Meta hat am 8. September 2026 Meta Muse angekündigt: einen persönlichen KI-Agenten, der nicht nur Antworten formulieren, sondern mehrstufige Aufgaben im Web und in verbundenen Diensten ausführen soll. Muse soll Webseiten bedienen, Formulare ausfüllen, E-Mails versenden, Reisen buchen, Einkäufe vorbereiten und länger laufende Ziele verfolgen. Genau dadurch wird die Vertrauensfrage größer als bei einem gewöhnlichen Chatbot: Wer einen solchen Agenten arbeiten lässt, gibt ihm zwangsläufig mehr Einblick und Handlungsspielraum.
Meta Muse als persönlicher KI-Agent
Der Unterschied zu einem klassischen Chatbot ist schnell erklärt: Ein Chatbot liefert meist Text oder Vorschläge. Muse soll dagegen einen Auftrag in einzelne Schritte zerlegen und in einer eigenen Browser-Umgebung ausführen. Als zugrunde liegendes Modell nennt Meta Muse Spark.
Der angekündigte Zugriff erfolgt über iOS, Android, die Website muse.ai und WhatsApp. Meta beschreibt Muse als Dienst, der auch dann weiterarbeiten kann, wenn die App geschlossen ist. Wenn ein Schritt eine Freigabe verlangt oder sich der Aufgabenstatus ändert, soll der Dienst den Nutzer wieder einbeziehen.
Das klingt nach dem Sprung vom digitalen Gesprächspartner zum digitalen Sachbearbeiter. Und genau dort beginnt die interessante Hälfte der Geschichte: Nicht die Frage, ob Muse eine Reise suchen oder einen Einkauf vorbereiten kann, ist entscheidend. Entscheidend ist, welche Aktion tatsächlich ohne Nachfrage ausgeführt wird.
Aufgaben, Oberflächen und Freigaben
Muse ist laut Produktbeschreibung für mehrere Schritte hintereinander gedacht. Dazu gehören Webrecherche, das Ausfüllen von Formularen, E-Mail-Aufgaben, Reiseplanung, Einkäufe und die Verwaltung länger laufender Ziele. Die offizielle Produktoberfläche gliedert sich in Chat, Feed, Ideas, Goals und Library.
- Chat ist die direkte Arbeitsfläche für Aufträge.
- Feed bündelt personalisierte Inhalte.
- Ideas steht für proaktive Vorschläge.
- Goals verfolgt Aufgaben und Projekte über längere Zeit.
- Library sammelt erzeugte Dokumente und andere Ergebnisse.
Ein praktischer Rundgang zeigt beispielsweise die Vorbereitung eines Kinokaufs, Reiseplanung und die Analyse einer Schachpartie. Das macht sichtbar, wie Meta den Dienst bedienen lassen will. Es beweist aber weder eine allgemein zuverlässige Arbeitsweise noch eine erfolgreich abgeschlossene Zahlung.
Für sensible Aktionen sieht das Konzept eine menschliche Freigabe vor. Bei einem Einkauf kann Muse den Warenkorb und den nächsten Schritt vorbereiten, bevor der Nutzer die Transaktion bestätigt. Auch beim Versand einer E-Mail kann eine Zustimmung erforderlich sein. Das ist eine wichtige Grenze – aber keine Garantie dafür, dass jeder vorherige Arbeitsschritt korrekt oder risikofrei war.
