Cloudflare gibt Bots Geldbörsen: HTTP 402 erwacht und das Web teilt sich in zwei Hälften

```html

Am 4. August 2026 hat Cloudflare KI-Agenten Wallets zur Verfügung gestellt. Nicht metaphorisch – buchstäblich: Der Agent erhält ein Konto in Stablecoins, und die Website über Cloudflare kann ihm mit dem Code HTTP 402 Payment Required eine Preisliste anstelle einer Seite zurückgeben. Der Code 402 war dreißig Jahre lang in der HTTP-Spezifikation als „für die Zukunft reserviert“ aufgeführt. Die Zukunft ist eingetreten, und sie verändert direkt die Wirtschaft des Web-Scrapings.

Was genau angekündigt wurde

Die Ankündigung erfolgte während der Agents Week – einer Themenwoche von Cloudflare. An einem Tag wurden zwei Produkte vorgestellt:

• Cloudflare Wallets – ein programmierbares Wallet. Es gibt das Account Wallet, das der Mensch, der das Konto besitzt, verwaltet: Er kann Geld einzahlen und abheben. Und es gibt Virtual Wallets – diese werden bestimmten Agenten zugewiesen, der Zugriff erfolgt über einen API-Schlüssel, und die Limits werden vom Eigentümer festgelegt. Die Gardrails sind direkt in der Ankündigung aufgeführt: erlaubtes Budget (allowance), Liste der erlaubten Empfänger (allow-list) und maximaler Betrag pro Transaktion.
• cloudflare.pay – ein Identifikations-Handle. Das Konto erhält eine stabile Webadresse, die als Ausweis fungiert; die Identität kann an einzelne Agenten delegiert werden, damit die empfangende Partei sieht, wer genau die Anfrage autorisiert hat.

Matthew Prince, Mitbegründer und CEO von Cloudflare, formulierte die Logik so: Wenn ein Agent an Ihre Tür klopft, müssen Sie wissen, wer ihn geschickt hat – das Unternehmen gibt den Agenten ein „Gesicht“, eine Verbindung zu einer Person oder Organisation, die Eigentümer ist, und darauf aufbauend sind Vertrauen, Verantwortung und Handel möglich.

Ein wichtiger Punkt, der in den Berichten oft verloren geht: gerade jetzt funktioniert nur die Reservierung des Handles. Will Pepper, Produktdirektor, beschreibt den Rest in der Zukunftsform – das Wallet „wird es ermöglichen“, Stablecoins zu speichern, Dienstleistungen zu kaufen und Geld zu empfangen. Voller Zugriff, einschließlich Ein- und Auszahlungen sowie virtueller Wallets, wird in den „nächsten Monaten“ versprochen. Das heißt, dies ist eine Bewerbung für die Infrastruktur und kein heute funktionierendes Abrechnungssystem.

Unter der Haube: x402 und der wiederbelebte Code 402

Zahlungen erfolgen über das Protokoll x402 – einen offenen Standard, der nach dem gleichen Statuscode benannt ist. Das Schema fügt sich in das normale HTTP ein, ohne eine Weiterleitung auf eine Zahlungsseite:

1. Der Client fordert eine kostenpflichtige Ressource an.
2. Der Server gibt anstelle des Inhalts 402 Payment Required und einen kleinen Payload zurück: Preis, akzeptierte Währung, wohin zu zahlen.
3. Der Client bezahlt und wiederholt die Anfrage, indem er den Zahlungsnachweis beifügt.
4. Der Facilitator überprüft die Zahlung, der Server gibt die Ressource zurück.

Das Protokoll entstand aus der Entwicklung von Coinbase und lebt jetzt unter dem Dach der x402 Foundation innerhalb der Linux Foundation. Die Zusammensetzung der Teilnehmer erklärt, warum dies kein weiterer Blockchain-Experiment ist: Unter den 25+ Unternehmen rund um den Standard befinden sich Visa, Mastercard, American Express, Google, Shopify und Stripe. Die Abrechnungen erfolgen in Stablecoins (USDC), Cloudflare gibt eine Sub-Sekunden-Abwicklung und die Möglichkeit an, dass der Verkäufer Geld direkt in sein Wallet erhält oder in Fiat umwandelt.

Dies ist nicht der erste Schritt, sondern der dritte

Die Wallets sind das letzte Element einer Konstruktion, die Cloudflare seit über einem Jahr zusammenstellt:

• Juli 2025 – pay per crawl. Der Website-Besitzer legt einen Preis für die Zone fest; ein Crawler, der nicht angibt, dass er zahlen möchte, erhält 402 mit Preisangabe anstelle von Inhalten. Diese Funktion befindet sich weiterhin in der geschlossenen Beta.
