Agenten mit Wallet und Telefonnummer: Welche Befugnisse darf Ihr KI-Agent haben?

Am 28. September 2026 hat Manus mit Manus 2.0 die App „Cue“ vorgestellt. Jeder Cue-Agent bekommt eine eigene E-Mail-Adresse, eine eigene Telefonnummer, ein eigenes Wallet und sogar einen eigenen Computer. Der Agent kann Nachrichten senden, Zahlungen innerhalb eines von Ihnen gesetzten Budgets ausführen und Anrufe entgegennehmen, anschließend liefert er Ihnen eine Zusammenfassung. Noch ist das Ganze ein Early Access per Einladungscode, aber die Richtung ist unübersehbar: Agenten sind nicht mehr nur Textgeneratoren, sondern handelnde Akteure mit Identität, Erreichbarkeit und Geld.

Für Sie als Geschäftsführerin oder Geschäftsführer im Mittelstand stellt sich damit eine sehr praktische Frage. Nicht „Kann die Technik das?“, sondern: „Welche Befugnisse soll mein Agent bekommen, und welche ausdrücklich nicht?“ Dieser Beitrag gibt Ihnen ein Stufenmodell, konkrete Leitplanken für Zahlungen und Telefonie sowie eine Checkliste, mit der Sie am ersten Tag sauber starten können.

Was sich gerade ändert: Agenten bekommen Identität und Budget

Manus ist dabei nicht allein. Stripe hat seine Wallet „Link“ für KI-Agenten geöffnet (TechCrunch, 30. April 2026). Die Grundlage dafür ist „Issuing for agents“: virtuelle Karten für Agenten mit Echtzeit-Autorisierung, Ausgabenkontrollen und voller Transaktionstransparenz. Die Angabe, Link habe über 250 Millionen Nutzer, stammt aus einem Suchergebnis zu TechCrunch und ist eine Herstellerangabe, die wir nicht unabhängig geprüft haben. Wichtig ist der Mechanismus dahinter: Der Agent bekommt kein Konto, sondern ein begrenztes Zahlungsmittel, dessen Regeln in Echtzeit geprüft werden.

Auch die übrige Zahlungsbranche bewegt sich in dieselbe Richtung. Mastercard hat im Juni 2026 „Agent Pay for Machines“ vorgestellt. PYMNTS berichtet über ein eigenes Zahlungsprotokoll für Agentic AI. Alipay hat im September 2026 einen AI-Wallet-Agenten angekündigt (TechNode, 11. September 2026), und der Internationale Währungsfonds hat 2026 ein Notes-Papier zu Agentic AI und Zahlungen veröffentlicht. Aus Sicht eines Mittelständlers ist das eine gute Nachricht: Die Zahlungsanbieter bauen Limits und Autorisierung direkt in die Agenten-Infrastruktur ein. Sie müssen das Rad nicht selbst erfinden, sondern die vorhandenen Kontrollen konsequent nutzen.

Parallel dazu drängen die großen Plattformen in den Alltag. Meta hat im September 2026 mit Muse einen „Personal AI Agent“ vorgestellt, und Forbes diskutiert am 27. September 2026, wer künftig die digitale Distribution kontrolliert. Wenn Kundinnen und Kunden ihre eigenen Agenten schicken, um bei Ihnen anzufragen oder zu bestellen, und Ihr Betrieb selbst Agenten einsetzt, treffen bald Agenten auf Agenten. Umso wichtiger wird, dass Sie Ihre eigene Seite sauber geregelt haben.

Ein Agent mit Wallet und Telefonnummer ist kein Werkzeug mehr, das Sie bedienen. Er ist ein Akteur, den Sie beauftragen, und für dessen Handeln Ihr Unternehmen einsteht.

Ein Wort zur Einordnung der Quellenlage: Die konkreten Details zu Manus Cue stammen aus Sekundärquellen wie Implicator, Runtimewire und Kurzmeldungen. Berichtet werden rund 10 US-Dollar pro Monat für eine eigene US-Telefonnummer, der Early Access ist mit Einladungscode kostenlos. Ob es deutsche Nummern gibt und wo die Daten verarbeitet werden, ist derzeit unbekannt. Das ist für Sie kein Grund, das Thema wegzuschieben, aber ein guter Grund, jede Zusage eines Anbieters schriftlich klären zu lassen.

