Bot-Traffic
Als Bot-Traffic bezeichnet man alle Zugriffe auf eine Website, die nicht von Menschen kommen, sondern von automatisch laufenden Programmen. Auf vielen Websites machen diese maschinellen Zugriffe inzwischen etwa die Hälfte aller Aufrufe aus.
Jedes Mal, wenn jemand eine Internetseite aufruft, schickt sein Gerät eine Anfrage an den Computer, auf dem die Seite gespeichert ist. Diese Anfragen zusammen nennt man Traffic, also den Verkehr auf einer Website. Ein Teil davon stammt aber nicht von Menschen, sondern von Programmen, die selbstständig Seiten abrufen. Solche Programme heißen Bots, und ihre Zugriffe nennt man Bot-Traffic. Der Betreiber der Seite sieht zunächst nur, dass eine Anfrage eintrifft — ob ein Mensch oder eine Maschine dahintersteckt, muss er erst herausfinden. Bot-Traffic ist dabei weder automatisch schädlich noch automatisch harmlos: Es kommt darauf an, welches Programm was tut.
Nützliche Bots und schädliche Bots
Ein Teil des Bot-Traffics ist erwünscht. Suchmaschinen schicken Programme los, die Seiten lesen und in ihren Index aufnehmen. Ohne diese sogenannten Crawler würde eine Website bei Google gar nicht auftauchen. Auch Preisvergleichsportale, Nachrichten-Feeds und Überwachungsdienste, die melden, wenn ein Server ausfällt, arbeiten mit Bots.
Andere Bots verursachen Schaden. Sie probieren gestohlene Passwörter an Login-Seiten durch, kaufen begehrte Konzerttickets in Sekunden auf oder kopieren komplette Produktkataloge eines Konkurrenten. Wieder andere klicken auf Werbeanzeigen, damit der Werbetreibende zahlen muss, ohne dass ein Mensch die Anzeige je gesehen hat. Schätzungen zufolge geht ein zweistelliger Prozentsatz des gesamten Web-Traffics auf solche bösartigen Programme zurück.
Für Unternehmen hat das direkte finanzielle Folgen. Jede Anfrage kostet Rechenleistung, und wer sehr viele Zugriffe hat, zahlt mehr an seinen Hosting-Anbieter. Noch heikler sind verfälschte Zahlen: Wenn ein Onlineshop glaubt, eine Werbekampagne habe 100.000 Besucher gebracht, davon aber die Hälfte Maschinen waren, trifft er seine nächsten Entscheidungen auf falscher Grundlage.
Wie man Maschinen von Menschen unterscheidet
Jede Anfrage an eine Website enthält Zusatzinformationen, etwa welcher Browser und welches Betriebssystem verwendet werden. Freundliche Bots geben sich dort ehrlich zu erkennen, zum Beispiel als „Googlebot“. Sie halten sich außerdem meist an eine Datei namens robots.txt, in der ein Website-Betreiber notiert, welche Bereiche Programme nicht abrufen sollen. Das ist allerdings nur eine Bitte, keine technische Sperre.
Bösartige Bots geben sich als normaler Browser aus. Deshalb schaut man auf ihr Verhalten. Ein Mensch bewegt die Maus unregelmäßig, scrollt, macht Pausen und braucht Sekunden zum Lesen. Ein Programm ruft dagegen 300 Seiten pro Minute in exakt gleichen Abständen ab. Auch die Herkunft der Anfrage ist ein Hinweis: Kommen tausende Zugriffe aus einem Rechenzentrum statt von Mobilfunk- oder Heimanschlüssen, ist das verdächtig.
Gegenmaßnahmen reichen von Rätseln wie CAPTCHAs bis zu Systemen, die verdächtige Anfragen einfach ausbremsen. Perfekt funktioniert das nie. Blockiert man zu streng, sperrt man echte Kunden aus — ein bekannter Ärger für Menschen, die einen Werbeblocker oder ein VPN nutzen. Man verschiebt also immer nur die Grenze zwischen zu viel und zu wenig Schutz.
KI-Crawler als neuer Streitpunkt
Seit einigen Jahren gibt es eine neue Sorte Bots: Programme von KI-Firmen, die Texte und Bilder aus dem Netz sammeln, um damit Sprachmodelle zu trainieren. Viele Verlage und Foren sehen darin ein Problem. Ihre Inhalte werden abgegriffen, tauchen später in KI-Antworten auf, und die Leser besuchen die ursprüngliche Seite nie. Deshalb sperren immer mehr Websites diese Crawler in ihrer robots.txt aus oder verlangen Geld für den Zugriff.
In Wirtschaftsnachrichten begegnet einem Bot-Traffic vor allem in drei Zusammenhängen. Erstens bei Anbietern wie Cloudflare oder Akamai, deren Geschäft es ist, unerwünschte Zugriffe zu filtern. Zweitens bei Streits über Werbebetrug, wenn Firmen feststellen, dass sie für maschinelle Klicks bezahlt haben. Drittens bei Prozessen zwischen Medienhäusern und KI-Anbietern über die Frage, wer Inhalte automatisiert einsammeln darf.
Ein verbreiteter Irrtum ist, Bot-Traffic sei dasselbe wie ein Hackerangriff. Der Großteil ist schlicht Routine: Suchmaschinen, Sicherheitsscanner, Preisroboter. Auffällig wird es erst, wenn ein Server unter der Last zusammenbricht — dann spricht man von einem DDoS-Angriff, bei dem tausende Rechner eine Seite absichtlich überlasten.