Warum jeder KI-Agent eine Wallet braucht

Ein Agent kann eine Empfehlung abgeben, ohne jemals Geld anzufassen. Die Ausführung ist eine andere Sache. Sobald ein Agent für Daten bezahlt, Rechenleistung kauft, eine Position neu ausrichtet oder einen Trade onchain abwickelt, braucht er einen Ort, um Werte zu halten, deren Bewegung zu autorisieren und Limits durchzusetzen, bevor Gelder bewegt werden. Dieser Ort ist eine Wallet – und das ist ein wesentlicher Grund, warum MetaMask Agent Wallet und Coinbases AgentKit beide 2026 gestartet sind, um Agenten und eine neue digitale Wirtschaft zu stärken. Coinbase hat auch dazu beigetragen, das x402-Zahlungsprotokoll zu popularisieren, das viele Agenten heute nutzen, um für APIs, Rechenleistung und Daten zu bezahlen.

Ob ein ausführender Agent eine Wallet benötigt, ist geklärt. Was sich noch zu fragen lohnt, ist, wo die Kontrolle liegt, während der Agent sie nutzt: Behält der Nutzer einen exportierbaren Schlüssel und legt die Limits des Agenten direkt fest, oder bleibt der Ausführungspfad des Agenten an die Infrastruktur eines Anbieters gebunden, solange er läuft? MetaMask Agent Wallet verfolgt den ersten Ansatz: eine selbstverwaltete Wallet mit programmierbaren Leitplanken, speziell für Agenten entwickelt, die handeln.

Für die Grundlagen, siehe What is an agentic wallet und tauche dann mit How AI agents transact without touching your keys in die technische Architektur ein. Für einen Vergleich, siehe Best agentic wallets in 2026. Dieser Artikel konzentriert sich darauf, warum die Wallet-Schicht für jeden handelnden Agenten unvermeidlich geworden ist und warum Custody darüber entscheidet, wie viel von der Autonomie dieses Agenten real ist.

Der Wandel von Agenten, die beraten, zu Agenten, die handeln

Ein Agent, der nur Text produziert, hat keinen Grund, Geld anzufassen. Seine Ausgabe ist ein Vorschlag, den ein Mensch noch ausführen muss. Das war bisher die Standardform der meisten eingesetzten Agenten – und gleichzeitig ihre Grenze: Ein Agent, der nur beraten kann, erfordert bei jedem finanziellen Schritt noch einen Menschen in der Schleife, was die tatsächlich leistbare Arbeit begrenzt.

Die Agenten, die jetzt entwickelt werden, sind anders. Sie überwachen eine DeFi-Position und gleichen sie direkt neu aus. Sie suchen nach Rechenleistung oder Daten bei mehreren Anbietern und bezahlen denjenigen, der in diesem Moment am günstigsten ist. Sie führen einen Trade aus, anstatt ihn zu beschreiben. Jede dieser Aktionen erfordert dieselbe grundlegende Fähigkeit: die Fähigkeit, Werte zu halten und sie onchain zu bewegen – in welcher Geschwindigkeit der Agent auch arbeitet, ohne auf eine Person zu warten, die den nächsten Schritt freigibt.

Diese Fähigkeit kommt nicht von einem Sprachmodell. Sie kommt von einer Wallet. Das Denkvermögen eines Agenten kann beliebig gut sein, aber ohne eine Möglichkeit, Gelder zu halten und deren Bewegung zu autorisieren, bleibt er eine Empfehlungsmaschine. Die Wallet ist das, was eine Entscheidung in eine Handlung verwandelt – weshalb die Kategorie innerhalb von Monaten von einer Entwickler-Kuriosität zu einer Produktlinie bei MetaMask, Coinbase, Cobo und OKX geworden ist.

Was ein Agent tatsächlich zum Transagieren braucht

Um zu handeln statt zu beraten, braucht ein Agent drei Dinge: ein Guthaben, aus dem er schöpfen kann, eine Möglichkeit, für das zu bezahlen, was er unterwegs verbraucht, und eine Möglichkeit, onchain auszuführen, ohne dass ein Mensch jeden einzelnen Schritt bestätigt.

Die zweite Anforderung ist neuer, als sie klingt. Software hat schon immer für Infrastruktur bezahlt, aber typischerweise über eine von Menschen verwaltete Rechnung, ein Abonnement oder eine hinterlegte Karte – nicht durch eine Zahlung, die der Agent selbst mitten in einer Aufgabe initiiert. Agenten, die kostenpflichtige APIs aufrufen, Inferenz von einem anderen Modell kaufen oder lizenzierte Daten abrufen, müssen diese Kosten inline abrechnen. x402 schließt diese Lücke: ein offenes Protokoll, das auf dem HTTP-402-Statuscode „Payment Required" aufbaut und es einem Server ermöglicht, eine Zahlung anzufordern, und einem Client, sie im selben Austausch zu begleichen – ohne Kontoeinrichtung oder menschliche Genehmigung zwischendurch. MetaMask Agent Wallet unterstützt x402 derzeit auf der Käuferseite, sodass ein Agent einen x402-gesicherten Endpunkt direkt aus seiner Wallet bezahlen kann. x402 steht getrennt von der Wallet selbst: Es definiert, wie eine Zahlung bepreist und abgewickelt wird, nicht wer die Schlüssel hält oder was der Agent ausgeben darf. Die Wallet besitzt diese Frage weiterhin.

