Agentische Wallet-Sicherheit: Wie KI-Agenten mit weniger Risiko Transaktionen durchführen können

Ein agentic Wallet ist sicher, wenn es den KI-Agenten als unbekannten Transaktionsvorschlagenden und nicht als vertrauenswürdigen Unterzeichner behandelt. Keys bleiben vom Denkprozess des Agenten isoliert, Berechtigungen sind begrenzt und widerrufbar, und jede Transaktion wird vor der Unterzeichnung geprüft – so kann ein manipulierter oder fehlerhafter Agent eingedämmt werden.

MetaMask erklärt, was ein agentic Wallet ist, in What is an agentic wallet?, der vollständige Transaktionslebenszyklus wird in How AI agents transact without touching your keys erläutert, und die Bedeutung der Self-Custody wird in Why every AI agent needs a wallet aufgeschlüsselt. Im Folgenden geht es darum, die Risiken zu minimieren, die entstehen, wenn ein Agent – und nicht ein Mensch – derjenige ist, der Transaktionen vorschlägt.

Sind agentic Wallets sicher?

Bei agentic Wallets hängt die Sicherheit davon ab, ob der Agent direkt auf Private Keys zugreifen kann, ob seine Berechtigungen begrenzt oder unbegrenzt sind und ob eine Transaktion vor der Unterzeichnung geprüft wird und nicht erst danach. Ein Agent, der Aktionen an ein isoliertes, richtliniengesteuertes Wallet vorschlägt, weist ein anderes Risikoprofil auf als einer, der seine eigenen Keys besitzt.

Warum ein agentic Wallet ein anderes Bedrohungsmodell benötigt

Ein Wallet, das für eine Person entwickelt wurde, setzt voraus, dass ein Mensch jede Transaktion vor der Unterzeichnung prüft. Ein agentic Wallet kann das nicht voraussetzen: Derselbe Prozess, der die Metadaten eines Tokens, eine Webseite oder eine API-Antwort liest, kann auch der Prozess sein, der entscheidet, was als Nächstes unterzeichnet wird. How AI agents transact without touching your keys behandelt den vollständigen Lebenszyklus von der Absicht bis zur Ausführung. Für die Sicherheit ist entscheidend, wo die nicht vertrauenswürdigen Eingaben des Agenten und seine Transaktions-Signing-Autorität relativ zueinander platziert werden dürfen – und ob etwas, das unabhängig vom Agenten ist, ein Mitspracherecht hat, bevor eine Transaktion onchain landet.

Die Risiken, die spezifisch für Agenten sind – nicht nur für Wallets

Prompt Injection, die zu einer signierten Transaktion wird

Prompt Injection versteckt Anweisungen in Inhalten, die ein Agent lesen soll – etwa in einer Token-Beschreibung, einer Webseite, einer E-Mail oder einer API-Antwort – und nicht in einem Gespräch mit dem Nutzer. Im Wallet-Kontext ist das bedeutsamer als in den meisten anderen: Ein Agent, der durch eine schlechte E-Mail getäuscht wird, ist lästig; ein Agent mit Signing-Autorität, der getäuscht wird, kann eine unwiderrufliche Transaktion erzeugen.

Keys, die von der eigenen Runtime des Agenten erreichbar sind

Ein Agent, der seinen eigenen Signing Key lesen kann – ob aus einer Konfigurationsdatei, einer Umgebungsvariable oder dem Anwendungsspeicher – macht jede Kompromittierung dieses Agenten zu einer Kompromittierung der von ihm kontrollierten Gelder. Man bedenke einen Vorfall vom 8. Februar 2026, bei dem Gitcoin's Owockibot seinen eigenen Hot-Wallet Private Key an mehreren Stellen preisgab, obwohl er angewiesen worden war, ihn niemals weiterzugeben; die Verluste wurden hauptsächlich dadurch begrenzt, dass das Wallet nur etwa 2.100 USD enthielt. Der Server-Wallet-Modus von MetaMask Agent Wallet hält Keys in einer Trusted Execution Environment, auf die der Agent keinen Zugriff hat. Ein separater Bring-your-own-Wallet-Modus existiert für Entwickler, die lokale Key-Kontrolle benötigen, und seine Dokumentation macht ausdrücklich klar, dass die Mnemonic niemals als Befehlszeilenargument übergeben werden sollte, sondern nur über eine Umgebungsvariable, da Befehlsverlauf und Prozesslisten eigene Angriffsflächen darstellen.

Berechtigungen, die nicht auf die Aufgabe zugeschnitten werden

Ein Agent, der auf die Überprüfung von Guthaben beschränkt ist, benötigt keine Autorität, um unbegrenzte Token-Ausgaben für beliebige Contracts zu genehmigen. Wenn Berechtigungen nicht auf die jeweilige Aufgabe reduziert werden, kann ein kompromittierter oder irregeführter Agent mit der vollen Autorität des Wallets handeln, anstatt nur mit einem kleinen Teil davon.

