Agentic Commerce: Zahlungsagenten, UCP, ACP und AP2 (Stand 2026)

Agentic Commerce bezeichnet Kaufprozesse, bei denen ein KI-Agent stellvertretend für einen Nutzer Produkte recherchiert, auswählt und Zahlungen anstößt. Die wichtigsten Protokolle dafür sind UCP von Google, ACP von OpenAI und Stripe sowie AP2 von Google. Dazu kommen Werkzeuge wie das Stripe Agent Toolkit. Die Technologie ist früh. Wir empfehlen 2026 eine menschliche Freigabe bei Zahlungen, gesetzlich vorgeschrieben ist sie nicht.

Der Bruch mit dem klassischen E-Commerce ist fundamental: Der Kaufabschluss verschiebt sich vom menschlichen Klick auf den Bestell-Button hin zu einem autorisierten Funktionsaufruf eines Agenten. Damit entstehen neue Schichten (Produktentdeckung über Agenten, Checkout über Protokolle, Zahlungsauslösung über Zahlungsdienste) und mit ihnen neue Sicherheitsfragen, die jede DACH-Organisation vor dem ersten Pilotprojekt beantworten muss.

Drei Schnellantworten

• Was passiert technisch? Ein Agent erhält ein Autorisierungs-Mandat des Nutzers, recherchiert und wählt aus, ruft über ein Commerce-Protokoll wie UCP oder ACP einen Händler-Checkout auf und löst die Zahlung über einen Zahlungsdienst aus, bei Stripe etwa mit einem Shared Payment Token. Im Pilotbetrieb gibt vorher ein Mensch jede Zahlung frei.
• Wer liefert die Bausteine? Die reifste Schicht ist heute die Integration: Das Model Context Protocol (MCP) ist De-facto-Standard für die Anbindung von Werkzeugen. Auf der Commerce- und Payment-Seite stehen UCP und AP2 von Google sowie ACP von OpenAI und Stripe nebeneinander. UCP und ACP konkurrieren beim Checkout, AP2 ergänzt UCP um die Autorisierung. Kommerziell am weitesten ist die Payment-Infrastruktur (etwa Stripe).
• Wie weit ist das 2026? Production-Anfang, kein Massenmarkt. Die Agenten-Durchdringung ist über fast alle Geschäftsfunktionen einstellig; Halluzinationsraten von 22-94% über 26 führende Foundation-Modelle machen vollautonome Zahlungen ohne harte Limits fahrlässig.

Wie Zahlungsagenten Käufe auslösen

Der typische Ablauf eines Agentic-Commerce-Kaufs zerfällt in vier Phasen, die jeweils einer eigenen Protokoll- oder Infrastruktur-Schicht zugeordnet sind.

1. Mandat und Identität. Der Nutzer erteilt dem Agenten ein Mandat: „Kaufe X bis zu einem Betrag von Y." Der Agent braucht dafür eine nachweisbare, kryptografische Identität, damit jede Aktion einem autorisierten Agenten zurechenbar ist. Das Agent Payments Protocol (AP2) bildet solche Mandate als kryptografisch signierte Nachweise ab.

2. Entdeckung und Auswahl. Der Agent findet passende Produkte. Hier setzt das Universal Commerce Protocol (UCP) an: Händler veröffentlichen ihre Fähigkeiten in einem Manifest, über das Agenten sie ohne Einzelintegration finden.

3. Checkout. Der Agent ruft den Händler-Checkout auf. Diesen standardisierten Bestellvorgang zwischen Agent und Händler regeln das Agentic Commerce Protocol (ACP) von OpenAI und Stripe sowie die Checkout-Funktion von UCP.

4. Zahlung. Die eigentliche Transaktion läuft über einen Zahlungsdienstleister. Bei Stripe übernimmt das ein Shared Payment Token, der dem Händler eine Zahlungsmethode des Kunden freigibt, begrenzt auf diesen Händler, einen Höchstbetrag und eine Ablaufzeit. Die Payment-Schicht zählt Stand 2026 zu den am weitesten gereiften kommerziellen Bausteinen. Das Stripe Agent Toolkit ist dagegen ein Entwicklerwerkzeug: Es bindet Agenten-Frameworks wie LangChain per Function Calling an die Stripe-API an.

