Was ist ein Bot?
Wer besucht eigentlich deine Website? Die ehrliche Antwort: zu einem großen Teil gar niemand — sondern Programme.
Ein Bot (kurz für „Robot“) ist eine Software, die selbstständig Seiten abruft, Formulare ausfüllt oder Schnittstellen anfragt. Sie arbeitet nach festen Regeln oder mit KI, aber immer ohne Menschen an der Maus.
Bots sind nicht automatisch böse. Ohne den Googlebot fände dich niemand über die Suche. Entscheidend ist, wer den Bot schickt und wozu:
- Gute Bots: Suchmaschinen-Crawler wie Googlebot und Bingbot, Monitoring-Dienste, die prüfen, ob deine Seite erreichbar ist, Vorschau-Bots von WhatsApp oder LinkedIn.
- KI-Crawler: GPTBot, ClaudeBot und Co. sammeln Inhalte für Sprachmodelle oder KI-Suchen. Ob die gut oder schlecht sind, entscheidest du.
- Schlechte Bots: Scraper, die Preise und Texte kopieren, Spam-Bots in Formularen und Kommentaren, Bots, die Passwörter durchprobieren oder auf Anzeigen klicken.
Wie viel Traffic kommt von Bots?
Mehr, als die meisten glauben. Der Bad Bot Report 2026 von Imperva zählte für 2025 53 % automatisierten Traffic, nur 47 % kam von Menschen. Ein Jahr vorher waren es 51 % — damals gab es zum ersten Mal seit zehn Jahren mehr Bots als Menschen im Netz.
Cloudflare misst etwas anderes, nämlich Seitenabrufe in seinem eigenen Netz. Im Jahresrückblick 2025 kam der Googlebot allein auf 4,5 % aller Abrufe, KI-Bots zusammen auf 4,2 %. Die Zahlen beider Anbieter darfst du nicht addieren, denn sie zählen unterschiedliche Dinge. Und Imperva verkauft Bot-Schutz, das gehört zur Einordnung dazu.
Bots in Analytics und Google Ads
Google Analytics 4 schließt bekannte Bots automatisch aus. Grundlage sind Googles eigene Daten und die Bot-Liste des Werbeverbands IAB. Abschalten kannst du die Filterung nicht, und GA4 zeigt dir auch nicht, wie viel herausgefiltert wurde. Unbekannte, gut getarnte Bots rutschen trotzdem durch.
In Google Ads bezahlst du ungültige Klicks nicht, auch solche von Bots und Crawlern. Erkennt Google sie erst nach der Abrechnung, gibt es eine Gutschrift. In der Kampagnenansicht kannst du die Spalte „Ungültige Klicks“ einblenden. Mehr zu Betrug mit Anzeigen steht unter Ad Fraud.
Beispiel · Der Sonntags-Ausschlag
Ein Handwerksbetrieb sieht am Sonntag plötzlich 900 Sitzungen statt der üblichen 120. Alle kommen aus einem Rechenzentrum, Verweildauer null Sekunden, keine Anfrage. Das ist fast sicher Bot-Traffic, den GA4 nicht erkannt hat. Leg dir für solche Fälle ein Segment an und vergleiche die Wochen ohne diese Ausreißer.
Häufige Fehler
Fehler 1 · Die robots.txt für einen Türsteher halten
Die robots.txt ist eine Bitte, keine Sperre. Seriöse Crawler halten sich daran, schlechte Bots lesen sie nicht mal. Und sie hält Seiten laut Google nicht aus dem Index. Dafür brauchst du noindex oder einen Passwortschutz.
Fehler 2 · Jedem „Googlebot“ glauben
Den Namen eines Bots, den sogenannten User-Agent, kann jeder fälschen. Google empfiehlt, echte Googlebots über einen Reverse-DNS-Abgleich oder die veröffentlichten IP-Bereiche zu prüfen. Dein Bot-Schutz sollte das können.
Fehler 3 · Alle KI-Bots pauschal aussperren
OpenAI trennt den Trainings-Crawler GPTBot vom OAI-SearchBot für die ChatGPT-Suche. Wer beide sperrt, taucht dort auch nicht als Quelle auf. Entscheide je Bot, nicht pauschal.
Fehler 4 · Bot-Zahlen als Erfolg feiern
Ein Sprung bei den Seitenaufrufen ohne mehr Anfragen ist selten eine Erfolgsmeldung. Schau auf Herkunft, Verweildauer und Conversions, bevor du einem Kanal den Zuwachs zuschreibst.
So hältst du Bots im Griff
- Formulare schützen: ein Honeypot-Feld, das nur Bots ausfüllen, oder eine unsichtbare Prüfung wie Cloudflare Turnstile statt Bilderrätseln.
- Firewall nutzen: Bot-Schutz deines Hosters, Cloudflare oder in WordPress ein Plugin wie Wordfence.
- robots.txt bewusst pflegen: festlegen, welche KI-Crawler du zulässt — Änderungen greifen bei OpenAI nach rund 24 Stunden.
- Analytics sauber halten: internen Traffic filtern, Ausreißer-Segmente anlegen, Ads-Spalte „Ungültige Klicks“ im Blick behalten.
Häufige Fragen
Wie viel Internet-Traffic stammt von Bots?
Laut Imperva Bad Bot Report 2026 waren 2025 rund 53 % des beobachteten Traffics automatisiert. Andere Messungen, etwa von Cloudflare, zählen anders und kommen auf andere Werte. Klar ist: Bots machen grob die Hälfte aus.
Filtert Google Analytics Bots automatisch heraus?
Bekannte Bots ja, automatisch und ohne Schalter. GA4 nutzt dafür Googles Daten und die Bot-Liste des IAB. Gut getarnte Bots bleiben aber drin, und wie viel gefiltert wurde, zeigt GA4 nicht an.
Muss ich für Bot-Klicks in Google Ads bezahlen?
Nein. Klicks, die Google als ungültig erkennt, werden nicht berechnet oder nachträglich gutgeschrieben. Die Spalte „Ungültige Klicks“ in der Kampagnenansicht zeigt dir, wie viele das waren.
Soll ich GPTBot und andere KI-Crawler sperren?
Das hängt davon ab, was du willst. Wer in ChatGPT und anderen KI-Suchen als Quelle auftauchen will, lässt zumindest die Such-Bots zu. Wer seine Inhalte nicht fürs Training hergeben will, sperrt gezielt die Trainings-Crawler.
Wie schütze ich mein Kontaktformular vor Spam-Bots?
Mit einem versteckten Honeypot-Feld und einer unsichtbaren Prüfung wie Cloudflare Turnstile. Beides stört echte Besucher nicht. Klassische Bilderrätsel nerven Menschen oft mehr als Bots.
