Was ist Agentic Fraud? KI-Agenten und Bot-Angriffe 2026

Das Payment Ecosystem Risk and Control Team von Visa hat in der zweiten Jahreshälfte 2025 Untergrundforen beobachtet und dabei etwas Bemerkenswertes festgestellt: Beiträge mit dem Stichwort "AI Agent" stiegen um über 450 % gegenüber dem vorangegangenen Halbjahr. Diese Zahl misst Gespräche, nicht durchgeführte Angriffe. Doch der Charakter dieser Gespräche hatte sich verschoben. Angreifer fragten nicht mehr, ob Agenten Betrugsoperationen fahren können. Sie tauschten Playbooks dafür aus.

Agentic Fraud ist eine Kategorie automatisierter Angriffe, bei denen autonome KI-Agenten mehrstufige Betrugsoperationen durchführen, ohne dass ein Mensch jede Phase steuert. Der Agent liest die Umgebung, in der er landet, wählt seine nächste Aktion und ändert sein Vorgehen, wenn ihn etwas blockiert. Ein skriptgesteuerter Bot führt einen im Voraus geschriebenen Plan aus. Ein Agent entwickelt seinen Plan unterwegs.

Dieser Unterschied klingt akademisch, bis man betrachtet, was er mit den Abschlussquoten von Angriffen macht. Mehrstufige Abläufe waren lange ein wirksamer Filter gegen Automatisierung, weil jeder zusätzliche Schritt eine weitere Gelegenheit ist, an der ein starres Skript bricht. Ein Agent, der die gerenderte Seite liest, behandelt diese Schritte als Anleitung statt als Hindernis.

Dieser Artikel behandelt, was Agentic Fraud ist, wie sich Agenten von den Bots unterscheiden, für die Ihre Abwehr gebaut wurde, welche konkreten Angriffe sie gegen Websites fahren und welche Infrastruktur ihren Traffic so schwer von echten Besuchern unterscheidbar macht. Wenn Sie einschätzen wollen, ob das Ihre Seite betrifft, fangen Sie hier an.

Was einen KI-Agenten unterscheidet

Von festen Skripten zu Entscheidungen

Ein herkömmlicher Bot führt ein Skript für eine Aufgabe aus. Jemand schreibt es, stimmt es auf eine bestimmte Seite ab und setzt es ein. Es funktioniert, bis sich die Seite ändert.

Ein KI-Agent steuert einen Browser und entscheidet anhand dessen, was er sieht. Er kann ein Login-Formular scannen, ein Anmeldedatenpaar absenden, die Antwort lesen, ein Rate Limit erkennen, auf eine andere Exit-IP wechseln und weitermachen. Jeder Schritt fließt in den nächsten ein. Möglich ist das, weil Agenten über Automatisierungsframeworks vollständige Browser-Instanzen steuern statt rohe HTTP-Anfragen zu senden. Sie interagieren mit DOM-Elementen, führen JavaScript aus und rendern Seiten so, wie es der Browser eines Besuchers tut.

Am deutlichsten zeigt sich der Unterschied im Moment des Scheiterns. Ein skriptgesteuerter Bot wiederholt dieselbe fehlgeschlagene Anfrage bis zum Timeout. Ein Agent ermittelt, warum die Anfrage fehlschlug, und macht etwas anderes. Ein umbenanntes Formularfeld, ein umsortierter Checkout-Schritt, ein zusätzlicher Bestätigungsbildschirm: Nichts davon stoppt ihn, weil er die Seite neu liest, statt nach einem Selektor zu suchen, den es nicht mehr gibt. Der Wartungsaufwand, der Bot-Operationen früher begrenzt hat, weil jedes Redesign die Werkzeuge eines Angreifers zerlegte, entfällt weitgehend.

Verkettung zu vollständigen Operationen

Die zweite Verschiebung betrifft den Umfang. Ein klassischer Credential-Stuffing-Bot hat eine Aufgabe: Paare testen und Treffer protokollieren. Jemand anderes nimmt die erfolgreichen Logins später auf.

Ein Agent behandelt einen erfolgreichen Login als Anfang. Er kann erfassen, was das Konto enthält, hinterlegte Zahlungsmethoden oder verknüpfte Dienste identifizieren, die Wiederherstellungsadresse ändern und Werte abziehen, alles innerhalb derselben Sitzung. Die Übergabe zwischen Angriffsphasen, für die früher ein Mensch, eine Tabelle und eine Verzögerung von Stunden oder Tagen nötig war, geschieht jetzt in Sekunden.