• 1. Juli 2026 – Monetization Gateway. Erweiterung von Crawlern auf jeden: Geld kann für jede Ressource über Cloudflare verlangt werden – eine Webseite, einen Datensatz, eine API oder einen Aufruf eines MCP-Tools. Die Zahlungsüberprüfung erfolgt am Edge und nicht am Origin, es ist kein eigener Zahlungsstapel erforderlich. Eine Warteliste ist eröffnet.
• 4. August 2026 – Wallets und cloudflare.pay. Es gibt nun die zweite Seite des Geschäfts: den, der zahlt, und seine Identität.

In der Ankündigung des Monetization Gateway gibt es Preisbeispiele – diese sollten genau betrachtet werden, da sie die ersten öffentlichen Preisrichtlinien für den maschinellen Zugriff darstellen: einige Cent für die Websuche mit Zahlung pro Aufruf; $0,001 Grundgebühr plus $0,01 pro Megabyte am Download-Endpunkt; $0,99 für eine erfolgreich abgeschlossene Eskalation im Support – Zahlung nur für das Ergebnis.

Warum das überhaupt passiert: Bots sind zur Mehrheit geworden

Die wirtschaftlichen Hintergründe sind in den eigenen Statistiken von Cloudflare Radar sichtbar. In der Woche, die am 10. August 2026 endete, lieferten Bots 60,6% der Anfragen an HTML-Inhalte im Vergleich zu 39,4% von Menschen. Noch Anfang Juni 2026 betrug das Verhältnis 57,5% zu 42,5% – das heißt, Maschinen haben nicht nur die Hälfte überschritten, der Anteil wächst weiter.

Für den Website-Besitzer ist dies ein Bruch im Modell: Der Traffic wächst, aber die Anzeigenimpressionen und Klicks nicht. Daher gibt es auch den zweiten Hebel, über den wir separat geschrieben haben: Ab dem 15. September 2026 blockiert Cloudflare standardmäßig Training- und Agent-Crawler auf Seiten mit Werbung für neue Kunden und neue Websites (Suchcrawler bleiben erlaubt, die Einstellung kann deaktiviert werden). Laut den Juli-Messungen betrifft die Standardblockierung etwa 8,5% des Top-Webs.

Die Verbindung erscheint logisch: Zuerst die Tür schließen, dann eine Kasse daneben aufstellen.

Was das für das Scraping bedeutet: Das Web teilt sich in zwei Teile

Eine zentrale Konsequenz, die man klar aussprechen sollte. Früher gab es zwei Zugangsarten – „erlaubt“ und „blockiert“. Jetzt gibt es drei, und die dritte ist „zahlen“.

Aber in diesen dritten Zustand kommt nicht jeder Traffic, sondern nur der, der sich selbst erklärt. Um einen sinnvollen 402 zu erhalten und zu zahlen, muss der Agent eine Identität haben: einen Handle, signierte Anfragen, eine Bindung an den Eigentümer. Dies ist genau die Linie, entlang der Web Bot Auth mit kryptografischen Signaturen von Bots verläuft – das Web wechselt von der Frage „Wer bist du nach IP“ zur Frage „Beweise kryptografisch, wer du bist“.

Und der Traffic, der wie ein normaler Browser eines normalen Menschen aussieht, gelangt einfach nicht in den Zahlungs-Trichter. Er gelangt dorthin, wo er immer hingelangte: in den Anti-Bot-Konturen mit Fingerprinting, Verhaltensanalyse und IP-Reputation.

Von hier aus ergibt sich die Entscheidung für das Jahr 2026, und man muss bewusst wählen:

1. Der Weg des „erklärten Agenten“. Sie erhalten eine Identität, zahlen nach 402 und erhalten vorhersehbaren, rechtlich einwandfreien Zugang ohne Wettrüsten. Der Preis – Geld für jede Anfrage und vollständige Nachverfolgbarkeit: Die empfangende Partei sieht, wer Sie genau geschickt hat, und kann Sie gezielt ausschalten.
2. Der Weg des „normalen Benutzers“. Sie bewegen sich wie ein Mensch – mit einer Residential- oder Mobil-IP, mit einem ehrlichen Browser-Fingerabdruck, in menschlichem Tempo. Für Sie gibt es keine kostenpflichtige Schranke, weil Sie kein Bot im Sinne dieses Systems sind. Der Preis – die Qualität der Infrastruktur: Residential Proxies für eine breite Abdeckung und mobile dort, wo das höchste Maß an Vertrauen erforderlich ist.

