Schlechter Bot-Traffic steigt um 124 % und wächst neunmal schneller als menschlicher Web-Traffic

Schlechter Bot-Traffic übertrifft menschliches Wachstum um das Neunfache, so ein DataDome-Bericht

Bösartiger automatisierter Traffic wächst in einem Tempo, das die menschliche Aktivität im Web in den Schatten stellt, so eine neue Studie des Cybersicherheitsunternehmens DataDome. Der Bericht zeigt, dass zwischen Juli 2025 und Juni 2026 der Traffic schlechter Bots um 124 % zunahm – ein Tempo, das neunmal schneller ist als das Wachstum legitimen menschlichen Traffics im selben Zeitraum. Unterdessen stieg der Traffic, der als von KI-Systemen stammend identifiziert wurde, um mehr als 82 %, was unterstreicht, wie schnell die Automatisierung die zugrunde liegenden Traffic-Muster des Internets verändert.

Die Ergebnisse stammen aus einer Analyse von über einer Billion Anfragen über mehr als 75.000 Kundenwebsites und machen sie zu einer der umfangreichsten Untersuchungen von Bot-Aktivitäten bislang. Die Daten zeichnen das Bild eines Online-Ökosystems, in dem automatisierte Agenten sich nicht nur vermehren, sondern auch tiefer in die sensiblen Bereiche von Websites eindringen, die Benutzerkonten, Transaktionen und persönliche Informationen verwalten.

Der Bericht hebt einen grundlegenden Wandel im Wesen des Web-Traffics hervor. Während menschliche Nutzer das Internet in relativ stetigem Tempo durchqueren, vermehren sich automatisierte Skripte und KI-gesteuerte Agenten in beispiellosem Ausmaß. Dieser Anstieg ist nicht bloß lästig; er stellt eine systemische Herausforderung für die Sicherheit und Integrität von Online-Diensten dar.

Anstieg von Scraping und Scalping

Zu den auffälligsten Trends gehört die Explosion der Scraping-Aktivität, die im Jahresvergleich um mehr als 185 % zunahm. Bots, die darauf ausgelegt sind, Inhalte, Preisdaten und andere Informationen von Websites zu extrahieren, werden aggressiver und raffinierter. Darüber hinaus waren Bots, die Scalping betreiben – die Praxis, Tickets oder andere stark nachgefragte Artikel für den Weiterverkauf abzugreifen –, fast dreimal so häufig aktiv wie im Vorjahr. Dies deutet darauf hin, dass automatisierte Tools zunehmend als Waffe eingesetzt werden, um unfaire Vorteile in Verbrauchermärkten zu erlangen.

Vielleicht am besorgniserregendsten für Sicherheitsexperten ist die Feststellung, dass KI-Bots nun Login-Seiten mit achtmal so hoher Rate anvisieren wie bei dem Bericht von DataDome aus dem Jahr 2025. Diese Verschiebung zeigt, dass automatisierter Traffic sich nicht länger damit zufriedengibt, die Oberfläche des Webs abzuschöpfen; er dringt in die Kernabläufe ein, die die Customer Journey definieren.

KI-Agenten und die Konzentration von Bot-Macht

Im Untersuchungszeitraum erkannte DataDome 52,7 Milliarden Crawler-Anfragen, die von KI-Agenten und großen Sprachmodellen stammten. Eine auffällige Konzentration zeigte sich bei der Frage, wer diese Bots aussendet: Meta-nahe Systeme machten mehr als 46 % der Gesamtzahl aus, während OpenAI die zweitaktivste Quelle war und für fast 35 % verantwortlich zeichnete. Diese Dominanz einer Handvoll großer Technologieunternehmen unterstreicht, wie zentral die KI-Entwicklung für die breitere Bot-Traffic-Landschaft geworden ist.

Jérôme Segura, Vice President of Threat Research bei DataDome, betonte, dass sich die Natur des Problems weiterentwickelt. Er erklärte, dass automatisierter Traffic längst nicht mehr nur ein Volumenproblem am Rand des Internets sei. Stattdessen wachse er schnell und dringe tiefer in die Login-, Konto- und Transaktionsabläufe ein, die im Zentrum der Customer Journey stehen. Für Unternehmen, so sagte er, bestehe die Herausforderung nicht mehr einfach darin, Automatisierung zu identifizieren; es gehe darum, festzustellen, ob diese Aktivität nützlich oder schädlich sei.

