Warum Bot-Traffic die Datenqualität zerstört
Web-Analytics ist nur so gut wie die Daten, die hineinfließen. Sobald ein nennenswerter Teil der gemessenen Zugriffe nicht von Menschen, sondern von Automaten stammt, verschieben sich sämtliche Kennzahlen - und zwar nicht gleichmäßig, sondern selektiv. Ein Bot, der eine Seite abruft und sofort weiterzieht, erzeugt eine Session mit null Sekunden Verweildauer und einer Absprungrate von 100 Prozent. Ein Scraper, der systematisch hunderte Unterseiten durchläuft, bläht die Seiten pro Sitzung künstlich auf. Beide erscheinen im Dashboard als Besucher, obwohl keiner von ihnen jemals ein Produkt kaufen, ein Formular ausfüllen oder einen Newsletter abonnieren wird.
Die Verzerrung trifft drei zentrale Größen zugleich. Erstens die Reichweite: Sitzungs- und Nutzerzahlen liegen zu hoch, weil jeder Crawler mitgezählt wird. Zweitens das Engagement: Verweildauer, Scrolltiefe und Seiten pro Sitzung werden entweder nach unten gezogen (durch Ein-Klick-Bots) oder nach oben getrieben (durch systematische Scraper). Drittens - und wirtschaftlich am schmerzhaftesten - die Conversion-Rate: Sie ist der Quotient aus Abschlüssen und Sitzungen. Weil Bots den Nenner aufblähen, ohne jemals zu konvertieren, erscheint die Conversion-Rate niedriger, als sie tatsächlich ist. Wer daraufhin an Landingpage, Preis oder Checkout schraubt, optimiert gegen ein Messartefakt.
Bot-Traffic verteilt sich nicht gleichmäßig über alle Kanäle. Scraper und KI-Crawler treffen bevorzugt inhaltsreiche Seiten, Datacenter-Bots kommen über Direktaufrufe statt über bezahlte Kampagnen, und automatisierte Zugriffe konzentrieren sich auf bestimmte Tageszeiten. Dadurch verschieben sich nicht nur die Summen, sondern auch die Verteilungen - der scheinbare Kanal-Mix, die vermeintlich beste Uhrzeit und die Conversion-Rate je Quelle. Entscheidungen auf solchen Daten korrigieren am eigentlichen Nutzerverhalten vorbei.
Besonders tückisch ist, dass die Fehler sich fortpflanzen. A/B-Tests rechnen Bot-Sitzungen in beide Varianten ein und verwässern die statistische Aussagekraft. Attributionsmodelle verteilen Umsatz auf Kanäle, die in Wahrheit überproportional Bots angezogen haben. Und automatisierte Gebotsstrategien im Marketing lernen aus verfälschten Signalen. Die Bereinigung an der Quelle - also das Aussortieren nicht-menschlicher Zugriffe, bevor sie in die Auswertung gelangen - ist deshalb kein kosmetischer Feinschliff, sondern die Voraussetzung dafür, dass jede nachgelagerte Analyse belastbar bleibt.
Rund die Hälfte des Web-Traffics ist automatisiert
Die Datenlage ist eindeutig und hat 2025 einen Wendepunkt erreicht. Erstmals seit einem Jahrzehnt übertraf automatisierter Traffic die menschliche Aktivität und machte 51 % des gesamten Web-Traffics aus, während Menschen nur noch 49 % beisteuerten (Imperva Bad Bot Report). Der Anteil eindeutig bösartiger Bots - also Scraper, Credential-Stuffing-Skripte, Scalper und Betrugsautomaten - stieg auf 37 % des Internet-Traffics, nach 32 % im Jahr zuvor (Imperva Bad Bot Report). Die restlichen Automaten sind sogenannte gute Bots wie Suchmaschinen-Crawler, die ihren Zweck offen deklarieren, aber trotzdem keine menschlichen Besucher sind und in der Reichweitenmessung nichts verloren haben.
Eine zweite, unabhängige Messung bestätigt das Bild aus einem anderen Blickwinkel. Auf HTML-Seiten - also genau den Dokumenten, die auch Analytics-Skripte tragen - kamen Anfang Dezember 2025 nur noch 47 % der Abrufe von Menschen, während Nicht-KI-Bots 44 % erzeugten (Cloudflare Radar 2025 Year in Review). Spezialisierte KI-Bots steuerten über das Jahr im Schnitt 4,2 % der HTML-Anfragen bei, der Googlebot allein 4,5 % (Cloudflare Radar 2025 Year in Review). Der Trend zeigt steil nach oben: Das sogenannte User-Action-Crawling, bei dem Automaten im Auftrag einzelner Nutzer Seiten abrufen, wuchs 2025 um mehr als das 15-Fache (Cloudflare Radar 2025 Year in Review).