| Funktion oder Kontrolle | Was Muse tun soll | Grenze oder Freigabe des Nutzers |
| Web- und App-Aufgaben | Webseiten bedienen, Formulare ausfüllen und Informationen zusammentragen | Abhängig von den verbundenen Diensten und den erteilten Berechtigungen |
| E-Mail und Kommunikation | E-Mails vorbereiten oder versenden | Für sensible Aktionen kann eine Bestätigung nötig sein |
| Reisen und Einkäufe | Reiseabläufe und Kaufvorgänge vorbereiten | Eine menschliche Freigabe kann vor der endgültigen Aktion verlangt werden |
| Ziele und Hintergrundarbeit | Länger laufende Aufgaben verfolgen und im Hintergrund weiterarbeiten | Der Nutzer kann den Status prüfen und bei erforderlichen Schritten eingreifen |
| Zahlung | Über Stripe Link eine einmalig nutzbare Kartennummer verwenden | Die Zahlung soll vor dem Abschluss bestätigt werden |
Secure VM und Sentinel verständlich erklärt
Muse soll in einer eigenen Cloud-Umgebung namens Muse Secure VM laufen. Eine virtuelle Maschine ist hier vereinfacht gesagt ein abgeschirmter Computer im Rechenzentrum: Der Agent erhält einen eigenen Browser und einen getrennten Arbeitsbereich für Aufgaben, Daten und Anmeldedienste.
Daneben arbeitet Sentinel als separate Kontrollschicht. Sentinel prüft, was Muse ins Internet senden will. Passt eine Aktion zu einer erlaubten Richtlinie, kann sie weiterlaufen. Bei einer sensiblen oder nicht eindeutig freigegebenen Aktion soll Sentinel den Nutzer um Zustimmung bitten.
Wichtig ist die technische Unterscheidung: Eine Richtlinie, die Meta den Zugriff untersagt, ist nicht dasselbe wie eine Verschlüsselung, die Meta den Zugriff technisch unmöglich macht. Bei der ersten Secure-VM-Architektur bleibt ein technischer Zugriff für Meta möglich, auch wenn die vorgesehenen Regeln ihn verbieten. Das ist der zentrale Unterschied zwischen „darf nicht zugreifen“ und „kann nicht zugreifen“.
Eine stärkere Variante namens Muse Confidential VM ist für später im Jahr 2026 geplant. Sie soll eine vertrauenswürdige Ausführungsumgebung und vom Nutzer kontrollierte Zugriffsschlüssel einsetzen. Diese Architektur ist damit ein angekündigter nächster Schritt, nicht die Grundlage, die bei Muse bereits allgemein vorausgesetzt werden kann.
Der Zahlungspunkt: Nützlichkeit trifft Kontrolle
Für Einkäufe soll Muse Stripe Link und einmalig verwendbare Kartennummern nutzen können. Meta beschreibt außerdem einen Schutz für Agentenkäufe. Im entscheidenden Moment bleibt jedoch die Bestätigung durch den Menschen vorgesehen.
Ein Rundgang durch die Oberfläche zeigt, wie Muse Produkte recherchiert, einen Kaufvorgang vorbereitet und anschließend auf eine Freigabe wartet. Der Vorgang endet dort vor dem tatsächlichen Abschluss der Zahlung. Das ist als Darstellung des vorgesehenen Ablaufs nützlich, aber kein Beleg für allgemeine Zuverlässigkeit, sichere Transaktionen in jeder Situation oder autonome Käufe ohne Kontrolle.
Meta nennt außerdem mehrere Verwaltungsfunktionen: Nutzer sollen Berechtigungen ändern, Dienste trennen, einen Prüfverlauf einsehen, Erinnerungen löschen und der Verwendung von Muse-Interaktionen zum Training von KI-Modellen widersprechen können. Solche Schalter sind praktisch. Sie beantworten aber nicht automatisch die technische Frage, wer auf Daten innerhalb der ersten Secure VM zugreifen könnte.
Verfügbarkeit und gemeldete Preise
Der bestätigte Start betraf die USA. Als Zugangskanäle nannte Meta iOS, Android, muse.ai und WhatsApp. Einen deutschen Start nennt die Ankündigung nicht.
