Was ist Agentic Commerce? Warum Ihre Website ihn blockiert

Eine Kundin bittet einen Assistenten, einen Ersatz-Wasserfilter zu finden, drei Händler zu prüfen und den günstigsten zu kaufen, der noch vor dem Wochenende ankommt. Der Assistent öffnet einen Browser, arbeitet sich durch Ihre Produktseiten, legt einen Artikel in den Warenkorb und steuert die Kasse an. Jede Regel, die Sie gegen Scraper geschrieben haben, sieht dieser Sitzung zu und trifft eine Entscheidung darüber. Die Chance steht gut, dass es die falsche ist.

Das ist Agentic Commerce, und heute kommt eine zweite Hürde dazu. Cloudflares neue Traffic-Standards gelten ab dem 15. September 2026, und Agent ist eine der beiden Kategorien, die auf Seiten mit Werbung nun standardmäßig blockiert werden.

Was Agentic Commerce wirklich bedeutet

Agentic Commerce ist Einkaufen durch Software, die für eine Person handelt: Sie sucht, vergleicht über Händler hinweg, wendet die gesetzten Vorgaben an, füllt einen Warenkorb und bezahlt mitunter. Die Person nennt ein Ergebnis ("unter vierzig Euro, bis Freitag da") statt einer Suchanfrage, und der Agent übernimmt das Klicken.

Das entscheidende Wort in diesem Satz ist handeln. Der KI-Traffic, über den die meisten Seiten seit zwei Jahren streiten, hat immer nur gelesen:

Die ersten beiden sind eine Frage der Inhaltsrechte und eine SEO-Frage, behandelt in was Cloudflares Crawler-Standards für Ihre Website bedeuten. Ein Agent ist weder das eine noch das andere. Er ist eine Kundschaft, die durch ungewohnte Leitungen ankommt, und ihn zu blockieren kostet Sie die Bestellung, nicht ein Zitat.

Welchen Traffic er tatsächlich sendet

Der Benchmark-Bericht von HUMAN Security aus dem Jahr 2026, gestützt auf mehr als eine Billiarde Interaktionen im Jahr 2025, zeichnet das klarste öffentlich verfügbare Bild. Der KI-getriebene Traffic stieg zwischen Januar und Dezember 2025 um 187 Prozent, und automatisierter Traffic wächst inzwischen etwa achtmal so schnell wie menschlicher.

Aufschlussreicher ist, wo dieser Traffic landet. Über das Jahr 2025 verteilte sich agentische Aktivität so:

• 77 Prozent auf Produkt- und Suchseiten
• 8,8 Prozent auf Kontoseiten
• 5 Prozent auf Anmeldevorgängen
• 2,3 Prozent auf der Kasse

Im April 2026 bezifferte HUMAN den Anteil agentischer Browser, also echter Browser, die ferngesteuert werden statt eines geskripteten HTTP-Clients, auf knapp drei Viertel des gesamten agentischen Traffics.

Zusammengelesen ergeben diese Zahlen ein sehr konkretes Bild. Der weit überwiegende Teil ist Stöbern, es sieht aus wie Stöbern, weil es in einem echten Browser stattfindet, und nur ein dünner Streifen erreicht die Seite, auf der Geld fließt. Das meiste, worüber Sie entscheiden, ist kein Kaufversuch. Es ist Recherche, aus der einer werden kann.

Warum Ihre heutigen Regeln ihn blockieren

Niemand hat sich hingesetzt und beschlossen, Einkaufsagenten abzuweisen. Die Regeln, die es tun, wurden für ein anderes Problem geschrieben und verallgemeinern schlecht.

Herkunft aus dem Rechenzentrum. Agenten-Sitzungen laufen häufig über Cloud-Infrastruktur statt über einen Privatanschluss, also genau über den Adressraum, den die meisten Seiten für verdächtig halten. Diese Faustregel entstand gegen Scraper, die Server mieten, und sie unterscheidet nicht zwischen einem Scraper und einem gehosteten Assistenten, der eine Besorgung macht. Dieselbe Falle beschreibt Cloud- und Hosting-IPs erkennen: Die Herkunft sagt Ihnen wo, nie warum.

Headless- und Automatisierungsmerkmale. Ein ferngesteuerter Browser hinterlässt Spuren, und die meisten Systeme werten diese Spuren grundsätzlich als feindlich.

Geschwindigkeit. Ein Agent, der vier Händler vergleicht, liest Seiten schneller als ein Mensch und läuft damit in Ratenbegrenzungen, die auf menschliches Lesetempo ausgelegt sind.

Challenges. Eine interaktive Challenge setzt voraus, dass ein Mensch zum Lösen da ist. Im Agentic Commerce ist ein Mensch da, nur nicht an der Tastatur, und genau diesen Fall behandeln Challenge-Abläufe am schlechtesten.

Jede dieser Regeln war vernünftig, solange Automatisierung hieß, dass jemand Ihren Katalog kopiert. Dann kamen Cloudflares Standards vom 15. September obendrauf, mit einer ausdrücklichen Agent-Klassifizierung, die auf werbeführenden Seiten standardmäßig blockiert wird: bei neuen Kunden, bei neu hinzugefügten Websites und bei Free-Plan-Konten, die die Einstellung nicht geändert haben. Ein Crawler, der Zwecke vermischt, ohne sie zu trennen, wird nach der restriktivsten Regel behandelt, die auf eines seiner Verhalten zutrifft.

Der Rechtsweg ist gerade zugegangen

Viele Händler gingen davon aus, dass das stattdessen vor Gericht geklärt würde. Es wurde getestet, und die Antwort fiel anders aus.

