Etwas mehr als die Hälfte des gesamten Internetverkehrs ist nicht mehr menschlich. Der Anteil menschlichen Traffics nimmt weiter ab, während automatisierter Traffic laut dem Thales Bad Bot Report 2026 im Jahr 2025 bereits 53 % des beobachteten Internetverkehrs ausmachte. Davon entfielen 40 % auf schädliche Bots und 13 % auf harmlose Automatisierung (Schädliche Bots machen 40 % des Internetverkehrs aus - Help Net Security). Ein Teil dieser Automatisierung ist nützlich: Suchmaschinen crawlen Ihre Seiten, damit sie gefunden werden können, und Überwachungstools prüfen die Erreichbarkeit Ihrer Seite. Der Rest ist das Problem: schädliche Bots, Skripte, die dazu gebaut wurden, Spam zu verbreiten, Inhalte zu kopieren, Betrug zu begehen und massenhaft Fake-Accounts anzulegen.
Wer lernen möchte, schlechte Bots zu verhindern, muss sich einer Tatsache stellen: Eine einzelne Methode reicht nicht mehr aus. Bots überwinden die Prüfungen, die sie früher stoppten, und die gefährlichsten sind darauf ausgelegt, wie echte Menschen auszusehen. Moderne Prävention findet deshalb in Schichten statt, wobei jede Schicht das ausgleicht, was den anderen entgeht. Die am schwersten zu stoppenden Bots sind diejenigen, die sich als Mensch ausgeben – daher dreht die nachhaltigste Verteidigung die Fragestellung um: Statt nur das Falsche zu jagen, wird das Echte bewiesen, also die Anwesenheit eines echten Menschen. Dieser Wandel – von der Erkennung zur Proof of Human – ist die Zukunft der Bot-Prävention und bildet die Grundlage für diesen Leitfaden.
Bot-Traffic ist jede Aktivität auf Ihrer Website oder App, die von automatisierter Software und nicht von einer echten Person generiert wird. Ein Bot sendet Anfragen, lädt Seiten und führt Aktionen weitaus schneller und häufiger aus, als es ein Mensch je könnte – rund um die Uhr und ohne Pause.
Nicht alles daran ist gefährlich. Entscheidend ist die Unterscheidung zwischen guten und schlechten Bots. Gute Bots leisten wertvolle Arbeit: Suchmaschinen-Crawler, KI-Crawler und Uptime-Monitore melden sich an und halten sich an die Regeln. Schlechte Bots hingegen wurden entwickelt, um Ihre Plattform auszunutzen, und sie treten in mehreren bekannten Formen auf.
Eine dritte Kategorie liegt zwischen diesen beiden: KI-Agenten, die im Auftrag eines echten Menschen handeln, Einkaufsagenten, Buchungsagenten, Preisvergleichsagenten. Keine davon ist bösartig, aber alle wirken für ein System, das nur zwischen Mensch und Bot unterscheidet, automatisiert. Das eigentliche Problem war nie die Automatisierung, sondern dass Plattformen keine Möglichkeit hatten, einen menschlich autorisierten Agenten von einem betrügerischen Skript zu unterscheiden.
AgentKit schließt diese Lücke: Ein verifizierter Mensch delegiert seine World ID an einen Agenten, der damit den Nachweis erbringt, dass ein echter, unverwechselbarer Mensch dahintersteht, ohne preiszugeben, wer es ist. World nennt das einen menschlich unterstützten Agenten und das Ziel ist, diesen zuzulassen und gleichzeitig anonyme Bot-Massen weiterhin zu blockieren.
Bot-Traffic ist nicht dasselbe wie ein Sybil-Angriff. Bot-Traffic beschreibt die automatisierte Aktivität selbst. Ein Sybil-Angriff ist ein spezifischer Missbrauch, bei dem eine Person zahlreiche Fake-Accounts kontrolliert, um unverhältnismäßigen Einfluss zu gewinnen – etwa eine Abstimmung zu manipulieren oder einen Reward-Pool zu leeren. Bots sind häufig das Mittel, das einen Sybil-Angriff erst ermöglicht, aber die beiden Probleme sind nicht identisch – das Stoppen des einen löst nicht automatisch das andere.