Für die USA wurden zum Start eine kostenlose Nutzung sowie zwei kostenpflichtige Angebote mit 20 US-Dollar pro Monat und 100 US-Dollar pro Monat gemeldet. Für die kostenlose Stufe ist zwar eine Nutzungsbegrenzung beschrieben, eine konkrete Zahl gehört nicht zu den belastbaren Angaben. Ebenso liegen für Deutschland keine belegten Europreise vor.
| Zugang oder Tarif | Markt | Gemeldeter Preis oder Kanal | Bedingung |
| Kostenlose Nutzung | USA | Kostenlos | Mit Nutzungsbegrenzung; eine konkrete Freimenge ist nicht angegeben |
| Bezahlter Tarif | USA | 20 US-Dollar pro Monat | Gemeldete Startstufe für intensivere Nutzung |
| Bezahlter Tarif | USA | 100 US-Dollar pro Monat | Gemeldete höhere Startstufe |
| App und Webzugang | USA | iOS, Android, muse.ai und WhatsApp | Als Kanäle des angekündigten US-Rollouts genannt |
Für Leserinnen und Leser in Deutschland heißt das: Die US-Preise sind keine deutschen Preisangaben, und der US-Rollout ist kein Nachweis für lokale Verfügbarkeit. Wer Muse in Betracht zieht, sollte deshalb weder mit einem Europreis noch mit einem bestimmten deutschen Starttermin rechnen.
Die Vertrauensfrage ist Teil des Produkts
Je mehr Muse erledigen soll, desto mehr Berechtigungen und persönliche Zusammenhänge werden relevant: E-Mail, Kalender, verbundene Anwendungen, Einkaufsabläufe und möglicherweise Zahlungsdienste. Der Nutzen entsteht gerade daraus, dass der Agent nicht bei jedem kleinen Schritt nach einer Anweisung fragt. Das Risiko entsteht an derselben Stelle.
Frühe öffentliche Reaktionen fielen deshalb skeptisch aus, besonders bei Metas Versprechen zum Datenschutz. Diese Skepsis ist kein Beleg für einen Sicherheitsvorfall. Sie zeigt aber, dass technische Architektur und Unternehmensvertrauen für dieses Produkt kaum voneinander zu trennen sind.
Die sinnvolle Prüffrage lautet nicht nur: „Kann Muse das?“ Sie lautet auch:
- Welche Berechtigung braucht die Aufgabe?
- Welche Schritte laufen ohne Nachfrage?
- An welcher Stelle verlangt Sentinel eine Bestätigung?
- Kann der Anbieter technisch auf die Arbeitsumgebung zugreifen, oder untersagen es nur interne Regeln?
- Ist Muse im eigenen Markt tatsächlich verfügbar?
Muse beantwortet diese Fragen nicht mit einem einzigen Datenschutz-Schalter. Secure VM, Sentinel, Freigaben und die geplante Confidential VM sind unterschiedliche Ebenen mit unterschiedlichen Aufgaben.
Fazit: Vor der Freigabe zählt die technische Grenze
Meta Muse macht den persönlichen KI-Agenten greifbar: Der Dienst soll recherchieren, planen, Formulare ausfüllen, Einkäufe vorbereiten und im Hintergrund an Zielen arbeiten. Die menschliche Freigabe vor sensiblen Aktionen ist dabei ein sinnvoller Kontrollpunkt.
Für die Vertrauensentscheidung reicht sie allein aber nicht. Die erste Secure VM isoliert Muse und Sentinel überwacht ausgehende Aktionen, doch diese Richtlinien sind nicht gleichbedeutend mit technischer Unzugänglichkeit für Meta. Die geplante Muse Confidential VM soll genau diese Grenze später mit einer anderen Architektur verschärfen.
Bis dahin sollten Nutzer Muse nicht nach der beeindruckendsten Demo beurteilen, sondern nach vier nüchternen Punkten: Berechtigungen, Freigabepunkte, technische Zugriffsmöglichkeiten und lokale Verfügbarkeit. Die Automatisierung ist der sichtbare Teil des Produkts. Die eigentliche Entscheidung fällt an der unsichtbaren Grenze, an der ein hilfreicher Agent Zugriff auf das persönliche Leben bekommt.
