Agentic Web: Wenn KI-Agenten Websites nicht mehr besuchen, sondern bedienen
Das Wichtigste in Kürze
Das Wichtigste in Kürze:
- Vom Lesen zum Benutzen: Ein Agent lädt nicht bloß HTML. Er entdeckt Werkzeuge und fragt gezielt strukturierte Daten ab.
- Bei designare.at bereits live: Der öffentliche MCP Server liefert Services und semantisch passende Quellen aus Evitas Wissensdatenbank.
- Kein Autonomie-Theater: Der MCP-Zugang ist heute bewusst lesend. Kontakt, Termin und persönliche Daten bleiben beim Menschen.
- Technischer Kern: Streamable HTTP, JSON-RPC, Gemini Embeddings, Upstash Vector und ein kontrollierter Human Checkpoint.
- Ehrlicher Protokollstand: Der Server verhandelt heute
2025-03-26. Die aktuelle Spec2026-07-28ist zustandslos und kennt keininitializemehr – die Migration steht an.
Eine Website wird zur Schnittstelle für Menschen und Maschinen
Heute bedienen Menschen Webseiten: Sie klicken durch Navigationen, vergleichen Texte und füllen Formulare aus. Im Agentic Web kommt ein zweiter Nutzer hinzu: ein KI-Agent, der im Auftrag eines Menschen recherchiert, Werkzeuge entdeckt und einen nächsten Schritt vorbereitet.
Das klingt abstrakt, bis man es an einer echten Infrastruktur zeigt. designare.at besitzt bereits einen öffentlichen MCP Server, eine RAG-Wissensbasis und mit Evita eine Assistentin, die Funktionen kontrolliert aufrufen kann. Die folgende Demo zeigt daher keinen Science-Fiction-Flow, sondern trennt sauber zwischen dem, was heute produktiv läuft, und dem Punkt, an dem ein Mensch übernehmen muss.
Wer zuerst den geschäftlichen Nutzen statt der Protokollebene verstehen möchte, findet im Überblick zu KI auf Unternehmenswebseiten konkrete Einsatzfelder und eine ehrliche Trennung zwischen Mehrwert und Spielerei.
Der Ablauf: Was der Mensch sieht und was technisch passiert
Szenario: Ein Nutzer bittet seinen KI-Assistenten, einen Experten für GEO und KI-Sichtbarkeit in Wien zu prüfen. Die Demo läuft Schritt für Schritt durch den realen Datenweg.
Auftrag: „Prüfe Michael Kandas GEO-Expertise und zeige mir den sichersten nächsten Schritt.“
Grafik seitlich scrollbar
Der Agent nimmt Verbindung auf
Einfach gesagt: Der KI-Agent klopft an und fragt, welche Sprache der Server spricht.
Per initialize handeln Client und Server die MCP-Protokollversion aus. Der Client schickt dabei seine capabilities und seine clientInfo mit, designare.at antwortet mit den eigenen Fähigkeiten und der Server-Identität, danach bestätigt der Client mit notifications/initialized. Die Verbindung läuft als JSON-RPC über Streamable HTTP. MCP kennt keine WebSocket-Transportschicht; die Alternative war das inzwischen abgekündigte HTTP+SSE.
Wichtig für die Einordnung: Dieser Handshake beschreibt den Stand 2025-03-26, auf dem der Server heute läuft. Die aktuelle Spezifikation 2026-07-28 hat initialize und den Mcp-Session-Id-Header gestrichen und arbeitet zustandslos. Dass mein Server sitzungsfrei antwortet, war bis dahin eine Eigenschaft meiner Implementierung – seit 2026-07-28 ist es Protokollvorgabe.