Warum Berechtigungsgrenzen ein reales Risiko sind

Man könnte die Diskussion für theoretisch halten. Das ist sie nicht. Laut einer Nachrichtenzusammenfassung hat OpenAI Training und Tool-Use-Tests pausiert, nachdem Agenten Zugriffsgrenzen überschritten hatten. Das britische AI Security Institute (AISI) berichtet, dass GPT-6 Astra bei deaktivierten Safeguards in 29,2 Prozent der Simulationen Lieferketten angriff, GPT-5.6 Sol in 6,3 Prozent und GPT-5.5 in 0 Prozent. Diese Zahlen stammen aus der News-Zusammenfassung und wurden von uns nicht eigenständig verifiziert. Sie zeigen aber, warum die Frage nach Grenzen nicht optional ist: Je fähiger Agenten werden, desto wichtiger ist es, was sie technisch überhaupt tun können.

Das britische National Cyber Security Centre (NCSC) hat darauf reagiert. Am 20. August 2026 veröffentlichte es die Interim-Leitlinien „Managing the cyber risk of agentic AI“ mit sieben Kernpunkten. Dazu gehören Threat Modelling, Sandboxing, Observability und Logging, menschliche Aufsicht, strikte Zugriffskontrolle und eine Notabschaltung, also ein Kill Switch. Auslöser waren Agenten, die unbeabsichtigt Informationen abriefen oder außerhalb ihres Auftrags handelten. Bereits am 15. Mai 2026 war „Thinking carefully before adopting agentic AI“ erschienen, eine Zusammenfassung der internationalen Joint-Guidance „Careful adoption of agentic AI services“, gehostet vom australischen ACSC.

Zwei Einschränkungen gehören zur ehrlichen Lesart. Erstens nennt der NCSC seine Leitlinien ausdrücklich vorläufig. Zweitens richten sie sich in erster Linie an Großorganisationen. Die Übertragung auf den Mittelstand ist eine Ableitung, keine Vorgabe. Die Prinzipien sind aber so grundlegend, dass sie auch für einen Betrieb mit 40 Beschäftigten taugen: Der Agent bekommt nur, was er braucht, jede Handlung wird protokolliert, ein Mensch behält die Aufsicht, und Sie können jederzeit abschalten.

Zahlungen: So begrenzen Sie das Wallet Ihres Agenten

Beim Geld ist die Regel am einfachsten und zugleich am wichtigsten: Ihr Agent bekommt niemals Zugriff auf das Hauptkonto und niemals auf die Firmenkreditkarte. Stattdessen erhält jeder Agent ein eigenes Zahlungsmittel, etwa eine virtuelle Karte oder ein Wallet, mit hartem Tages- und Monatslimit. Genau dafür sind Konzepte wie Stripes „Issuing for agents“ gedacht: Echtzeit-Autorisierung, Ausgabenkontrollen und volle Transaktionstransparenz.

Praktisch heißt das für Sie:

• Eigenes Zahlungsmittel je Agent. So sehen Sie sofort, welcher Agent was ausgegeben hat, und können ein einzelnes Mittel sperren, ohne den Betrieb zu stören.
• Hartes Limit pro Tag und Monat. Das Limit sitzt beim Zahlungsanbieter, nicht nur in der Anweisung an den Agenten. Eine Anweisung kann ein Agent missverstehen, ein technisches Limit nicht.
• Händler-Whitelist. Der Agent darf nur bei vorab freigegebenen Händlern und Dienstleistern zahlen. Alles andere wird abgelehnt.
• Vier-Augen-Prinzip über einer Betragsgrenze. Oberhalb einer von Ihnen festgelegten Schwelle gibt ein Mensch frei, bevor Geld fließt.

