet.

Subjektive Qualität hat kein deterministisches Kriterium

Der schwierigste Punkt kommt zum Schluss, weil er sich nicht wegkonstruieren lässt.

Bei „war die Analyse gut", „war der Text überzeugend", „war die Empfehlung sinnvoll" gibt es kein festes Kriterium. Jedes Verfahren, das behauptet, so etwas zu prüfen, hat das Vertrauen bloß verschoben — meistens an eine Stelle, wo man es nicht mehr sieht.

Was bleibt, ist unspektakulär: viele Runden mit demselben Gegenüber, oder ein Mensch, der freigibt. Beides skaliert schlecht, und beides ist heute die einzige Antwort, die trägt.

Wer besetzt gerade welche Rolle

Stand August 2026 lassen sich vier Lager unterscheiden.

Offener Standard: ERC-8004. Bekenntnisse zur Integration kommen unter anderem von ENS, EigenLayer, The Graph, Taiko und dem dAI-Team der Ethereum Foundation.

Identität und Zahlung: Skyfire mit dem offenen KYAPay-Protokoll, über das agentenbezogene Informationen plattformübergreifend gebündelt und ausgetauscht werden.

Die Bonitätsindustrie: Experian stellte am 30. April 2026 Agent Trust vor, ein Know-Your-Agent-Rahmenwerk, an dem Visa, Cloudflare und Skyfire als Ökosystem-Partner mitwirken. Kern ist das Human-to-Agent Binding: Es verknüpft einen geprüften Verbraucher, sein Gerät und den handelnden Agenten dauerhaft und stellt daraus in Echtzeit einen Agent Trust Token aus. Dazu kommt eine Agent Registry, die Verhaltenssignale über die Zeit verfolgt und in laufend angepasste Trust-Scores übersetzt. Bemerkenswert ist dabei nicht die Technik, sondern die Ausgangslage: Scoring ist dort längst das Geschäftsmodell und muss nur übertragen werden.

Netzwerk und Händlerseite: Visas Trusted Agent Protocol für die Prüfung auf Händlerseite, Cloudflare als Durchsetzungspunkt am Netzwerkrand. Daneben laufen weitere Zusammenschlüsse: Die FIDO Alliance hat im April 2026 eine Agentic Authentication Working Group angekündigt, Mastercard arbeitet mit Google an einem Verifiable-Intent-Rahmenwerk.

Die Überschneidungen sind erheblich, die Frage der Interoperabilität ist offen, und die großen Kartennetze sind fast überall gleichzeitig Mitglied. Diese Absicherung sagt vor allem eines: Niemand weiß, welcher Standard gewinnt.

Was das für Produkte bedeutet

Aussichtsreich: Messen und Abrechnen — langweilig, sofort bezahlt, kein Henne-Ei-Problem. Prüfung in engen, tatsächlich testbaren Bereichen, verkauft als Qualitätskontrolle und nicht als Vertrauensschicht. Und Compliance, sobald Gesetzgeber die Streitrechte für maschinelle Zahlungen regeln; das wäre der stärkste denkbare Treiber, weil er einen Pflichtmarkt schafft.

Strukturell schwach: das Reputationsregister als eigenständiges Produkt. Es hat sämtliche Killer gleichzeitig — Henne-Ei, unklare Zahlungsbereitschaft (der Käufer will es, zahlen müsste es der Anbieter) und Anfälligkeit für Sybil-Angriffe. Und wer die Abwicklung betreibt, sieht die Transaktionen ohnehin und kann Vertrauen als Beigabe verschenken, statt es als Geschäftsmodell zu verkaufen.

Was bleibt

Keiner dieser Ansätze löst das Problem. Sie verschieben es — von „war die Leistung gut" zu „war sie nachweisbar schlecht" — und nehmen dabei in Kauf, dass mittelmäßige Arbeit bezahlt wird.

Das ist kein Versagen der Konstruktion, sondern ihre Grenze. Ein Protokoll, das etwas anderes verspricht, hat das Vertrauen verlagert und nicht beseitigt.