[1] INTERPOL Global Financial Fraud Threat Assessment, März 2026.
[2] Residential Proxies erklärt: Was sind Residential Proxies?

Welche Angriffe Agenten tatsächlich fahren

Keine der folgenden Angriffsarten ist neu. Verändert hat sich, wie weit ein Angreifer kommt, bevor ihn etwas stoppt.

Credential Stuffing und Account-Übernahme

Credential Stuffing schleust geleakte Kombinationen aus Benutzername und Passwort in ein Login-Formular und protokolliert, welche funktionieren. Die Wirtschaftlichkeit war schon immer auf Seiten des Angreifers, weil Leak-Datenbanken günstig sind und Passwörter häufig mehrfach verwendet werden.

Ein Agent verändert, was nach einem Treffer passiert. Statt das funktionierende Paar für später in eine Datei zu schreiben, bleibt er in der Sitzung und ermittelt, was das Konto wert ist. Er kann nach gespeicherten Karten, hinterlegten Adressen, Treuepunkten oder verknüpften Konten suchen, die den Zugriff weiter ausdehnen. Er kann die Wiederherstellungs-E-Mail ändern, sodass der eigentliche Inhaber das Konto nicht zurückholen kann, und dann Werte abziehen. Genau dadurch wird aus einer Liste gültiger Anmeldedaten eine Account-Übernahme, ohne dass je ein zweiter Operator eingreift.

Step-up-Authentifizierung hilft weiterhin, filtert aber weniger als früher. Ein Agent, der auf eine SMS- oder E-Mail-Verifizierung trifft, scheitert nicht einfach. Er prüft, ob er einen Kanal kontrolliert, der die Anforderung erfüllen kann, und schließt den Schritt gegebenenfalls ab. Wo ein klassisches Skript genau in diesem Moment einen Menschen brauchte, erledigt der Agent das inline.

Massenhafte Erstellung von Fake-Accounts

Registrierungsmissbrauch war früher dadurch begrenzt, wie gut ein Skript einen Anmeldeprozess überstand. Mehrstufiges Onboarding, bedingte Felder und E-Mail-Bestätigungsschleifen waren brauchbare Filter, nicht weil sie schwierig waren, sondern weil sie unterschiedlich waren.

Agenten schließen diese Abläufe ab. Ein Agent kann eine Bestätigungsmail aus einem Wegwerf-Postfach lesen, dem Link folgen, Profilfelder mit in sich stimmigen Werten befüllen und seine Aktivität so takten, dass das Konto bei der ersten Nutzung nicht frisch angelegt wirkt. Das Ergebnis ist ein Vorrat glaubwürdiger, gereifter Konten.

Diese Konten speisen anschließend alles Nachgelagerte: Promo- und Empfehlungsmissbrauch, gefälschte Bewertungen, Marktplatzbetrug, Spam-Verteilung und den Weiterverkaufsmarkt für vorverifizierte Konten auf Plattformen mit Wartezeit.

Kartentests und Zahlungsbetrug

Beim Card Testing laufen kleine Transaktionen gegen einen Checkout, um herauszufinden, welche gestohlenen Kartennummern noch aktiv sind. Die klassische Abwehr arbeitet über Geschwindigkeit und achtet auf Serien kleiner Belastungen aus einer Quelle.

Ein Agent liest Ablehnungsantworten und justiert nach. Er kann lernen, welche Beträge ohne Prüfung durchgehen, welche Emittenten unterschiedlich reagieren und wann eine Step-up-Challenge auslöst, und Versuche dann so verteilen, dass er unter dem abgeleiteten Schwellenwert bleibt. Visa meldete einen Anstieg von 25 % bei böswilligen, Bot-initiierten Transaktionen über sechs Monate, wobei die USA im selben Zeitraum einen Anstieg von 40 % verzeichneten.

Hier gibt es eine Komplikation, die bei herkömmlichen Bots nicht existiert. Auch legitimer agentengesteuerter Einkaufs-Traffic erreicht inzwischen Commerce-Seiten, und wer alles blockiert, was automatisiert aussieht, verliert echte Conversions. Einen autorisierten Agenten, der für einen Kunden handelt, von einem Agenten zu unterscheiden, der gestohlene Karten testet, ist deutlich schwieriger als die Unterscheidung zwischen Bot und Mensch.

