Referrer-Spam und Ghost-Traffic: zwei verschiedene Probleme
Beide Begriffe landen oft im selben Topf, technisch sind es aber zwei verschiedene Phänomene mit unterschiedlicher Ursache. Crawler-Referrer-Spam stammt von Bots, die Ihre Seite tatsächlich abrufen und dabei einen gefälschten Referrer im HTTP-Header hinterlassen - in der Hoffnung, dass Sie die vermeintliche Quelle in Ihren Berichten sehen, neugierig werden und die verlinkte Spam-Domain besuchen. Dieser Traffic erzeugt einen echten Request an Ihren Server. Ghost-Traffic dagegen berührt Ihren Server zu keinem Zeitpunkt: Die Spammer schicken erfundene Treffer direkt an die Mess-Schnittstelle einer ID-basierten Analytics-Lösung, ohne Ihre Seite jemals zu laden. Der angebliche Referrer, die Landingpage und sogar der gemeldete Hostname sind frei erfunden.
Der Unterschied ist entscheidend für die Abwehr. Crawler-Spam lässt sich am Netz erkennen, weil er als realer Zugriff aus einem Rechenzentrum kommt. Ghost-Traffic dagegen lässt sich nicht am Verhalten filtern, weil es kein Verhalten gibt - es existiert nur ein manipulierter Datensatz. Der einzige verlässliche Angriffspunkt ist der Hostname: Ghost-Hits tragen einen Domainnamen, der nicht zu Ihrer Website gehört, weil die Spammer ihn nicht an Ihre tatsächliche Domain anpassen. Wer diesen Wert am Eingang prüft, entlarvt den Großteil des Ghost-Traffics in einem einzigen Schritt.
ID-basierte Client-Analytics arbeiten mit einer Tracking- oder Mess-ID, die offen im Quelltext jeder Seite steht. Spammer lesen diese Kennung entweder direkt aus oder erzeugen einfach Millionen zufälliger IDs und feuern erfundene Treffer im Gießkannenprinzip dagegen. Ihre Website muss dafür nicht einmal existieren - es genügt, dass die Mess-Schnittstelle Treffer mit einer syntaktisch gültigen ID annimmt. Deshalb taucht Ghost-Traffic oft schlagartig und in Wellen auf, ohne Bezug zu echten Kampagnen oder Uhrzeiten.
Woran Sie Ghost-Traffic in den Daten erkennen
Ghost- und Referrer-Spam hinterlassen ein wiederkehrendes Muster. Kein einzelnes Signal ist für sich beweisend, aber in Kombination ergeben sie ein klares Bild. Wer regelmäßig auf diese Merkmale achtet, erkennt eine Spam-Welle meist, bevor sie die Monatszahlen verzerrt - und kann sie gezielt aus der Auswertung nehmen, statt pauschal ganze Zeiträume abzuschreiben. Typisch sind Sitzungen mit einer Verweildauer von deutlich unter einer Sekunde und einer Absprungrate nahe 100 % (laut Branchenanalysen).
- Fremder Hostname - der gemeldete Domainname passt nicht zu Ihrer Website. Das ist das zuverlässigste Einzelmerkmal von Ghost-Traffic überhaupt.
- Sitzungsdauer nahe null - Ghost-Hits erzeugen typischerweise Sitzungen mit einer Verweildauer von unter einer Sekunde, weil kein echter Seitenaufruf dahintersteht (laut Branchenanalysen).
- Absprungrate 100 % - jede Fake-Session besteht aus genau einem Ereignis und springt sofort ab, was den Durchschnitt künstlich nach oben zieht (laut Branchenanalysen).
- Verdächtige Referrer-Domains - Namen mit Bausteinen wie „buttons“, „seo“, „traffic“ oder „offer“, die Sie zum Rücklink verleiten sollen.
- Auffällige Landingpages - häufig die Startseite mit merkwürdigen Query-Parametern oder ein Wert wie „(not set)“ statt eines echten Pfades.
- Sprunghafte Wellen - der Traffic erscheint schubweise und ohne Zusammenhang zu Kampagnen, Wochentagen oder Uhrzeiten.
Wichtig ist, dass diese Merkmale sich gegenseitig verstärken. Eine einzelne Sitzung mit null Sekunden Verweildauer kann harmlos sein - ein schneller Wiederkehrer, ein Fehlklick. Eine ganze Kohorte aus fremdem Hostname, Null-Sekunden-Sitzung und 100-Prozent-Absprung ist dagegen kein Zufall, sondern Injektion. Genau dieselbe Logik der gerichteten, nicht zufälligen Verzerrung beschreibt der Beitrag zur Bot-Traffic-Filterung für saubere Datenqualität: Bots treffen bestimmte Seiten und Zeitfenster überproportional, was nicht nur Summen, sondern auch Verteilungen kippt.