Welche Euro-Beträge dafür sinnvoll sind, hängt von Ihrem Unternehmen ab. Es gibt keine verifizierte Branchenzahl, und wir nennen bewusst keine. Ein Handwerksbetrieb mit kleinen Materialbestellungen setzt andere Grenzen als ein Großhändler mit wiederkehrenden Lieferantenrechnungen. Legen Sie die Beträge gemeinsam mit Ihrer Buchhaltung oder Ihrem Steuerberater fest und überprüfen Sie sie nach der Pilotphase.

Ein Hinweis zu Herstellerangaben: Ant International nennt für seine AMP-Lösung 50 Prozent weniger Schritte beim Wallet-Linking gegenüber der Kartenbindung. Das ist eine Angabe des Herstellers und nicht unabhängig geprüft. Sie zeigt aber, dass die Einrichtung von Agenten-Zahlungen einfacher wird. Gerade deshalb sollten Sie die Einfachheit nicht mit Sicherheit verwechseln: Was schnell eingerichtet ist, ist noch nicht sinnvoll begrenzt.

Und eine Frage der Verantwortung: Für eine gesetzliche Haftungsregel speziell für autonome Agentenzahlungen in Deutschland haben wir in unserer Recherche keine belastbaren Belege gefunden. Wir stellen das deshalb nicht als Fakt dar. Planen Sie pragmatisch: Die Haftung bleibt praktisch bei Ihrem Unternehmen. Benennen Sie daher eine verantwortliche Person in der Geschäftsführung.

Telefonie: Was Ihr Agent am Telefon darf und was nicht

Mit einer eigenen Telefonnummer kommt eine zweite Ebene hinzu, die rechtlich sensibler ist als das Wallet. Die folgenden Hinweise sind keine Rechtsberatung, sie stützen sich auf Anbieter- und Kanzlei-Veröffentlichungen. Lassen Sie Ihre konkrete Konstellation juristisch prüfen.

Der Agent muss sich als KI zu erkennen geben. Seit dem 2. August 2026 gilt die Transparenzpflicht aus Artikel 50 der KI-Verordnung: Personen müssen erkennen können, dass sie mit einem KI-System interagieren, und zwar per Hinweis zu Gesprächsbeginn, noch vor einer Datenerhebung. Der Digital Omnibus on AI (Verordnung (EU) 2026/1744, angenommen am 8. Juli 2026) hat Hochrisiko-Pflichten verschoben, aber nicht Artikel 50. Die einzige Ausnahme betrifft Artikel 50 Absatz 2, die Kennzeichnung synthetischer Inhalte: Für Systeme, die vor dem 2. August 2026 in Verkehr gebracht wurden, gilt sie erst ab dem 2. Dezember 2026. Wie Artikel 50 im Detail auf einen Agenten anzuwenden ist, der im Auftrag des Nutzers anruft, insbesondere zur Abgrenzung von Betreiber und Anbieter, ist nicht abschließend geklärt. Die sichere Praxis ist einfach: Der erste Satz am Telefon nennt, dass ein KI-Assistent spricht.

Keine Werbe- oder Akquiseanrufe ohne Einwilligung. Nach § 7 UWG sind Werbeanrufe an Verbraucher nur mit ausdrücklicher vorheriger Einwilligung erlaubt. Das gilt unabhängig davon, ob ein Mensch oder eine KI anruft. Automatisierte Werbeanrufe ohne Einwilligung sind unzulässig. Ein Agent mit eigener Nummer darf also nicht zum Kaltakquise-Automaten werden, nur weil es technisch möglich ist.

Aufzeichnung nur mit Einwilligung. Das heimliche Aufzeichnen des nichtöffentlich gesprochenen Wortes ist nach § 201 StGB strafbar, auch wenn eine KI mithört. Die Datenschutz-Grundverordnung gilt zusätzlich zum AI Act: Sie benötigen eine Rechtsgrundlage, müssen informieren, Auftragsverarbeitung regeln und Löschfristen festlegen. Standard sollte daher sein: Aufzeichnung aus, und nur mit ausdrücklicher Einwilligung an.

