Personal Agent Protocol: Wenn der KI-Agent Ihres Kunden an Ihre Website klopft

Ein Kunde sagt seinem KI-Assistenten: „Verschieb meine Lieferung auf nächste Woche.“ Der Assistent ruft Ihre Website auf, sucht das Kundenkonto, klickt sich durch Formulare und scheitert vielleicht an einem Cookie-Banner oder einer Sicherheitsabfrage. Dann ruft er womöglich Ihre Hotline an. Genau dieses Problem wollen Sierra und Meta mit dem Personal Agent Protocol lösen, das sie am 6. Oktober 2026 angekündigt haben: ein offener Standard dafür, wie persönliche KI-Agenten mit Unternehmen umgehen.

Für einen Mittelständler klingt das weit weg. Ist es aber nur zum Teil. Die Agenten gibt es schon, und sie besuchen Websites schon heute. Was fehlt, ist eine geregelte Tür. Wir haben die Ankündigung im Wortlaut gelesen und sechs Websites daraufhin geprüft, wie gut sie heute mit solchen Besuchern umgehen können. Unsere eigene war dabei, und auch dort haben wir eine Lücke gefunden.

Offenlegung: Wir bauen KI-Agenten und betreiben einen eigenen MCP-Server. Mit Sierra, Meta und den genannten Partnern haben wir keine Geschäftsbeziehung. Stand 8. Oktober 2026.

Was angekündigt wurde

Die Ankündigung stammt aus Sierras Blog und ist von Bret Taylor und Clay Bavor gezeichnet, den beiden Gründern von Sierra. Sierra baut KI-Agenten für den Kundenservice großer Firmen, Meta hat mit Muse seit September einen eigenen persönlichen Agenten für Verbraucher.

Der Kern in einem Satz: Der Kunde entscheidet, welchen Zugriff er seinem Agenten gibt, und die Firma legt fest, was dieser Agent bei ihr tun darf. Laut Sierra läuft das so ab:

1. Der Agent beginnt auf der Website der Firma und findet dort heraus, was sie anbietet und wie er sie erreicht.
2. Er startet eine Sitzung für seinen Nutzer, zunächst als Gast. Das reicht, um zu fragen, ob ein Artikel lieferbar ist oder wie die Rückgabe läuft.
3. Braucht die Aufgabe das Kundenkonto, meldet sich der Kunde auf der Seite der Firma an oder nutzt Zugangsdaten, die er seinem Agenten schon gegeben hat. Er entscheidet dabei, ob der Agent nur lesen oder auch ändern darf.
4. Die Sitzung baut auf OAuth auf, dem verbreiteten Standard für Zugriffsfreigaben, und bleibt über alle Kanäle dieselbe. Eine Frage vor der Anmeldung und eine Bestelländerung danach gehören zum selben Besuch.

Für die eigentliche Arbeit lässt der Standard der Firma die Wahl: Der Agent nutzt die normale Website, er geht über Schnittstellen, ausdrücklich genannt werden MCP und OpenAPI, oder er spricht mit einem Agenten der Firma, etwa bei einer Garantiefrage, die ein Gespräch braucht.

Als Partner nennt Sierra Genesys, Instinct, Rocket, Shopify, Stripe und Walmart. Eine eigene Ankündigung von Meta haben wir im Meta-Newsroom bis heute nicht gefunden. Einige Presseberichte nennen weitere Firmen, die in Sierras Text nicht stehen. Wir halten uns an Sierras Liste. OpenAI und Anthropic stehen nicht darauf.

Was es noch nicht gibt

Das ist der wichtigste Punkt für jeden, der jetzt Budget dafür einplanen will: Es gibt noch keine Spezifikation. Sierra schreibt, man wolle die Version 0.1 „later this month“ veröffentlichen, also im Oktober, dazu Workshops mit Interessierten und eine Referenzimplementierung. Eine Lizenz oder ein Gremium, das den Standard verwaltet, nennt die Ankündigung nicht.

Auch einige Dinge, die man sofort mit dem Thema verbindet, sind ausdrücklich erst für später gedacht. Sierra nennt sie als mögliche Erweiterungen: feinere Rechte für einzelne Aktionen, Benachrichtigungen von der Firma an den Agenten, etwa wenn ein Paket verschickt wurde, und Zahlungen, bei denen der Agent kauft, ohne die Kartendaten zu sehen.

