Bisher arbeiten KI-Agenten in den meisten Unternehmen für sich: ein Agent, ein Tool, eine Aufgabe. Der eine fasst Protokolle zusammen, der andere beantwortet Anfragen im Kundenservice, ein dritter bereitet Angebote vor. Mit Agenten aus anderen Systemen oder gar aus anderen Unternehmen sprechen sie nicht. Wenn Informationen zwischen ihnen fließen sollen, sitzt meistens noch ein Mensch dazwischen, der kopiert, prüft und weitergibt.
Das ändert sich gerade. Zwei offene Standards sollen dafür sorgen, dass Agenten auch über Unternehmensgrenzen hinweg zusammenarbeiten können: A2A und ARD. Beide Abkürzungen wird man in den nächsten Monaten häufiger hören. Ich möchte hier einordnen, was dahintersteckt, wie weit die Standards sind und welche Fragen sie offenlassen. Denn genau diese offenen Fragen landen am Ende nicht bei den Entwicklern, sondern auf dem Tisch der Unternehmen.
Warum das gerade jetzt Thema wird
Die großen Anbieter haben in den letzten Monaten gemerkt, dass jeder für sich eigene Agenten baut, die nicht miteinander können. Das bremst alle. Deshalb wurde im Dezember 2025 unter dem Dach der Linux Foundation die Agentic AI Foundation gegründet. Sie soll offene Standards für KI-Agenten herstellerneutral weiterentwickeln. Gestartet ist sie unter anderem mit dem Model Context Protocol (MCP) von Anthropic, über das Agenten auf Tools und Daten zugreifen. Zu den Mitgliedern gehören Unternehmen wie AWS, Google, Microsoft, Anthropic und OpenAI.
Das erinnert mich an meine ICANN-Zeiten: Firmen, die im Wettbewerb zueinander stehen, einigen sich auf gemeinsame Regeln. (Für Unternehmen, die KI einsetzen, ist das eine gute Nachricht. Je einheitlicher die Standards, desto geringer das Risiko, sich an einen einzelnen Anbieter zu binden.)
A2A: wie Agenten miteinander sprechen
A2A steht für Agent2Agent. Das Protokoll legt fest, wie zwei KI-Agenten Nachrichten austauschen, Aufgaben übergeben und Ergebnisse zurückmelden, auch wenn sie von unterschiedlichen Herstellern stammen und auf unterschiedlichen Plattformen laufen.
Jeder Agent beschreibt sich dafür in einer sogenannten Agent Card, einer Art digitalem Steckbrief. Darin steht, was der Agent kann, unter welcher Adresse man ihn erreicht und welche Anmeldung er erwartet. Die Kommunikation selbst läuft über bekannte Web-Technologien. Das macht den Einstieg für IT-Abteilungen vergleichsweise leicht.
Wichtig ist die Abgrenzung zu MCP: MCP verbindet einen Agenten mit Werkzeugen und Datenquellen, etwa mit einer Datenbank oder einem Kalender. A2A verbindet Agenten mit anderen Agenten. Beide Standards ergänzen sich also.
Google hat A2A im April 2025 vorgestellt. Inzwischen liegt mit Version 1.0 die erste stabile Fassung der Spezifikation vor. Nach Branchenberichten beteiligen sich über 150 Organisationen, und das Protokoll läuft unter anderem in Plattformen von Microsoft und Amazon. Seit August 2026 ist A2A selbst ein Projekt der Agentic AI Foundation.
ARD: wie Agenten einander finden
Damit zwei Agenten miteinander sprechen können, müssen sie erst einmal voneinander wissen. Genau das soll ARD lösen, die Agentic Resource Discovery.
Die Idee ist einfach: Ein Unternehmen legt auf seiner eigenen Domain eine Datei ab, die beschreibt, welche Agenten, Tools und Schnittstellen es anbietet. Darin können A2A-Agenten genauso stehen wie MCP-Server oder klassische Programmierschnittstellen. Verzeichnisse, sogenannte Registries, lesen diese Dateien ein und machen sie durchsuchbar. Man kann es sich wie ein Telefonbuch für Agenten vorstellen, nur dass jeder seinen Eintrag selbst pflegt und unter seiner eigenen Adresse veröffentlicht.
Google hat ARD im Juni 2026 veröffentlicht. Laut Hugging Face haben unter anderem Microsoft, GoDaddy und Hugging Face daran mitgearbeitet. AWS unterstützt ARD in seinem Agent Registry, Snowflake hat ebenfalls Unterstützung angekündigt. Wichtig ist aber: Die Spezifikation ist mit Version 0.91 noch ein Entwurf. Details können sich also noch ändern.
Erst finden, dann sprechen
Zusammen ergeben die beiden Standards eine Reihenfolge. Ein Beispiel, um es greifbar zu machen: Der Einkaufsagent eines Unternehmens sucht einen Agenten, der Lieferzeiten bei einem Zulieferer abfragen kann. Über ein ARD-Verzeichnis findet er den passenden Agenten des Zulieferers. Danach sprechen die beiden über A2A direkt miteinander, ohne dass jemand eine E-Mail schreiben oder eine Tabelle abgleichen muss.