- Datacenter-Bots - Zugriffe aus Rechenzentren von AWS, Google Cloud, Azure und Hostern; menschliche Nutzer surfen praktisch nicht aus solchen Netzen.
- KI-Crawler - Bots, die Inhalte für Trainings- und Antwortsysteme einsammeln; im Schnitt 4,2 % der HTML-Anfragen (Cloudflare Radar 2025 Year in Review).
- Headless-Browser - vollwertige, aber ferngesteuerte Browser, die eine echte Browserkennung senden und sich kaum vom Menschen unterscheiden.
- Residential-Proxy-Bots - Angreifer, die ihren Traffic über Endkunden-Anschlüsse leiten; 21 % der Bot-Angriffe nutzen solche Proxys, um sich unter echte Nutzer zu mischen (Imperva Bad Bot Report).
- Gute Bots - Suchmaschinen- und Monitoring-Crawler; legitim, aber dennoch keine menschlichen Besucher und daher aus der Reichweite herauszurechnen.
Wichtig ist die Erkenntnis, dass diese Anteile nicht stabil bleiben, sondern Jahr für Jahr steigen. Eine Analytics-Konfiguration, die heute einen brauchbaren Teil der Bots erwischt, verliert ohne Pflege kontinuierlich an Trennschärfe. Das gleiche strukturelle Muster - wachsende Messlücken durch Technik, die sich schneller entwickelt als die Standardwerkzeuge - beschreibt der Beitrag zu den Adblocker-Datenverlusten und First-Party-Messung: Auch dort entscheidet nicht ein einmaliges Setup, sondern die laufende Anpassung über die Datenqualität.
Warum Standard-Filterlisten nur einen Teil fangen
Die meisten Analytics-Werkzeuge filtern Bots über Listen bekannter Signaturen. Der Industriestandard dafür ist die IAB/ABC International Spiders and Bots List, die von der Alliance for Audited Media gepflegt und monatlich aktualisiert wird (IAB/ABC International Spiders and Bots List). Sie arbeitet nach einem zweistufigen Verfahren: Zuerst prüft eine Positivliste, ob die Browserkennung einem bekannten, gültigen Muster entspricht, danach entfernt eine Negativliste alle übrig gebliebenen, als Bot erkannten Signaturen (IAB/ABC International Spiders and Bots List). Dieses Dual-Pass-Verfahren unterstützt den General Invalid Traffic Detection and Filtration Standard des Media Rating Council und ist eine solide Basis - aber es hat eine prinzipielle Grenze.
Ungültiger Traffic entsteht durch Bots, Klickfarmen und andere nicht-menschliche Aktivität. Er bläht Website- und Kampagnenzahlen auf und verzerrt die gemessenen Kennzahlen, sodass sich Reichweite und Herkunft nur schwer verlässlich bestimmen lassen.
— IAB/ABC International Spiders and Bots List
Die Grenze liegt in der Methode selbst: Signaturlisten erkennen einen Bot an dem, was er über sich behauptet - vor allem an seiner Browserkennung. Genau das haben die modernen, wirtschaftlich motivierten Bots gelernt zu fälschen. Drei Kategorien rutschen deshalb systematisch durch die Standardfilter.
Ferngesteuerte, aber vollständige Browser führen JavaScript aus und senden eine völlig unauffällige Browserkennung. Für eine signaturbasierte Liste sehen sie aus wie ein Mensch mit aktuellem Chrome - der meistimitierte Browser überhaupt, mit 46 % aller gefälschten Kennungen (Imperva Bad Bot Report).
Neue Bots für KI-Trainings- und Antwortsysteme entstehen schneller, als Listen sie aufnehmen können. Ein Teil deklariert sich ehrlich, viele nicht - und selbst die ehrlichen gehören mit 4,2 % der HTML-Anfragen aus der menschlichen Reichweite herausgerechnet (Cloudflare Radar 2025 Year in Review).
21 % der Bot-Angriffe laufen über Wohnanschlüsse echter Internetkunden (Imperva Bad Bot Report). Damit taucht der Traffic mit einer völlig gewöhnlichen Endkunden-IP und einer legitimen Browserkennung auf - beides zusammen macht eine Erkennung allein am User-Agent nahezu aussichtslos.
Das gemeinsame Problem: Eine Liste kann nur katalogisieren, was bereits bekannt ist. Sobald ein Bot eine glaubwürdige Browserkennung sendet und aus einem unauffälligen Netz kommt, liefert die Signatur keinen Angriffspunkt mehr. Genau hier setzt die einwilligungsfreie, serverseitige Messung an, deren Grundmechanik der Beitrag zum cookielosen Tracking ohne Consent im Detail erklärt. Der Ausweg besteht darin, nicht länger zu fragen, was ein Zugriff über sich behauptet, sondern woher er technisch tatsächlich kommt.