Wer hier etwas baut, sollte deshalb zwei Fragen früh beantworten: Funktioniert das Produkt auch ohne fertiges Ökosystem? Und ist das Abnahmekriterium so formuliert, dass es einer feindlichen Lesart standhält?

Wer beide mit Ja beantwortet, baut etwas Tragfähiges. Wer auf das Ökosystem wartet, wettet.

Häufige Fragen

Was regeln Standards für KI-Agenten-Zahlungen eigentlich? Vier Dinge: ob ein Agent zahlen darf, wer er ist, wofür und bis zu welchem Betrag er zahlen darf, und wie das Geld ankommt. Ob die bezahlte Leistung etwas taugte, regelt keiner von ihnen.

Was ist x402? Ein offenes Zahlungsprotokoll, das den HTTP-Statuscode 402 „Payment Required" nutzt. Ein Agent ruft eine kostenpflichtige Schnittstelle auf, bekommt 402 zurück, zahlt und wiederholt die Anfrage — ohne Konto und ohne Abo. Coinbase hat es entwickelt, seit dem 14. Juli 2026 liegt es bei der x402 Foundation unter dem Dach der Linux Foundation.

Warum reicht ein Reputationsregister nicht aus? Weil Feedback, das nicht an eine bezahlte, nachweisbare Transaktion gebunden ist, nichts kostet. Die Untersuchung von Xiong und Kollegen zeigt das an ERC-8004: Auf Base waren 90,6 % der Bewerter aus derselben Quelle finanziert, und eine einzelne Bewertung für 0,0027 Dollar reicht, um den mittleren Agenten über die Vertrauensschwelle zu heben.

Kann man Qualität überhaupt maschinell prüfen? Wo sie eindeutig testbar ist, ja: Schema, Antwortzeiten, Prüfsummen, Reproduzierbarkeit. Bei Fragen wie „war die Analyse gut" nicht — dafür gibt es kein festes Kriterium, und daran wird sich nichts ändern.

---

Kein Anlageberatungsangebot, keine Empfehlung, keine Prognose. Dieser Text beschreibt Mechanismen und ihre Risikoquellen. Genannte Unternehmen und Protokolle stehen als Beispiel für einen Mechanismus, nicht als Empfehlung. Alle Zahlen mit dem angegebenen Stand; Mitgliederlisten, Volumina und die Rechtslage ändern sich.

Quellen

• Xihan Xiong, Zelin Li, Wei Wei, Qin Wang, William Knottenbelt, Zhipeng Wang: Can Trustless Agents Be Trusted? An Empirical Study of the ERC-8004 Decentralized AI Agent Ecosystem, arXiv:2606.26028, Fassung v2 vom 8. Juli 2026 — https://arxiv.org/abs/2606.26028
• Linux Foundation: Operational Launch of x402 Foundation, Pressemitteilung, 14. Juli 2026 — https://www.linuxfoundation.org/press/linux-foundation-announces-operational-launch-of-x402-foundation-to-standardize-internet-native-payments-for-ai-agents-and-applications
• x402 Foundation: Mitgliederaufstellung Premier/General, x402.org, 14. Juli 2026 — https://x402.org/linux-foundation-announces-operational-launch-of-x402-foundation-to-standardize-internet-native-payments-for-ai-agents-and-applications/
• CoinDesk: AI payments have a new open standards body, 16. Juli 2026 — https://www.coindesk.com/business/2026/07/16/ai-payments-have-a-new-open-standards-body-its-aim-is-to-reinvent-the-internet
• Stripe und Tempo: Introducing the Machine Payments Protocol, 18. März 2026 — https://stripe.com/blog/machine-payments-protocol
• Experian: Experian Announces Agent Trust to Power Trusted AI Driven Commerce, Pressemitteilung, 30. April 2026 — https://www.experianplc.com/newsroom/press-releases/2026/experian-announces-agent-trust-to-power-trusted-ai-driven-commer

Stand: 15. August 2026.