Warum Unternehmen ihre Sicherheit neu denken müssen Das Web gehört den Bots – Fake Traffic nimmt rapide zu

Automatisierter Traffic hat den Menschen im Web überholt. Mittlerwile dominieren Bots im Weihnachtsgeschäft den E-Commerce. Warum WAF-Konzepte an Grenzen stoßen und was Online-Shops jetzt tun können.

Wenn Ende November Black Friday und die Cyber Week beginnen, verwandelt sich das Netz traditionell in eine digitale Einkaufsmeile. 69 Prozent der Verbraucher wollen in diesem Jahr ausschließlich online nach Angeboten suchen, im Schnitt planen sie dafür über 300 Euro ein. Für Händler bedeutet das vor allem eins: hohe Reichweiten, hohe Umsätze und ein massives Risiko. Denn wo Millionen Menschen einkaufen, sind automatisierte Angriffe nicht weit.

Zu Black Friday und Cyber Monday startet die Hochsaison für Cyberbetrug

Fake-Shops und Phishing erkennen und sicher Online einkaufen

Bots haben erstmals den Menschen im Web­ver­kehr überholt. Mehr als die Hälfte des gesamten Traffics stammt inzwischen von Maschinen, nicht mehr von Kundinnen und Kunden.

Besonders im E-Commerce zeigt sich die Dynamik deutlich: Während der Holiday Season kamen zuletzt 57 Prozent des gesamten Website-Traffics auf Shop-Plattformen von Bots. Und: Die Zahl steigt weiter.

Doch Bots sind nicht nur lästig. Sie bedrohen die Stabilität digitaler Dienste, manipulieren Marktmechanismen und greifen APIs an, die das Rückgrat moderner Shopping-Infrastruktur bilden.

Bots imitieren Menschen und wirken wie Wachstum

Auf den Dashboards vieler Händler könnte der Traffic rund um die Rabattwochen kaum besser aussehen: steigende Besucherzahlen, mehr Sessions, erhöhte Checkout-Aktivität. Doch der Schein trügt. Ein wachsender Teil dieses Traffics stammt nicht von echten Schnäppchenjägern, sondern von automatisierten Skripten und KI-basierten Agenten, die menschliches Verhalten täuschend echt nachbilden.

Ein Link11-Beispiel verdeutlicht, wie schwer sich diese Muster auf den ersten Blick er­ken­nen lassen. Bei einem Kunden ver­vier­fachte sich die Zahl der Unique IPs (also singulären IPs) innerhalb weniger Wochen von 2.000 auf rund 8.000.

Gleichzeitig blieb das übertragene Datenvolumen nahezu unverändert. Die Erklärung hierfür: Bots luden konsequent nur die HTML-Seiten, ließen jedoch Bilder, Skripte oder Medien weg. Technisch sah das nach einem massiven Besucheranstieg aus, tatsächlich handelte es sich um Tausende Kurz-Sessions ohne echte Interaktionen.

Gen Z

Junge Onliner tappen oft in Phishing-Fallen

Die Infrastruktur war dennoch belastet: erhöhte Latenzen, sporadische Störungen, auffällige Cluster einzelner Provider und ungewöhnlich viele anfällige POST-Anfragen. Ein typisches Beispiel für modernen Bot-Traffic, der lautlos Ressourcen bindet.

Die neuen Power-User im Netz

Der Wandel im Internetverkehr ist fundamental: Ein erheblicher und stetig wachsender Teil der Zugriffe auf Websites und APIs stammt nicht mehr von Endnutzern, sondern von au­to­ma­ti­sier­ten Skripten und zunehmend KI-gesteuerten Agenten.

Die Zahlen zeigen deutlich, in welche Richtung es geht:

• Weltweit machte der automatisierte Traffic im Jahr 2024 erstmals die Mehrheit aus und lag bei 51 Prozent des gesamten Internetverkehrs.

• Besonders der Einzelhandel ist zum Hotspot der Cyberkriminalität geworden. 33 Prozent des Webverkehrs auf Online-Shopping-Websites wurden von bösartigen Bots verursacht – eine Zahl, die Prognosen zufolge bis 2025 auf fast 40 Prozent ansteigen wird.

Bad Bots und KI

Wie Intelligente Roboter das Internet übernehmen

Bösartige Bots sind keine einfachen Skripte mehr. Sie imitieren Browser, lösen Captchas, rotieren IP-Adressen und sind dank Generativer KI technisch ausgereifter, kontextsensitiver und damit kaum von menschlichem Verhalten zu unterscheiden.

Der lautlose Angriff auf das Weihnachtsgeschäft

Während die menschlichen Konsumenten gezielt nach Geschenken und Rabatten suchen, agieren die Bots nach einem anderen Muster: Sie verfolgen häufig keine legitimen Zwecke, sondern zielen auf die Geschäftslogik der Online-Shops ab. Die Folgen reichen von Per­for­mance­ein­bu­ßen über falsche Marketingkennzahlen bis hin zu massivem Umsatzverlust – und das gerade in der umsatzstärksten Zeit des Jahres.