Warum ID-basierte Client-Messung so anfällig ist
Die Schwachstelle liegt in der Architektur. Klassische Client-Analytics sammeln Daten, indem ein Skript im Browser Treffer an eine öffentliche Mess-Schnittstelle sendet, adressiert nur über eine Mess-ID. Diese Schnittstelle vertraut grundsätzlich allem, was mit einer syntaktisch gültigen ID ankommt. Sie prüft nicht, ob der Treffer wirklich von einem geladenen Seitenaufruf stammt oder ob der gemeldete Hostname zur ID passt. Damit steht das Scheunentor offen: Jeder, der die ID kennt oder errät, kann beliebige Daten einspeisen - inklusive frei erfundenem Referrer und Hostname. Dass nur noch 49 % des Web-Traffics überhaupt von Menschen stammen (Imperva Bad Bot Report 2025), macht solche Injektionen zu einem Massenphänomen statt zu einem Einzelfall.
Weil automatisierter Traffic längst den Großteil des Netzes ausmacht - 51 % aller Zugriffe im Jahr 2025 (Imperva Bad Bot Report 2025) - lohnt sich dieses Spammen im industriellen Maßstab. Ein einziges Skript kann Millionen zufälliger Mess-IDs mit Treffern bombardieren, und ein Teil davon landet zwangsläufig in echten Konten. Der Ausweg besteht nicht darin, ständig wachsende Ausschlusslisten von Spam-Domains zu pflegen - das ist ein Wettlauf ohne Ziellinie. Der Ausweg besteht darin, die Messung so zu bauen, dass ein Treffer nur zählt, wenn er nachweislich von einem echten Aufruf der eigenen Domain stammt.
Hostname-Validierung: der wirksamste Einzelfilter
Der stabilste Hebel gegen Ghost-Traffic ist der Hostname-Abgleich. Jeder echte Seitenaufruf meldet den Domainnamen, unter dem die Seite tatsächlich läuft. Ghost-Hits können diesen Wert zwar frei setzen, treffen aber praktisch niemals exakt Ihre registrierte Domain - dazu müssten die Spammer jede einzelne Website individuell kennen und imitieren, was ihr Massen-Gießkannen-Modell zunichtemachen würde. Ein Filter, der ausschließlich Treffer mit dem korrekten eigenen Hostname zulässt, entfernt deshalb den Löwenanteil des Ghost-Traffics in einem Schritt.
In ID-basierten Client-Tools lässt sich ein Hostname-Filter zwar nachrüsten, doch er wirkt erst in der Auswertung - die Fake-Daten sind da bereits im Rohbestand angekommen und müssen dauerhaft weggefiltert werden. Eine serverseitige Lösung dreht die Reihenfolge um: XICTRAQ® ordnet jede Messung fest einer registrierten Domain zu und verwirft Treffer mit fremdem Hostname schon am Eingang, bevor sie überhaupt eine Session bilden. So bleibt der Rohbestand sauber, statt nachträglich bereinigt zu werden.
| Merkmal | ID-basierte Client-Messung | Serverseitige First-Party-Messung |
|---|---|---|
| Angriffsfläche | öffentliche Mess-ID im Quelltext | kein öffentlich besprühbares Ziel |
| Ghost-Hit ohne Seitenaufruf | wird angenommen und gezählt | erreicht die Messung nicht |
| Hostname-Prüfung | optional, erst in der Auswertung | verpflichtend, am Eingang |
| Crawler-Referrer-Spam | erscheint als echte Quelle | über Bot-ASN erkennbar |
| Datenbestand | muss dauerhaft nachgefiltert werden | bleibt von Anfang an sauber |
| Datenweitergabe | häufig an Dritte | first-party, ohne Dritt-Transfer |
Serverseitige First-Party-Messung schließt Ghost-Traffic strukturell aus
Der grundlegende Unterschied ist, wo und wie ein Treffer entsteht. Bei serverseitiger First-Party-Messung wird die Zählung über die eigene Domain ausgeliefert und ausgewertet. Es gibt keine öffentliche Mess-ID, die man aus dem Quelltext ablesen und dann im Gießkannenprinzip besprühen könnte. Ein Treffer zählt nur, wenn er als echter HTTP-Request an den eigenen Kollektor gelangt und der gemeldete Hostname zur registrierten Website passt. Ghost-Hits, die niemals Ihre Seite laden, können diesen Weg gar nicht gehen - sie tauchen deshalb erst gar nicht in den Daten auf.
