Ein Fraud-System erkennt ein auffälliges Muster. Ein Agent sammelt Kontext, formuliert eine Fallzusammenfassung und empfiehlt eine Maßnahme. Bis hierhin lässt sich die Technik noch als Assistenz beschreiben.

Dann sperrt der Agent die Zahlung, stößt eine Kundenansprache an und verändert das Risikoprofil.

An diesem Punkt endet die Debatte über bessere Betrugserkennung. Es beginnt die Debatte über Entscheidungsmacht.

FICO beschreibt genau diesen Übergang. Agentische Systeme sollen neue Betrugsmuster autonom erkennen, Ermittlungsnarrative erzeugen und Schutzmaßnahmen empfehlen oder in Echtzeit ausführen. Als Beispiele nennt der Anbieter eine vorläufige Sperre, eine Kundenansprache und die Aktualisierung eines Risikoprofils. Das alles soll mit „vollständiger Auditierbarkeit“ geschehen.

Das Versprechen klingt technisch. Tatsächlich ist es eine Governance-Behauptung. Denn ein System, das handelt, braucht mehr als ein Protokoll seiner Tool Calls. Es braucht eine kontrollierte Entscheidungsarchitektur: Wer durfte handeln? Auf welcher Evidenz? Unter welcher Policy? Für wie lange? Mit welchem Rückweg? Und wer trägt die Verantwortung, wenn ein Unbeteiligter getroffen wird?

Der entscheidende Sprung verläuft nicht von regelbasierter zu agentischer KI. Er verläuft von Erkennen zu Eingreifen.

FICOs These: Fraud wird zur Plattform- und Agentenaufgabe

Der FICO-Beitrag bündelt drei Marktthesen. Erstens wandert Fraud Management von isolierten Lösungen zu Plattformen, die Daten, Analytik, Workflows und Case Management über Produkte und Kanäle verbinden. Zweitens sollen generative Modelle Fallinformationen erklären und zusammenfassen. Drittens sollen agentische Systeme nicht nur Vorschläge erstellen, sondern selbstständig mehrstufige Schutzaktionen planen und ausführen.

Der Ausgangspunkt ist plausibel. Betrüger wechseln zwischen Karte, Konto, Identität, Gerät, Kommunikationskanal und Zahlungsart. Getrennte Systeme erzeugen blinde Flecken. Schnellere Zahlungen verkürzen zugleich die Zeit für Interventionen. Die britische Erstattungspflicht für bestimmte APP-Scams verstärkt den wirtschaftlichen Druck: Seit dem 7. Oktober 2024 müssen Zahlungsdienstleister im Faster-Payments-System anspruchsberechtigte Schäden grundsätzlich bis zu 85.000 Pfund pro Fall erstatten. Der Payment Systems Regulator will damit nicht nur Opfer schützen, sondern Prävention finanziell erzwingen.

Der Anreiz ist klar: Wer schneller entscheidet, kann Verluste verhindern. Doch dieselbe Geschwindigkeit erhöht den Schaden falscher Entscheidungen. Eine abgelehnte Zahlung ist kein abstrakter Modellfehler. Eine Kontosperre kann Miete, Gehalt oder medizinische Ausgaben blockieren. Eine dauerhaft erhöhte Risikoklasse kann spätere Entscheidungen beeinflussen, ohne dass der Betroffene den Ursprung kennt.

Fraud Detection und Fraud Intervention sind deshalb zwei verschiedene Domänen.

Die Wirkung entscheidet über die Governance

Viele Agentic-AI-Debatten sortieren Systeme nach Modelltyp: regelbasiert, Machine Learning, generativ oder agentisch. Für die Kontrolle ist eine andere Einteilung wichtiger: Welche Wirkung darf das System auslösen?

Ein System kann auf Stufe 1 hochautonom arbeiten und auf Stufe 5 trotzdem eine verbindliche menschliche Entscheidung benötigen. Umgekehrt kann eine automatisierte Echtzeitunterbrechung auf Stufe 4 vertretbar sein, wenn sie eng begrenzt, zeitlich kurz, regelgebunden und automatisch reversibel ist.

Die Governance sollte daher nicht pauschal fragen: Darf der Agent autonom sein?

Sie sollte fragen: Welche Zustandsänderung darf der Agent unter welchen Bedingungen auslösen?

