Am 4. August 2026 hob das Berufungsgericht des neunten Bezirks der USA die vorläufige Verfügung auf, die seit März dem Agenten-Browser Perplexity Comet den Zugriff auf die Benutzerkonten bei Amazon verwehrte. Formell handelt es sich um einen Streit zwischen zwei Unternehmen über Käufe durch KI. Tatsächlich ist es die erste Berufungsentscheidung, die eine Frage beantwortet, die weit über die agentenbasierte Kommerzialisierung hinausgeht: wer genau „Zugriff“ auf einen fremden Server erhält, wenn eine Automatisierung eine Anfrage sendet. Und die Antwort des Gerichts stieß unerwartet nicht auf rechtliche, sondern auf netzarchitektonische Aspekte.
Was passiert ist: vom Klage bis zur Aufhebung der Verfügung
Die Chronologie des Streits sieht folgendermaßen aus:
- November 2025 — Amazon reicht eine Klage gegen Perplexity AI ein und beruft sich auf den Bundesgesetz über Computerbetrug und -missbrauch (CFAA) sowie dessen kalifornischen Pendant. Der Vorwurf: Der Agent Comet loggt sich in die Benutzerkonten ein, durchsucht Produkte und initiiert Käufe, das heißt, er agiert in einem passwortgeschützten Bereich ohne die Autorisierung der Plattform selbst.
- Vorgeschichte — Laut Amazon hatte das Unternehmen Perplexity mindestens fünf Mal seit November 2024 gewarnt, im August 2025 wurde eine technische Barriere eingerichtet, und Perplexity veröffentlichte innerhalb von 24 Stunden ein Update, das diese umging. Ein weiterer Vorwurf: Der Agent tarnte sich als gewöhnliche Sitzung von Google Chrome.
- 9. März 2026 — Richterin Maxine Chesney (Nordbezirk Kalifornien) erlässt eine vorläufige Verfügung und ordnet die Vernichtung der von Amazon erhaltenen Daten an. Ihre Formel: Der Zugriff erfolgte mit Erlaubnis des Amazon-Nutzers, jedoch ohne Autorisierung seitens Amazon.
- 4. August 2026 — Der neunte Bezirk (Fall Nr. 26-1444) hebt die Verfügung auf: Amazon wird wahrscheinlich in der Sache der CFAA-Vorwürfe nicht gewinnen.
Amazon erklärte, dass es mit der Entscheidung nicht einverstanden sei und den Streit fortsetzen werde. Perplexity antwortete, dass sie das Recht der Benutzer verteidigen werde, jede KI zu wählen. Der Fall ist dabei nicht verschwunden: Das Verfahren vor dem Gericht erster Instanz geht weiter, und Amazon kann eine Überprüfung beantragen oder in die nächste Instanz gehen.
Der entscheidende Schritt: Der Agent ist ein Werkzeug, kein Subjekt
Der CFAA bestraft den Zugriff auf einen „geschützten Computer“ ohne Autorisierung. Der gesamte Streit reduzierte sich auf ein einziges Verb: Wer hat den Zugriff ausgeführt? Amazon sagte — Perplexity, weil dessen Agent auf der Plattform agierte. Perplexity antwortete — der Benutzer, der dem Agenten den Befehl erteilt hat.
Das Berufungsgericht stellte sich auf die zweite Position und formulierte es klar: Egal wie fortschrittlich der Agent ist, für die Zwecke des Gesetzes „es ist ein Werkzeug, kein Mensch“ — ein Werkzeug, kein Subjekt. Wenn der Benutzer dem Agenten auf Amazon.com etwas aufträgt, erfolgt der Zugriff auf die Computer von Amazon durch den Benutzer selbst.
Dies ist eine logische Fortsetzung der Linie des Obersten Gerichtshofs im Fall Van Buren v. United States (2021), das den CFAA eingegrenzt hat: Das Gesetz bestraft das Eindringen in Bereiche, zu denen kein Zugriff besteht, und nicht die Nutzung eines legalen Zugriffs „nicht wie vorgesehen“. Der Amazon-Benutzer hat ein Konto und das Recht, darauf zuzugreifen. Das Werkzeug, mit dem er dies tut, wird nicht selbst zum Subjekt eines Hacks.
