Wie Banken den Zugriff von KI-Agenten auf Konten sicher und nachvollziehbar gestalten

Agenten klopfen an, aber wer sind sie?

Seit Apollo-Chefökonom Torsten Slok im September 2026 vor einem „Agentic Bank Run“ gewarnt hat, diskutieren Banken vor allem über Zinsen und Einlagen. Eine grundlegendere Frage kommt oft zu kurz: Wer greift da eigentlich auf das Konto zu? Bevor ein Agent Geld bewegt, muss die Bank entscheiden, ob er im Auftrag ihres Kunden handelt oder im Auftrag eines Betrügers.

Die Antwort ist heute schwer zu geben. Der Sicherheitsanbieter Arkose Labs hat im dritten Quartal 2026 Agentenzugriffe auf Login- und Registrierungsseiten seiner Kunden ausgewertet, auch bei Banken. Laut einem Bericht von Forbes trugen 97,7 Prozent der als legitim eingestuften Agentensitzungen keinen überprüfbaren Identitätsnachweis. Der Anbieter hat ein kommerzielles Interesse an diesem Befund. Die Richtung ist trotzdem eindeutig: Ein hilfreicher und ein feindlicher Agent klopfen an dieselbe Tür.

Große Banken beziehen bereits Position. JPMorgan Chase lässt nach eigenen Angaben keine fremden Agenten zu, die sich mit den Zugangsdaten eines Kunden anmelden. Datenübermittlung, die der Kunde über regulierte Open-Banking-Anbieter freigibt, unterstützt die Bank dagegen. Diese Linie zeigt, worum es geht: nicht um ein Ja oder Nein zu Agenten, sondern um die Frage, über welchen Weg und mit welchen Rechten sie zugreifen dürfen.

Ein Agent ist keine Rolle im Gesetz

In Europa ist der Zugang Dritter zu Zahlungskonten seit der Zahlungsdiensterichtlinie PSD2 geregelt. Sie kennt zwei Rollen: Kontoinformationsdienste, die mit Zustimmung des Kunden Kontodaten abrufen, und Zahlungsauslösedienste, die Zahlungen in seinem Auftrag anstoßen. Beide brauchen eine Registrierung oder Zulassung, beide unterliegen der starken Kundenauthentifizierung. Einen „KI-Agenten“ kennt die PSD2 nicht.

Daraus folgt: Ein persönlicher Agent erhält nicht automatisch Zugriff auf ein Konto. Er muss entweder selbst eine dieser Rollen einnehmen oder über einen Anbieter zugreifen, der sie innehat. Genau hier liegt die Unschärfe. Ist der Agent nur eine Benutzeroberfläche für einen lizenzierten Dienst? Oder agiert er mit den Zugangsdaten des Kunden, an allen Schnittstellen vorbei? Die rechtliche und die sicherheitstechnische Bewertung unterscheiden sich in beiden Fällen grundlegend.

Offen ist zudem die Haftung. Wenn ein Agent eine Zahlung falsch auslöst, weil er einen Auftrag missverstanden hat: Wer trägt den Schaden? Der Kunde, der den Auftrag erteilt hat? Der Anbieter des Agenten? Oder die Bank, die die Zahlung ausgeführt hat? Klare Antworten gibt es hier bisher nur für Teilaspekte.

Der Rechtsrahmen bewegt sich. Rat und Europäisches Parlament haben sich im November 2025 vorläufig auf die Nachfolger der PSD2 geeinigt, die Richtlinie PSD3 und die unmittelbar geltende Zahlungsdiensteverordnung PSR. Stand Ende September 2026 steht die formale Verabschiedung noch aus, bis dahin gilt die PSD2. Die Einigung sieht unter anderem vor, dass Kunden erteilte Datenzugriffe über ein Dashboard einsehen und verwalten können. Wie konkret Agenten darin berücksichtigt werden, bleibt abzuwarten. Banken sollten deshalb nicht auf eine abschließende Regelung warten, sondern ihr Zugangsmodell heute so bauen, dass es sich anpassen lässt.

Ein Zugangsmodell mit Mandat, Grenzen und Spur

Weder pauschales Blockieren noch pauschales Zulassen funktioniert. Wer alle Agenten aussperrt, verliert Kunden und Einlagen an Wettbewerber, die offener sind. Wer alle zulässt, gibt Betrügern einen Freifahrtschein. Banken brauchen ein Zugangsmodell, das zwischen beiden Extremen unterscheidet. Es beruht auf drei Prinzipien.