Serverseitig filtern über ASN- und Rechenzentrums-Erkennung
Der wirksamste Hebel gegen getarnte Bots ist ein Merkmal, das sich nur schwer fälschen lässt: die Herkunft des Netzes. Jede IP-Adresse gehört zu einem autonomen System (AS), das über eine ASN-Nummer eindeutig einem Betreiber zugeordnet ist - einem Zugangsprovider, einem Mobilfunknetz oder eben einem Rechenzentrum. Ein Mensch, der eine Website besucht, kommt über den Anschluss eines Zugangs- oder Mobilfunkproviders. Ein Zugriff, der aus dem Netz von AWS, Google Cloud, Azure oder einem Massenhoster stammt, ist dagegen kaum je ein privater Surfer, sondern ein Server - und damit mit hoher Wahrscheinlichkeit ein Bot.
Serverseitige Filterung nutzt genau dieses Signal. Statt dem User-Agent zu vertrauen, wird die Besucher-IP beim Eingang gegen ein Verzeichnis von ASN- und Rechenzentrums-Bereichen geprüft. Fällt die IP in einen Hosting-Bereich, wird der Zugriff als maschinell markiert und aus der Reichweitenmessung genommen, bevor er überhaupt eine Session bildet. Der entscheidende Vorteil gegenüber Signaturlisten: Der Bot kann seine Browserkennung fälschen, so oft er will - seine Netzherkunft ändert das nicht. Ein Scraper auf einer Cloud-Instanz bleibt ein Zugriff aus dem Rechenzentrum, egal welchen Browser er vorgibt.
ASN-basierte Filterung ist nur dann sauber, wenn sie zielgenau bleibt. Mobilfunk-Provider, Kabel- und DSL-Anbieter oder Business-Glasfaser dürfen nicht als Rechenzentrum eingestuft werden, sonst verschwinden echte Besucher aus der Statistik. Entscheidend ist deshalb ein sorgfältig kuratiertes ASN-Verzeichnis, das Hosting- und VPN-Netze erfasst, ohne Endkunden-Netze zu treffen. XICTRAQ trennt Datacenter-ASNs von Consumer- und Carrier-Netzen und verwirft ausschließlich die Rechenzentrums-Zugriffe - ein zu breiter Filter wäre hier schädlicher als gar keiner.
| Eigenschaft | Signaturbasierte Filterliste | Serverseitige ASN-Erkennung |
|---|---|---|
| Erkennungsmerkmal | Browserkennung (User-Agent) | Netzherkunft (ASN / Rechenzentrum) |
| Gefälschter User-Agent | wird übersehen | bleibt wirkungslos |
| Headless-Browser | erscheint als Mensch | als Hosting-Zugriff erkennbar |
| Residential-Proxy | kaum erfassbar | je nach Netz teils erkennbar |
| Pflegeaufwand | monatliche Listen-Updates | laufend gepflegtes ASN-Verzeichnis |
| Risiko für echte Besucher | gering | gering bei kuratiertem Verzeichnis |
Der zweite Baustein ist die First-Party-Architektur. Wird die Messung über die eigene Domain ausgeliefert und serverseitig ausgewertet, lässt sich die Netzherkunft jedes Zugriffs direkt am Eingang bestimmen - noch bevor Daten aggregiert werden. Das ist zugleich die Grundlage dafür, dass die Auswertung datensparsam und ohne Übertragung an Dritte bleibt. Wie sich Conversions trotz Blockern und Tarnung vollständig erfassen lassen, vertieft der Beitrag zum Conversion-Tracking ohne Drittanbieter; wie eine datenschutzfreundliche Analytics-Basis insgesamt aussieht, zeigt der Vergleich zu einer DSGVO-konformen Analytics-Lösung.
- Netzherkunft statt Selbstauskunft - jede IP wird gegen ein ASN- und Rechenzentrums-Verzeichnis geprüft, nicht gegen ihre Browserkennung.
- Kuratiertes ASN-Verzeichnis - Hosting- und VPN-Netze werden erfasst, Endkunden- und Mobilfunknetze bewusst ausgenommen.
- Filterung am Eingang - maschinelle Zugriffe werden markiert, bevor sie eine Session bilden, statt nachträglich Zahlen zu korrigieren.
- First-Party-Auswertung - die Herkunft wird auf der eigenen Domain bestimmt, ohne Datenweitergabe an Dritte.
- Laufende Pflege - das Verzeichnis wird kontinuierlich aktualisiert, weil neue Hosting-Bereiche und Bot-Netze ständig hinzukommen.
Wer Bots am User-Agent jagt, läuft den Fälschern hinterher. Wer sie an der Netzherkunft erkennt, dreht den Spieß um: Ein Rechenzentrum bleibt ein Rechenzentrum, unabhängig davon, welchen Browser der Zugriff vorgibt. So wird aus einer aufgeblähten Roh-Statistik eine belastbare Datenbasis - mit realen Sessions, echter Verweildauer und einer Conversion-Rate, die auf tatsächlichen Besuchern beruht statt auf Automaten.