Warum die Architektur des Verkehrs alles entschied
Der technisch interessanteste Teil der Entscheidung — das Gericht analysierte, wie der Comet Assistant physisch strukturiert ist, und genau dies bestimmte den Ausgang.
Das Funktionsschema ist folgendermassen: Der Agent erstellt Screenshots des Browserfensters auf dem Gerät des Benutzers, sendet sie an die Server von Perplexity, und von dort kommen Navigationsanweisungen — zurück auf den Computer des Benutzers, der die Aktionen ausführt. Die Server von Perplexity kommunizieren nicht direkt mit den Servern von Amazon. Der gesamte Verkehr, den Amazon sieht, kommt vom Gerät und der IP-Adresse des Benutzers selbst.
Von hier aus ergibt sich der Schluss des Gerichts. Wenn die Anfrage physisch vom Benutzer ausgeht, hat auch der Benutzer den „Zugriff“ im Sinne des CFAA ausgeführt.
Wie sich das von Power Ventures unterscheidet
Bis jetzt war die kanonische Geschichte über den Drittzugriff mit Zustimmung des Benutzers der Fall Facebook v. Power Ventures (2016). Dort entschied das Gericht, dass die Plattform den Zugriff eines Drittanbieters widerrufen kann, selbst wenn die Benutzer freiwillig ihre Anmeldedaten übermittelt haben. Genau auf diesen Präzedenzfall stützte sich die Richterin erster Instanz, als sie ihn auf KI-Agenten ausdehnte.
Der neunte Bezirk unterschied diese Fälle anhand eines Kriteriums — und wieder aufgrund der Architektur. Bei Power Ventures sendeten die Systeme des Beklagten direkt Nachrichten an die Plattform Facebook, ohne das Gerät des Benutzers zu nutzen. Perplexity hat einen solchen Kanal nicht. Eine unterschiedliche Topologie des Verkehrs führt zu einer unterschiedlichen Antwort auf die Frage „wer hat Zugriff erhalten“.
Die praktische Bedeutung dieser Unterscheidung ist schwer zu überschätzen. Sie bedeutet, dass das Design des Systems — der Client-Agent auf dem Gerät des Benutzers oder der Serverdienst, der von sich aus auf die Plattform zugreift — nicht mehr nur eine ingenieurtechnische Wahl ist, sondern ein rechtliches Argument geworden ist.
Was die Entscheidung NICHT bewirkt hat
Das Gericht bemühte sich, den Wirkungsradius so weit wie möglich einzuschränken und stellte ausdrücklich klar, dass es kein neues rechtliches Regime für agentenbasierte KI schafft. Was dabei außen vor blieb:
- Verstoß gegen die Nutzungsbedingungen. Ansprüche aus Verträgen, Delikten und Plattformregeln werden durch die Entscheidung nicht ausgeschlossen — sie können separat geltend gemacht werden.
- Klagen gegen die Benutzer selbst. Wenn der Zugriff vom Benutzer ausgeht, kann die Plattform auch ihn als Adressaten der Ansprüche wählen.
- Serverarchitekturen. Der Schluss wurde unter einer spezifischen Struktur gezogen. Ein Cloud-Scraper oder ein SaaS-Agent, der mit seiner Infrastruktur auf die Plattform zugreift, fällt nicht automatisch unter diese Logik.
- Technische Blockaden. Kein Wort in der Entscheidung verbietet es Amazon, Automatisierungen zu erkennen und zu blockieren. Das Recht zu blockieren ist nicht verschwunden — die Möglichkeit, die Blockade mit einem Strafgesetz zu untermauern, ist verschwunden.
Das ist übrigens eine Wende der gewohnten Sichtweise: Früher trug derjenige, der automatisierte, das rechtliche Risiko, während der technische Schutz als zweite Linie galt. Jetzt ist der technische Schutz für die Plattformen zur ersten Linie geworden.
Was sich praktisch ändert
Für alle, die Daten sammeln, Konten automatisieren oder Agenten erstellen, ergeben sich aus der Entscheidung drei praktische Schlussfolgerungen.