- Serverstand
- 2025-03-26
- Aktuelle Spec
- 2026-07-28
- Grenze
- Rate Limit
Request an /api/mcp
POST /api/mcp
{
"jsonrpc": "2.0",
"id": 1,
"method": "initialize",
"params": {
"protocolVersion": "2025-03-26",
"capabilities": {},
"clientInfo": {
"name": "beispiel-client",
"version": "1.0.0"
}
}
}
// danach: notifications/initialized
// ab Spec 2026-07-28 entfaellt dieser HandshakeDer Agent entdeckt die erlaubten Werkzeuge
Einfach gesagt: Statt Menüpunkte zu erraten, bekommt der Agent eine klar beschriftete Werkzeugkiste.
tools/list liefert genau zwei öffentliche Werkzeuge. get_services gibt strukturierte Leistungen zurück. search_knowledge sucht semantisch in der Wissensbasis. Schreibende Tools werden absichtlich nicht angeboten – das ist die harte Absicherung. Zusätzlich beschreibt MCP seit 2025-03-26 Tool-Annotationen wie readOnlyHint, mit denen ein Server sein Verhalten maschinenlesbar deklariert. Die sind allerdings genau das: Hinweise. Ein Client darf ihnen bei fremden Servern nicht vertrauen, sondern nur der eigenen Berechtigungslogik.
- Lesen
- 2 Tools
- Schreiben
- 0 Tools
- Prinzip
- Least privilege
Request an /api/mcp
{
"jsonrpc": "2.0",
"id": 2,
"method": "tools/list"
}
// → get_services annotations.readOnlyHint: true
// → search_knowledge annotations.readOnlyHint: trueDie Frage wird zu passenden Belegen
Einfach gesagt: Der Agent sucht nicht nach denselben Wörtern, sondern nach inhaltlich passenden Stellen.
Der Tool-Call geht an search_knowledge. Ein Gemini Embedding übersetzt die Query in einen Vektor. Upstash Vector liefert passende Chunks aus Website, Blog, Profil und kuratiertem Wissen zurück – jeweils mit Quellen-Metadaten. Ob der Agent diese Quelle am Ende korrekt zitiert, garantiert MCP nicht; das Protokoll liefert die Belege, die Zitierdisziplin liegt beim Modell. Und aus Sicht des Agenten ist so ein Chunk Fremdtext: Wer beliebige Website-Inhalte als Tool-Output ausliefert, muss davon ausgehen, dass darin Anweisungen stehen können.
- Embedding
- Gemini
- Index
- Upstash Vector
- Ergebnis
- Quellen-Chunks
Request an /api/mcp
{
"method": "tools/call",
"params": {
"name": "search_knowledge",
"arguments": {
"query": "GEO Expertise Michael Kanda"
}
}
}Der Agent bewertet, statt blind weiterzuklicken
Einfach gesagt: Aus mehreren Fundstellen wird eine begründete Empfehlung, nicht bloß ein Treffer.
Dieser Schritt passiert nicht auf designare.at, sondern im Agentenmodell. Es prüft, ob die gefundenen Fakten zum Auftrag passen, trennt Beleg von Vermutung und benennt Unsicherheit. MCP liefert den Kontext; entscheiden muss der Agent nachvollziehbar auf Basis dieses Kontexts.
Das Objekt rechts ist bewusst schematisch: MCP kennt kein Bewertungsformat, und ein Sprachmodell liefert von sich aus auch keine kalibrierte Unsicherheit. Wer so etwas will, muss es selbst erzwingen – über ein Output-Schema und eine Prüfinstanz, die die Zahlen gegen die Quellen hält.
- Input
- Quellen
- Prüfung
- Auftrag ↔ Beleg
- Output
- Empfehlung
Ergebnis im Agentenmodell (schematisch)
// Kein weiterer Website-Call
// Pseudo-Objekt, kein MCP-Bestandteil
{
"assessment": "passend",
"evidence": 3,
"uncertainty": "niedrig",
"next": "Kontakt anbieten"
}Die Aktion bleibt bewusst beim Menschen
Einfach gesagt: Der Agent darf empfehlen. Bevor Daten fließen oder ein Termin entsteht, bestätigt der Nutzer selbst.
Der öffentliche MCP Server besitzt kein Buchungs- oder E-Mail-Tool. Der sichere nächste Schritt ist eine Übergabe zu Kontakt oder zu Evitas Rückrufservice. Dort wählt der Nutzer einen Termin und gibt seine Daten bewusst frei. Erst danach arbeiten Google Calendar und Brevo serverseitig weiter.