ARD beantwortet also die Frage „Wo gibt es den passenden Agenten?“. A2A beantwortet die Frage „Wie verstehen wir uns?“.
So einfach das klingt: In diesem Beispiel trifft ein Agent eine Entscheidung, die bisher ein Mensch getroffen hat. Er wählt aus, mit wem er spricht, und gibt dabei womöglich Informationen weiter. Genau deshalb lohnt sich der Blick darauf, wie Vertrauen in diesem System entsteht.
Nachweise statt Versprechen
Spannend finde ich, wie ARD mit Vertrauen umgeht. Grundlage ist die eigene Domain: Wer unter einer Domain veröffentlicht, muss sie auch kontrollieren. Darüber hinaus können Herausgeber Nachweise anhängen, zum Beispiel einen SOC-2-Bericht, Angaben zur Herkunft ihrer Software nach SLSA oder eine Stückliste der verwendeten Komponenten (SBOM).
Das ist eine vertraute Logik: Nachweise statt Versprechen. Zwei Einschränkungen gehören aber dazu. ARD legt kein eigenes Verfahren fest, mit dem solche Nachweise geprüft werden, sondern verweist auf bestehende Verfahren. Und die Reihenfolge, in der ein Verzeichnis Treffer anzeigt, ist ausdrücklich keine Aussage darüber, wie vertrauenswürdig ein Agent ist. Ein Agent, der ganz oben steht, ist also nicht automatisch ein guter Partner.
Interessant ist auch, wie AWS sein Verzeichnis aufgebaut hat: Administratoren legen Verzeichnisse an, Herausgeber reichen Einträge ein, und eine Kuratorin oder ein Kurator gibt sie frei, lehnt sie ab oder nimmt sie wieder heraus. Das ist im Kern ein Freigabeprozess, wie wir ihn aus der Organisation kennen. Die Technik stellt ihn bereit, ausfüllen müssen ihn Menschen.
Was noch fehlt
Wer jetzt nach einer Zertifizierung sucht, wird enttäuscht. Für keinen der beiden Standards gibt es bisher ein offizielles Zertifizierungsprogramm. Für ARD gibt es ein Testwerkzeug, mit dem man prüfen kann, ob eine Datei oder ein Verzeichnis der Spezifikation entspricht. Das zeigt, ob ein Agent das Protokoll richtig spricht. Ob man ihm trauen kann, zeigt es nicht.
Dazu kommt: A2A regelt, wie Agenten kommunizieren, aber nicht, wer was darf. Ein Rahmen für Berechtigungen gehört nicht zum Protokoll, und ein zentrales, geprüftes Verzeichnis aller Agenten gibt es auch nicht. Forschende haben bereits gezeigt, dass sich zum Beispiel manipulierte Agent Cards ausnutzen lassen (Sicherheitsanalyse auf arXiv). Das ist kein Grund, die Standards zu meiden. Es zeigt aber, dass Sicherheit hier nicht automatisch mitgeliefert wird.
Was das für Unternehmen heißt
Die Technik für das Zusammenspiel von Agenten kommt gerade sehr schnell. Was keiner der beiden Standards regelt, sind die organisatorischen Fragen:
- Welche Agenten sind bei uns zugelassen, und wer entscheidet das?
- Welche Daten dürfen sie sehen und an andere Agenten weitergeben?
- Mit welchen fremden Agenten dürfen sie sprechen?
- Wer sperrt einen Agenten wieder, wenn etwas schiefläuft?
Das sind keine reinen IT-Fragen. Es geht um Freigaben, Verantwortlichkeiten und Kontrolle, also um genau das Zusammenspiel, das ich in meiner Formel Technik × Mensch × Sicherheit beschreibe. Fehlt einer der drei Faktoren, bleibt die Wirkung aus. Oder schlimmer: Es entsteht ein Risiko, das niemand bemerkt.
Drei Schritte halte ich schon jetzt für sinnvoll, auch wenn die Standards noch in Bewegung sind:
- Bestandsaufnahme: Welche Agenten laufen bei euch bereits, offiziell und inoffiziell? Wer nicht weiß, was im Haus ist, kann es auch nicht steuern.
- Richtlinien erweitern: Bestehende KI-Richtlinien um Regeln für Agenten ergänzen, vor allem dazu, welche Daten weitergegeben werden dürfen.
- Verantwortung klären: Für jeden Agenten muss feststehen, wer ihn freigibt, wer ihn beobachtet und wer ihn abschaltet.
Ausblick
A2A ist stabil, ARD ist noch ein Entwurf, und Zertifizierungen gibt es noch keine. Das ist ein guter Moment, sich mit dem Thema zu beschäftigen, bevor der erste fremde Agent anklopft. Ich werde die Entwicklung weiter verfolgen und hier berichten.
Stand der Informationen: 27. Oktober 2026. Beide Standards entwickeln sich schnell weiter.