Wer zahlt, wenn der KI-Agent einen Fehler macht? Haftung und Freigabe-Schritt

Stellen Sie sich vor, ein Agent in Ihrem Unternehmen beantwortet eine Kundenanfrage, bestätigt einen Liefertermin und gibt dabei einen Rabatt zu, den es nicht gibt. Niemand hat den Text vorher gesehen, der Kunde hat die Zusage schriftlich, und am nächsten Morgen fragt die Geschäftsführung: Wer steht dafür gerade? Diese Frage ist unbequem, und sie wird meistens erst gestellt, wenn der Fall eingetreten ist. Dieser Artikel stellt sie vorher.

Anlass ist eine Aussage aus der Finanzbranche. Auf dem Quartalsgespräch der US-Bank JPMorgan Chase am 13. Oktober 2026 hat Konzernchef Jamie Dimon laut Medienberichten erklärt, dass die Bank externen KI-Agenten den direkten Zugriff auf Kundenkonten derzeit nicht erlaubt. Dabei fiel der Satz „There’s a liability transfer“, also: Es findet eine Haftungsverlagerung statt. Das Thema ist damit kein Ereignis des Tages, sondern ein Evergreen. Es zeigt in einer einzigen Aussage, worum es bei jedem Agenten mit echten Befugnissen geht: um die Frage, was er allein tun darf und wo ein Mensch zustimmen muss.

Eine wichtige Einordnung vorab: Der Fall betrifft eine amerikanische Großbank und deren Privatkunden. Er ist kein Hinweis darauf, wie deutsche, österreichische oder Schweizer Banken oder Gerichte entscheiden würden. Wir nutzen ihn als Anschauungsbeispiel, nicht als Rechtsauskunft. Eine Produktneuheit gibt es hier nicht; die Verfügbarkeit ist daher nicht relevant, es geht um ein Konzept, das Sie unabhängig von jedem Anbieter heute klären können.

Was JPMorgan laut den Berichten tatsächlich gesagt hat

Beginnen wir mit dem, was die Quellen hergeben, und trennen es von dem, was sie nicht hergeben. Die Nachrichtenseite Let’s Data Science berichtet am 13. Oktober 2026 unter Berufung auf CNBC, JPMorgan blockiere externe KI-Agenten, die direkt auf Kundenkonten zugreifen und dort handeln. Dimon habe die Lage mit den Worten beschrieben, das sei „too risky for clients and for JPMorgan“, also zu riskant für die Kunden und für die Bank. Eine Sprecherin habe gegenüber CNBC bestätigt, dass externe Agenten derzeit nicht im Auftrag von Privatkunden handeln dürfen.

Der zweite wichtige Punkt betrifft die Zugangsdaten. Laut dem Bericht sagte die Sprecherin: „we do not permit third parties to access accounts by obtaining customers’ banking credentials“. Dritte dürfen sich also nicht dadurch Zugriff verschaffen, dass sie die Bankzugangsdaten eines Kunden einsammeln und sich in dessen Namen anmelden. Die Regel gilt laut Artikel für Agenten externer Anbieter, nicht für alle KI-Funktionen der Bank. Eine bankeigene Anwendung namens „Smart Cash“ werde getestet.

Das Fachportal The Paypers ergänzt am 15. Oktober 2026 ein Detail, das den Unterschied zwischen Lesen und Handeln greifbar macht: Die Bank unterstütze weiterhin die vom Kunden autorisierte Weitergabe von Daten über Open-Banking-Anbieter. Agenten könnten deshalb weiterhin einige Daten lesen, etwa Kontostände, wenn Plaid oder ein anderer Connector die Zugangsdaten hält. Geld senden oder Rechnungen bezahlen könnten sie dagegen nicht.

Dann der Satz, um den es in diesem Artikel geht. Laut dem Banking-Dive-Bericht, den die Quelle zitiert, warnte Dimon Kunden, die einem Agenten Kontozugriff geben, vor den Risiken. Er sagte: „There’s a liability transfer.“ Ein Kunde, der einem fremden Agenten seine Zugangsdaten gibt, trägt also unter Umständen selbst, was der Agent damit anrichtet. Dazu kommt Dimons Warnung vor „rogue agents“, die potenziell in großer Zahl handeln könnten.

