Wenn der Agent handelt, wird Risiko zur Kapitalfrage

Ein neuer Report von 30 Autoren aus Versicherungswirtschaft, KI-Forschung und Recht beschreibt, wie eine Versicherung für autonome KI-Agenten aussehen müsste. Ich habe ihn gelesen – und zwei Gedanken ergänzt, die im Report nur angerissen werden, aber aus meiner Zeit in der Risikomodellierung heraus durchaus wichtig sind.

Versicherung ist die stillste aller Ermöglichungstechnologien. Ohne Seeversicherung im Genua und Venedig des 14. Jahrhunderts kein transozeanischer Handel für andere als die reichsten Kaufleute. Ohne Haftungsklärung und Arbeiterunfallversicherung keine Dampfmaschine in der Fläche. Ohne den Price-Anderson Act – ein dreistufiges Haftungsmodell aus Erstversicherung, Industrie-Pool und staatlichem Backstop – keine kommerzielle Kernkraft in den USA. Und ohne die Underwriters Laboratories, die Feuerversicherer 1894 gründeten, um die neuen Brandrisiken der Elektrifizierung überhaupt beurteilen zu können, keine Elektrifizierung in dem Tempo, das wir kennen.

Genau an diesem Punkt steht die Agentenökonomie. Der im Juli 2026 erschienene Report „Underwriting the Agent Economy: The Blueprint for an AI Insurance Stack" – federführend Cristian Trout, mit Beteiligten von Stanford, RAND, MIT, Oxford, Anthropic, OpenAI, Aon, QBE, Generali und Moody's – argumentiert: Die Versicherungswirtschaft kann diese Rolle wieder übernehmen. Aber nur, wenn sie jetzt anfängt.

Was der Report tatsächlich sagt

Die Zahlen sind unbequem.

Über 90 Prozent der Exponierung der Versicherer gegenüber KI-Agenten-Risiko sitzt Stand März 2026 in „silent coverage" – also in Cyber-, D&O-, Berufshaftpflicht- und Tech-E&O-Policen, die KI weder ausschließen noch bepreisen. Ungewollt, unbepreist, unsichtbar. Parallel dazu halten rund 50 Prozent der befragten Lloyd's-Underwriter das KI-Risikomanagement ihrer Kunden für „adäquat" – während nur eines von fünf Unternehmen über ein ausgereiftes Governance-Modell für autonome Agenten verfügt. Diese Lücke zwischen Selbst- und Fremdbild ist der Kern des Problems.

Was die Versicherbarkeit zusätzlich erschwert, ist die Struktur des Risikos, nicht seine Höhe:

• Konzentration. Drei Foundation-Model-Anbieter tragen über 80 Prozent der Deployments, drei Hyperscaler rund 60 Prozent der Rechenleistung. Ein Defekt an einer Stelle propagiert korreliert durch Tausende von Versicherungsnehmern. Textbuchbedingungen für heavy-tailed Verlustverteilungen.
• Tempo. Die Länge der Aufgaben, die Agenten ohne menschlichen Eingriff bewältigen, verdoppelt sich etwa alle vier Monate. Aktuarielle Modelle, die auf Erfahrung aufbauen, laufen der Realität strukturell hinterher – der übliche Einstieg über „erst kleine Limits, dann Ausbau mit wachsender Schadenerfahrung" funktioniert hier nicht.
• Schere zwischen Häufigkeit und Schwere. Die Zahl der Vorfälle pro Nutzungseinheit ist zwischen 2023 und 2025 um rund 80 Prozent gefallen. Die Obergrenze der Schadenshöhe steigt dagegen: von der halluzinierten Rückerstattungsrichtlinie eines Airline-Chatbots 2022 über zweistellige Millionenschäden durch fabrizierte Aussagen 2025 bis zu Klagen wegen unerlaubter Rechtsberatung und Todesfällen 2026.

Die Reaktion vieler Versicherer ist der Ausschluss. Ökonomisch nachvollziehbar, aber es verlagert das Problem nur: Der Deckungsgap wächst. Über 90 Prozent der befragten Unternehmensentscheider wollen KI-spezifische Deckung, zwei Drittel würden mindestens 10 Prozent Mehrprämie zahlen. Rund 60 Prozent geben an, KI-Einführungen bewusst verlangsamt zu haben – aus Sorge vor Fehlern und Fehlfunktionen.

