US-Großbanken schränken die Kontorechte von KI-Agenten Dritter ein. Am 16. Oktober 2026 berichtete die Financial Times, die Citigroup sei die jüngste große US-Bank, die externen KI-Agenten den Zugang zu Kundenkonten begrenzt; auch die Bank of America und andere Institute ziehen vergleichbare Kanäle enger. Geschlossen wird nicht das Chatfenster, sondern die wichtigste Tür überhaupt: Ein Agent darf sich nicht mehr mit den Zugangsdaten eines Kunden einloggen und in dessen Namen Geld bewegen.
Geschlossen werden Login und Überweisung, nicht der Saldenblick
Die gezogene Grenze ist klar. Jamie Dimon, Chef von JPMorgan Chase, sagte in der Telefonkonferenz zum dritten Quartal am 13. Oktober, man werde keine externen Agenten ins Haus lassen, die für Kunden Konten bedienen — das sei für Kunden wie für die Bank zu riskant. Er warnte insbesondere davor, dass ein außer Kontrolle geratener Agent denselben Fehler auf Tausenden Konten zugleich machen könne. Eine JPMorgan-Sprecherin bestätigte anschließend, dass Dritte die Bank-Zugangsdaten eines Kunden nicht erhalten und sich nicht für ihn einloggen dürfen. Citigroup-Chefin Jane Fraser argumentierte Ende September auf der Sibos-Konferenz in Miami von der Steuerungsseite: Bevor Agenten Transaktionen ausführen, müssten Identitätsprüfung und Berechtigungen sitzen; die bankeigenen Agenten bei Citi liefen sämtlich über die interne ARC-Plattform.
Der Nur-Lese-Kanal wurde dagegen nicht blockiert. Salden und Umsätze über vom Kunden autorisierte Open-Banking-Verbinder wie Plaid auszulesen bleibt erlaubt. Verboten ist der nächste Schritt: sich mit Kundendaten einzuloggen, zu überweisen und Rechnungen zu zahlen. Banken akzeptieren Agenten also als jemanden, der in die Bücher schaut — nicht als jemanden, der den Schlüssel hält.
Zwei Sorgen der Banken: Wer haftet, und wohin die Einlagen gehen
Sicherheit und Haftung sind die genannten Gründe. Der Fehler eines menschlichen Mitarbeiters betrifft meist ein Konto. Irren sich dagegen weit verbreitete Agenten, landet derselbe Fehler gleichzeitig auf Tausenden Konten, und Schaden wie Schuldzuweisung wachsen mit. Sind die Zugangsdaten erst bei einem Dritten, kann eine Bank kaum noch unterscheiden, welcher Schritt Absicht des Kunden war und welcher Eigenmächtigkeit des Agenten.
Die zweite Sorge betrifft das Geld. Die naheliegendste Funktion eines Agenten, der Konten verwaltet, ist es, brachliegende Einlagen dorthin zu schieben, wo sie mehr abwerfen. Für Kunden ist das gut; für Großbanken, die mit billigen Einlagen verdienen, bedeutet es, dass Mittel per Software im Paket abfließen können. Die Berichterstattung der Financial Times zielte genau auf diese Befürchtung: Sicherheit, Haftung und Einlagenflucht zusammen bewogen die Banken, erst die Tür zu schließen und Bedingungen später zu verhandeln.
Das steht nicht im Widerspruch zur Linie der Aufsicht. Die am 15. Oktober fertiggestellten Praktiken des Financial Stability Board zu KI im Finanzsektor verlangen menschliche Freigabe, bevor Hochrisiko-Agenten handeln (siehe FSB: 12 Praktiken für Finanz-KI). Die Banken wenden denselben Grundsatz faktisch an der eigenen Haustür an: erst Kontrollierbarkeit beweisen, dann über Öffnung reden.
Für persönliche Finanzagenten bleibt nur der autorisierte Nur-Lese-Weg
Am selben Tag lieferte Perplexity das Gegenbeispiel: Der Assistent dockt an Plaid an und erstellt auf Basis der gelesenen Kontodaten persönliche Finanzanalysen — genau der autorisierte Nur-Lese-Weg, den Banken akzeptieren. Er kann schauen, rechnen und erinnern, aber er bewegt kein Geld für den Nutzer.
Für Teams, die persönliche Finanzagenten bauen, ist das Signal deutlich: Produktentwürfe, die darauf bauen, dass Nutzer ihr Kontopasswort herausgeben, um vollautomatische Geldverwaltung zu ermöglichen, kommen an den Großbanken nicht mehr vorbei. Die Form, die als Nächstes funktionieren dürfte, heißt autorisierte Verbinder plus Nur-Lese-Daten plus menschliche Bestätigung bei folgenreichen Schritten. Wer Identität, Genehmigungsumfang und Prüfprotokolle zuerst sauber aufsetzt, darf über Ausführungsrechte verhandeln; der Abkürzungsweg über eingesammelte Zugangsdaten schließt sich.