Eine Schutzlücke wird größer

Trotz der steigenden Bedrohung bleiben viele Websites erschreckend unvorbereitet. DataDome testete 20.000 Websites und entdeckte, dass 65,3 % keinerlei Schutz gegen die zehn in der Studie untersuchten Bot-Typen hatten. Nur 2,4 % der Seiten waren vollständig geschützt – ein deutlicher Rückgang gegenüber 8,4 % im Jahr 2024 und leicht unter den 2,8 % des Vorjahres. Dieser Rückgang deutet darauf hin, dass die Verteidigungsmaßnahmen mit den Fortschritten der Bot-Taktiken kaum Schritt halten können.

Segura warnte vor den Folgewirkungen dieser Verwundbarkeit. Er merkte an, dass automatisierter Traffic in sensible Teile der Customer Journey vordringt. Login-Seiten, Kontoerstellungsabläufe, Warenkörbe und Zahlungsendpunkte sind direkt mit Kundenkonten, persönlichen Informationen, Beständen, Werbeaktionen und Transaktionen verbunden. Missbrauch an diesen Endpunkten kann zu einer Kaskade von Problemen führen, darunter Credential-Testing, Account-Übernahme, Kartentests, Bestandsmissbrauch, Missbrauch von Werbeaktionen und betrügerische Transaktionen.

Was Unternehmen tun können

Die Ergebnisse des Berichts legen nahe, dass Organisationen ihre Herangehensweise an das Bot-Management überdenken müssen. Traditionelle Verteidigungsmaßnahmen, die sich nur auf die Blockierung von Angriffen mit hohem Volumen am Netzwerkrand konzentrieren, reichen möglicherweise nicht mehr aus. Stattdessen müssen Unternehmen Strategien einführen, die zwischen nützlicher Automatisierung – etwa Suchmaschinen-Crawlern oder KI-Assistenten, die legitimen Traffic bringen – und bösartigen Bots, die Schwachstellen ausnutzen wollen, unterscheiden können.

Eine der wichtigsten Erkenntnisse ist, dass nicht alle Bots bösartig sind. Suchmaschinen-Crawler beispielsweise spielen eine entscheidende Rolle bei der Indexierung des Webs, und KI-Assistenten können wertvollen Traffic auf Websites lenken. Die Herausforderung besteht darin, zwischen diesen legitimen Akteuren und jenen mit schädlicher Absicht zu unterscheiden. Ein differenzierter Ansatz, der Technologie, Richtlinien und kontinuierliche Anpassung kombiniert, ist unerlässlich.

• Tiefeninspektion: Überwachen Sie Login-, Kontoerstellungs- und Zahlungsabläufe auf Anzeichen automatisierten Missbrauchs, nicht nur den Traffic der Startseite.
• Verhaltensanalyse: Nutzen Sie maschinelles Lernen, um Muster zu erkennen, die menschliche Nutzer von Bots unterscheiden, selbst wenn Bots menschliches Verhalten nachahmen.
• Ratenbegrenzung und Herausforderungen: Implementieren Sie adaptive Ratenbegrenzung und CAPTCHA-ähnliche Herausforderungen an kritischen Endpunkten, um automatisierte Angriffe zu verlangsamen.
• Kontinuierliche Überwachung: Überprüfen Sie regelmäßig die Schutzstufen von Websites und aktualisieren Sie die Verteidigung, während sich Bot-Taktiken weiterentwickeln.

Der Weg nach vorn

Da die KI-Fähigkeiten weiter zunehmen, wird die Grenze zwischen hilfreicher und schädlicher Automatisierung nur noch weiter verschwimmen. Der DataDome-Bericht macht deutlich, dass Bot-Traffic kein statisches Problem ist, sondern ein sich schnell beschleunigendes. Da schlechte Bots neunmal schneller wachsen als menschlicher Traffic und KI-Agenten zunehmend auf die sensibelsten Teile des Webs abzielen, könnten Unternehmen, die sich nicht anpassen, von einer unsichtbaren Armee automatisierter Akteure überwältigt werden.

Die kommenden Jahre werden wahrscheinlich eine verstärkte regulatorische Aufmerksamkeit für Bot-Aktivitäten sowie eine größere Zusammenarbeit zwischen Cybersicherheitsfirmen und Plattformanbietern bringen. Vorerst dienen die Daten als deutliche Warnung: Der automatisierte Unterbauch des Internets wird stärker, tiefer und folgenreicher als je zuvor.

Dieser Artikel basiert auf einer Berichterstattung von Fast Company. Lesen Sie den Originalartikel.