Der dritte Weg – „sich als Agent ausgeben und nicht zahlen“ – wird gerade geschlossen.

Berechnen Sie die Arithmetik, bevor Sie wählen

Mikrozahlungen klingen harmlos, bis man sie mit dem Volumen multipliziert. Nehmen wir die von Cloudflare veröffentlichte Richtlinie „einige Cent pro Aufruf“. Selbst bei 2 Cent für eine Million Seiten sind das etwa 20.000 $. Bei $0,001 Grundgebühr sieht die Situation anders aus: dieselbe Million Anfragen kostet etwa 1.000 $ plus Gebühren für den Traffic. Die Spanne ist um einen Faktor unterschiedlich – und sie hängt vollständig davon ab, welchen Preis die jeweilige Zone festlegt.

Praktische Schlussfolgerung: Der Preis für maschinellen Zugriff hört auf, eine Konstante der Infrastruktur zu sein, und wird zu einer Variablen, die jede Website separat festlegt. Es wird nicht mehr möglich sein, das Budget für das Datensammeln „im Durchschnitt“ zu planen – man muss für jede Quelle rechnen, wie man den Kauf von APIs plant.

Wichtiger Hinweis: Dies sind Schätzungen basierend auf den von Cloudflare veröffentlichten Preisbeispielen, keine Tarife. Die tatsächlichen Zahlen werden erscheinen, wenn das Monetization Gateway die Warteliste verlässt und Wallets aus dem „Handle reservieren“-Modus.

Was jetzt zu tun ist

1. Überprüfen Sie Ihre Quellen auf 402. Fügen Sie in die Überwachung der Parser eine separate Verarbeitung des Codes 402 hinzu – derzeit wird die Mehrheit der Pipelines ihn in den allgemeinen Haufen „Fehler 4xx“ fallen lassen und Sie werden den Moment nicht bemerken, in dem die Quelle auf ein kostenpflichtiges Modell umgestiegen ist.
2. Teilen Sie die Quellen nach Zugangsmodus auf. Erstellen Sie eine Liste: Wo Sie bereits über die offizielle API gehen, wo – wie ein Browser, wo ein kostenpflichtiger Zugang wahrscheinlich ist. Der erste Kandidat für kostenpflichtigen Zugang sind große Medien und Datensätze über Cloudflare.
3. Beeilen Sie sich nicht, sich als Agent auszugeben. Solange die Funktionalität nicht gestartet ist, bietet die Registrierung einer Identität nur Nachverfolgbarkeit ohne Gegenleistung. Die Reservierung eines Handles auf cloudflare.pay ist eine günstige Versicherung für die Zukunft, nicht mehr.
4. Halten Sie die Infrastruktur für den „menschlichen“ Weg bereit. Egal wie die kostenpflichtige Schicht aussieht, die Anti-Bot-Konturen werden nicht verschwinden, und die Qualität des IP-Pools bleibt ein grundlegender Faktor. Wenn Sie mit Plattformen arbeiten, auf denen es niemals einen maschinellen Tarif geben wird – soziale Netzwerke, Marktplätze, Ticketing – ändert sich für Sie formal nichts.
5. Planen Sie eine Zeile „Zugangszahlung“ in das Budget für 2027 ein. Selbst wenn heute keine Ihrer Quellen Geld verlangt, ist die Richtung durch die infrastrukturelle Schicht vorgegeben, durch die ein erheblicher Teil des Webs verläuft.

Fazit

Cloudflare hat das fehlende Glied vervollständigt: Maschinen haben gleichzeitig einen Identitätsausweis und eine Zahlungsmöglichkeit erhalten. Dies ist nicht das „Ende des kostenlosen Internets“ – ein funktionierendes Abrechnungssystem gibt es noch bei keinem der drei Teile der Konstruktion, und pay per crawl sitzt seit über einem Jahr in der geschlossenen Beta. Aber die Richtung ist festgelegt, und hinter dem Standard stehen Visa, Mastercard, Google und Stripe, nicht Enthusiasten.

Der praktische Sinn für diejenigen, die Daten sammeln, ist einfach. Das Web teilt sich in zwei Konturen: kostenpflichtig und identifizierbar – für erklärte Agenten, und das gewohnte menschliche – für alle anderen, wo der Browser-Fingerabdruck, das Verhalten und die IP-Reputation entscheiden. Die Wahl der Kontur ist jetzt eine strategische Entscheidung mit einem Preis, keine technische Einzelheit mehr. Es ist besser, diese Entscheidung zu treffen, bevor die erste wichtige Quelle Ihnen mit dem Code 402 antwortet.