Querliegend über allem liegt das Model Context Protocol (MCP) als De-facto-Integrationsschicht. Im Dezember 2025 nannte Anthropic über 10.000 aktive öffentliche MCP-Server und mehr als 97 Millionen monatliche SDK-Downloads für Python und TypeScript. In der „agentic mesh“-Architektur verbindet MCP Agent und Werkzeug (vertikal), während Agent-to-Agent-Protokolle (A2A) Agent und Agent verbinden (horizontal). AP2 ist als Erweiterung für A2A und MCP angelegt. Anthropic hat MCP im Dezember 2025 an die Agentic AI Foundation übergeben, einen Fonds unter dem Dach der Linux Foundation. Das zeigt, dass die Integrationsschicht in Richtung herstellerneutraler Standard reift.

Die Bausteine im Überblick: Schichten und Reife

Die folgende Tabelle ordnet die zentralen Schichten des Agentic Commerce ihrer Funktion und ihrem Reifegrad zu. Alle Reifegrade gelten Stand 2026 und sind bewusst konservativ gesetzt.

Wichtig für die Einordnung: Anbieter-, Versions- und Integrationsdetails auf der Commerce- und Payment-Schicht bewegen sich 2026 schnell. Konkrete Produkt-Releases, Termine und Preise sollten vor einem Projekt direkt beim jeweiligen Anbieter verifiziert werden, statt sie aus Sekundärquellen zu übernehmen.

Die Protokolle im Vergleich: UCP, ACP, AP2

Hinter den Schichten stehen drei benannte Protokolle mit unterschiedlichen Trägern und Aufgaben.

UCP standardisiert den Kaufweg von der Entdeckung bis zur Bestellverwaltung. Händler veröffentlichen unter /.well-known/ucp ein Manifest mit ihren Fähigkeiten, Agenten finden sie darüber ohne Einzelintegration. Google hat UCP im Januar 2026 vorgestellt, über 20 weitere Partner wie Adyen, Mastercard, Stripe, Visa und Zalando unterstützen es. UCP trennt das Zahlungsmittel des Kunden vom Zahlungsabwickler und ist mit AP2 kompatibel.

ACP haben OpenAI und Stripe gemeinsam entwickelt. Stripe hat es am 29. September 2025 als offenen Standard veröffentlicht. Am selben Tag startete OpenAI den Sofortkauf (Instant Checkout) in ChatGPT, zunächst nur für Nutzer in den USA. Im März 2026 hat OpenAI diesen Sofortkauf wieder zurückgefahren und verlagert den Kauf im Chat seither in die ChatGPT-Apps von Händlern wie Instacart. ACP bleibt laut einem OpenAI-Sprecher die technische Grundlage (Digital Commerce 360). Die Zahlung läuft über einen Shared Payment Token: Der Agent gibt dem Händler damit eine Zahlungsmethode des Kunden frei, begrenzt auf diesen Händler, einen Höchstbetrag und eine Ablaufzeit. Laut Stripe sind Shared Payment Tokens auch in Österreich, Deutschland und der Schweiz verfügbar. Die Spezifikation steht unter Apache-2.0-Lizenz auf agenticcommerce.dev.

AP2 hat Google am 16. September 2025 vorgestellt. Es setzt bei der Frage an, ob ein Agent eine Zahlung überhaupt auslösen darf. Mandate halten fest, was der Nutzer erlaubt hat: zuerst Bedingungen wie Budget und zulässige Zahlungsmittel, dann die Freigabe eines konkreten Warenkorbs. Die Mandate sind kryptografisch signierte Nachweise, an denen jede Manipulation erkennbar ist, und ergeben zusammen einen prüfbaren Audit-Trail.

Stripe bietet für den Verkauf über Agenten Integrationen für UCP und für ACP an.