- Keine öffentlich besprühbare Mess-ID - die Messung ist an die eigene Domain gebunden, nicht an eine im Quelltext sichtbare Kennung.
- Treffer nur als echter Request - gezählt wird ausschließlich, was tatsächlich als Aufruf an den eigenen Kollektor gelangt.
- Hostname-Abgleich am Eingang - jeder Treffer wird gegen die registrierte Domain geprüft, bevor er eine Session bildet.
- Bot- und ASN-Filter - Crawler-Spam, der doch einen echten Request erzeugt, wird an der Rechenzentrums-Herkunft erkannt.
- Referrer-Normalisierung - bekannte Spam-Domains und leere Quellen werden konsistent zusammengefasst statt einzeln nachgejagt.
Diese Architektur ist zugleich die Grundlage einer datensparsamen Auswertung ohne Übertragung an Dritte - ein Punkt, der eng mit der Frage zusammenhängt, welche Daten eine Website überhaupt nach außen gibt. Wie sich solche Abflüsse messen und einordnen lassen, vertieft der Beitrag zum Datenabfluss und Drittland-Transfer einer Website. Und weil Fake-Traffic-Wellen sich in denselben Dashboards zeigen wie technische Störungen, gehört die Sauberkeit der Analytics eng mit der Überwachung der 5xx-Serverfehlerrate zusammen: Erst wenn echte Fehler und Fake-Sessions sauber getrennt sind, lässt sich ein Einbruch richtig deuten.
Bot- und ASN-Filter gegen Crawler-Referral-Spam
Die zweite Spam-Kategorie - Crawler, die Ihre Seite wirklich abrufen und einen gefälschten Referrer hinterlassen - erreicht die Hostname-Prüfung nicht, weil sie tatsächlich Ihre Domain lädt. Hier greift ein anderes Signal: die Netzherkunft. Jede IP gehört zu einem autonomen System mit eindeutiger ASN-Nummer, das einem Zugangsprovider, einem Mobilfunknetz oder einem Rechenzentrum zugeordnet ist. Ein Mensch surft praktisch niemals aus dem Netz von AWS, Google Cloud oder Azure. Ein Zugriff aus einem solchen Hosting-Bereich ist mit hoher Wahrscheinlichkeit ein Automat - unabhängig davon, welchen Referrer oder Browser er vorgibt.
Dass sich diese Erkennung lohnt, zeigen die Kennzahlen. Von den automatisierten Zugriffen entfielen 2025 rund 14 % auf gute Bots wie Suchmaschinen-Crawler und 37 % auf bösartige Bots, gegenüber 32 % im Vorjahr (Imperva Bad Bot Report 2025). Zugleich laufen inzwischen 21 % der Bot-Angriffe über Wohnanschlüsse echter Internetkunden, und Chrome ist mit 46 % der meistimitierte Browser überhaupt (Imperva Bad Bot Report 2025). Reine User-Agent-Listen greifen bei so viel Tarnung zu kurz; die Netzherkunft bleibt dagegen ein schwer fälschbares Merkmal. Entscheidend ist ein kuratiertes Verzeichnis, das Hosting- und VPN-Netze erfasst, ohne Mobilfunk- und Endkunden-Anschlüsse zu treffen - sonst verschwinden echte Besucher aus der Statistik.
Ghost-Traffic lässt sich nicht wegjagen, indem man ständig längere Spam-Domain-Listen pflegt. Er verschwindet, wenn die Messung so gebaut ist, dass ein Treffer nur zählt, sobald er von einem echten Aufruf der eigenen Domain stammt und den korrekten Hostname meldet. Crawler-Spam wiederum entlarvt die Netzherkunft, nicht der Referrer. Aus einer aufgeblähten Roh-Statistik wird so eine belastbare Basis mit realen Sessions, echter Verweildauer und einer Conversion-Rate, die auf tatsächlichen Besuchern beruht.