Was die Quellen nicht sagen

Hier lohnt Sorgfalt, denn aus einer Schlagzeile wird schnell eine Rechtsbehauptung. Die beiden Berichte enthalten keine schriftliche Richtlinie der Bank und kein Datum, ab dem sie gilt. Sie nennen keine Aufteilung der Haftung zwischen Kunde, Agentenanbieter und Bank. Sie sagen nicht, ob die Regel auch für Geschäftskunden gilt, genannt werden nur Privatkunden. Sie nennen keine Zahlen oder Belege dafür, wie viele „rogue agents“ tatsächlich aufgetreten sind, die Warnung ist eine Einschätzung des Konzernchefs. Und sie enthalten keine rechtliche Bewertung. Wer aus dem Fall ableitet, „in Deutschland haftet dann der Kunde“, geht über die Quellen hinaus.

Auch das Datum der Aussage verdient einen Hinweis. Die Berichte stammen vom 13. und 15. Oktober 2026. Die Primärquelle ist eine mündliche Aussage in einem Telefonat mit Analysten, die wir nur über Medienberichte kennen. Wir geben sie deshalb als Berichtetes wieder und nicht als Wortlaut eines Dokuments.

Die Kernfrage lautet nicht, ob Agenten Fehler machen. Sie lautet, wer den Fehler bezahlt, wenn niemand vorher hingesehen hat.

Warum das für den Mittelstand mehr ist als ein Bankenthema

Ein mittelständisches Unternehmen hat meist keine Kundenkonten, auf die ein fremder Agent zugreift. Es hat aber etwas Ähnliches: Postfächer, ein CRM, eine Buchhaltung, ein Shopsystem, eine Cloud mit Verträgen. Sobald ein Agent dort mit eigenen Zugängen arbeitet, entsteht dieselbe Konstellation wie im Bankenbeispiel in klein. Jemand hat dem Agenten Zugang gegeben. Der Agent handelt. Und wenn das Ergebnis falsch ist, steht im Zweifel die Person oder das Unternehmen dahinter, die den Zugang vergeben haben.

Besonders anschaulich wird das an drei Stellen. Erstens bei Geld: Ein Agent, der Rechnungen freigeben oder Zahlungen anstoßen kann, kann einen Fehler in Sekunden vervielfachen. Zweitens bei Verträgen: Ein Entwurf ist harmlos, eine abgeschickte Zusage nicht. Drittens bei Kundenkommunikation nach außen: Eine Antwort, die einmal gesendet ist, lässt sich nicht zurückholen, und der Empfänger darf sie ernst nehmen.

Dazu kommt ein organisatorisches Problem, das in keinem Bericht steht, aber jedem Geschäftsführer bekannt vorkommen dürfte: die diffuse Zuständigkeit. Wenn niemand festgelegt hat, wer einen Agenten freigibt, wer seine Zugänge verwaltet und wer bei einem Fehler entscheidet, dann haftet faktisch die Geschäftsführung, und zwar ohne dass sie es bewusst übernommen hätte.

Der Freigabe-Schritt: Was er ist und was er nicht ist

Ein Freigabe-Schritt ist ein bewusst eingebauter Punkt im Ablauf, an dem eine Aktion erst nach der Bestätigung durch einen Menschen wirksam wird. In der Fachsprache heißt das Human-in-the-Loop. Er ist kein Misstrauensvotum gegen die Technik, sondern eine Arbeitsteilung: Der Agent bereitet vor, der Mensch entscheidet über das, was nach außen wirkt oder nicht zurückgenommen werden kann.

Ein Hinweis zur Quellenlage: Die Organisation OWASP, die für Sicherheitsstandards in der Softwareentwicklung bekannt ist, hat laut ihrer Webseite die „OWASP Top 10 for Agentic Applications for 2026“ veröffentlicht; die Seite trägt das Datum 9. Dezember 2025 und beschreibt das Dokument als „globally peer-reviewed framework that identifies the most critical security risks“. Das ist die Selbstbeschreibung des Herausgebers. Den Inhalt der einzelnen Risiken konnten wir auf dieser Seite nicht lesen, sie verweist auf ein Download-Dokument. Wir zitieren daraus deshalb nichts. Wenn Sie das Thema Sicherheit von Agenten vertiefen wollen, ist dieses Dokument ein sinnvoller Einstieg, den Sie selbst herunterladen und lesen sollten.

Was ein Freigabe-Schritt nicht ist, lässt sich ebenfalls sagen. Er ist keine Garantie, dass der Mensch hinsieht. Wer jede Freigabe ungelesen durchklickt, hat den Schritt faktisch abgeschafft, aber die Verantwortung behalten. Deshalb gehört zu einem guten Freigabe-Schritt immer auch eine Frage der Gestaltung: Was bekommt die freigebende Person zu sehen, wie lange hat sie, und wie leicht ist es, Nein zu sagen?