Amazon verklagte Perplexity im November 2025 wegen dessen Comet-Browser und warf ihm unter anderem vor, der Agent habe denselben User-Agent-String wie Google Chrome gesendet, statt sich zu erkennen zu geben. Ein Bezirksgericht erließ am 9. März 2026 eine einstweilige Verfügung. Am 4. August 2026 hob der Ninth Circuit sie auf und stellte fest: Wenn eine Person den Assistenten anweist, eine Aufgabe auf Amazon.com zu erledigen, greift die Nutzerin auf Amazons Rechner zu und nicht Perplexity, wobei der Assistent als Werkzeug dient. Den Streit darüber, ob User-Agent-Strings wissentlich verändert wurden, entschied das Gericht nicht.

Daraus folgt zweierlei. Computerstrafrecht ist ein schwacher Hebel gegen einen Agenten, den eine Kundin zum Handeln aufgefordert hat, also liegt die Entscheidung darüber, wer hereinkommt, bei Ihnen, technisch und in Ihren AGB. Und in dem einen Fall, in dem ein großer Händler das im Detail vermessen hat, war ausgerechnet die Kennung des Anbieters strittig. Genau darin liegt das Problem daran, Agenten an dem zu erkennen, wie sie sich selbst nennen.

Was einen Agenten von einem Angreifer unterscheidet

Das Signal, nach dem alle zuerst greifen, ist das einzige, das der Client kontrolliert. Einen User-Agent schreibt der Absender, er ist also eine Behauptung und kein Beleg, und für jeden Header gilt dasselbe. Tragfähig sind die Eigenschaften, die sich aus der Bauart des Clients ergeben statt aus dem, was er zu sagen beschlossen hat:

Keine einzelne Zeile entscheidet etwas. Eine Hosting-IP ist kein Urteil, ein ferngesteuerter Browser ebenso wenig, denn das beschreibt sowohl einen Einkaufsagenten als auch einen Credential-Stuffing-Lauf. Liest man quer über die Zeilen, löst sich die Mehrdeutigkeit meist auf: Ein Agent eines Betreibers, der seine Ranges veröffentlicht, der auf Produktseiten ankommt und eine Sitzung hält, ist etwas anderes als eine nicht überprüfbare Rechenzentrums-Adresse, die Ihr Anmeldeformular durchprobiert. Die vollständige Prüfmechanik unterscheidet sich je Betreiber und lohnt es, richtig gemacht zu werden.

Genau das leistet Agentscan in einem Aufruf. Es liefert eine Klasse, human, known_bot, ai_agent oder malicious_automation, mit einem Konfidenzwert und den Signalen dahinter, und verbindet dabei IP-Herkunft mit Headless-Merkmalen, dem JA4-Fingerabdruck und einer per Reverse DNS geprüften Positivliste. Zwischengespeicherte Urteile kommen in unter 50 ms zurück, und deshalb passt die Entscheidung in einen Middleware-Schritt statt in eine Log-Durchsicht am nächsten Morgen.

Eine Richtlinie, die echten Traffic übersteht

1. Entscheiden Sie pro Route, nicht pro Website. Die Verteilung zeigt: Das meiste passiert auf Produkt- und Suchseiten, sehr wenig an der Kasse. Lassen Sie Agenten den Katalog lesen und heben Sie sich die echte Prüfung für Anmeldung und Bezahlung auf, dann passt die Richtlinie dorthin, wo das Risiko tatsächlich liegt.
2. Trennen Sie die vier Fragen. Ist es automatisiert, wessen Agent ist es, steht eine angemeldete Person dahinter, und was tut er? Ein einzelner Erlauben-oder-Blockieren-Schalter presst alle vier in eine Antwort und liegt bei dreien daneben.
3. Führen Sie nie eine Positivliste allein nach Namen. ChatGPT-User kann jeder senden. Erlauben Sie nach Betreiber und bestätigen Sie dann die Quelladresse gegen das, was dieser Betreiber veröffentlicht, sonst wird die Liste zum Freifahrtschein für alle, die seine Dokumentation lesen.
4. Sehen Sie sich Ihre Cloudflare-Einstellung bewusst an. Wenn Sie einen Free-Plan nutzen oder kürzlich eine Website hinzugefügt und die KI-Traffic-Steuerung nicht angefasst haben, gelten die Standards vom 15. September jetzt für Sie. Ob das richtig ist, hängt davon ab, ob Sie etwas verkaufen, und der Standard weiß das nicht.
5. Protokollieren Sie die Klasse auch dann, wenn Sie erlauben. Agenten-Sitzungen, die konvertieren, findet man besser mit Absicht. Über ein Segment, das Sie nie benannt haben, können Sie nicht berichten, und "wie viel Umsatz kam über einen Agenten" wird ein Quartal später zu einer Frage ohne Antwort.

Fazit

Agentic Commerce ist kein Crawler-Problem unter neuem Namen. Ein Training-Crawler nimmt Ihnen etwas, ein Such-Crawler tauscht Zitate gegen Zugang, und ein Agent ist eine Kundschaft, die mit klickender Software erschienen ist. Ihre bestehenden Regeln können das nicht auseinanderhalten, weil sie gebaut wurden, um zu beantworten, ob eine Sitzung automatisiert ist, und das ist nicht mehr die Frage, die sich lohnt. Der Rechtsweg schloss sich im August, der Infrastruktur-Standard kippte heute, und übrig bleibt der Teil, auf den es immer ankam: einordnen, was der Traffic ist, pro Route entscheiden, was jede Klasse darf, und beides auf Signale stützen, die der Client nicht selbst über sich schreiben darf.