„Voll auditierbar“ ist noch keine Architektur

FICO verbindet die autonome Ausführung ausdrücklich mit vollständiger Auditierbarkeit. Der Beitrag erklärt jedoch nicht, was darunter technisch und fachlich zu verstehen ist.

Ein Log kann festhalten, dass ein Agent um 10:41 Uhr das Tool hold_payment aufgerufen hat. Ein Trace kann zeigen, welche Datenbanken und Modelle beteiligt waren. Beides beantwortet noch nicht, warum die Sperre zulässig war und wer die Policy verantwortet hat.

Für eine eingreifende Fraud-Entscheidung müssen mindestens vier Ebenen auseinandergehalten werden:

1. Event Log: Was ist technisch geschehen?
2. Trace: Welche Schritte, Modelle und Tools führten zur Aktion?
3. Evidence Record: Welche Quellen und Befunde stützen die Betrugshypothese?
4. Decision Record: Welche Policy autorisierte welche Wirkung, mit welcher Dauer und welchem Rückweg?

Ein Agent ist nicht auditierbar, weil seine Schritte gespeichert werden. Er ist auditierbar, wenn seine Wirkung fachlich begründet, organisatorisch zurechenbar und technisch rücknehmbar ist.

Die Agentic Audit Pipeline kontrolliert die Qualität der Fallaufbereitung. Die Agentic Control Plane begrenzt Tools, Schleifen, Budgets und Freigaben. Der Decision Record verbindet beide Ebenen mit der tatsächlichen Kundenwirkung.

Der regulatorische Zwischenraum

Die verbreitete Annahme, der EU AI Act löse diese Governance-Frage automatisch, greift zu kurz. Anhang III stuft KI-Systeme zur Bewertung der Kreditwürdigkeit natürlicher Personen grundsätzlich als hochriskant ein, nimmt Systeme zur Erkennung von Finanzbetrug in diesem konkreten Tatbestand aber ausdrücklich aus. Das bedeutet nicht, dass Fraud-Systeme außerhalb des AI Act oder anderer Rechtsregime stehen. Es bedeutet, dass die Hochrisikoklassifizierung nicht allein aus diesem Anwendungsfall folgt. AI Act, Anhang III Nummer 5 Buchstabe b.

Auch die aktuelle US-Modellrisiko-Guidance lässt einen bemerkenswerten Zwischenraum. Die Federal Reserve, OCC und FDIC haben mit SR 26-2 im April 2026 ihre gemeinsame Modellrisiko-Guidance überarbeitet. Sie ist risikobasiert angelegt und nach Angabe der Federal Reserve vor allem für von ihr beaufsichtigte Institute mit mehr als 30 Milliarden US-Dollar Bilanzsumme relevant. Generative und agentische KI sind ausdrücklich nicht in ihrem Geltungsbereich. Die Behörden ergänzen zwar, dass allgemeine Governance- und Risikomanagementpraktiken weiterhin zur Bestimmung angemessener Kontrollen herangezogen werden sollten. Ein konkret ausformulierter Kontrollstandard für Fraud-Agenten entsteht daraus jedoch nicht.

Die britische PRA geht breiter vor. Ihre Model Risk Management Principles umfassen Governance, unabhängige Validierung und Risikominderungsmaßnahmen; auch komplexe Systeme zur Bekämpfung von Finanzkriminalität können in den Modellrisikorahmen fallen. Die Erklärung gilt allerdings für einen bestimmten Kreis britischer Institute und bleibt modellzentriert. Der Übergang von einem Modelloutput zu einer autonomen Kundenmaßnahme braucht weiterhin eine eigene Policy- und Ausführungsschicht.

Das Ergebnis ist keine unregulierte Zone. Zahlungsrecht, Verbraucherrechte, Datenschutz, operative Resilienz, interne Governance und Aufsicht gelten weiter. Aber es existiert eine Lücke zwischen allgemeinen Pflichten und der konkreten Frage, wie ein autonom handelnder Fraud-Agent kontrolliert werden muss.

Das Modell darf nicht die eigene Eingriffsbefugnis bestimmen

Ein besonders riskantes Muster entsteht, wenn ein Agent gleichzeitig Betrugshypothese, Konfidenz und Maßnahme erzeugt. Dann beantwortet dasselbe System drei verschiedene Fragen:

• Was ist vermutlich passiert?
• Wie sicher ist diese Einschätzung?
• Welche Wirkung darf daraus folgen?