Mit und ohne Freigabe-Schritt: ein Vergleich

Der Unterschied lässt sich an einem einfachen Ablauf zeigen, ohne dass wir Zahlen erfinden müssen. Nehmen wir einen Agenten, der Kundenanfragen aus dem Postfach bearbeitet.

Ohne Freigabe-Schritt liest der Agent die Anfrage, formuliert die Antwort und sendet sie. Der Kunde hat sie sofort. Wenn der Agent einen Preis falsch zitiert hat, steht der Preis schriftlich beim Kunden. Die Korrektur kostet Zeit, Vertrauen und gegebenenfalls Geld, und niemand im Unternehmen hat die Antwort vorher gesehen.

Mit Freigabe-Schritt liest der Agent die Anfrage, formuliert die Antwort und legt sie als Entwurf ab. Ein Mensch sieht den Entwurf, ändert oder bestätigt ihn, und erst dann geht er raus. Der Aufwand ist kleiner als das Schreiben von Hand, aber die Verantwortung ist klar zugeordnet. Genau so beschreiben wir es auf amazing-agents.com: Jeder Agent läuft in einem definierten Rahmen mit Freigabe-Schritten bei kritischen Aktionen, und Mails werden zum Beispiel als Entwurf erstellt, nicht direkt versendet.

Der Unterschied ist nicht, dass der zweite Ablauf sicherer klingt. Er ist, dass im zweiten Ablauf eine benannte Person eine benannte Entscheidung getroffen hat. Im Streitfall ist das der Unterschied zwischen „der Agent hat das getan“ und „wir haben das freigegeben“.

Welcher Agent welche Rolle spielt

Auf amazing-agents.com ordnen wir dieses Thema zwei Agenten zu, die an verschiedenen Enden der Frage arbeiten. Der Code-Operator ist dort mit „Bugs, Fixes, Pull-Requests mit Ihrer Freigabe“ beschrieben. Er zeigt das Muster in seiner einfachsten Form: Der Agent schlägt eine Änderung vor, ein Mensch gibt sie frei, erst dann wird sie übernommen. Der Memory-Layer ist beschrieben als „gemeinsamer Kontext über alle Agenten“, damit nichts doppelt erklärt werden muss. Für unser Thema ist er deshalb wichtig, weil er der Ort ist, an dem sich festhalten lässt, welche Regeln für alle Agenten gelten: was freigegeben werden muss, wer freigibt und was dokumentiert wird.

Zur Rechteverwaltung steht in unseren häufigen Fragen: Sie bestimmen, welcher Agent auf welche Systeme zugreift, auditierbar und jederzeit widerrufbar. Und in der Beschreibung der Steuerzentrale, in der alle Agenten zusammenlaufen: Kritische Aktionen brauchen Ihre Freigabe. Das sind Zusagen über unser Vorgehen. Sie sind kein Beleg dafür, dass ein Fehler nie passieren kann, und wir behaupten das auch nicht.

Der Unterschied, auf den es am Ende ankommt: ein Agent mit Grenzen und Freigabe-Schritt gegenüber einem Agenten, der einfach handelt. Der erste kostet etwas Tempo pro Vorgang. Der zweite spart dieses Tempo und verschiebt das Risiko dorthin, wo es niemand eingeplant hat.

So gehen wir im Audit vor

Damit das nicht abstrakt bleibt, beschreiben wir, wie wir die Frage in einem Audit angehen. Wir behaupten dabei keine Zahlen und keine Referenzen, sondern beschreiben ein Vorgehen, das Sie auch ohne uns nachvollziehen können.

Schritt eins ist die Bestandsaufnahme der Zugänge. Wir listen auf, welche Systeme ein Agent berühren soll: Postfach, CRM, Buchhaltung, Dateiablage, Shop. Zu jedem System halten wir fest, ob der Agent nur lesen oder auch schreiben soll. Schon diese Liste ist für viele Unternehmen neu, weil Zugänge bislang einzeln und ohne Gesamtbild vergeben wurden.

Schritt zwei ist die Einteilung der Aktionen nach ihrer Wirkung. Wir unterscheiden Aktionen, die nur intern wirken und sich zurücknehmen lassen, von Aktionen, die nach außen gehen oder Geld, Verträge und Personendaten betreffen. Die zweite Gruppe bekommt einen Freigabe-Schritt, die erste darf der Agent in der Regel allein ausführen.

Schritt drei ist die Zuordnung der Freigabe zu einer Person. Nicht „das Team“ gibt frei, sondern eine benannte Rolle mit einer Vertretung. Dazu gehört die Frage, was passiert, wenn niemand antwortet: Der Vorgang wartet, er läuft nicht automatisch weiter.

