Stand der Dinge: Wie ein Shop herausfindet, wer hinter einem signierten KI-Agenten steht
Diese Seite hält fest, was heute technisch möglich ist, was ID MANDAT dazu gebaut hat und was noch fehlt. Sie wird fortgeschrieben, mit Datum, damit man den Verlauf nachlesen kann.
Der Stand der Technik
In der IETF arbeitet die Arbeitsgruppe Web Bot Auth an einem Verfahren, mit dem automatisierte Programme ihre Anfragen kryptografisch signieren. Der Entwurf „HTTP Message Signatures for automated traffic“ (draft-ietf-webbotauth-httpsig-protocol-00, 1. September 2026) hat unter anderem Autoren von Cloudflare und Google. Eine signierte Anfrage nennt in der Kopfzeile Signature-Agent die Adresse eines Schlüsselverzeichnisses. Damit kann ein Shop prüfen, dass die Anfrage von dem Schlüsselinhaber stammt. IETF Datatracker
Der Entwurf legt ausdrücklich nicht fest, wer den Agenten betreibt und was er darf. Er ist ein Entwurf der Arbeitsgruppe, kein fertiger Standard.
Die Lücke
Eine gültige Signatur beantwortet „Kommt die Anfrage vom Inhaber dieses Schlüssels?“. Sie beantwortet nicht „Welches Unternehmen steht dahinter?“ und „Was darf der Agent in dessen Namen?“. Ohne diese Antworten bleibt einem Shop nur, alle Agenten gleich zu behandeln, also alle zuzulassen oder alle zu sperren. Der Streit um Amazon und KI-Einkaufsagenten zeigt, warum das nicht reicht: Amazon sperrt KI-Einkaufsagenten.
Was ID MANDAT dazu gebaut hat
- Abfrage über das Schlüsselverzeichnis. Der Shop schickt die Adresse aus der Kopfzeile
Signature-Agentan/api/v1/verify?signature_agent=…und erfährt, welches eingetragene Unternehmen dieses Verzeichnis für seine Agenten erklärt hat, auf welcher Stufe es geprüft ist und was der Agent darf und nicht darf. Die Antwort ist digital signiert (Ed25519, Beta). - Dieselbe Abfrage für Menschen. Auf der Prüfseite gibt es ein zweites Feld, in das man die Adresse einträgt.
- Für Programme und Agenten. Ein neues Werkzeug im MCP-Server (
verify_signature_agent) und Funktionen in den Bibliotheken für Python (check_signature_agent) und JavaScript (checkSignatureAgent), Version 0.3.0 auf GitHub. - Das Unternehmen erklärt sein Verzeichnis selbst. In der Ausweisdatei gibt es dafür das optionale Feld
signatureAgent. Der Ausweis-Generator hat ein entsprechendes Eingabefeld. - Eine Hausordnung für Agenten. Auf der Seite Für Shops gibt es einen Generator, der eine Datei
/.well-known/agent-house-rules.jsonerzeugt: ob Agenten sich zu erkennen geben müssen, ob eine Registerprüfung erwartet wird und was erlaubt, nur nach Rückfrage oder verboten ist. Das ist ein eigener Vorschlag von ID MANDAT, kein Standard, und nach unserem Wissen liest ihn heute noch kein Agent automatisch.
So sieht die Logik beim Shop aus
1. Ist die Signatur gültig? nein -> ablehnen
2. Register fragen: wer steckt dahinter, was darf der Agent?
unbekannt oder widerrufen -> nach eigener Hausordnung entscheiden
3. Passt die Aktion zum erklärten Mandat und zur Hausordnung?
ja -> zulassen, nein -> ablehnen, unklar -> Mensch fragenWas wir abdecken und was nicht
Wer einem Agenten Vollmacht gibt, braucht mehrere Bausteine. So weit sind wir bei jedem davon:
| Baustein | Stand bei ID MANDAT |
|---|---|
| Identität des Unternehmens | Ja. An die Domain gebunden. Bei der Stufe „Geprüft" zusätzlich Abgleich mit Impressum und Handelsregister bzw. USt-IdNr. |
| Wer handelt für wen | Als Erklärung. Das Unternehmen erklärt, welche Agenten für es handeln. ID MANDAT bestätigt nicht, dass die Vollmacht tatsächlich erteilt wurde. |
| Was der Agent darf | Als Erklärung. may und mayNot je Agent, vom Betreiber angegeben und nicht von ID MANDAT geprüft. |
| Weitergabe an andere Agenten (Delegation) | Nein. Ketten wie „Agent A darf Agent B beauftragen" gibt es nicht. |
| Befristung | Teilweise. Einträge laufen ab, jede Antwort gilt 15 Minuten. Befristete Vollmachten für einzelne Geschäfte gibt es nicht. |
| Widerruf | Ja. Widerrufene, ausgesetzte und abgelaufene Einträge werden in der Antwort ausdrücklich so genannt. |
| Nachweis, wer wann was getan hat (Audit) | Nein, bewusst nicht. ID MANDAT speichert keine Abfragen einzelner Domains, IPs oder Personen, nur die Zahl der Abfragen pro Tag. Ein Protokoll müsste beim Shop oder beim Agenten liegen. |
| Vollmacht pro Geschäft (Betrag, Zweck, Zeitfenster) | Nein. Das ist eine andere Ebene. Dafür entstehen eigene Verfahren, zum Beispiel für Zahlungen. ID MANDAT beantwortet davor die Frage, wer der Auftraggeber ist. |
Was das nicht leistet
- ID MANDAT ruft das Schlüsselverzeichnis nicht ab und prüft nicht, ob das Unternehmen es tatsächlich kontrolliert. Die Zuordnung beruht auf der Erklärung des Unternehmens. Gehört das Verzeichnis zur selben Domain, vermerkt die Antwort das als Hinweis, nicht als Beweis.
- Die Angaben zu Agenten und ihren Befugnissen stammen vom Unternehmen selbst. ID MANDAT bestätigt Identität und Befugnis, nicht Bonität, Vertrauenswürdigkeit oder Qualität.
- Kein Treffer ist kein Hinweis auf etwas Unseriöses. Eine gültige Signatur kann trotzdem echt sein; sie sagt nur nicht, wer verantwortlich ist.
- Das Register ist neu und klein. Der Nutzen wächst mit der Zahl der Einträge und der Shops, die nachfragen.
Was noch offen ist
- Ein eigenes Beispiel mit einem echten Agenten und einem echten Schlüsselverzeichnis.
- Mehr Einträge und erste Shops, die nachfragen.
- Der Standard selbst: Das Format der Ausweisdatei ist offen dokumentiert, eine Aufnahme in ein anerkanntes Gremium ist bisher nur geplant.
Für Shops · Domain oder Schlüsselverzeichnis prüfen · Technischer Standard · Unternehmen eintragen