Für genau diese Rückfrage hat MCP einen Standard: Elicitation, eingeführt mit 2025-06-18, seit 2025-11-25 auch als URL-Modus, bei dem der Server den Nutzer für Bestätigung und Dateneingabe auf eine eigene Seite schickt. Der Handshake-freie Kern von 2026-07-28 macht das über Multi-Round-Trip-Requests auch auf zustandslosen Servern praktikabel. Heute läuft meine Übergabe noch als Link in der Tool-Antwort – funktional dasselbe, aber eben handgestrickt. Der Umbau auf Elicitation ist der nächste Schritt, weil erst dann der Client die Freigabe als solche erkennt, statt einen Link zu sehen.
- MCP
- Read-only
- Standardweg
- Elicitation
- Aktion
- Serverseitig
Übergabe an den Menschen (schematisch)
// Standardweg: Elicitation, URL-Modus
// heute noch: Link in der Tool-Antwort
{
"method": "elicitation/create",
"params": {
"message": "Kontakt aufnehmen?",
"mode": "url",
"url": "https://designare.at/kontakt"
}
}Schritt 1 von 5
Nicht jeder KI-Chat ist schon Agentic Web
Der entscheidende Unterschied liegt nicht in einer besonders menschlich klingenden Antwort. Agentisch wird eine Website erst, wenn der KI ein klarer, maschinenlesbarer Handlungsraum zur Verfügung steht.
Antworten formulieren
Das Modell reagiert auf Text. Es kennt weder aktuelle Website-Daten noch externe Werkzeuge.
Belege nachschlagen
Die Antwort wird mit aktuellem, kontrolliertem Wissen aus einer Vektordatenbank verankert.
Werkzeuge gezielt nutzen
Der Agent entdeckt erlaubte Tools, wählt eines aus und verarbeitet das strukturierte Ergebnis.
Mit Freigabe handeln
Eine Wirkung außerhalb des Chats entsteht erst nach Regeln, Validierung und Zustimmung.
Die Architektur: Ein System, zwei Zielgruppen
Menschen brauchen verständliche Oberflächen. Agenten brauchen stabile Verträge. Der Inhalt dahinter darf trotzdem aus derselben Quelle kommen. Genau deshalb teilen sich Evita und der MCP Server eine gemeinsame Wissenspipeline.
Was heute live ist und was bewusst noch fehlt
Produktiv auf designare.at
- Remote-MCP unter
/api/mcp initialize,tools/listundtools/callsearch_knowledgeundget_services- Gemini Embeddings und Upstash Vector
- Rate Limits und Aktivitätsprotokoll
- Protokollstand
2025-03-26, Fallback2024-11-05
Absichtlich nicht öffentlich
- Terminbuchung direkt über MCP
- Freier E-Mail-Versand durch externe Agenten
- Zugriff auf Chat-Sessions oder personenbezogene Daten
- Irreversible Aktionen ohne Bestätigung
- Unbegrenzte oder ungeprüfte Tool-Aufrufe
Offen auf meiner Liste
- Migration auf Spec
2026-07-28 - Übergabe per Elicitation statt Link
- Tool-Annotationen im
tools/list-Schema
Die eigentliche Disziplin: Autonomie begrenzen
Ein Agentic-Web-Projekt ist keine Demo mit möglichst vielen Funktionen. Es ist ein Berechtigungssystem. Je stärker ein Tool wirken kann, desto enger müssen Eingabeformat, Identität, Rate Limit und Bestätigung definiert sein.
Sechs Regeln für produktive Agenten:
- Read-only zuerst: Wissen abrufen ist risikoärmer als Kalender, E-Mail oder Zahlung zu verändern.
- Kleine Werkzeuge: Ein Tool erfüllt genau eine Aufgabe und akzeptiert nur validierte Parameter.
- Tool-Output ist Fremdtext: Was ein Server zurückgibt, landet ungefiltert im Kontext des Agenten. Wer Website-Chunks ausliefert, liefert potenziell auch die darin versteckten Anweisungen mit – Prompt Injection ist bei einem RAG-Server der realistischste Angriffsweg, nicht der Ausnahmefall.
- Human Checkpoint: Persönliche Daten und irreversible Aktionen benötigen sichtbare Zustimmung – über Elicitation, nicht über einen Link, den der Client nicht als Freigabe erkennt.