Schritt vier ist das Protokoll. Jede Aktion eines Agenten wird so festgehalten, dass man später nachvollziehen kann, was geschah, auf wessen Freigabe und mit welchen Daten. Ohne Protokoll lässt sich im Streitfall nichts klären, mit Protokoll zumindest die Tatsachenfrage.

Schritt fünf ist die rechtliche Prüfung der offenen Punkte. Wie sich Haftung, Datenschutz und Verträge im Einzelfall auswirken, beurteilen wir nicht. Das gehört zu Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten. Wir bereiten die Fragen so auf, dass diese Beratung effizient sein kann.

Was Sie diese Woche vorbereiten können

Da es hier um ein Konzept geht und nicht um ein Produkt, das Sie ab heute nutzen, bleibt es bei Vorbereitung. Die folgenden Schritte brauchen keinen Anbieter und keine neue Software.

1. Schreiben Sie auf, was ein Agent bei Ihnen heute schon kann oder bald können soll. Eine Liste mit zehn Zeilen genügt. Notieren Sie neben jeder Zeile, welches System berührt wird.
2. Markieren Sie jede Zeile, die Geld, einen Vertrag oder eine Nachricht nach außen betrifft. Genau diese Zeilen brauchen vor dem Einsatz eine benannte freigebende Person.
3. Klären Sie, wer im Haus für die Zugänge der Agenten zuständig ist. Wenn die Antwort „das macht jeder, wie es gerade passt“ lautet, haben Sie Ihren ersten Handlungspunkt gefunden.
4. Prüfen Sie Ihre Verträge mit Anbietern und Kunden auf Aussagen zu automatisierten Entscheidungen. Sie müssen das nicht allein bewerten, aber Sie sollten wissen, wo Sie nachfragen müssen.
5. Legen Sie fest, was bei einer fehlerhaften Aktion zuerst passiert. Wer wird informiert, wer stoppt den Agenten, wer spricht mit dem Betroffenen? Ein zweiseitiger Ablauf reicht und spart im Ernstfall Stunden.

Häufige Einwände

„Das bremst die Automatisierung aus.“ Es bremst sie dort, wo sie am meisten Schaden anrichten kann, und nirgends sonst. Die meisten Aktionen eines Agenten sind intern und rücknehmbar. Dort braucht es keine Freigabe. Die Freigabe konzentriert sich auf die wenigen Stellen, an denen ein Fehler wirklich teuer wird.

„Meine Mitarbeitenden klicken ohnehin alles durch.“ Das ist ein reales Risiko, und die Antwort darauf ist Gestaltung, nicht der Verzicht auf Freigaben. Zeigen Sie in der Freigabe das Wesentliche zuerst, etwa Betrag, Empfänger und das, was sich gegenüber dem Normalfall unterscheidet. Und machen Sie das Ablehnen so leicht wie das Bestätigen.

„Der Anbieter haftet doch.“ Möglicherweise, möglicherweise nicht. Die Bankberichte zeigen gerade, dass die Haftung in der Praxis verschoben werden kann, wenn ein Kunde Zugangsdaten an einen Agenten gibt. Wie das für Ihre Verträge gilt, steht in Ihren Verträgen und nicht in diesem Artikel. Prüfen Sie es, bevor der Fall eintritt.

„Wir sind zu klein dafür.“ Gerade kleine Unternehmen haben selten eine Rechtsabteilung, die nachträglich aufräumt. Ein einseitiges Blatt mit Freigaberegeln ist günstiger als jede Nacharbeit.

Fazit

Der JPMorgan-Fall ist ein US-Beispiel, und er ist aus zweiter Hand berichtet. Wir ziehen daraus keine rechtlichen Schlüsse für Ihr Unternehmen. Er macht aber sichtbar, was jede Organisation klären muss, die Agenten mit echten Zugängen ausstattet: Wer darf was allein, wer gibt frei, wer trägt im Zweifel den Schaden? Wer diese Fragen vor dem Einsatz beantwortet, hat einen Agenten mit Grenzen und Freigabe-Schritt. Wer sie danach beantwortet, hat sie meist unter Zeitdruck beantwortet.

Eine kurze Quellenübersicht: Let’s Data Science, „JPMorgan blocks external AI account agents“, 13. Oktober 2026 (Bericht unter Berufung auf CNBC und Banking Dive); The Paypers, „JPMorgan Chase blocks external AI agents from customer accounts“, 15. Oktober 2026; OWASP GenAI Security Project, „OWASP Top 10 for Agentic Applications for 2026“, Seitendatum 9. Dezember 2025.