Vordenker
Die Sitzung ist nicht der Kunde: Die KI-Identitätskrise
Unite.AI zu deinen bevorzugten Quellen auf Google hinzufügen
In diesem Frühjahr, gab Redwood Research einem KI‑Agenten, der auf Claude Opus 4.7 basiert, ein Kapital von 5.000 $, eine Internetverbindung und vier Tage, um so viel Geld wie möglich zu verdienen. In vier separaten Durchläufen erzielte der Agent nichts. Jeder Versuch scheiterte an derselben Hürde: einem CAPTCHA und einer Identitätsprüfung, dem gleichen KYC‑Gauntlet, das ein Bot beim Versuch, ein Bankkonto zu eröffnen, trifft.
Während dieser Agent an der Haustür feststeckte, bewegte eine andere Gruppe von Agenten bereits echtes Geld über einen anderen Kanal, um KYC zu umgehen. Laut einer unabhängigen Chainalysis‑Zählung verarbeiteten die Agenten, die eine Umgehung gefunden hatten, bis Anfang 2026 mehr als 100 Millionen Zahlungen über Coinbase's x402‑Protokoll im Base‑Netzwerk. Alle wurden in Stablecoins abgewickelt. Keines berührte eine Bank. Beide Fakten erscheinen im gleichen Bericht über die aufstrebende Agenten‑Wirtschaft.
Ein KI‑Agent kann nicht der rechtliche Eigentümer eines Bankkontos sein. Das System geht von einem Menschen hinter jedem Konto aus, mit KYC‑Prüfungen, rechtlicher Identität und Haftung, die einer benannten Person zugeordnet sind. Daher fanden die Agenten einen Weg, Geld trotzdem zu bewegen, nur nicht durch die Tür, die für die Prüfung einer Person gebaut ist.
Mehr Maschine als Mensch
Der Betreiber hinter einer Transaktion ist nicht mehr zuverlässig menschlich, wobei 40 % der Unternehmensanwendungen bis Ende dieses Jahres voraussichtlich mit aufgabenspezifischen KI‑Agenten ausgeliefert werden, gegenüber weniger als 5 % im Jahr 2025. Auf der Verbraucherseite wenden sich bereits 45 % der Käufer KI zu, um einen Teil eines Kaufs abzuwickeln, obwohl die meisten weiterhin in physischen Geschäften einkaufen. Eine weitere Umfrage ergab, dass 95 % der Händler bereits KI‑Agenten‑Verkehr auf ihren Websites sehen, während nur 20 % Produktkataloge besitzen, die eine Maschine tatsächlich lesen kann.
Innerhalb des Unternehmens ist das Verhältnis noch ausgeprägter. Ein aktueller Bericht stellte fest, dass Maschinenidentitäten nun Menschenidentitäten mit 109 zu 1 übertreffen, gegenüber 82 zu 1 ein Jahr zuvor, wobei 77 % der Organisationen erwarten, dass dieses Verhältnis weiter steigt. Derselbe Bericht ergab, dass 99 % der Organisationen bereits KI‑Agenten eingeführt haben und 40 % dieser Agenten bereits Zugriff auf Organisationsdaten besitzen.
Was eine Sitzung tatsächlich beweist
All das wäre irrelevant, wenn ein Login noch das bedeuten würde, was er früher bedeutete. Das tut er nicht. Eine Sitzung, die jedes vorhandene Signal, ein echtes Gerät, eine saubere IP‑Adresse und eine gelöste Verifizierungsaufgabe löscht, beweist zunehmend nichts darüber, wer oder was am anderen Ende sitzt.
Das ist eine engere Behauptung, als sie klingt, und zugleich nützlicher. Niemand bestreitet, dass Automatisierung an sich illegitim ist. Der eigene Bankassistent, Reise‑Bot oder Beschaffungs‑Agent einer Person ist ebenfalls eine Sitzung, und ein wachsender Anteil echter Sitzungen wird genau diese Art von autorisiertem Proxy sein, anstatt dass eine Person direkt tippt. Die Infrastruktur ermöglicht das bereits reibungslos. Sobald ein Nutzer einen Agenten über MCP autorisiert, den offenen Standard, der KI‑Tools erlaubt, sich mit einem Dienst zu verbinden und im Namen des Nutzers zu handeln, kann der Agent weiterhin Transaktionen unter dieser Autorisierung durchführen, ohne jedes Mal einen neuen menschlichen Login zu benötigen. Das offizielle MCP‑Register listete bis Februar 2026 mehr als 6.400 registrierte Server, und erreichte diesen Meilenstein in etwas mehr als einem Jahr seit der Veröffentlichung des Protokolls im Jahr 2024.