Und Metas eigener Agent Muse ist laut Meta bisher in den USA und Kanada verfügbar. In Deutschland kann ihn heute noch niemand nutzen.

Warum das trotzdem schon heute zählt

Persönliche Agenten sind kein Zukunftsthema. ChatGPT, Claude und andere rufen Websites schon jetzt im Auftrag ihrer Nutzer auf, wenn diese danach fragen. Meta beschreibt Muse als Agenten, der in einer eigenen virtuellen Maschine in der Cloud läuft, dort einen eigenen Browser bedient, Formulare ausfüllt und für seinen Nutzer verhandelt. Bezahlen kann er schon mit Link von Stripe.

Für Ihre Website heißt das: Ein Teil Ihrer Besucher wird künftig kein Mensch sein, sondern ein Programm, das für einen Menschen handelt. Das ist etwas anderes als ein Suchmaschinen-Crawler, der Ihre Seiten für einen Index einsammelt. Der Agent hat einen Auftrag von einem konkreten Kunden, und wenn er scheitert, scheitert der Kunde.

Unsere Prüfung: Wie agentenbereit sind Websites heute?

Wir haben am 8. Oktober 2026 sechs Websites mit demselben Skript abgefragt: unsere eigene, drei der genannten Partner und zwei große deutsche Onlinehändler. Geprüft haben wir, was ein Agent ohne Anmeldung vorfindet.

• robots.txt: Wird eine von 14 verbreiteten KI-Kennungen ganz ausgesperrt? Darunter sind Trainings-Crawler wie GPTBot, ClaudeBot und meta-externalagent und Abrufe im Auftrag von Nutzern wie ChatGPT-User, Claude-User, Perplexity-User und meta-externalfetcher.
• llms.txt: Gibt es eine Textdatei, die Sprachmodellen die Website zusammenfasst?
• Anmelde- und Schnittstellenbeschreibungen an den üblichen Adressen unter /.well-known/ (OAuth, OpenID, MCP, Agenten-Steckbrief) und eine openapi.json.
• Strukturierte Daten (JSON-LD) auf der Startseite.
• Was die Startseite liefert, wenn der Abruf sich als Agent ausgibt, und ob sie auf Wunsch Markdown statt HTML schickt.

Website	Agenten ausgesperrt	llms.txt	OAuth/MCP unter /.well-known/	Strukturierte Daten Startseite	Abruf als Agent	Markdown auf Wunsch
krynexlabs.de	keiner	ja	nein	ausführlich	200	ja
walmart.com	keiner	nein (HTML-Seite statt Datei)	nein	Organisation, Suche	200	nein
shopify.com	keiner	ja	nein	Firma, Kontakt	200	nein
stripe.com	keiner	ja	nein	Organisation, Kontakt	200	nein
otto.de	keiner, Agenten namentlich mit Teilsperren	nein	nein	Organisation	200	nein
zalando.de	nicht prüfbar	nicht prüfbar	nicht prüfbar	nicht prüfbar	403	nicht prüfbar

Drei Dinge fallen auf.

Niemand sperrt die Agenten aus, aber auch niemand lädt sie ein. Keine der fünf lesbaren robots.txt-Dateien verbietet einer der geprüften Kennungen die ganze Website. Otto nennt einige davon sogar ausdrücklich und sperrt nur einzelne Bereiche, etwa die Kundenbewertungen. Eine maschinenlesbare Beschreibung, wo sich ein Agent anmelden oder welche Schnittstelle er nutzen kann, fanden wir dagegen bei keiner Seite an den Standardadressen. Das heißt nicht, dass es solche Schnittstellen nicht gibt. Große Händler betreiben Anmeldung und APIs oft auf eigenen Domains. Ein fremder Agent findet sie von der Website aus aber nicht.