Zusammengenommen ist das das, was Menschen mit Agentic Commerce oder Machine-to-Machine-Zahlungen meinen: Software bezahlt Software, in der Geschwindigkeit, mit der Code läuft, für Dienste, die früher einen Menschen mit einer Kreditkarte erforderten. Nichts davon funktioniert ohne eine Wallet darunter.

Die Custody-Frage

Sobald geklärt ist, dass ein handelnder Agent eine Wallet benötigt, ist die nützlichere Frage, wer sie kontrolliert. Drei Modelle sind heute auf dem Markt sichtbar, in unterschiedlichen Verfügbarkeitsstadien, und sie beantworten diese Frage unterschiedlich.

Custody-Sprache variiert in der Kategorie, und Anbieter beschreiben ihre eigenen Modelle fair. Coinbase bezeichnet Agentic Wallets als nicht-verwahrte Wallets, die in einer Trusted Execution Environment (TEE) gesichert sind, kombiniert mit programmierbaren Ausgabelimits und KYT-Screening. OKX beschreibt seine Agentic Wallet ebenso: Schlüssel werden in einer TEE verwaltet und dem Modell nie offengelegt. Cobo positioniert seine Agentic Wallet rund um MPC-basierte Schlüsselaufteilung und eine Pact-gestützte Policy-Engine, die für „enterprise-grade Automatisierung mit feingranularer Policy-Kontrolle" entwickelt wurde. Das sind alles legitime Sicherheitsmodelle, und MetaMask Agent Wallet nutzt ebenfalls TEE-gestützte Infrastruktur zum Schutz des Signierens. Die für diesen Artikel relevante Unterscheidung ist enger als „TEE vs. kein TEE": Es geht darum, ob der Nutzer einen exportierbaren Schlüssel und Exit-Pfad hält, oder ob die Ausführung des Agenten an eine vom Anbieter betriebene Wallet gebunden bleibt, solange der Agent läuft.

Das ist das Self-Custody-Prinzip, angewendet auf eine neue Art von Nutzer. Vom Anbieter betriebene Infrastruktur kann durchaus sicher sein, bleibt aber Teil des Vertrauenspfads für jede Transaktion, die der Agent durchführt, solange er darauf läuft: Diese Infrastruktur kann einfrieren, drosseln oder die Bedingungen ändern, unabhängig davon, wie gut die Absichten des Anbieters sind. Ein selbstverwaltetes Design ermöglicht es dem Nutzer, den Export- oder Wiederherstellungspfad zu behalten und die Limits des Agenten direkt zu definieren, anstatt ausschließlich auf ein vom Anbieter gehaltenes Konto angewiesen zu sein. Für einen Agenten, der autonom im Auftrag von jemandem handelt, ist das die Unterscheidung, die bestimmt, ob seine Autonomie beim Nutzer verbleibt oder durch die Ausführungsumgebung eines Anbieters begrenzt wird.

Autonomie ohne Leichtsinn: programmierbare Leitplanken

Self-Custody allein ist keine vollständige Antwort. Eine selbstverwaltete Wallet ohne Limits würde einem Agenten erlauben, alles zu tun, was das Guthaben des Nutzers erlaubt – was ein eigenes Risiko darstellt. Die echte Antwort kombiniert Self-Custody mit im Voraus festgelegten programmierbaren Leitplanken: Ausgabeobergrenzen, Allowlists für Protokolle, Session-Limits, Limits pro Transaktion und ein Protokoll jeder Aktion des Agenten und deren Begründung.

Leitplanken ermöglichen es, einem Agenten eine dauerhafte Vollmacht zu erteilen, anstatt jede Transaktion manuell zu genehmigen. Eine Ausgabeobergrenze begrenzt einen schlechten Trade, ohne das Konto zu gefährden. Eine Protokoll-Allowlist beschränkt den Agenten auf Contracts, die der Nutzer bereits geprüft hat. Session- und Transaktionslimits begrenzen den Schaden, den ein einzelner kompromittierter Prompt oder eine bösartige Antwort anrichten kann, und ein prüfbares Protokoll ermöglicht es, jede Aktion im Nachhinein zu rekonstruieren. Das erfordert keinen Verzicht auf Autonomie – es definiert vielmehr die Grenzen, innerhalb derer Autonomie operiert.