Diese Aufgaben gehören in getrennte Domänengrenzen.

Der Agent darf Evidenz sammeln, Hypothesen bilden und Maßnahmen vorschlagen. Die Eingriffsbefugnis kommt aus einer versionierten Policy, nicht aus dem Sprachmodell. Das Policy Gate prüft unter anderem Wirkungsklasse, Konfidenz, Evidenzqualität, Kundensegment, Betrag, gesetzliche Restriktionen und erforderliche Freigabe.

Diese Trennung schützt auch vor Belief Injection. Übernimmt ein Agent eine manipulierte Prämisse aus Retrieval oder Memory, darf daraus nicht automatisch dieselbe Eingriffsbefugnis entstehen wie aus einem harten, verifizierten Signal.

Der Decision Record ist die zentrale Invariante

Für jede Maßnahme mit Kundenwirkung sollte ein Decision Record mindestens folgende Informationen enthalten:

• eindeutige Fall-, Entscheidungs- und Aktions-ID,
• vorgeschlagene und tatsächlich ausgeführte Maßnahme,
• Wirkungsklasse und erwarteter Kundeneffekt,
• verknüpfte Evidenz mit Quellenreferenzen,
• Modell-, Agenten-, Prompt- und Policy-Version,
• Konfidenz sowie maschinenlesbare Reason Codes,
• menschliche Freigabe oder dokumentierte Regel für automatisierte Ausführung,
• Zeitpunkt, Gültigkeitsdauer und automatische Ablaufbedingung,
• Eskalations-, Widerspruchs- und Rücknahmepfad,
• Ergebnis der Maßnahme und spätere Neubewertung.

Damit wird eine temporäre Sperre zu einem kontrollierten Zustand statt zu einem einzelnen API-Aufruf.

Gerade Echtzeitentscheidungen brauchen eine solche Zustandslogik. Der bereits veröffentlichte Beitrag zu Project Hertha und Echtzeit-Governance beschreibt denselben Grundsatz: Nicht jede Intervention muss vorher manuell bestätigt werden. Aber jede Intervention muss auf einer verantworteten Policy beruhen und als überprüfbarer Zustand vorliegen.

Selbstoptimierung ist kontrollierte Modelländerung

FICO beschreibt den Fraud-Agenten als System, das aus Ergebnissen kontinuierlich lernt und sich zu einer proaktiven, selbstoptimierenden Abwehrumgebung entwickelt. Auch das ist zunächst ein Anbieteranspruch. Aus Governance-Sicht entsteht damit ein zweites Problem: Das System verändert die Grundlage seiner späteren Entscheidungen.

Die PRA hat in ihrer Policy-Erklärung PS6/23 bei dynamischer Rekalibrierung bereits vor einem bekannten Muster gewarnt: Viele kleine Änderungen können sich zu einer materiellen Veränderung des Modelloutputs aufaddieren, ohne dass ein einzelner Schritt groß genug für eine Prüfung wirkt.

Für agentische Fraud-Systeme folgt daraus:

• Lernen und produktive Policy-Änderung müssen getrennt sein.
• Neue Strategien laufen zunächst im Shadow Mode.
• Veränderungen brauchen versionierte Tests und definierte Akzeptanzgrenzen.
• Policy und Modell dürfen nicht gemeinsam unkontrolliert driften.
• Ein Rollback muss Modell, Prompt, Tools und Entscheidungspolicy umfassen.
• Outcome-Daten müssen zwischen verhindertem Betrug und bloß verhinderter Transaktion unterscheiden.

Ein Agent, der aus jeder Sperre lernt, hat noch keinen Beweis, dass die Sperre richtig war. Ohne bestätigten Outcome kann das System seine eigenen Fehlentscheidungen als Trainingssignal übernehmen.