Bot-Schutz kann Kunden treffen. Zalando hat unserem Abruf von einem Server im Rechenzentrum aus mit 403 geantwortet, auch mit einer gewöhnlichen Browser-Kennung. Das ist ein verbreiteter Schutz gegen Scraper und für sich genommen vernünftig. Ein persönlicher Agent wie Muse arbeitet aber ebenfalls von einer Maschine in der Cloud aus. Ob ein solcher Schutz künftig Agenten zahlender Kunden abweist, ist eine Entscheidung, die jemand bewusst treffen sollte, statt sie dem Standard-Regelwerk der Firewall zu überlassen.

Unsere eigene Lücke. krynexlabs.de schneidet in dieser Tabelle gut ab, weil wir sie gezielt für KI-Assistenten aufbereitet haben: eine llms.txt, ausführliche strukturierte Daten und seit dem 6. Oktober jede Seite auch als Markdown. Dazu betreiben wir einen öffentlichen MCP-Server unter mcp.krynexlabs.de mit vier Werkzeugen, die alle nur lesen. Nur: Von der Website aus fand ihn bis heute kein Agent. Weder unsere llms.txt noch eine Adresse unter /.well-known/ verwies darauf. Genau diesen ersten Schritt, das Auffinden, stellt das Personal Agent Protocol an den Anfang. Mit diesem Beitrag steht der Server jetzt in unserer llms.txt, mit Adresse und Werkzeugen. Eine Datei unter /.well-known/ lassen wir weg, bis die Spezifikation sagt, wie sie aussehen soll.

Grenzen der Prüfung: sechs Websites, ein Tag, ein Abruf je Adresse von einem Server in Deutschland. Den Abruf „als Agent“ haben wir mit der jeweiligen Kennung im Browser-Kopf nachgestellt, er kam also nicht von den Servern der Anbieter. Die robots.txt haben wir nur darauf geprüft, ob eine Kennung die ganze Website verboten bekommt, nicht jede Einzelregel.

Was ein Mittelständler jetzt tun kann

Für das Protokoll selbst gibt es heute nichts zu bauen. Für die Situation, die es regeln soll, schon. Die folgenden Schritte lohnen sich unabhängig davon, ob sich ausgerechnet dieser Standard durchsetzt.

Gastfragen ohne Klickstrecke beantwortbar machen. Die Gast-Stufe des Protokolls ist genau das, was Agenten heute schon tun: Verfügbarkeit, Lieferzeit, Rückgaberegeln, Öffnungszeiten nachsehen. Steht das als Text auf einer Seite und in strukturierten Daten, findet ein Agent es. Steckt es in einem PDF, einem Bild oder hinter einem Chat-Fenster, eher nicht. Wie man eine Website für KI-Assistenten lesbar macht, behandeln wir im Workshop GEO und KI-Suche.

Den Bot-Schutz ansehen. Fragen Sie Ihren Hoster oder Ihre IT, ob Anfragen aus Rechenzentren oder mit Agenten-Kennungen abgewiesen werden. Dabei hilft eine Unterscheidung, die viele robots.txt-Dateien noch nicht treffen: Trainings-Crawler wie GPTBot, ClaudeBot oder meta-externalagent sammeln Inhalte für das Training, Abrufe wie ChatGPT-User, Claude-User oder meta-externalfetcher kommen, weil ein Mensch gerade danach gefragt hat. Man kann das eine sperren und das andere zulassen. Verlassen sollten Sie sich bei der zweiten Gruppe aber nicht auf die robots.txt: OpenAI und Meta schreiben selbst, dass ihre Abrufe im Auftrag von Nutzern diese Regeln unter Umständen nicht beachten. Anthropic schreibt dagegen, dass eine Sperre für Claude-User solche Abrufe verhindert. Was wirklich wirkt, entscheidet am Ende die Firewall.

Festlegen, was ein fremder Agent bei Ihnen dürfte. Das ist die eigentliche Arbeit, und sie ist keine technische. Darf ein Agent eine Lieferung verschieben? Eine Bestellung stornieren? Eine Reklamation einreichen? Welche Beträge sind tabu? Das Protokoll sieht ausdrücklich vor, dass die Firma diese Grenzen zieht. Wer sie schon für die eigenen Agenten durchdacht hat, etwa mit einer Freigabe-Regel für KI-Aktionen, hat hier einen Vorsprung.

