Das Internet ist inzwischen stärker von Maschinen als von Menschen geprägt.
Bots machten 2025 laut dem Bad Bot Report 2026 von Thales, einem globalen Unternehmen für Cybersicherheit und digitale Sicherheit, 53 % des beobachteten Web-Traffics aus – auf Menschen entfielen 47 %. Allein bösartige Bots machten 40 % des gesamten Traffics aus, gegenüber 37 % im Jahr 2024.
Die KI-Zahlen machen den Trend noch dringlicher. KI-gesteuerte Bot-Angriffe nahmen innerhalb eines Jahres um das 12,5-Fache zu, während automatisierter Traffic zunehmend normales Browserverhalten imitiert. Laut Thales „verwischt KI die Grenze zwischen legitimer und bösartiger Aktivität“ – Unternehmen müssen daher beurteilen, was der Traffic tut, und nicht nur, als was er sich ausgibt.
Billionen blockierter Bot-Anfragen
Der Bericht zählte 2025 17,2 Billionen blockierte Bot-Anfragen. In dieser Größenordnung wird Automatisierung zu einem Bestandteil der täglichen Arbeit hinter Onlinediensten.
Vieles davon läuft über alltägliche Wege: Anmeldeseiten, Checkout-Seiten, Buchungstools, Supportformulare und API-Aufrufe. Unternehmen können Bot-Aktivität am Ende wie Kundenaktivität behandeln und dann Entscheidungen auf Grundlage eines verzerrten Bildes von Nachfrage, Betrug oder Systemleistung treffen.
Ein Bot-Problem kann sich zu einer langsamen Website, einer höheren Cloud-Rechnung, einer überfüllten Betrugswarteschlange oder einem Problem für das Kundenerlebnis entwickeln, bevor es wie ein Sicherheitsvorfall aussieht.
KI-Traffic lässt sich immer schwerer klassifizieren
KI-Agenten zwingen Sicherheitsteams dazu, eine grundlegende Frage der Websicherheit neu zu bewerten: Welcher Traffic sollte durchgelassen werden?
Ein Unternehmen möchte möglicherweise, dass seine öffentlichen Seiten für KI-Assistenten und Suchtools sichtbar sind. Derselbe automatisierte Zugriff wird jedoch riskanter, wenn er Preisdaten, Kontoseiten, Buchungssysteme oder APIs erreicht.
Wer zu viel blockiert, kann nützlichen Traffic abschneiden. Wer zu viel Vertrauen schenkt, kann missbräuchlicher Automatisierung Raum zur Entfaltung geben. Erste Anzeichen für Überschneidungen zeigten sich in den Daten: Bei mehr als 10 % der erkannten Sitzungen von KI-Abrufprogrammen und bei fast 9 % der Sitzungen von KI-Crawlern wurden Regeln zur Erkennung bösartiger Bots ausgelöst.
Die sichtbaren Zahlen könnten zudem unvollständig sein. Veränderte oder selbst gehostete KI-Modelle können vermeiden, sich als KI-Agenten zu erkennen zu geben, während Angreifer diese Systeme für Scraping, Sondierungen oder Betrug optimieren können. Das bedeutet, dass der messbare KI-Traffic möglicherweise nur einen Teil der tatsächlichen Gefährdung erfasst.
Chrome wurde zur beliebtesten Tarnung
Google Chrome war 2025 der Browser, als der sich bösartige Bots am häufigsten ausgaben. 41 % des Traffics bösartiger Bots gab sich als Chrome aus, gegenüber 39 % im Jahr 2024, während der Android Browser mit 17 % den zweiten Platz belegte.
Chrome ist außerdem der Browser, von dem Unternehmen erwarten, dass er den normalen Traffic dominiert. Das verschafft Angreifern eine vertraute Hülle für automatisierte Aktivitäten, die über Anmeldeseiten, Checkout-Abläufe, Kontobereiche oder APIs laufen.
Älteren Abwehrmaßnahmen stehen in dieser Umgebung weniger Anhaltspunkte zur Verfügung. User-Agent-Strings und einfache Browserprüfungen können den Browser erkennen, als der sich eine Anfrage ausgibt. Sie können jedoch nicht beweisen, wer dahintersteckt oder ob die Aktivität mit einem echten Nutzer verbunden ist.
Die Identität des Traffics reicht nicht aus
Die nächste Phase der Bot-Abwehr hängt davon ab, das Verhalten innerhalb realer Abläufe zu analysieren. Eine Anfrage kann eine einfache Browserprüfung bestehen und dennoch tausende Male ein Anmeldesystem aufrufen, Preisdaten scrapen, Warenbestände reservieren, SMS-Codes auslösen oder Daten aus einer API weit über die normale Nutzung hinaus abrufen.
Tim Chang von Thales brachte das Problem mit Blick auf das Verhalten auf den Punkt: „Die Herausforderung besteht nicht mehr darin, Bots zu identifizieren. Es geht darum zu verstehen, was der Bot, Agent oder die Automatisierung tut, ob dies mit den Geschäftszielen übereinstimmt und wie das System mit kritischen Systemen interagiert.“
Mit dem Wachstum KI-gesteuerter Automatisierung wird immer mehr digitaler Traffic in einen Graubereich zwischen legitimen Zugriffen und Missbrauch fallen. Unternehmen, die diese Unterscheidung nicht treffen können, riskieren, Bot-Aktivität so lange als echte Nachfrage, echtes Engagement oder echte Nutzer zu behandeln, bis sich die Kosten bei Sicherheit, Leistung, Betrug, Analysen oder Vertrauen bemerkbar machen.
Lesen Sie auch: Tech-Unternehmen bauen im April 33.000 Stellen ab, während die Branche weiterhin Kapital in Richtung KI-Initiativen verlagert.