Sicherheit und Autorisierung: Human-in-the-Loop als Standard

Dies ist der Kern jeder seriösen Agentic-Commerce-Architektur. Ein Agent, der Geld bewegt, ist eine andere Risikoklasse als ein Agent, der Texte zusammenfasst. Drei Befunde aus der Forschungslage erzwingen Disziplin: Halluzinationsraten zwischen 22% und 94% über 26 führende Foundation-Modelle, wobei selbst die besten Modelle in rund 20% der Fälle falsch liegen; 362 dokumentierte KI-Vorfälle allein 2025 (nach 233 im Jahr 2024); und eine Agenten-Durchdringung, die über fast alle Geschäftsfunktionen noch einstellig ist.

Daraus folgt unsere Empfehlung: Bei Zahlungen gehört ein menschlicher Freigabe-Checkpoint in jede Architektur. Im Pilotbetrieb gibt ein Mensch jede Zahlung frei. Läuft der Agent stabil, können Kleinbeträge unter einem festen Schwellenwert automatisch durchgehen, alles darüber braucht weiter eine menschliche Freigabe. Das passende Architektur-Muster ist der Orchestrator mit spezialisierten Sub-Agenten und einem menschlichen Last-Layer: Ein koordinierender Agent verteilt Teilaufgaben, die finale Freigabe folgenreicher Aktionen bleibt menschlich.

Rechtlich vorgeschrieben ist diese Freigabe nicht. Der AI Act verlangt menschliche Aufsicht nach Art. 14 nur für Hochrisiko-Systeme, und ein Einkaufsagent zählt in der Regel nicht dazu. Für elektronische Zahlungen in der EU gilt aber die PSD2 mit der starken Kundenauthentifizierung: Der Zahler weist sich mit zwei von drei Faktoren aus (Wissen, Besitz, Inhärenz). Ausnahmen gibt es unter anderem für Kleinbeträge bis 30 Euro im Onlinehandel (mit kumulativen Obergrenzen) und für wiederkehrende Zahlungen gleichen Betrags an denselben Empfänger. Folgezahlungen, die der Händler auf Basis eines bestehenden Mandats auslöst, fallen nicht unter die Pflicht, die Einrichtung eines solchen Mandats online aber schon. Ob eine Ausnahme greift, entscheiden Kartenherausgeber und Zahlungsdienstleister, nicht der Händler. Bei Stripes Shared Payment Tokens gibt der Agent die Zahlungsmethode des Kunden nur eingeschränkt weiter: gebunden an einen Händler, einen Höchstbetrag und eine Ablaufzeit. Wird eine Authentifizierung fällig, etwa per 3D Secure, schließt der Kunde sie selbst in der Oberfläche seiner Bank ab (Stripe).

Die konkreten Kontrollen, die in jede Implementierung gehören:

• Autorisierungs-Mandat mit hartem Betragslimit und kategoriebasierten Freigaben.
• Verifizierbare, kryptografische Agenten-Identität, damit jede Transaktion einem autorisierten Agenten zurechenbar ist.
• Lückenloser Audit-Trail: prüfbar, manipulationssicher, DSGVO-konform.
• Menschliches Freigabe-Gate für jede Zahlung im Pilotbetrieb, später für alle Zahlungen oberhalb eines festen Schwellenwerts.
• Transparenz nach Art. 50 AI Act: Die Transparenzpflichten bei der Interaktion (Chatbot-/Voice-Offenlegung) gelten ab dem 2. August 2026. Generative KI-Systeme, die vor diesem Datum in Verkehr gebracht wurden, müssen die maschinenlesbare Kennzeichnung nach Art. 50 Abs. 2 laut Digital Omnibus zum AI Act bis 2. Dezember 2026 umsetzen, neue Systeme ab Marktstart. Eine ISO-42001-Zertifizierung gilt als struktureller Hebel.