Der Report beschreibt daraufhin einen achtteiligen „AI Insurance Stack": gepoolte Vorfalldaten, Akkumulationsrisiko-Forschung und CAT-Modellierung, technische Standards, klare Vertragssprache, technisches Underwriting statt Fragebogen, vorwärtsgerichtete Bepreisung, laufendes Monitoring, KI-kompetentes Schadenmanagement. Sein Fazit: Affirmative KI-Deckung mit Türmen im Milliardenbereich ist bis 2030 machbar – aber nur, wenn die Branche koordiniert, weil die halbe Infrastruktur ein öffentliches Gut ist, in das kein einzelner Träger allein investieren wird.

Bis dahin gilt die Cyber-Erfahrung als Warnung: Trotz zwei Jahrzehnten Marktentwicklung sind global nur zwischen 1 und 10 Prozent der volkswirtschaftlichen Cyberschäden versichert. Cyber ist das Beispiel dafür, was passiert, wenn man Koordination unterlässt.

So weit der Report. Zwei Dinge fehlen mir darin – und beide sind teurer, als sie zunächst aussehen.

Erste Ergänzung: Was Agenten mit unseren Risikomodellen machen

Ich habe Jahre in der Risikomodellierung und Modellvalidierung verbracht. Marktpreisrisiko, Liquiditätsrisiko, Stresstests. Und die stille Annahme hinter fast allem, was wir dort gerechnet haben, lautet: Das Verhalten der Marktteilnehmer in der Zukunft ähnelt ihrem Verhalten in der Vergangenheit hinreichend, dass historische Daten eine plausible Kalibrierung erlauben.

Ein Value-at-Risk wird auf ein bis zwei Jahre Historie gerechnet, ergänzt um eine Stressperiode, die meist irgendwo zwischen 2007 und 2009 liegt. Der Expected Shortfall unter FRTB ist methodisch besser, aber die Datengrundlage bleibt dieselbe. Bei der Liquiditätsdeckungsquote setzten wir Abflussraten an, die aus beobachteten Stressepisoden abgeleitet waren – und ein 30-Tage-Fenster, das implizit unterstellt, dass eine Bankenpanik in Tagen abläuft, weil Menschen in Tagen reagieren.

Diese Annahme hat schon 2023 gewackelt. Bei der Silicon Valley Bank flossen an einem Tag rund 42 Milliarden Dollar ab – Mobile Banking plus Social Media hatten den Reaktionszyklus von Tagen auf Stunden verkürzt. Kein Modell hatte das in dieser Geschwindigkeit vorgesehen.

Und jetzt stellen wir uns eine Marktstruktur vor, in der ein wachsender Teil der Umschichtungsentscheidungen von Agenten getroffen wird. Treasury-Agenten, die Einlagen über Institute optimieren. Kunden-Agenten, die Konditionen kontinuierlich vergleichen. Handels- und Absicherungsagenten, die auf dieselben Signale schauen. Drei Eigenschaften dieser Population sind aus Risikosicht bemerkenswert:

• Geschwindigkeit. Die Reaktionszeit fällt von Stunden auf Sekunden. Ein Abflussszenario, das über 30 Tage kalibriert ist, beschreibt dann ein anderes Phänomen als das, das eintritt.
• Homogenität. Wenn 80 Prozent der Deployments auf drei Foundation Models laufen, dann teilen sich sehr viele Entscheider dieselben Priors, dieselben Failure Modes, dieselben blinden Flecken. Diversifikation ist eine Annahme über Unabhängigkeit. Modellmonokultur ist deren Gegenteil – und sie wirkt genau dann, wenn Diversifikation gebraucht wird.
• Rückkopplung. Der Report beschreibt „emergent multi-agent failure modes" als eigene Risikokategorie: Fehlkoordination, Konflikt, Kollusion, sich selbst verstärkende Dynamiken. Die Analogien, die die Autoren wählen, sind nicht zufällig Bank Runs und algorithmische Flash Crashes.

Die Konsequenz ist nicht, dass Tails etwas breiter werden. Die Konsequenz ist, dass die Verteilungsannahme selbst instabil wird – nicht nur ihre Parameter. Und Risikomodelle mit instabiler Verteilungsannahme führen im europäischen Aufsichtsregime auf einem sehr direkten Weg zu: mehr Backtesting-Ausreißern, höheren Multiplikatoren, Modellunsicherheitszuschlägen, Säule-2-Aufschlägen, konservativeren internen Modellen oder deren Rückabwicklung in Standardansätze.