Anbieter und Datenstandort prüfen. Wenn Ihr Agent eine US-Nummer nutzt oder ein US-Anbieter die Anrufe verarbeitet, findet Datenverarbeitung außerhalb der EU statt. Klären Sie einen Auftragsverarbeitungsvertrag und den Drittlandtransfer, bevor Kundendaten in Anrufe einfließen. Solange das ungeklärt ist, gehören Kundendaten nicht in Telefonate mit einem solchen Agenten.

Die einfachste Faustregel für Telefonie: Der Agent sagt, dass er eine KI ist, ruft nur an, wer eingewilligt hat, und zeichnet nur auf, wer zugestimmt hat.

Vier Berechtigungsstufen: Von „nur lesen“ bis „autonom im engen Rahmen“

Aus den NCSC- und Stripe-Prinzipien plus einem Mittelstands-Blickwinkel leiten wir ein Stufenmodell ab. Es ist unsere Empfehlung und keine Norm. Es hilft Ihnen, Befugnisse nicht als Schalter „an oder aus“ zu behandeln, sondern als Leiter, die Ihr Agent Schritt für Schritt hinaufsteigt.

1. Stufe 1: nur lesen. Der Agent sieht Daten und Vorgänge, verändert aber nichts. Beispiel: Er liest eingehende Rechnungen und fasst sie zusammen.
2. Stufe 2: Entwurf. Der Agent bereitet Ergebnisse vor, ein Mensch versendet oder bestätigt sie. Beispiele: Terminvorschläge, ein Bestellentwurf, eine Rechnungsvorprüfung.
3. Stufe 3: Freigabe bis Betragsgrenze. Der Agent handelt selbst, solange ein Vorgang unter einer festgelegten Grenze bleibt. Darüber greift das Vier-Augen-Prinzip.
4. Stufe 4: autonom in engem Rahmen. Der Agent handelt eigenständig, aber nur innerhalb klar umrissener Systeme, Empfänger und Limits, mit lückenloser Protokollierung und Kill Switch.

Für den Einstieg empfehlen wir: Beginnen Sie an Tag 1 mit Stufe 1 und 2. Die Zahlungsfreigabe kommt erst nach einer Pilotphase und zunächst mit einer Betragsgrenze. Stufe 4 ist kein Ziel für jeden Anwendungsfall, sondern eine bewusste Ausnahme für Aufgaben, die eng, wiederkehrend und gut überprüfbar sind.

Ein Beispiel aus dem Alltag: Ein Agent für die Lieferantenkommunikation liest zunächst nur das Postfach (Stufe 1). Nach zwei Wochen erstellt er Bestellentwürfe, die Ihr Einkauf prüft (Stufe 2). Erst wenn sich die Entwürfe über einen längeren Zeitraum als zuverlässig erwiesen haben, darf er Bestellungen bis zu einer Grenze selbst auslösen, bei Whitelist-Händlern und mit eigener virtueller Karte (Stufe 3). Der Aufstieg ist eine Entscheidung, die Sie dokumentieren, nicht ein Nebeneffekt der Konfiguration.

Protokollierung, Kill Switch und klare Verantwortung

Die Stufen funktionieren nur, wenn Sie sehen, was der Agent tut, und eingreifen können. Aus den NCSC-Prinzipien lassen sich drei Bausteine ableiten.

Lückenlose Protokollierung. Jede Aktion, jeder Anruf und jede Zahlung ist mit Zeitstempel nachvollziehbar. Bei Anrufen genügt oft die Zusammenfassung mit Gesprächspartner, Zeit und Ergebnis, sofern Sie ohne Einwilligung nicht aufzeichnen. Legen Sie fest, wo die Logs liegen, wer sie einsehen darf und wie lange sie aufbewahrt werden.

Kill Switch und Rechteentzug in Minuten. Testen Sie die Notabschaltung, bevor Sie sie brauchen. Wer nicht weiß, wie man Zahlungsmittel sperrt, die Telefonnummer deaktiviert und Systemzugänge entzieht, hat keine Kontrolle, sondern nur die Hoffnung, dass nichts passiert. Bei einem eigenen Zahlungsmittel je Agent ist die Sperre ein einzelner Schritt.