In der Praxis sieht das heute wie zwei Betriebsmodi aus: ein standardmäßiger, konservativer Modus, der tägliche Ausgabelimits und bei der Einrichtung festgelegte Protokoll-Allowlists durchsetzt und bei allem außerhalb dieser Regeln oder von der Bedrohungsanalyse markierten Transaktionen eine Zwei-Faktor-Genehmigung verlangt, und ein zweiter, optionaler Modus, der dem Agenten mehr Spielraum bei Policy-Grenzfällen gibt, während er eindeutig bösartige Transaktionen weiterhin blockiert. In MetaMask Agent Wallet heißen diese Modi Guard Mode und Beast Mode. In jedem Fall werden die Leitplanken vom Nutzer definiert, bevor der Agent startet – nicht vom Agenten im Moment ausgehandelt.

MetaMask Agent Wallet: Self-Custody für Agenten entwickelt

MetaMask Agent Wallet ist eine selbstverwaltete Wallet, die speziell für KI-Agenten entwickelt wurde, und ihre zentrale Designentscheidung ist, dass der Nutzer – nicht MetaMask – die Schlüssel hält. Die Wallet ermöglicht es einem Agenten, Swaps, Perpetual Futures, Prediction Markets, Staking und Liquiditätsbereitstellung über EVM-Chains und Hyperliquid auszuführen – alles aus einer selbstverwalteten Wallet.

Jede unterstützte EVM-Transaktion durchläuft eine Sicherheitspipeline, bevor sie onchain landet: Transaktionssimulation, Blockaid-gestütztes Bedrohungsscanning durch Transaction Shield und Smart Transactions MEV-Schutz. Diese Pipeline läuft unabhängig davon, welchen Betriebsmodus der Nutzer wählt: der standardmäßige Guard Mode, der eine Zwei-Faktor-Genehmigung für alles außerhalb der Ausgabelimits oder Protokoll-Allowlist des Nutzers erfordert, oder Beast Mode, der dem Agenten mehr Spielraum bei Policy-Grenzfällen gibt, während er bösartige Transaktionen weiterhin blockiert und sie zur 2FA-Überprüfung vorlegt. Schlüssel werden mit einer Trusted Execution Environment geschützt und bleiben für den Nutzer jederzeit exportierbar, und berechtigte Transaktionen, die die Pipeline passieren, sind durch Transaction Protection-Deckung von bis zu 10.000 USD pro Monat abgesichert, vorbehaltlich Berechtigung, Limits und Bedingungen.

MetaMask Agent Wallet ist derzeit CLI-first und darauf ausgelegt, in Agent-Frameworks wie Claude Code, Codex, OpenClaw, Hermes, OpenCode und Cursor eingebunden zu werden. Es ist heute über ein Early Access-Programm verfügbar, mit allgemeiner Verfügbarkeit in Kürze. Für eine vollständige Erläuterung, wie eine Transaktion von der Anweisung zur Ausführung innerhalb dieser Architektur verläuft, siehe How AI agents transact without touching your keys.

Was das für Entwickler bedeutet, die Agent-Swarms aufbauen

Der Swarm-Fall ist der, bei dem sich die Custody-Frage potenziert. Ein einzelner Agent mit einem vom Anbieter gehaltenen Schlüssel ist ein Vertrauenspunkt. Ein Schwarm von einem Dutzend Agenten, die jeweils unabhängig transagieren, multipliziert diese Exposition – und wenn sie eine gemeinsame, vom Anbieter gehaltene Wallet nutzen, kann ein einzelner kompromittierter Agent oder ein Infrastrukturvorfall den gesamten Schwarm auf einmal betreffen.

Eine selbstverwaltete Architektur gibt einem Entwickler zwei Möglichkeiten, diesen Schadensradius zu begrenzen. Jeder Agent kann seine eigene dedizierte Wallet mit eigenen Ausgabelimits erhalten – für die sauberste Isolation und den klarsten Prüfpfad. Oder eine einzelne Nutzer-Wallet kann jedem Agenten eine begrenzte, delegierte Berechtigung erteilen – Asset, Betrag, Dauer und Einschränkungen im Voraus definiert –, sodass Kapital nicht auf separat finanzierte Wallets aufgeteilt werden muss. Viele Produktionssysteme nutzen beides: eine finanzierte Wallet für die breite Ausführung und begrenzte Delegierungen für engere, wiederkehrende Aufgaben wie das Bezahlen für Daten oder Rechenleistung über x402. Beide Muster halten den Nutzer – nicht einen Dritten – als Quelle der Wahrheit dafür, was jeder Agent im Schwarm tun kann – und halten die Kosten eines Custody-Fehlers durch die eigene Policy des Nutzers begrenzt, anstatt durch die Infrastruktur eines Anbieters.