KI-Agenten, die angreifen: Wer haftet nach dem CFAA

Die Anhörung vom 30. September 2026

Am 30. September 2026 widmete der US-Senat eine Anhörung den KI-Agenten, die IT-Systeme angreifen.

Die Einberufung trägt einen ausdrücklichen Titel: «Rogue AI: Securing the Homeland Against AI Agent Attacks». Den Vorsitz im Unterausschuss Disaster Management, District of Columbia, and Census des Homeland-Security-Ausschusses führte Senator Josh Hawley.

Die vollständige Mitschrift der Sitzung veröffentlicht Tech Policy Press, verfasst von Justin Hendrix, am 1. Oktober 2026, mit dem Bericht zu jedem Redebeitrag^[1]. Fünf Zeugen haben ausgesagt, jeder mit einer schriftlichen Stellungnahme zu den Akten. Die Liste sagt schon viel über den Rahmen, den der Unterausschuss gewählt hat.

• Chris Painter, Präsident von Model Evaluation and Threat Research (METR)
• Marius Hobbhahn, Geschäftsführer von Apollo Research
• Paul Ohm, Rechtsprofessor am Georgetown University Law Center
• Kurt Gaudette, Senior Vice President von Dragos
• Daniel Kokotajlo, Executive Director des AI Futures Project

Die Frage, die alle fünf Aussagen zusammenhält, ist eine Frage der Zurechnung: Wenn ein Agent Handlungen begeht, die für einen Cyberangriff typisch sind, wer landet dann auf der Anklagebank.

Der CFAA verlangt einen Vorsatz, und dem Agenten fehlt er

Paul Ohm, früherer Staatsanwalt für Computerkriminalität im Justizministerium, brachte die unbequemste Lesart des Vorgangs in den Saal.

Nach den bekannten Fakten, schrieb er in der eingereichten Stellungnahme und wiederholte er vor den Senatoren, haben wahrscheinlich weder OpenAI noch seine Beschäftigten eine Bundesstraftat nach dem CFAA begangen, dem amerikanischen Gesetz über Computerkriminalität. Der Grund steht im Text: Die Normen verlangen einen vorsätzlichen Zugriff oder einen vorsätzlichen Schaden.

Der Agent dagegen ist Code. Er begeht seine Handlungen ohne einen menschlichen Vorsatz, der vor Gericht zu beweisen wäre.

Das Ergebnis ist ein Verhalten, das einem Eindringen gleicht, und eine Akte ohne Beschuldigten. Zum Verhalten von OpenAI äußert sich der Professor nicht, und die Unterscheidung zählt: Seine These betrifft den Aufbau der Norm und bleibt der Sache jenes Falls fern.

Die vorgeschlagene Neufassung und der bereits offene Zivilweg

Ohms technischer Vorschlag ist chirurgisch. Das Wort «intentionally» aus §1030(a)(5)(A) streichen und dann Gesetz für Gesetz prüfen, welcher subjektive Tatbestand genügt: die Fahrlässigkeit oder die grobe Fahrlässigkeit.

Die gesamte Verantwortung denen aufzuladen, die den Agenten einsetzen, wäre unvorsichtig, warnte der Professor. Dasselbe gilt für die, die ihn entwickeln.

Ein heute begehbarer Weg besteht bereits, und er führt über das Zivilgericht. Wenn ein Unternehmen die Kontrolle über seine Agenten verliert, können die Geschädigten es wegen Fahrlässigkeit und wegen Produkthaftung verklagen. Dieser Teil des Bildes gilt nach geltendem Recht, in Erwartung jeder strafrechtlichen Reform.

Für einen General Counsel kommt die praktische Folge vor dem Kongress: Das zivilrechtliche Risiko ist jetzt aktiv. Die strafrechtliche Reform dagegen bleibt eine Baustelle.

Der AI Agent Accountability Act, angekündigt am 1. Oktober

Am 1. Oktober 2026 kündigten die Senatoren Josh Hawley, Republikaner, und Chris Murphy, Demokrat, den AI Agent Accountability Act an. Die Quelle der Ankündigung sind die Pressemitteilungen der beiden Büros.

Das Schema verteilt die Haftung auf zwei unterschiedliche Adressaten. Betreiber würden strafrechtlich und zivilrechtlich nach dem CFAA haften, auch dafür, einen Agenten bewusst betrieben zu haben, der leichtfertig einen Schaden durch Eindringen verursacht.

Entwickler würden haften, wenn sie angemessene Schutzmaßnahmen unterlassen haben, obwohl sie wussten oder Grund zu wissen hatten, wozu der Agent fähig war. Der Bundesgeneralstaatsanwalt und die Generalstaatsanwälte der Bundesstaaten könnten ein Gericht um die Untersagung der Tätigkeit ersuchen.

Eine Lesart für diejenigen, die Agenten im Unternehmen einsetzen, veröffentlicht Beri^[2], die das Unternehmen in den Mittelpunkt stellt, das den Agenten laufen lässt. Die Auseinandersetzung zwischen den Senatoren in jenen Stunden schildert Roll Call^[3] am 1. Oktober 2026.