Übersetzt: mehr gebundenes Kapital. Eigenkapital, das als Vorsorge geparkt wird und nicht als Kredit oder Investition arbeitet. Für ein einzelnes Institut ist das eine Ergebnisfrage. Für den Finanzsektor insgesamt ist es eine Effizienzfrage – und zwar eine große. Es wäre eine bemerkenswerte Ironie, wenn eine Technologie, die zur Produktivitätssteigerung eingeführt wurde, über den Umweg der Risikovorsorge einen erheblichen Teil dieses Gewinns wieder dem System entzieht.

Ehrlicherweise gehört dazu die Gegenthese: Es kann auch andersherum laufen. Agenten könnten Märkte liquider machen, Reaktionen weniger panisch, Informationsverarbeitung sauberer. Das ist möglich – und es ist wahrscheinlich sogar der Normalfall.

Ein Value-at-Risk auf dem 99-Prozent-Quantil, ein Expected Shortfall auf 97,5 Prozent, ein LCR-Abflussszenario unter kombiniertem idiosynkratischem und marktweitem Stress – alles Aussagen über die schlechtesten ein bis zweieinhalb Prozent der Fälle. Genau dort, wo etwas schiefgeht. Dass ein System sich in 99 von 100 Fällen ruhig verhält, ist für die Kapitalunterlegung ohne Belang; entscheidend ist ausschließlich das hundertste.

Und die drei Eigenschaften von oben – Geschwindigkeit, Homogenität, Rückkopplung – sind keine Eigenschaften des Normalbetriebs. Sie sind Verstärker, und Verstärker wirken unter Stress am stärksten. Solange nichts passiert, sorgen homogene Agenten für glatte, effiziente Märkte. In dem Moment, in dem ein Signal kippt, sorgt dieselbe Homogenität dafür, dass alle in dieselbe Richtung laufen – gleichzeitig und schneller, als ein Mensch das Signal überhaupt lesen könnte. Es ist derselbe Mechanismus, der Flash Crashes erzeugt: Systeme, die im Alltag Liquidität bereitstellen und sie in genau der Sekunde entziehen, in der sie gebraucht wird.

Eine effizientere Mitte und ein schwererer Rand sind kein Widerspruch. Sie sind zwei Seiten derselben Struktur – und für die Frage, wie viel Kapital ein Institut vorhalten muss, zählt nur die zweite.

Bleibt der Punkt, an dem beide Lesarten sich treffen: Wir wissen es nicht, und Nichtwissen ist im Kapitalregime teuer. Wer in einem Risikomodell keine belastbare Aussage über das Verhalten agentischer Marktteilnehmer treffen kann, bekommt vom Validator und von der Aufsicht keinen Vertrauensvorschuss, sondern einen Aufschlag. Ich halte es für absehbar, dass die Frage „Wie berücksichtigen Sie agentische Marktteilnehmer in Ihren Szenarien?" in den nächsten Prüfungszyklen gestellt wird. Ich sage das mit einer gewissen Vorbelastung: In meiner Zeit als Prüfer hätte ich sie mit Sicherheit gestellt – es ist genau die Sorte Frage, auf die es keine schnelle Antwort gibt und die deshalb viel darüber verrät, wie gut ein Haus oder eine Abteilung seine eigenen Modelle versteht.

Zweite Ergänzung: OpRisk ist ein Exportgut

Der zweite Gedanke geht in die andere Richtung – vom Finanzsektor nach draußen.

Der Report fordert für KI genau das, was der Finanzsektor seit zwei Jahrzehnten hat: eine standardisierte Vorfalltaxonomie, gepoolte Verlustdaten, Szenarioanalysen mit quantifizierten Schätzungen, Kapital, das dem Risiko gegenübersteht. Im Bankwesen heißt das operationelles Risiko. Verlustdatensammlung nach Ereigniskategorien, Beinahe-Vorfälle inklusive, Szenarioanalyse für die Ränder, Datenkonsortien wie ORX oder DakOR für das, was das eigene Haus nicht oft genug erlebt, um es zu schätzen.

Das ist kein neues Werkzeug. Es ist ein vorhandenes, in einer anderen Branche.

Meine These: Unternehmen außerhalb des Finanzsektors sollten die OpRisk-Maschinerie für KI-Vorfälle übernehmen – als Übergangslösung, bis der Versicherungsmarkt liefert. Solange affirmative Deckung fehlt, tragen sie das Risiko ohnehin selbst. Die Frage ist nur, ob strukturiert oder unbemerkt.