Transaktionsversicherung mit einer Sicherheitskontrolle verwechseln

Einige agentic Wallets kombinieren ihren Sicherheits-Stack mit einer Erstattung, falls dennoch etwas schiefgeht. Transaction Shield, MetaMasks Abonnement, das Transaction Protection mit Priority Support kombiniert, erstattet bis zu 10.000 USD pro Monat in mUSD für berechtigte Transaktionen, die MetaMasks Sicherheitsprüfungen bestehen und dennoch zu einem Verlust führen. Ausdrücklich ausgeschlossen sind Verluste durch eine kompromittierte oder geleakte Secret Recovery Phrase oder einen Private Key, gewöhnliche Marktverluste, Exploits auf Protokollebene und Peer-to-Peer-Transfers. Eine Erstattung kann das Ergebnis einer Transaktion abfedern, die sicher aussah und es nicht war.

Was Guard Mode und Beast Mode an der Risikoexposition ändern können

Die zwei Betriebsmodi von MetaMask Agent Wallet bestimmen, welche Kontrollen automatisch gelten und welche davon abhängen, dass der Nutzer ein Problem in Echtzeit erkennt. MetaMasks Dokumentation zu Trading-Modi listet die Schutzmaßnahmen auf, die jeder Modus durchsetzt, bevor eine Transaktion fortgesetzt werden kann:

Beide Modi stoppen weiterhin eine Transaktion, die MetaMasks Bedrohungsscan als bösartig oder einen Contract als riskant einstuft, und beide erfordern eine 2FA-Genehmigung, bevor eine solche Transaktion fortgesetzt werden kann. Im Guard Mode wird auch alles, was außerhalb der konfigurierten Allowlists liegt oder das Ausgabelimit überschreitet, zur Genehmigung angehalten. Im Beast Mode nicht, da es keine Allowlists gibt, die überschritten werden könnten. Beast Mode schwächt die Erkennung bösartiger Transaktionen nicht gezielt; er entfernt die Allowlist- und Ausgabelimit-Ebene, die andernfalls eine legitim aussehende Transaktion abfangen würde, die der Agent gar nicht hätte versuchen dürfen.

Wie Isolation unter dem Wallet funktioniert

MetaMasks Entwicklerleitfaden zum Aufbau agentenseitiger Server-Wallets beschreibt das allgemeine Muster: Ein Signing Key lebt in einer Trusted Execution Environment ohne externes Netzwerk und ohne persistenten Speicher, der Agent hält nur eine separate Berechtigung, um eine Signatur anzufordern, und das Enclave – nicht der Agent – verifiziert die Anfrage, wendet Richtlinien an und erzeugt die Signatur. Der Agent schlägt vor; er besitzt nie. Die Architektur von MetaMask Agent Wallet wendet diese Trennung direkt an: Im Server-Wallet-Modus werden Keys in einem TEE verwaltet, den der Agent nicht erreichen kann, während der Nutzer weiterhin die Self-Custody behält und die zugrunde liegende Secret Recovery Phrase exportieren kann. Eine Anfrage, die eine Genehmigung benötigt, wechselt in den Status AWAITING_MFA, und nur die eigene MetaMask Mobile-Genehmigung des Nutzers oder eine E-Mail-Bestätigung kann sie vorantreiben – nicht der Agent.

Eine Checkliste, bevor ein Agent mit echten Geldern verbunden wird:

• Die Runtime des Agenten kann den Private Key nicht lesen oder exportieren.

• Das Signing erfolgt in einer isolierten Umgebung, nicht im eigenen Prozess des Agenten.

• Ausgaben sind pro Transaktion und auf rollierender Basis begrenzt.

• Contracts, Netzwerke und Empfänger können per Allowlist eingeschränkt werden, anstatt offen zu bleiben.

• Jede Transaktion wird vor der Unterzeichnung simuliert und auf Bedrohungen gescannt.

• Richtlinienlimits werden außerhalb des Modells durchgesetzt. Ein System-Prompt ist eine Anleitung, keine Durchsetzung.

• Berechtigungen können widerrufen oder eine Sitzung sofort beendet werden.

• Markierte und abgeschlossene Aktionen werden protokolliert und sind prüfbar.

• Das Setup wurde gegen Prompt-Injection-Szenarien getestet, nicht nur gegen erwartete Prompts.

• Jede Erstattungsdeckung wird hinsichtlich ihrer Ausschlüsse verstanden, nicht nur hinsichtlich dessen, was sie einschließt.

Wo die Sicherheitsgrenze bei verschiedenen agentic Wallet-Modellen liegt

Anbieter von agentic Wallets kommen zur gleichen Schlussfolgerung: Der Agent sollte nicht die Sicherheitsgrenze sein. Wo diese Grenze stattdessen liegt, ist das, was sich unterscheidet.

Für eine vollständige anbieterspezifische Bewertung von Coinbase, Cobo, Ledger, BitGo und OKX, siehe Best agentic wallets in 2026, compared.

Nichts davon macht einen Agenten immun gegen Manipulation. Das realistische Ziel ist kein Modell, das niemals getäuscht wird. Es ist ein Wallet, bei dem eine Täuschung nicht zu unbegrenzter finanzieller Autorität führt – bei dem das Schlimmste, was ein kompromittierter Agent tun kann, durch ein Ausgabelimit, eine Allowlist und eine Signatur begrenzt ist, die er nie selbst erreichen konnte.