Wenn Maschinen zu Nutzern werden: Das Web bekommt mit KI-Agenten ein neues Security-Problem

KI-Agenten sollen künftig nicht mehr nur Antworten liefern. Sie greifen auf APIs zu, nutzen Tools, stoßen Prozesse an und können perspektivisch sogar eigenständig Transaktionen durchführen. Cloudflare richtet seine Infrastruktur zunehmend auf dieses sogenannte „Agentic Internet“ aus. Für Unternehmen entsteht damit eine neue Herausforderung: Wie lassen sich digitale Akteure absichern, die selbstständig im Namen eines Menschen oder einer Organisation handeln?

Cloudflare machte diesen Wandel bei der Vorstellung seiner jüngsten Quartalszahlen ungewöhnlich deutlich. Das Unternehmen erzielte im zweiten Quartal 2026 einen Umsatz von 696,1 Millionen US-Dollar – 36 Prozent mehr als im Vorjahreszeitraum. CEO Matthew Prince stellte dabei jedoch weniger die Finanzzahlen als einen grundlegenden Wandel des Internets in den Mittelpunkt: Web-Infrastruktur müsse zunehmend für Machine-to-Machine-Kommunikation und agentenbasierte Anwendungen ausgelegt werden.

Automatisierter Traffic nimmt zu

Cloudflare untermauert seine Strategie mit Daten aus dem eigenen Netzwerk. Nach einer im Juli veröffentlichten Auswertung waren 2026 erstmals mehr als 50 Prozent des von Cloudflare betrachteten Internet-Traffics nicht menschlichen Ursprungs. Das bedeutet allerdings nicht, dass bereits die Hälfte des Webs von KI-Agenten genutzt wird: In die Kategorie fallen auch klassische Bots, Crawler und andere automatisierte Systeme.

Deutlich wird der Wandel vor allem bei Crawlern. Im Juni entfielen nach Cloudflare-Angaben 52 Prozent der identifizierten Crawler-Anfragen auf AI Training. Weitere mehr als 36 Prozent stammten von sogenannten Mixed-Use-Crawlern, die beispielsweise Suche, Training und Agentenfunktionen kombinieren. Die Zahlen stammen aus Cloudflares eigener Infrastruktur und sollten daher nicht mit einer unabhängigen Messung des gesamten Internets gleichgesetzt werden. Sie zeigen aber, wie stark sich automatisierte Zugriffe verändern.

Für Unternehmens-IT ist dabei weniger entscheidend, wie hoch der genaue Anteil heute schon ist. Wichtiger ist, dass eine neue Klasse von Clients entsteht: Software, die nicht nur Informationen abruft, sondern Aktionen ausführen kann.

Identity wird zum Problem der Agenten-Ära

Bei einem menschlichen Nutzer lässt sich eine digitale Identität vergleichsweise eindeutig mit einem Account, einem Gerät und etablierten Authentifizierungsverfahren verbinden. Bei autonomen Agenten wird diese Zuordnung komplizierter.

Wer steckt hinter einem Agenten? In wessen Auftrag handelt er? Welche Systeme darf er nutzen? Und welche Entscheidungen darf er ohne erneute Freigabe treffen?

Cloudflare versucht, genau dafür eine neue Infrastruktur aufzubauen. Anfang August kündigte das Unternehmen Cloudflare Wallets und cloudflare.pay an. Cloudflare-Accounts sollen dabei eine stabile digitale Identität erhalten, die an einzelne Agenten delegiert werden kann. Dienste könnten damit nachvollziehen, welche Organisation oder welcher Account einen Agenten autorisiert hat.

Perspektivisch sollen Agenten außerdem eigene virtuelle Wallets erhalten. Unternehmen könnten ihnen beispielsweise ein Ausgabenlimit, eine Liste erlaubter Händler oder eine maximale Transaktionshöhe vorgeben. Vollständig verfügbar sind diese Funktionen allerdings noch nicht: Cloudflare kündigt den breiteren Wallet-Zugang erst für die kommenden Monate an.

Der Ansatz zeigt dennoch, wohin sich Identity- und Access-Management entwickeln könnten: Ein Agent benötigt nicht einfach die Zugangsdaten seines Besitzers, sondern eine eigene, überprüfbare Identität mit eng definierten Berechtigungen.