Protokollieren, wer handelt. Wenn ein Agent im Namen eines Kunden etwas ändert, wollen Sie später wissen, dass es ein Agent war und mit welcher Freigabe. Das Protokoll verspricht Firmen genau diese Sichtbarkeit. Was eine brauchbare Protokollzeile enthalten sollte, haben wir für Chatbots hier aufgeschrieben, für fremde Agenten gilt dasselbe.

Auf Ihre Plattform achten. Shopify und Stripe sind Partner des Standards. Wer seinen Shop dort betreibt oder dort abrechnet, wird Unterstützung für das Protokoll vermutlich zuerst als Funktion der Plattform sehen und muss dann wenig selbst bauen. Bei Shopsystemen ohne Partner lohnt die Frage an den Anbieter, was er plant.

Was Sie besser abwarten

Eigene Schnittstellen „für das Personal Agent Protocol“. Ohne Spezifikation baut man gegen eine Pressemitteilung. Eine Version 0.1 ist außerdem ein erster Entwurf. Was Sie heute über MCP oder eine ordentlich beschriebene API anbieten, bleibt nützlich, denn das Protokoll will genau diese Wege nutzen.

Schreibrechte für fremde Agenten. Solange es keinen gemeinsamen Standard für Anmeldung und Rechte gibt, ist jeder schreibende Zugang eine Einzelanfertigung mit eigenem Risiko. Agenten lassen sich über eingeschleuste Anweisungen beeinflussen, das haben wir in unserem Beitrag zu Prompt Injection gezeigt. Lesen lassen ist harmlos, ändern lassen braucht Regeln.

Unser Fazit

Das Personal Agent Protocol ist bisher eine Absichtserklärung mit guten Grundideen: Der Kunde gibt die Rechte frei, die Firma setzt die Grenzen, und beide sehen, was passiert. Ob es sich durchsetzt, hängt davon ab, ob die großen Assistenten mitmachen, und die fehlen auf der Partnerliste noch.

Für den Mittelstand ist die Lage trotzdem klar. Die Kunden-Agenten kommen so oder so, und die meisten Websites sind für sie lesbar, aber nicht auffindbar und nicht ansprechbar. Wer jetzt die Gastfragen sauber beantwortet, den Bot-Schutz bewusst einstellt und festlegt, was ein fremder Agent dürfte, ist vorbereitet, egal welcher Standard am Ende gewinnt. Wenn Sie wissen möchten, wie Ihre Website für Agenten aussieht, sprechen Sie uns an.

Quellen

Alle abgerufen am 08.10.2026.

• Sierra: Introducing Personal Agent Protocol, Bret Taylor und Clay Bavor, 06.10.2026 (Ziel, Ablauf, OAuth, Lese- und Schreibrechte, Wege über Website, MCP/OpenAPI oder Firmen-Agent, Partnerliste, Version 0.1 im Oktober, geplante Erweiterungen)
• Meta Newsroom: Introducing Muse, 08.09.2026, aktualisiert 30.09.2026 (Muse Secure VM mit eigenem Browser, Zahlung über Link von Stripe)
• Meta Newsroom: Muse for Small Business, 29.09.2026 (Verfügbarkeit USA und Kanada)
• OpenAI: Overview of OpenAI Crawlers (ChatGPT-User wird von Nutzern ausgelöst, robots.txt gilt dafür unter Umständen nicht)
• Meta: Meta Web Crawlers (meta-externalagent für Training und Indexierung, meta-externalfetcher für Abrufe im Auftrag von Nutzern, kann robots.txt umgehen)
• Anthropic: Does Anthropic crawl data from the web? (ClaudeBot, Claude-User, Claude-SearchBot und ihre Sperre über robots.txt)
• Sierra: About (Bret Taylor und Clay Bavor als Mitgründer)
• Eigene Prüfung: Abruf von robots.txt, llms.txt, acht Adressen unter /.well-known/ und openapi.json, Startseite mit Browser- und Agenten-Kennung sowie mit Accept: text/markdown, für krynexlabs.de, walmart.com, shopify.com, stripe.com, otto.de und zalando.de, 08.10.2026, von einem Server in Deutschland

Stand: 8. Oktober 2026. Sobald Sierra die Spezifikation veröffentlicht, ergänzen wir den Beitrag.