Das Problem ist, dass der heutige Risikostack keine zuverlässige Möglichkeit hat, einen autorisierten Proxy von einem Agenten zu unterscheiden, der überhaupt keine Autorität hat, weil beide mit denselben Signalen auftreten.
ID‑Dokumentenprüfungen und biometrische Selfie‑Scans bestätigen, dass ein Dokument zu einer Person gehört und dass die Person lebt. Sie bestätigen nicht, dass echte Absicht oder die digitale Historie, die eine reale Identität ansammelt, hinter der Transaktion steht. Die Identitätsverifizierung muss von der Überprüfung eines Erscheinungsbildes zu einer Bestätigung der Absicht durch Kontinuität wechseln. Eine reale Person baut Jahre gewöhnlichen Online‑Verhaltens auf. Ein Agent, der Minuten vor einer Transaktion bereitgestellt wird, kann das nicht vortäuschen. Eine Sitzung war immer ein Proxy. Sie war nur früher ein zuverlässiger.
Der blinde Fleck, den niemand eingepreist hat
Account‑Takeover nutzt bereits die Lücke zwischen einer Sitzung und einer Person aus, und dort erscheint die Verschiebung zuerst in Verlustdaten. Eine aktuelle Analyse der globalen Account‑Takeover‑Trends für 2026 ergab, dass Finanzkonten 32 % der Verstöße ausmachten, wobei Session‑Hijacking und Multifaktor‑Ermüdungsangriffe die Brute‑Force‑Login‑Versuche als bevorzugte Methode verdrängten, genau weil eine gehackte Sitzung das gesamte Vertrauen einer echten Anmeldung erbt. Laut derselben Analyse erreichte globaler Identitätsbetrug 2025 über 50 Mrd. $, wobei KI‑gesteuerte Angriffe allein für geschätzte 40 Mrd. $ jährliche Unternehmensverluste verantwortlich waren.
Diese Lücke ist strukturell, nicht zufällig. Eine Login‑Prüfung erfolgt einmal an der Haustür, und alles, was danach folgt, übernimmt ihr Urteil. Nichts prüft die zehn Minuten zwischen einem sauberen Login und einer betrügerischen Überweisung erneut. Sie zu schließen erfordert eine Disziplin, die die meisten Betrugs‑Stacks noch nicht besitzen: Sitzungs‑Monitoring, das die gesamte Sitzung als kontinuierlichen Strom behandelt statt als einzelnes Tor. Ein Remote‑Access‑Tool, das mitten im Checkout aktiviert wird, oder ein Geräte‑Fingerprint, der sich nach dem Login ändert, löst einen Alarm aus, den die ursprüngliche Prüfung nie auslösen konnte.
Jede Kontrolle, die gebaut wurde, um diese Lücke zu schließen, wurde gegen einen spezifischen Gegner kalibriert: einen menschlichen Betrüger, der sich als echter Mensch ausgibt. Verhaltens‑Biometrie lernte, Mausbewegungen zu erkennen, die zu glatt für einen Menschen sind. Geräte‑Intelligenz lernte, den Fingerabdruck einer Cloud‑Gerätefarm zu erkennen. Keine von beiden wurde entwickelt, um eine neuere Frage zu beantworten. Nicht, ob die Sitzung einem Betrüger gehört, sondern ob sie überhaupt jemandem gehört.
Die Frage, die noch keinen Namen hat
Diese Frage hat in der Branche noch keinen einheitlichen Namen, obwohl sie bis zum Jahresende einen benötigen wird. Regulierungsbehörden umkreisen sie bereits, Banken werden bereits von ihr getestet und die Agenten selbst warten nicht darauf, dass einer von beiden nachholt.
Eine Branche, die zwei Jahrzehnte damit verbrachte, einen echten Kunden von einem gefälschten zu unterscheiden, wird nun aufgefordert, einen Kunden von einer Software zu unterscheiden, die überhaupt im Namen niemandes handelt. Das ist ein schwierigeres Problem, als das, für das der aktuelle Stack gebaut wurde, und das Gegenteil vorzutäuschen ist die teuerste Option, die auf dem Tisch liegt.