APIs werden zur Benutzeroberfläche für Maschinen

Parallel verändert sich die Rolle von APIs. In klassischen Anwendungen sind sie häufig die technische Ebene hinter einer Benutzeroberfläche. Für KI-Agenten wird die API selbst zur Schnittstelle, über die sie mit Diensten kommunizieren und Aktionen ausführen.

Diese Entwicklung ist auch beim Model Context Protocol zu beobachten. MCP soll KI-Anwendungen standardisiert mit Tools und Datenquellen verbinden. Die am 28. Juli veröffentlichte Spezifikation 2026-07-28 stellt den Protokollkern auf ein stateless Request-Response-Modell um und führt unter anderem HTTP-Header für Methode und Tool-Namen ein. Gateways, Rate Limiter oder Web Application Firewalls können dadurch MCP-Anfragen gezielter erkennen, weiterleiten und kontrollieren. Gleichzeitig enthält die neue Spezifikation zusätzliche Maßnahmen zur Absicherung der Autorisierung.

Für Unternehmen ist das relevant, weil sich bekannte Prinzipien der API-Security auf eine neue Nutzungsform übertragen lassen. Authentifizierung, Autorisierung, Rate Limits und Policy Enforcement bleiben bestehen – müssen künftig aber berücksichtigen, dass ein Agent in kurzer Zeit viele eigenständige Entscheidungen und Tool-Aufrufe durchführen kann.

Ein HTTP 200 reicht nicht mehr

Auch beim Monitoring entstehen neue Anforderungen.

Ein klassisches Observability-System kann erkennen, ob eine API erreichbar war, wie lange ein Datenbankzugriff dauerte oder ob ein Request mit einem Fehlercode endete. Bei KI-Agenten sagt ein technisch erfolgreicher Request jedoch noch nichts darüber aus, ob der Agent die richtige Entscheidung getroffen hat.

Ein Agent kann beispielsweise das falsche Tool auswählen, mit veraltetem Kontext arbeiten oder unnötige Aufrufe wiederholen – während sämtliche beteiligten Systeme weiterhin HTTP-Status 200 liefern.

Cloudflare hat deshalb diese Woche ein eigenes Agent Tracing vorgestellt. Erfasst werden können unter anderem Modellaufrufe, Tool-Ausführungen, Token-Nutzung, Subagenten und Freigabeereignisse. Ziel ist es, die technische Infrastruktur mit der darüberliegenden Agentenaktivität zu verknüpfen.

Für IT-Betrieb und Security bedeutet das: Monitoring muss künftig möglicherweise nicht nur beantworten, welcher Dienst welchen Request verarbeitet hat. Es muss auch nachvollziehbar sein, welcher Agent welche Aktion mit welcher Berechtigung ausgelöst hat.

Unternehmen sollten Agenten wie eigene Identitäten behandeln

Cloudflare hat ein klares wirtschaftliches Interesse daran, das „Agentic Internet“ als nächsten großen Infrastrukturwechsel zu positionieren. Die jüngsten Quartalszahlen zeigen starkes Wachstum des Unternehmens, beweisen aber nicht, dass dieses Wachstum bereits hauptsächlich von KI-Agenten getragen wird. Ebenso darf ein hoher Anteil automatisierten Traffics nicht mit KI-Agenten-Traffic gleichgesetzt werden.

Die zugrunde liegende Security-Frage bleibt trotzdem relevant.

Wenn Unternehmen KI-Agenten Zugriff auf interne Anwendungen, SaaS-Plattformen, Datenbanken oder externe APIs geben, sollten diese nicht einfach mit den vollständigen Rechten menschlicher Nutzer ausgestattet werden. Eigene Identitäten, minimale Berechtigungen, klar definierte Tool-Zugriffe, Limits für autonome Aktionen und eine nachvollziehbare Protokollierung werden damit zu zentralen Architekturfragen.

Für IT-Entscheider beginnt die Agenten-Ära deshalb nicht beim nächsten KI-Modell, sondern bei Identity, API-Security und Observability. Je autonomer Software handeln darf, desto wichtiger wird die Frage, welche Grenzen ihr die Infrastruktur setzt.