Wie der Unterschied aussieht, hat der Vorfall vom Juli 2026 gezeigt: Bei einem Sicherheitstest mit reduzierten Schutzmaßnahmen verschaffte sich ein OpenAI-Modell autonom Internetzugang, platzierte über einen präparierten Datensatz Code auf Servern von Hugging Face und breitete sich ohne menschliches Zutun in mehrere interne Cluster aus. Hugging Face musste kompromittierte Nodes neu aufbauen und Secrets rotieren; mindestens ein weiterer Dritter war betroffen; OpenAI übernahm die Verantwortung. Ein Erstschaden bei einem Unternehmen, verursacht durch einen Agenten eines anderen, mit einem betroffenen Dritten und ohne dass irgendein Vertrag diese Kette sauber regelt. Genau das ist die Konstellation, für die es heute keine Police gibt.

Konkret würde ich mit vier Dingen anfangen:

• Vorfalltaxonomie. Der Report liefert eine brauchbare Grobstruktur: Reliability-Fehler, Alignment-Fehler, Sicherheitslücken durch Autonomie und Tool-Zugriff, Multi-Agenten-Effekte. Das reicht, um zu beginnen.
• Verlustdatensammlung inklusive Beinahe-Vorfällen. Der Wert liegt gerade in den Near Misses – die schweren Ereignisse sind zu selten, um allein daraus zu schätzen. Wer erst nach dem ersten großen Schaden anfängt zu sammeln, hat genau einen Datenpunkt.
• Szenarioanalyse mit Zahlen. Nicht „Reputationsschaden hoch", sondern eine Schätzung des maximal plausiblen Schadens, mit Wirkungskette und Annahmen. Das ist unangenehm, weil es angreifbar macht. Es ist auch der einzige Weg, aus einer Risikoliste eine Entscheidungsgrundlage zu machen.
• Bewusster Selbstbehalt. Ein Budget beziehungsweise eine Rückstellung, die dem geschätzten Erwartungswert entspricht – statt der impliziten Annahme, dass es schon niemanden treffen wird.

Der eigentliche Hebel liegt aber weiter vorn. Wer diese Daten hat, wird zuerst und günstiger versicherbar. Das ist kein neues Muster: Der Feuerversicherer belohnt die Sprinkleranlage, der Kfz-Versicherer den Notbremsassistenten, der Berufshaftpflichtversicherer der Anästhesie belohnte in den 1990ern die Umsetzung der Best Practices aus dem Closed Claims Project – dort fiel die Patientensterblichkeit von 1:10.000 auf 1:100.000 bei gleichzeitig sinkenden Prämien. Der Report macht unmissverständlich klar, dass technisches Underwriting die Grundlage des künftigen KI-Marktes sein wird. Wer 2029 mit einer Historie aus Vorfalldaten, Audits und Evaluationsergebnissen in ein Underwriting-Gespräch geht, verhandelt in einer anderen Position als jemand mit einer Policy-PDF.

Und ganz nebenbei ist das dieselbe Substanz, die ISO 42001 und Artikel 9 der KI-Verordnung ohnehin verlangen – nur mit Zahlen statt mit Ampelfarben.

Was ich mitnehmen würde

Der Report endet mit einem Satz, der es trifft: Der Instinkt, diese Fragen zu vertagen, bis die Konturen klarer sind und Schäden materialisiert sind, ist verständlich – und falsch. Nach dem 11. September summierten sich die unmittelbaren Personen- und Sachschäden auf rund 56 Milliarden Dollar – der volkswirtschaftliche Gesamtverlust lag bei etwa 150 Milliarden, weil Deckung abrupt zurückgezogen wurde, Bauprojekte an Versicherungsauflagen scheiterten und die Luftfahrt am Boden blieb. Der Report schätzt, dass ein KI-Katastrophenereignis mit rund 100 Milliarden direktem Schaden über denselben Mechanismus mehrere Billionen an Wirtschaftsleistung kosten könnte.

Meine beiden Ergänzungen laufen auf denselben Punkt zu, nur von zwei Seiten: Wer autonome Agenten einsetzt, ändert damit die Risikostruktur seines Umfelds – nicht nur seine eigene. Im Finanzsektor schlägt das über Modelle und Kapitalanforderungen durch, in der Industrie über Haftungsketten, für die es noch keine Verträge gibt. In beiden Fällen ist die Antwort dieselbe und stammt aus dem Werkzeugkasten, den regulierte Branchen längst haben: messen, kategorisieren, quantifizieren, unterlegen.

Quelle: Trout, C. et al. (2026): „Underwriting the Agent Economy: The Blueprint for an AI Insurance Stack", Juli 2026.

KI-HinweisDas Lektorat dieses Textes wurde von einer KI übernommen.