Die Infrastruktur hinter Agenten-Angriffen

Warum dieser Traffic so schwer zu filtern ist, zeigt sich beim Blick auf seine Grundlage.

Agenten leiten Anfragen über Residential Proxies, also IP-Adressen, die ISPs echten Haushalten zugewiesen haben. Auf Netzwerkebene sieht eine so eintreffende Anfrage aus wie ein Anschlussinhaber, der von zu Hause surft. Blocklisten, die auf Datacenter-Bereichen aufbauen, decken diesen Traffic überhaupt nicht ab. Die Erkennung erfordert deshalb IP-Intelligence, die gezielt Proxy-Anbieternetze kartiert, statt allgemeiner Reputationsbewertung.

Auf Browser-Seite verhält es sich ähnlich. Automatisierungsframeworks geben Agenten die Kontrolle über echte Browser-Instanzen, sodass der Fingerprint in dem Sinne authentisch ist, dass ihn ein echter Browser erzeugt. Der Agent klickt Seitenelemente an, führt JavaScript aus und bewegt sich durch Formulare weitgehend wie ein Besucher.

Zusammengenommen trifft eine einzelne Anfrage von einer Residential-IP ein, in einem echten Browser, in einem Tempo, das nicht mechanisch wirkt. Jede einzelne Ebene, die ein Detektor prüfen könnte, wirkt für sich genommen unauffällig. Erkennbar bleibt das Verhältnis zwischen den Ebenen und die Form der Sitzung insgesamt, und das ist ein deutlich schmaleres Ziel, als es Verteidiger vor einigen Jahren hatten.

Was die Daten zeigen

Das Ausmaß dieser Verschiebung ist nicht theoretisch. Mehrere unabhängige Quellen aus Ende 2025 und Anfang 2026 weisen in dieselbe Richtung.

Das PERC-Team von Visa beobachtete den Anstieg von über 450 % bei Darknet-Beiträgen mit dem Stichwort "AI Agent" in den sechs Monaten bis November 2025. Das misst Diskussionsvolumen, nicht eingesetzte Agenten. Diskussionsvolumen ist aber ein brauchbarer Frühindikator für die Reife von Werkzeugen, und die Inhalte hatten das Experimentieren hinter sich gelassen und wurden operativ konkret.

Die globale Bedrohungsbewertung für Finanzbetrug von INTERPOL vom März 2026 ergab, dass KI-gestützter Betrug 4,5-mal profitabler ist als herkömmliche Methoden. Geschwindigkeit ist ein Teil davon, der größere Faktor ist jedoch der Hebel pro Operator. Eine Person kann viele parallele Agenten-Instanzen beaufsichtigen, die jeweils eine vollständige Angriffskette ausführen, während früher jede Kette an mehreren Stellen Handarbeit brauchte.

Visas Transaktionszahlen machen denselben Punkt aus einem anderen Blickwinkel: jener Anstieg von 25 % bei böswilligen, Bot-initiierten Transaktionen über sechs Monate, in den Vereinigten Staaten ein Anstieg von 40 %. Wenn Sie Zahlungen, Logins oder Registrierungen verarbeiten, trifft ein Teil dieses Anstiegs auf Ihre Endpunkte.

Warum Abwehrmaßnahmen für skriptgesteuerte Bots zu kurz greifen

Zwei strukturelle Probleme erklären, warum eine Erkennung, die gegen skriptgesteuerte Automatisierung gut funktioniert hat, hiervon weniger erfasst.

Die Signalfläche schrumpft

Bot-Erkennung stützte sich historisch auf Artefakte: Spuren von Headless-Browsern, WebDriver-Flags, Mausbahnen, die keine Hand erzeugen kann, Eingabegeschwindigkeiten, die kein Mensch durchhält. Ein Agent, der einen sauber konfigurierten echten Browser steuert, erzeugt davon deutlich weniger. Einige bleiben, denn Automatisierungsframeworks hinterlassen Spuren, solange man sie nicht gezielt entfernt. Doch die verlässlichen werden jedes Jahr weniger, und wie man sie beseitigt, ist gut dokumentiert.

In Kombination mit Residential-Proxy-IPs kann der Traffic eines Agenten bei IP-Reputation, Browser-Fingerprint und Interaktionstiming jeweils für sich betrachtet unauffällig wirken. Die Erkennungsfläche, auf die sich Verteidiger im letzten Jahrzehnt gestützt haben, schrumpft tatsächlich.