Konkretes Beispiel: Ein Beschaffungs-Agent mit Limits

Ein DACH-B2B-Szenario macht das Prinzip greifbar. Ein mittelständischer Händler setzt einen Beschaffungs-Agenten für wiederkehrende Büromaterial-Nachbestellungen ein. Das Mandat für die Pilotphase:

So läuft eine Bestellung ab:

1. Liegt der Betrag über 250 Euro oder die Warengruppe außerhalb des Mandats, bricht der Agent ab.
2. Würde die Monatssumme 2.000 Euro überschreiten, bricht er ebenfalls ab.
3. Der Agent schreibt die Transaktion in den Audit-Trail (log_audit_trail).
4. Liegt der Betrag bei oder über freigabe_ab, fordert der Agent mit request_approval eine menschliche Freigabe an. Im Pilot gilt das für jede Bestellung.
5. Erst nach der Freigabe übergibt der Agent den Shared Payment Token an den Händler (händler.checkout). Der Händler belastet die Zahlungsmethode, erst jetzt fließt Geld.

Das Entscheidende: Selbst bei einer 47-Euro-Routinebestellung innerhalb aller Limits fließt im Pilotbetrieb kein Geld ohne den Schritt request_approval. Erst wenn der Agent im Pilot zuverlässig arbeitet, hebst du freigabe_ab auf einen festen Schwellenwert, etwa 50 Euro. Darunter läuft die Bestellung automatisch, darüber gibt weiter ein Mensch frei. Der Agent recherchiert, vergleicht und bereitet vor, die Freigabe größerer Beträge bleibt menschlich. So wird der Produktivitätsgewinn (Recherche, Preisvergleich, Vorbefüllung) realisiert, ohne die Kontrolle über die Zahlung abzugeben. Belastbare Studien beziffern Produktivitätsgewinne strukturierter Arbeit auf 14-26%. Genau dieser Korridor ist mit „Agent bereitet vor, Mensch gibt frei“ erreichbar, ohne unkontrollierte Zahlungsrisiken einzugehen.

Gesunde Skepsis: Was 2026 noch nicht trägt

Agentic Commerce ist 2026 ein Versprechen mit belastbarem Kern, aber die Lücke zwischen Demo und Produktion ist groß. Drei Punkte zur Einordnung:

• Kein Protokoll-Standard. UCP und ACP konkurrieren beim Checkout, einen gemeinsamen Standard gibt es nicht. Wer sich heute tief an ein einzelnes Protokoll bindet, geht ein Lock-in-Risiko ein.
• Dünne DACH-Adoption. Es gibt erste europäische Frühadoptierer und ein wachsendes Vendor-Ökosystem, aber wenige produktive Referenzen für agentengetriebene Zahlungen. Conversational- und Agentic-Commerce-Assistenten stehen am Production-Anfang.
• Vertrauens- und Markenrisiko. DSGVO-Anforderungen, Markenstimme und die Akzeptanz autonomer Zahlungen bremsen. Generische, US-geprägte Agenten-Outputs werden in DACH häufig als markenfremd erkannt.

Für Agenturen und B2B-Entscheider

Für DACH-Agenturen liegt der Wert 2026 nicht im Verkauf vollautonomer Kaufagenten, sondern in der sauberen Architektur dahinter: Autorisierungs-Mandate, Betragslimits, verifizierbare Agenten-Identität, prüfbarer Audit-Trail und Transparenz nach Art. 50 AI Act als Standard-Deliverable. Wer Payment-Infrastruktur wie Stripe, ein Commerce-Protokoll wie UCP oder ACP und MCP sauber über eine Integrationsschicht verdrahtet und das menschliche Freigabe-Gate konsequent einzieht, liefert genau die Mitbestimmungs- und Compliance-fähige Umsetzung, die rein US-getriebene Ansätze oft missen lassen.

Für B2B-Entscheider gilt: Starte mit einem klar begrenzten, hochfrequenten Beschaffungs- oder Vergleichs-Use-Case, halte Protokoll-Entscheidungen austauschbar und behandle autonome Zahlungen als das, was sie Stand 2026 sind: eine Option für später, nicht für den ersten Piloten. Sprich uns an, wenn du einen Zahlungsagenten-Piloten mit echten Limits und Freigabe-Gates aufsetzen willst.