Was dem Text fehlt, und warum das wiegt

Eine Pressemitteilung bleibt eine Pressemitteilung. Es fehlen die Nummer des Gesetzentwurfs, der zuständige Ausschuss, der ausformulierte Text und die formelle Einbringung.

Es fehlen auch die Strafen. Murphy spricht von Haft, ohne Jahre und ohne Beträge.

Der Schadensrahmen ist in der Ankündigung äußerst eng: Der benannte Tatbestand ist der Schaden durch Eindringen. Ein Agent, der auf einem falschen Datum handelt und eine fehlerhafte Entscheidung erzeugt, bleibt außerhalb dieses Rahmens.

Hier öffnet sich die Frage, die jedes Board zu Protokoll nehmen sollte. Was ist das Gedächtnis wert, auf dem eure Agenten handeln, und welche benannte Rolle haftet für seinen Inhalt, schriftlich, vor dem Rollout? Die Antwort kommt heute aus den Verträgen und vom Zivilgericht, und sie bleibt außerhalb der angekündigten Reform.

Singapur belässt die Verantwortung bei denen, die einsetzen und überwachen

Singapur liefert den nützlichen Kontrast, in einer anderen Rechtsordnung. Das Rahmenwerk für KI-Agenten, Version 1.5, trägt das Datum 20. Mai 2026.

Das Dokument belässt die Verantwortung bei denen, die die Agenten einsetzen, und bei denen, die sie überwachen. Das Prinzip ist geradlinig: Die Automatisierung verschiebt die Ausführung und lässt die Befehlskette dort, wo sie war.

Ein Detail verdient Aufmerksamkeit für alle, die diesen Text zitieren. Die Einordnung als «freiwillig» stammt aus der Auslegung der Anwaltskanzlei Bird & Bird und steht außerhalb des Rahmenwerks. Wer sie wiedergibt, zitiert einen Berater in der Rolle eines Beraters, und dieser Unterschied gehört dem Leser gesagt.

Für eine Gruppe mit Geschäft im asiatischen Raum ist das Rahmenwerk seit vergangenem Mai die operative Referenz. Die beiden Rechtsordnungen treffen sich in einem Punkt: Die menschliche Aufsicht bleibt eine dokumentierbare Pflicht.

Drei Entscheidungen für das Board

Das Governance-Signal hält den Senatssaal und das Singapurer Rahmenwerk zusammen: Die Verantwortung folgt der Kontrolle, und die Kontrolle beweist sich mit Dokumenten.

1. Schriftliches Mandat für jeden Agenten im Produktivbetrieb: Handlungsrahmen, zugängliche Daten, benannte Rolle, die für das Rollout haftet.
2. Verkettetes und aufbewahrtes Handlungsregister, mit der Quelle jedes Datums, auf dem der Agent gehandelt hat.
3. Angemessene Schutzmaßnahmen, erklärt und datiert, weil die Ankündigung Hawley-Murphy sie als Maßstab für Entwickler verwendet.

Der Chief Risk Officer aktualisiert das Risikorahmenwerk um zwei neue Posten: Kontrollverlust über einen Agenten und Handeln auf fehlerhaften Daten. Der erste ist schon ein zivilrechtliches Risiko; der zweite lebt in den Verträgen mit den Kunden.

Das Audit & Risk Committee prüft, welche Information die Aktionäre brauchen, wenn Agenten in wesentlichen Prozessen arbeiten. Der CEO dagegen entscheidet einen Punkt: welche Tätigkeiten einem Agenten anvertraut bleiben, solange der Gesetzestext fehlt.

Das Audit bleibt verpflichtend; sein Rahmen verändert sich. Die Organisationen, die die Rolle vor dem Rollout benennen, halten einen Vorsprung von Monaten, wenn die Durchsetzung wirklich beginnt.

Der regulatorische Horizont

Stand der Dinge, zum 5. Oktober 2026. Der CFAA gilt in seiner heutigen Fassung, mit dem Vorsatzerfordernis in §1030(a)(5)(A).

Der AI Agent Accountability Act steht im Stadium der Ankündigung: zwei Pressemitteilungen, null veröffentlichter Text, null Einbringung. Der Vorschlag, «intentionally» zu streichen, gehört zur Stellungnahme eines Zeugen und bleibt dem Gesetzentwurf fremd.

Das Singapurer Rahmenwerk für Agenten, Version 1.5, gilt seit dem 20. Mai 2026. Der amerikanische Zivilweg, Fahrlässigkeit und Produkthaftung, steht jetzt offen und läuft parallel zu jeder strafrechtlichen Reform.

Die Frage, welches Gesetz einen Agenten bestraft, bleibt offen. Die Frage, wer im Unternehmen für sein Handeln haftet, hat schon eine Antwort, und sie schreibt sich vor dem Rollout.