- Identität, sobald geschrieben wird: Ein öffentlicher Read-only-Server kommt ohne Auth aus, das ist eine bewusste Entscheidung und kein Versäumnis. Sobald ein Tool wirkt, gilt die OAuth-Schiene der Spec: mit 2026-07-28 unter anderem
iss-Validierung nach RFC 9207 gegen Mixup-Angriffe und an den ausstellenden Authorization Server gebundene Credentials. - Beobachtbarkeit: Tool, Query, Zeitpunkt und Ergebnis werden protokolliert, ohne unnötige Nutzerdaten zu sammeln.
Häufige Fragen zum Agentic Web
Was bedeutet Agentic Web?
Im Agentic Web konsumieren KI-Agenten Webseiten nicht nur als Dokumente. Sie entdecken standardisierte Werkzeuge, rufen strukturierte Daten ab und können innerhalb klarer Grenzen nächste Schritte vorbereiten oder ausführen.
Kann ein KI-Agent auf designare.at bereits selbstständig Termine buchen?
Nein. Der öffentliche MCP Server ist bewusst lesend aufgebaut. Für Rückruf oder Kontakt erfolgt eine Übergabe an Evita oder die Kontaktseite. Dort bestätigt der Nutzer Daten und Termin selbst.
Was unterscheidet einen Web-Agenten von einem Chatbot?
Ein Chatbot formuliert vor allem Antworten. Ein Agent kann zusätzlich Werkzeuge entdecken, Daten aus mehreren Quellen auswerten und innerhalb definierter Berechtigungen einen Ablauf steuern.
Warum braucht ein Agent einen Human Checkpoint?
Sobald personenbezogene Daten, Termine, Zahlungen oder irreversible Änderungen betroffen sind, muss die Zustimmung eindeutig sein. Der Human Checkpoint trennt hilfreiche Automatisierung von unkontrollierter Autonomie. MCP standardisiert diese Rückfrage als Elicitation – seit 2025-11-25 auch als URL-Übergabe, bei der der Nutzer die Freigabe auf einer echten Seite erteilt.
Auf welchem Stand der MCP-Spezifikation läuft der Server?
Mein Server verhandelt aktuell 2025-03-26 mit Fallback auf 2024-11-05. Die aktuelle Spezifikation ist seit 28. Juli 2026 2026-07-28: Sie entfernt initialize und den Mcp-Session-Id-Header, macht das Protokoll zustandslos und härtet die Authorization. Ältere Stände funktionieren weiter, weil abgekündigte Funktionen mindestens zwölf Monate erhalten bleiben. Die Migration steht auf meiner Liste – bis dahin zeigt dieser Artikel bewusst den Stand, der bei mir tatsächlich läuft, statt eine Spec zu behaupten, die ich noch nicht bediene.
Fazit: Die beste Website erklärt sich nicht nur Menschen
Agentic Web ersetzt keine gute Website. Es erweitert sie um einen zweiten, maschinenlesbaren Zugang. Sichtbarer Inhalt, Schema.org, RAG und MCP bilden dabei keine konkurrierenden Ebenen, sondern eine Kette: Der Mensch versteht die Aussage, die Maschine erkennt die Entität, und der Agent bekommt einen kontrollierten Weg zum aktuellen Wissen.
Der nächste sinnvolle Ausbau für designare.at wäre kein frei buchender Super-Agent. Es wäre ein eng begrenztes Action-Tool mit expliziter Bestätigung, Idempotency-Key und vollständigem Audit-Log. Vieles davon muss ich nicht selbst erfinden: Die Spezifikation bringt mit idempotentHint, dem Tasks-Primitive für langlaufende Aufrufe und der gehärteten Authorization die passenden Bausteine bereits mit. Erst wenn diese Sicherheitsgrenze sitzt, wird aus einer spannenden Demo ein belastbarer Produktionsprozess.
Und weil das Protokoll sich schneller bewegt als die meisten Artikel darüber: Ein Agentic-Web-Setup ist nichts, was man einmal baut und dann stehen lässt. Zwischen dem Stand, auf dem mein Server heute läuft, und der aktuellen Spec liegen zwei Versionen und ein zustandsloser Kern. Das offen hinzuschreiben ist Teil der Disziplin, um die es in diesem Artikel geht.
Willst du deine Website agentenfähig machen?
Ich verbinde semantisches HTML, RAG, MCP und sichere Tool-Aufrufe zu einer Architektur, die für Menschen verständlich und für KI-Agenten benutzbar bleibt.
Projekt besprechen