Bot-Traffic auf der Website erkennen und blockieren
Aktualisiert:
Kurzantwort
Bot-Traffic zeigt sich durch plötzliche Spitzen ohne passende Verkäufe, viele Registrierungen aus einem Netz, gehäufte fehlgeschlagene Logins und Formulareinsendungen mit identischem oder zufälligem Inhalt. Blockieren Sie in Schichten: gute und schlechte Bots durch Verifizierung trennen, nach IP und Konto begrenzen, Formulare mit einem reibungsarmen CAPTCHA schützen, serverseitig validieren und die Zahlen wöchentlich prüfen. Keine einzelne Maßnahme stoppt alles.
Was ist Bot-Traffic?
Bot-Traffic ist jede Anfrage, die Software statt einer Person stellt. Manches davon ist nützlich: Suchmaschinen-Crawler, Uptime-Monitore und Feed-Reader. Vieles nicht: Scraper, Spam-Bots, Credential-Stuffing-Tools und Skripte für gefälschte Registrierungen.
OWASP führt diese als automatisierte Bedrohungen für Webanwendungen, darunter Kontoerstellung, Credential Stuffing, Scraping und Card Testing.
Woran erkenne ich Bot-Traffic?
- Traffic-Spitzen ohne passenden Anstieg bei Bestellungen, Registrierungen oder Umsatz.
- Viele Anfragen von einer IP-Adresse, einem Netzbereich oder einem User Agent.
- Gehäufte fehlgeschlagene Logins, oft gegen viele verschiedene Konten (Credential Stuffing).
- Neue Konten mit zufälligen Namen oder Wegwerf-E-Mail-Adressen.
- Formulareinsendungen mit identischem Text, Links oder Kauderwelsch.
- Anfragen, die nie Bilder, Skripte oder CSS laden und direkt zu Formularen oder APIs gehen.
- Sitzungen von null Sekunden oder auffällig perfektes Timing zwischen Aktionen.
Gute Bots und schlechte Bots
| Typ | Beispiele | Was zu tun ist |
|---|---|---|
| Gute Bots | Suchmaschinen-Crawler, Uptime-Monitore. | Zulassen. Die Identität prüfen, denn der User Agent lässt sich leicht fälschen. |
| Scraper | Kopieren von Preisen und Inhalten. | Rate-Limits setzen, für wertvolle Daten Login verlangen, verdächtige Clients herausfordern. |
| Spam- und Fake-Registrierungs-Bots | Kontaktformular-Spam, gefälschte Konten. | Formulare mit Bot-Prüfung schützen und E-Mail-Adressen verifizieren. |
| Credential-Stuffing-Tools | Gestohlene Passwörter im großen Stil. | Logins begrenzen, nach Fehlversuchen eine Challenge ergänzen, Multi-Faktor-Authentifizierung anbieten. |
Bots in Schichten blockieren
- Setzen Sie eine Bot-Prüfung auf die Formulare und Endpunkte, die Bots missbrauchen, mit der geringsten Reibung, die funktioniert.
- Prüfen Sie jedes Token auf Ihrem Server. Vertrauen Sie nie einer Prüfung, die nur im Browser läuft.
- Begrenzen Sie nach IP, Konto und E-Mail-Adresse und antworten Sie mit 429 Too Many Requests, wenn ein Limit erreicht ist.
- Ergänzen Sie abgestufte Challenges: normale Besucher passieren unbemerkt, verdächtige bekommen eine schwerere Aufgabe.
- Nutzen Sie Multi-Faktor-Authentifizierung und Prüfungen auf kompromittierte Passwörter für Logins.
- Prüfen Sie Logs und Analytics wöchentlich und vergleichen Sie vor und nach jeder Änderung.
So hilft BurgCaptcha
BurgCaptcha führt im Browser Proof-of-Work plus Risikosignale der Anfrage aus. Echte Besucher sehen kein Rätsel, Bots zahlen bei jeder Anfrage Rechenaufwand, und es wird kein Cookie gesetzt.
Starten Sie im kostenlosen Tarif mit bis zu 1.000 Anfragen pro Monat und messen Sie die Wirkung zuerst an einem Formular.
Häufige Fragen
Wie erkenne ich, ob meine Website Bot-Traffic hat?
Achten Sie auf Traffic-Spitzen ohne passende Verkäufe, gehäufte fehlgeschlagene Logins, viele Registrierungen aus einem Netz und Formulareinsendungen mit identischem oder zufälligem Inhalt. Server-Logs und Analytics zeigen das meist.
Schadet das Blockieren von Bots meinem SEO?
Nicht, wenn Sie verifizierte Suchmaschinen-Crawler durchlassen. Blockieren oder fordern Sie nur nicht verifizierten automatisierten Traffic heraus, und blockieren Sie Crawler nie allein nach User Agent, weil dieser gefälscht sein kann.
Reicht ein CAPTCHA, um Bots zu stoppen?
Es stoppt viele einfache und mittlere Bots, wirkt aber am besten zusammen mit serverseitiger Validierung, Rate-Limiting und Monitoring.
Was ist Credential Stuffing?
Angreifer nehmen Benutzername-Passwort-Paare, die anderswo geleakt wurden, und probieren sie im großen Stil an Ihrem Login aus. Rate-Limits, Challenges und Multi-Faktor-Authentifizierung begrenzen den Schaden.
Wie viele Bots gibt es im Internet?
Belastbare Zahlen unterscheiden sich je nach Quelle und Jahr, prüfen Sie deshalb einen aktuellen Bericht, bevor Sie eine Zahl nennen. Für Sie zählt der Bot-Anteil auf Ihrer eigenen Website, den Sie aus Ihren Logs messen können.