Identität vor Zugriff. Die Bank muss erkennen können, welcher Agent im Auftrag welches Kunden anfragt. Erste Standards dafür entstehen: Visa und Cloudflare haben 2025 das Trusted Agent Protocol vorgestellt, Meta und Sierra im Oktober 2026 einen Entwurf namens Personal Agent Protocol. Keiner davon ist bisher verbreitet. Banken sollten die Entwicklung beobachten und ihre Schnittstellen so auslegen, dass sie solche Nachweise später prüfen können.

Mandat mit Grenzen. Der Kunde legt fest, was ein Agent darf: nur lesen, Zahlungen vorbereiten oder Zahlungen auslösen. Dazu kommen Betragsgrenzen, erlaubte Empfänger und Gültigkeitsdauer. Jedes Mandat muss jederzeit widerrufbar sein, und der Kunde muss sehen können, welche Agenten welche Rechte haben.

Nachvollziehbarkeit jeder Aktion. Wenn ein Agent Geld bewegt, muss die Bank später belegen können, wer was auf wessen Anweisung getan hat. Ein Protokolleintrag, der nur ein technisches Nutzerkonto zeigt, reicht dafür nicht. Das gilt im Übrigen auch für Agenten, die eine Bank selbst einsetzt. Diese Spur muss im Moment der Aktion entstehen, nicht im Nachhinein.

Mit einem begrenzten Pilot beginnen

Der beste Einstieg ist kein Großprojekt, sondern ein klar abgegrenzter Anwendungsfall. Gut geeignet ist die Umbuchung zwischen eigenen Konten des Kunden, etwa vom Girokonto auf das Tagesgeld. Das Risiko ist überschaubar, weil das Geld die Bank nicht verlässt. Trotzdem lässt sich daran das gesamte Zugangsmodell erproben. Der Ablauf trennt Vorbereitung, Freigabe und Ausführung:

  1. Angebote vergleichen: Der Agent prüft Kontostände und Konditionen im Rahmen seines Lesemandats.
  2. Umbuchung vorbereiten: Er schlägt eine konkrete Buchung vor, innerhalb der vom Kunden gesetzten Grenzen.
  3. Kunde bestätigt: Der Kunde gibt die Buchung frei, mit starker Authentifizierung.
  4. Bank führt aus: Die Bank bucht und protokolliert, welcher Agent auf welches Mandat hin gehandelt hat.

Mit wachsender Erfahrung kann der Kunde einzelne Freigaben automatisieren, etwa Umbuchungen bis zu einem Betrag. Die Grenzen bleiben aber immer sichtbar und widerrufbar.

Die typischen Stolpersteine liegen an den Schnittstellen der Organisation. Zahlungsverkehr, IT-Sicherheit, Recht und Vertrieb haben unterschiedliche Blickwinkel auf dasselbe Thema. Der Zahlungsverkehr denkt in Schnittstellen und Rollen, die Sicherheit in Angriffsflächen, der Vertrieb in Kundennutzen. Ein Pilot zwingt diese Perspektiven an einen Tisch. Bei Instituten, deren Kernbanksystem ein zentraler Dienstleister betreibt, gehört dieser früh dazu.

Fazit: Erst die Tür, dann der Verkehr

KI-Agenten werden auf Bankkonten zugreifen, ob über regulierte Schnittstellen oder an ihnen vorbei. Banken, die jetzt festlegen, wer unter welchen Bedingungen hineindarf, gewinnen doppelt. Sie schützen ihre Kunden vor Missbrauch. Und sie schaffen die Grundlage, um Agenten als Vertriebsweg zu nutzen, statt sie nur abzuwehren.

Wir unterstützen Banken dabei, ein Zugangsmodell für KI-Agenten zu entwickeln: von der Einordnung der Rollen und Rechte über Kontrollen und Nachvollziehbarkeit bis zum Pilotdesign für einen ersten Anwendungsfall. Wenn Sie wissen möchten, wie gut Ihr Haus auf den Zugriff von Kundenagenten vorbereitet ist, sprechen Sie uns an.

Mehr dazu lesen Sie in unseren Beiträgen zu den Folgen von KI-Agenten für Bankeinlagen und zu KI-Agenten im Bankvertrieb.

Quellen