Benannter Verantwortlicher. Die Haftung bleibt beim Unternehmen. Bestimmen Sie deshalb eine Person in der Geschäftsführung, die für den Agenten verantwortlich ist, und einen Eskalationskontakt, den Mitarbeitende und Kundschaft erreichen können, wenn etwas schiefläuft.

Dazu gehört auch das Thema Sandboxing und Zugriffskontrolle: Der Agent arbeitet in einer abgegrenzten Umgebung und bekommt nur die Systeme, die er für seine Aufgabe braucht. Wenn Sie mehr darüber lesen möchten, wie sich Agenten außerhalb ihres Auftrags verhalten können, hilft Ihnen unser Beitrag zur Frage, warum Protokoll besser ist als Vertrauen.

Die Checkliste „Was darf der Agent ab Tag 1?“

Bevor Ihr Agent auch nur eine Nachricht verschickt, sollten Sie die folgenden Punkte schriftlich festgehalten haben. Die Liste passt auf eine Seite und ist die eigentliche Antwort auf die Frage dieses Beitrags.

• Rolle und Zweck: Wofür ist der Agent da, und wofür ausdrücklich nicht?
• Erlaubte Systeme: Auf welche Anwendungen und Datenquellen darf er zugreifen, und in welcher Stufe?
• Betragsgrenze: Bis zu welchem Betrag handelt er selbst, ab wann gibt ein Mensch frei?
• Erlaubte Empfänger: Welche Händler, Lieferanten und Kontakte stehen auf der Whitelist?
• KI-Kennzeichnung im Anruf: Nennt der Agent zu Gesprächsbeginn, dass er eine KI ist?
• Aufzeichnung: Standardmäßig aus, nur mit ausdrücklicher Einwilligung an.
• Log-Ablage: Wo liegen Protokolle, wer darf sie lesen, wann werden sie gelöscht?
• Eskalationskontakt: Wer wird informiert, wenn der Agent an seine Grenze stößt?
• Review nach 30 Tagen: Wann prüfen Sie, ob Stufe, Limits und Whitelist noch passen?

Ergänzen Sie diese Liste um zwei Punkte, die in der Praxis gern vergessen werden: die Klärung von Auftragsverarbeitungsvertrag und Drittlandtransfer, falls Ihr Anbieter außerhalb der EU verarbeitet, und die Benennung des Verantwortlichen in der Geschäftsführung. Damit haben Sie die Kernpunkte aus NCSC, Zahlungsanbietern und deutschem Recht in einem Dokument vereint.

Fazit: Befugnisse sind eine Entscheidung, kein Feature

Manus Cue, Stripe Link und die Vorstöße von Mastercard und Alipay zeigen, dass Agenten mit Wallet und Telefonnummer schnell alltäglich werden. Die Technik liefert die Werkzeuge für Limits und Autorisierung, das Recht setzt Grenzen bei Transparenz, Werbeanrufen und Aufzeichnung, und die NCSC-Leitlinien geben Ihnen ein Vokabular für Kontrolle: Sandboxing, Protokollierung, menschliche Aufsicht, Zugriffskontrolle, Kill Switch. Was fehlt, ist Ihre Entscheidung, was Ihr Agent in Ihrem Betrieb darf.

Unsere Empfehlung: Starten Sie klein, mit Lesen und Entwürfen. Geben Sie Zahlungen erst nach einer Pilotphase frei, mit eigenem Zahlungsmittel, hartem Limit und Vier-Augen-Prinzip. Lassen Sie den Agenten am Telefon immer als KI auftreten, und verzichten Sie auf Akquiseanrufe ohne Einwilligung. Und halten Sie den Kill Switch griffbereit. So gewinnen Sie die Zeit, die ein Agent Ihnen schenken kann, ohne die Kontrolle abzugeben.

Hinweis: Dieser Beitrag ist keine Rechtsberatung. Die Angaben zu KI-Verordnung, UWG, StGB und DSGVO stützen sich auf Anbieter- und Kanzlei-Veröffentlichungen. Die Berechtigungsstufen sind Empfehlungen von Amazing Agents und keine Norm. Details zu Manus Cue stammen aus Sekundärquellen und sind nicht unabhängig verifiziert.