Was XICTRAQ für saubere Analytics-Daten leistet
Bot-Filterung ist bei XICTRAQ kein Zusatzschalter, sondern in die Messung eingebaut. Jeder Zugriff wird am Eingang gegen die Netzherkunft geprüft, sodass Rechenzentrums-Traffic gar nicht erst als Besucher gezählt wird. Die folgende Übersicht zeigt, welche Bausteine zusammenwirken, damit die Auswertung auf echten Nutzern statt auf Automaten beruht.
Zugriffe aus Hosting-Netzen wie AWS, Google Cloud oder Azure werden ASN-basiert markiert und aus der Reichweite genommen - ohne Mobilfunk- und Endkunden-Netze zu treffen. Grundlage der cookielosen Analytics.
Ein laufend gepflegtes Verzeichnis unterscheidet Hosting- und VPN-Netze von Consumer- und Carrier-Netzen. Dieselbe Geo- und ASN-Datenbasis steht über die Geo-API für eigene Auswertungen bereit.
Sessions, Verweildauer, Absprungrate und Conversion-Rate werden ohne Bot-Zugriffe berechnet - die Zahlen im Dashboard bilden reales Nutzerverhalten ab statt eine Mischung aus Mensch und Maschine.
Ein echter Browser prüft, welche Skripte und Tags eine Seite lädt und welche Zugriffe von außen erfolgen - Teil des Sicherheits-Scans, der auch verdächtige Dritt-Aufrufe sichtbar macht.
Uptime, Antwortzeiten und Web Vitals werden aus mehreren Regionen überwacht, damit Reichweiteneinbrüche nicht fälschlich Bots zugeschrieben werden. Mehr dazu beim Uptime-Monitoring.
Plötzliche Traffic-Spitzen aus Rechenzentren oder auffällige Muster lösen eine Meldung per E-Mail, Slack, Discord oder Telegram aus - bevor daraus eine falsche Auswertung wird.
Der gemeinsame Nenner ist die Messung aus der Perspektive des echten Besuchers und die konsequente Trennung von Mensch und Maschine an der Netzherkunft. Wer die technische Resilienz seiner Infrastruktur daneben breiter absichern will, findet verwandte Themen im Beitrag zum Monitoring quantensicherer TLS-Verschlüsselung sowie zur abgesicherten Mailverschlüsselung mit MTA-STS und TLS-RPT.
Bot-Filterung als Standard für 2026 etablieren
Die Zahlen lassen wenig Interpretationsspielraum: Wenn automatisierter Traffic bereits 51 % aller Zugriffe ausmacht (Imperva Bad Bot Report) und auf HTML-Seiten nur noch 47 % der Abrufe von Menschen stammen (Cloudflare Radar 2025 Year in Review), dann ist ungefilterter Roh-Traffic keine brauchbare Entscheidungsgrundlage mehr. Wer Marketing-Budgets, Produktentscheidungen und A/B-Tests auf einer Mischung aus Mensch und Maschine plant, optimiert gegen ein verzerrtes Bild - und der Anteil der Verzerrung wächst mit jedem Jahr weiter.
Die Umstellung ist keine Großbaustelle, sondern eine Architekturentscheidung: serverseitige Filterung an der Netzherkunft, ein sorgfältig kuratiertes ASN-Verzeichnis und eine First-Party-Messung, die Bots aussortiert, bevor sie in die Auswertung gelangen. Kombiniert mit laufender Pflege bleibt die Datenqualität auch dann stabil, wenn neue Bot-Netze und KI-Crawler hinzukommen. Der praktische Einstieg führt über die Preisübersicht und eine unverbindliche Live-Demo, in der sich der Unterschied zwischen Roh- und bereinigten Zahlen direkt nachvollziehen lässt.
Dieser Artikel basiert auf Daten von: Imperva Bad Bot Report (51 % automatisierter Traffic 2025, 49 % Menschen, 37 % bösartige Bots gegenüber 32 % im Vorjahr, 21 % der Angriffe über Residential-Proxys, 46 % imitierter Chrome-User-Agent), Cloudflare Radar 2025 Year in Review (47 % menschliche und 44 % Nicht-KI-Bot-Anteil an HTML-Anfragen Anfang Dezember 2025, 4,2 % KI-Bots, 4,5 % Googlebot, mehr als 15-faches Wachstum beim User-Action-Crawling) und der IAB/ABC International Spiders and Bots List (monatlich gepflegte Signaturliste, Dual-Pass-Verfahren, General Invalid Traffic Detection and Filtration Standard des Media Rating Council). Rechtliche Aussagen ersetzen keine Rechtsberatung.