Das Perfide ist, dass diese Angriffe so subtil sind. Sie sind leise und verteilt, bewegen sich im Bereich „legitimer“ Requests und verursachen nicht sofort einen Totalausfall. Gleichzeitig sind Zahlungsmöglichkeiten, Versand und Sicherheit für Online-Shopper ohnehin wichtiger als nur der billigste Preis. Daher kann jede Störung zur Abwanderung führen.

Über 6.000 Geräte infiziert

Neues Botnetz attackiert TP-Link-Router

APIs als Achillesferse und die Ablösung klassischer WAFs

Das grundlegende Problem liegt in der modernen Architektur digitaler Dienste, die stark auf APIs basiert. Ob Login, Suche oder Warenkorb – praktisch jede Interaktion läuft heute über diese flexiblen Schnittstellen. Laut Gartner werden APIs bald für rund 80 Prozent des Webtraffics verantwortlich sein, was sie zu einem besonders attraktiven Ziel macht.

Ein einzelner, scheinbar legitimer Request auf einen kritischen API-Endpunkt kann Prozesse blockieren oder verfälschen, ohne dass dies auf der Benutzeroberfläche sichtbar wird. Hier stoßen klassische Sicherheitsmechanismen an ihre Grenzen:

• Web Application Firewalls (WAFs): Sie wurden für eine Zeit entwickelt, in der Angriffe laut, volumetrisch oder durch eindeutige Signaturen erkennbar waren. Gegen adaptive Bots, die menschliches Verhalten imitieren und IP-Adressen rotieren, sind sie oft wirkungslos.

• IP-Filter und einfache Rate Limits: Bieten keinen Schutz gegen verteilte Angriffe und Bots, die sich über riesige Netzwerke bewegen.

• Die heutigen Angriffsmuster sind leise, verteilt und oft kaum von normalem Nut­zungs­ver­hal­ten zu unterscheiden.

Die Antwort auf diese Entwicklung ist WAAP (Web Application and API Protection). Gartner führte den Begriff 2019 ein, und er gilt heute als die moderne, notwendige Weiterentwicklung der WAF. Der technologische Fokus verschiebt sich von der statischen Mustererkennung hin zur verhaltensbasierten Analyse.

BSI warnt: Vorsicht, Falle!

Sie sind kein Roboter? – Hinter Captchas kann Malware lauern

WAAP: Der neue Standard für Cyber-Resilienz

WAAP-Lösungen analysieren den Web- und API-Traffic ganzheitlich, indem sie das Verhalten des Clients bewerten, anstatt nur dessen Herkunft zu prüfen. Sie identifizieren maschinelle Muster, überprüfen die Interaktionslogiken und die Integrität von API-Aufrufen in Echtzeit.

Die Stärken von WAAP im Vergleich zu klassischen WAFs:

• Fokus auf Verhalten: WAAP erkennt Abweichungen auf der Anwendungsebene und iden­ti­fi­zie­rt Bot-Aktivitäten anhand komplexer Angriffsmuster.

• API-Schutz: Sie adressieren gezielt die größte Schwachstelle moderner Architekturen und erkennen Missbrauch auf kritischen Endpunkten.

• Echtzeit-Analyse: Sie stoppen Layer-7-Angriffe, ohne erst auf volumetrische Spitzen warten zu müssen.

• Verstärkung durch KI: Die Abwehr stützt sich auf KI-gestützte Erkennung, um menschliches und maschinelles Verhalten präzise zu unterscheiden.

Für europäische Organisationen gewinnt WAAP zusätzlich an Bedeutung durch regulatorischen Druck. Vorschriften wie NIS2 verschärfen die Anforderungen an die Cyber-Resilienz und Mel­de­pflich­ten. Störungen, die durch subtile Bot-Angriffe verursacht werden, sind somit nicht nur ein Betriebsrisiko, sondern auch ein Compliance-Faktor.

Update: NIS 2 tritt morgen in Kraft

Bundestag verabschiedet NIS 2

Die Bedrohung kommt leise, aber sie trifft jede Branche. Die Fähigkeit, zwischen echten mensch­li­chen Interaktionen und künstlichen, automatisierten Zugriffen zu unterscheiden, wird zur Kernkompetenz moderner Cybersicherheit. Für Online-Händler bedeutet dies, ihre digitalen Dienste nicht nur auf den erwarteten Boom im Weihnachtsgeschäft auszurichten, sondern vor allem auf ein Umfeld, in dem Maschinen die Mehrheit des Datenverkehrs ausmachen.

WAAP markiert den technologischen Wendepunkt: weg von reaktiver Abwehr, hin zu dynamischer, kontextsensitiver Echtzeitanalyse, um die Stabilität der digitalen Geschäftsmodelle nachhaltig zu sichern.

Sicherheit statt Rätselbilder

So schützen moderne Bot-Management-Systeme ohne CAPTCHAs

Über den Autor: Jag Bains ist VP Solution Engineering bei Link11.

(ID:50654291)