Was nicht verschwunden ist, ist das Verhältnis zwischen den Signalen. Ein über die Sitzung hinweg zu gleichmäßiges Timing, eine Anfragesequenz, die kein echter Browser-Flow erzeugen würde, oder Umgebungseigenschaften, die dem angegebenen User Agent widersprechen, sind weiterhin beobachtbar. Sie zu lesen erfordert allerdings, eine Sitzung als Ganzes zu bewerten, statt gegen eine Liste bekannter Artefakte abzugleichen. Jede Abwehr, die Traffic anhand einzelner Signale isoliert bewertet, wird mit besser werdenden Agenten mehr übersehen.

Aufgebautes Vertrauen wird zum Ziel

Das zweite Problem betrifft die Speicherung von Vertrauen. Systeme, die über ein Cookie oder ein langlebiges Token dauerhaftes Vertrauen vergeben, schaffen etwas, das sich zu stehlen lohnt. Wenn ein "Trusted User"-Token aus einer früheren Sitzung genügt, um die Prüfung später zu lockern, ist das Abgreifen dieses Tokens eine Abkürzung an der Prüfung vorbei. Ob das in der Praxis funktioniert, hängt davon ab, wie eng das Token an die Sitzung gebunden und wie streng es serverseitig validiert wird. Die Abkürzung existiert aber konstruktionsbedingt.

Über Zeit aufgebaute Profile haben eine verwandte Schwäche. Wenn ein System Risikobewertungen anhand angesammelter Verhaltenshistorie senkt, lässt sich diese Historie kultivieren. Ein geduldiger Operator kann ein Konto zunächst durch unauffällige Aktivität führen, bevor er es einsetzt, und das Profil, das Vertrauenswürdigkeit belegen sollte, wird zu einem bewusst aufgebauten Vorteil des Angreifers.

Das macht persistenten Zustand nicht wertlos. Es bedeutet, dass persistenter Zustand ein Credential ist und wie jedes andere Credential behandelt gehört: eng gebunden, serverseitig validiert und nie für sich allein als ausreichender Nachweis behandelt.

Was eine wirksame Erkennung braucht

Das Muster über all dem: Keine einzelne Ebene hält allein stand. Agenten überwinden einzelne Signale gut. Weniger gut überwinden sie es, mehrere unabhängige Prüfungen gleichzeitig bestehen zu müssen, bei denen das Umgehen einer Ebene für die anderen nichts bringt.

Genau diesen Ansatz verfolgt CaptchaFox. Die Browser-Umgebungsanalyse prüft, ob der Client das ist, was er zu sein vorgibt. Eine eigene, im Haus aus Proxy-Anbieternetzen aufgebaute Residential-Proxy-IP-Datenbank erfasst Traffic, den allgemeine Reputationsdaten als sauber lesen. Proof of Work knüpft an jede Anfrage Rechenkosten, die beim Absenden eines einzelnen Formulars vernachlässigbar sind und sich über eine Kampagne hinweg summieren. Die sitzungsbasierte Verhaltensanalyse bewertet, was während der aktuellen Anfrage geschieht, statt einem früher zusammengetragenen Profil zu vertrauen. Da die Architektur ohne Cookies auskommt und nichts über das Verifizierungsereignis hinaus speichert, gibt es kein aufgebautes Vertrauensartefakt, das ein Agent abgreifen oder kultivieren könnte.

CaptchaFox läuft auf EU-Infrastruktur in Deutschland, ohne Datenweitergabe an Dritte und ohne Datennutzung über die Bot-Erkennung hinaus, was einen Anbieter weniger in Ihrem Verzeichnis der Auftragsverarbeiter bedeutet. Es ist auf die Einhaltung der WCAG-Anforderungen ausgelegt, da es weder auf Bilderkennung noch auf verzerrten Text setzt. Ihre Abwehr gegen Agenten zu verschärfen kostet Ihre Nutzer damit nichts.

Agentic Fraud ist kein Problem, das man einmal löst. Angriffswerkzeuge werden weiter besser, und Abwehrmaßnahmen, die von einem einzelnen Signal abhängen, werden dagegen weiter an Boden verlieren. Starten Sie Ihre kostenlose Testphase und sehen Sie, wie CaptchaFox den Traffic behandelt, den Ihr aktuelles Setup als menschlich einstuft.