Precision und Recall reichen nicht

Ein Fraud-Modell wird häufig über Trefferquote, False Positives und verhinderten Verlust bewertet. Ein handelnder Agent braucht zusätzliche Wirkungsmetriken:

• Anteil automatischer Interventionen nach Wirkungsklasse,
• Quote später aufgehobener Sperren,
• Zeit bis zur Korrektur einer Fehlentscheidung,
• Zahl betroffener legitimer Kunden und blockierter legitimer Beträge,
• Beschwerden und Widersprüche je Policy-Version,
• Anteil von Aktionen ohne vollständigen Decision Record,
• Ablauf- und Rücknahmerate temporärer Maßnahmen,
• Unterschiede zwischen Kundengruppen, Kanälen und Regionen,
• Drift zwischen vorgeschlagener und tatsächlich ausgeführter Maßnahme,
• vermiedener Schaden im Verhältnis zum verursachten Kundenschaden.

AgentOps muss deshalb nicht nur Systemzustände und Tool Calls beobachten. Es muss die fachliche Wirkung einer Agentenentscheidung bis zum bestätigten Ergebnis verfolgen.

Was Institute von Anbietern verlangen sollten

Die Behauptung „full auditability“ sollte in Ausschreibungen nicht als Feature akzeptiert werden. Sie muss in prüfbare Anforderungen zerlegt werden:

1. Welche Schritte sind deterministisch rekonstruierbar?
2. Welche Quellen werden mit stabilen Referenzen gespeichert?
3. Welche Aktionen kann der Agent selbst ausführen?
4. Welche Policies begrenzen Betrag, Dauer, Kundengruppe und Wirkung?
5. Welche Aktionen erfordern menschliche Freigabe?
6. Wie funktioniert ein sofortiger Kill Switch?
7. Wie werden Entscheidungen zurückgenommen und Folgesysteme korrigiert?
8. Wie werden Modell-, Prompt-, Tool- und Policy-Änderungen versioniert?
9. Wie lassen sich Vendor-Modelle unabhängig validieren?
10. Welche Daten belegen, dass eine verhinderte Transaktion tatsächlich betrügerisch war?

Der letzte Punkt ist besonders unbequem. Ein System kann eine hohe Zahl „verhinderter Betrugsfälle“ melden, obwohl es lediglich viele verdächtige Transaktionen gestoppt hat. Ohne belastbaren Outcome bleibt die Wirksamkeitszahl eine Schätzung mit Vertriebswert.

Autonomie muss an Wirkung gebunden werden

FICOs Beitrag beschreibt eine plausible Entwicklung: Fraud-Systeme werden kanalübergreifender, schneller und agentischer. Die offene Frage ist nicht, ob Agenten Betrugsanalysten unterstützen können. Das können sie bereits bei Recherche, Fallverdichtung und Narrativerstellung.

Die offene Frage beginnt dort, wo der Agent den Zustand eines Kunden, eines Kontos oder einer Zahlung verändert.

An dieser Grenze genügt es nicht, jeden Tool Call zu speichern. Ein produktionsfähiger Fraud-Agent braucht eine Wirkungsklassifikation, ein unabhängiges Policy Gate, zeitlich begrenzte Aktionen, menschlich verantwortete Eskalationspunkte, einen Korrekturpfad und einen vollständigen Decision Record.

Das Modell erkennt. Die Policy erlaubt. Der Executor handelt. Der Decision Record beweist, warum.

Erst diese Trennung macht aus agentischer Betrugserkennung eine kontrollierbare Finanzfunktion.

Einordnung der Beleglage

• Anbieterbehauptung: FICO beschreibt autonome Erkennung, Narrativerstellung, Schutzmaßnahmen, kontinuierliches Lernen und vollständige Auditierbarkeit.
• EU-Recht: Der AI Act nimmt Fraud Detection im konkreten Hochrisiko-Tatbestand für Kreditwürdigkeitsprüfung aus; daraus folgt keine generelle Ausnahme von allen Pflichten.
• US-Guidance: SR 26-2 gilt seit 17. April 2026 und schließt generative sowie agentische KI ausdrücklich aus seinem Modellrisiko-Geltungsbereich aus.
• Britische Aufsichtserwartung: PRA SS1/23 verlangt für den erfassten Institutskreis Modellinventar, Governance, Validierung und Risikominderungsmaßnahmen; Finanzkriminalitätssysteme können erfasst sein.
• Watchdog-Analyse: Wirkungsklassen, Policy Gate, Decision Record, Reversibilität und zusätzliche Outcome-Metriken.
• Quellenstand: 10. Juli 2026.