Was XICTRAQ® gegen Referrer-Spam und Ghost-Traffic leistet
Bei XICTRAQ® ist die Spam-Abwehr nicht ein nachgelagerter Filter, sondern in die Messung eingebaut. Jeder Treffer wird am Eingang gegen die registrierte Domain und die Netzherkunft geprüft, sodass Ghost- und Crawler-Spam gar nicht erst als Besucher gezählt werden. Angesichts eines automatisierten Anteils von 51 % am gesamten Web-Traffic (Imperva Bad Bot Report 2025) ist das keine Randfunktion, sondern die Grundlage jeder belastbaren Auswertung. Die folgende Übersicht zeigt, welche Bausteine zusammenwirken, damit die Zahlen auf echten Nutzern beruhen.
Jede Messung ist fest einer registrierten Domain zugeordnet. Treffer mit fremdem Hostname werden am Eingang verworfen - der Unterschied zwischen Roh- und bereinigten Zahlen wird in der Live-Demo sichtbar.
Zugriffe aus Hosting-Netzen wie AWS, Google Cloud oder Azure werden ASN-basiert markiert und aus der Reichweite genommen, ohne Mobilfunk- und Endkunden-Netze zu treffen.
Die Zählung läuft über die eigene Domain ohne öffentlich besprühbare Mess-ID. Es gibt kein Ziel, gegen das Ghost-Traffic im Gießkannenprinzip anlaufen könnte.
Bekannte Spam-Domains und leere Quellen werden normalisiert, sodass die Quelle-Medium-Auswertung reale Kanäle statt Rücklink-Köder zeigt. Dieselbe Geo- und ASN-Basis steht über die Geo-API bereit.
Plötzliche Traffic-Wellen aus Rechenzentren oder auffällige Muster lösen eine Meldung per E-Mail, Slack, Discord oder Telegram aus - bevor daraus eine falsche Auswertung wird. Ergänzend zur Überwachung der Kontaktformular-Zustellung.
Ein echter Browser prüft, welche Skripte eine Seite lädt - Teil der Kontrolle auf verwundbare JavaScript-Bibliotheken und der Überwachung des Seitengewichts gegen Resource-Bloat.
Der gemeinsame Nenner ist die Messung aus der Perspektive des echten Besuchers und die konsequente Trennung von Mensch und Maschine an Hostname und Netzherkunft. Wer die Sichtbarkeit seiner Seiten daneben absichern will, findet verwandte Themen in der Überwachung versehentlicher noindex-Deploy-Leaks, die zeigt, wie ein einzelnes falsch ausgeliefertes Meta-Tag Rankings kippen kann - ein weiterer Fall, in dem kontinuierliches Monitoring stille Datenschäden verhindert.
Referrer-Spam-Filterung als feste Analytics-Hygiene
Die Zahlen lassen wenig Spielraum: Wenn automatisierter Traffic bereits 51 % aller Zugriffe ausmacht und davon 37 % auf bösartige Bots entfallen (Imperva Bad Bot Report 2025), ist ungefilterter Roh-Traffic keine brauchbare Entscheidungsgrundlage. Referrer-Spam und Ghost-Traffic verzerren nicht nur die Reichweite, sondern verschieben auch den Kanal-Mix, die Verweildauer und die Conversion-Rate je Quelle - also genau die Werte, auf denen Budget- und Produktentscheidungen beruhen. Wer diese Fake-Sessions ausblendet, arbeitet mit einem Bild, das dem echten Nutzerverhalten deutlich näherkommt.
Die Umstellung ist keine Großbaustelle, sondern eine Architekturentscheidung: serverseitige Messung über die eigene Domain, verpflichtende Hostname-Validierung und ein kuratiertes ASN-Verzeichnis gegen Crawler-Spam. Kombiniert mit laufender Pflege bleibt die Datenqualität stabil, auch wenn neue Spam-Wellen und Bot-Netze hinzukommen. Der praktische Einstieg führt über die Preisübersicht und eine unverbindliche Live-Demo, in der sich der Unterschied zwischen Roh- und bereinigten Zahlen direkt nachvollziehen lässt.
Dieser Artikel basiert auf Daten von: Imperva Bad Bot Report 2025 (51 % automatisierter Traffic 2025, 49 % menschlicher Traffic, 37 % bösartige Bots gegenüber 32 % im Vorjahr, 14 % gute Bots, 21 % der Angriffe über Residential-Proxys, 46 % imitierter Chrome-User-Agent) sowie auf Analytics-Praxiswerten zu Ghost-Traffic (fremder Hostname, Sitzungsdauer unter einer Sekunde, Absprungrate 100 %), die als Branchenanalysen einzuordnen sind. Rechtliche Aussagen ersetzen keine Rechtsberatung.