1. Der Ausgangspunkt des Verkehrs hat rechtliche Bedeutung erlangt
Früher war die Wahl zwischen „alles über unser Rechenzentrum leiten“ und „von Adressen arbeiten, die sich nicht von Benutzeradressen unterscheiden“ eine Frage der Durchführbarkeit und Kosten. Jetzt ist es auch eine Frage, wessen Handlung als Anfrage gilt. Die Architektur, bei der der Zugriff auf die Plattform von der Benutzerseite ausgeht, erwies sich als rechtlich besser geschützt — und gleichzeitig durchläuft sie historisch auch besser die Anti-Bot-Filter. Dies ist ein seltener Fall, in dem rechtliche und technische Anreize übereinstimmen und in dieselbe Richtung weisen: auf residential proxies und Benutzer-Ausgangspunkte anstelle von Server-Subnetzen. Für neutrale Aufgaben wie die Überwachung öffentlicher Preise oder die Überprüfung von Ergebnissen nach Regionen sind nach wie vor Datacenter-Proxys ausreichend — dort gibt es weder einen geschützten Bereich noch einen Streit über das Konto jemandes.
2. CFAA wurde geschwächt — Vertrag und Detektion wurden gestärkt
Man sollte die Entscheidung nicht als „jetzt ist alles erlaubt“ lesen. Der schwerste Hammer — der bundesstaatliche Artikel mit strafrechtlichem Potenzial — wurde entfernt. Es bleiben die Nutzungsbedingungen, die Kontosperrung, die zivilrechtliche Klage und, vor allem, der Anti-Bot-Stack. Plattformen, die einen Teil ihrer rechtlichen Hebel verloren haben, werden dies durch Detektion ausgleichen: Fingerprinting, Verhaltensanalyse und signierte Agenten. Wie die Branche versucht, „gute“ Bots mit technischen Mitteln zu legalisieren, haben wir in dem Material über Web Bot Auth und signierte Agenten behandelt.
3. Das Risiko hat sich auf den Endbenutzer verschoben
Die Kehrseite des Sieges von Perplexity: Wenn der Benutzer handelt, ist auch der Benutzer verantwortlich. Für Dienste, die ihren Kunden Automatisierung als Produkt anbieten, ist dies ein Anlass, in der Dokumentation klar zu kommunizieren, in wessen Namen und von welcher IP die Aktionen ausgeführt werden und welche Regeln der Plattform dabei betroffen sind.
Was jetzt zu tun ist
- Beschreiben Sie Ihre Zugriffstopologie. Beantworten Sie eine Frage: Wessen IP sieht die Zielplattform in den Protokollen — Ihre Server-IP oder die des Benutzers? Davon hängt sowohl die rechtliche Position als auch das Detektionsprofil ab.
- Trennen Sie öffentlich und angemeldet. Das Sammeln öffentlicher Seiten und Aktionen innerhalb eines fremden Kontos sind prinzipiell unterschiedliche Geschichten in Bezug auf das Risiko. Es ist nicht ratsam, sie in einem einzigen Pipeline zu mischen.
- Maskieren Sie sich nicht aggressiv nach einem direkten Verbot. In diesem Fall haben gerade das Umgehen der festgelegten Barriere und die Tarnung des Clients als Chrome Amazon die stärksten Beweise geliefert. Der CFAA-Vorwurf zerfiel, aber die anderen Grundlagen sind nach wie vor gültig.
- Wählen Sie den Typ des Zugangs je nach Aufgabe. Die praktische Seite — wie man einen Agenten auf Playwright oder MCP hochzieht und seinen Verkehr korrekt umleitet — haben wir ausführlich in dem Leitfaden zu Proxys für KI-Agenten behandelt.
Fazit
Der neunte Bezirk hat die Automatisierung nicht legalisiert und den Agenten keinen Zugang zu überall gegeben. Er hat etwas engeres, aber wichtigeres getan: Er hat das Konzept des „Zugriffs“ an den Ort gebunden, von dem die Anfrage physisch ausgeht. Ein Werkzeug, das auf dem Gerät des Benutzers arbeitet, führt keinen Zugriff aus — das tut der Mensch. Die Infrastruktur, die von sich aus auf die Plattform zugreift, bleibt im Bereich der alten Risiken.
Für den Markt bedeutet dies eine Verschiebung des Schwerpunkts. Der rechtliche Streit darüber, „ob es erlaubt ist“, wird immer häufiger auf die ingenieurtechnische Frage „wessen Adresse steht im Protokoll“ stoßen. Und der Kampf um den Zugriff verlagert sich endgültig dorthin, wo er all die Zeit stattfand — in die Anti-Bot-Detektion, Fingerprinting und die Qualität der Ausgangspunkte.