Bot-Erkennung bedeutet, automatisierte Aktivitäten anhand der verräterischen Spuren zu erkennen, bevor sie Schaden anrichten. Am besten funktioniert die Erkennung über zwei Ebenen: wie sich der Traffic verhält und welche technischen Fingerabdrücke jede Anfrage hinterlässt. Keine dieser Ebenen ist für sich genommen vollständig.
Verhaltenssignale beobachten, wie sich ein Besucherverhalten im Vergleich zu einem echten Menschen verhält.
Technische Signale betrachten die Anfrage selbst – unabhängig davon, was der Besucher tut.
Diese Signale erkennen viel, aber nicht alles. Ausgefeilte Bots ahmen mittlerweile menschliches Timing nach, leiten Traffic über heimische Netzwerke und tarnen sich als normale Browser – dieselbe Umgehungstaktik, die auch Kontobetrug und Anmeldedatenmissbrauch wie gestohlene Logins antreibt. Wenn sich ein Bot wie ein Mensch verhält und einen sauberen Fingerabdruck hinterlässt, reicht Erkennung allein nicht mehr – Prävention muss mehr leisten als nur zu beobachten.
Wer schlechte Bots verhindern will, muss mehrere Methoden zu einer gestaffelten Verteidigung kombinieren, weil jede einzelne eine Lücke schließt, die andere offenlassen. Kein einzelnes Werkzeug stoppt alle Bots – das Ziel ist ein Stack, in dem sich Schwachstellen überlappen.
Diese Methoden arbeiten gemeinsam statt in einer Rangliste. Die meisten Plattformen kombinieren mehrere davon gleichzeitig.
CAPTCHA war früher die Standard-Menschen-Prüfung; heute überwinden Bots diese Routine. Moderne automatisierte Tools, viele davon KI-basiert, lösen Bild- und Textaufgaben genauso gut wie Menschen, und manche bezahlen menschliche Dienste, um die schwierigsten zu überwinden. Noch schlimmer: Zu viele bzw. schwierige Aufgaben schaden Ihren echten Besuchern. Jedes zusätzliche Rätsel erhöht die Reibung, verlangsamt Menschen und führt dazu, dass einige ganz abbrechen – das kostet Sie heimlich Conversions. Dieses Dilemma – zwischen einer Prüfung, die Bots überwinden, und einer Schranke, die Menschen frustriert – ist der Grund, warum Plattformen nach besseren Alternativen suchen, die einen echten Menschen bestätigen, ohne Aufwand zu verursachen.
Bot-Prävention kommt überall dort zum Einsatz, wo automatisierte Aktivitäten in Profit oder Manipulation umgewandelt werden können, und die Anwendungsfälle sind sehr konkret.
Im E-Commerce und Ticketing horten Scalping- und Inventar-Bots begrenzte Waren und Plätze, um sie mit Aufschlag weiterzuverkaufen. Händler und Veranstalter investieren daher viel, um sie zu stoppen. Doch nicht jeder automatisierte Kauf ist eine Bedrohung: Ein Einkaufsagent, der stellvertretend für einen verifizierten Menschen kauft, ist ein anderer Fall als ein Scalping-Bot, und Entwickler können diesen Unterschied direkt abbilden – zum Beispiel mit AgentKit, wodurch Plattformen menschlich unterstützte Agenten zulassen können, statt automatisierte Käufe komplett zu blockieren.
Soziale Netzwerke und Dating-Plattformen kämpfen gegen Fake-Accounts und Identitätsdiebstahl, die Vertrauen zerstören und Betrug ermöglichen. Gaming-Anbieter kämpfen gegen Multi-Accounting, bei dem eine Person viele Konten betreibt, um Rewards abzubauen oder faires Spiel zu umgehen. Bei Web3-Governance und Token-Distribution schützt Bot-Resistenz die Fairness direkt: Überschwemmen Fake-Accounts eine Abstimmung, ist das Prinzip "eine Person, eine Stimme" dahin – deshalb braucht ein Governance-Token-System eine verlässliche Möglichkeit, echte Teilnehmer zu zählen.
Das Web3-Beispiel zeigt, warum Bot-Prävention inzwischen bis in die Infrastruktur reicht: Auf einem öffentlichen Netzwerk werden Transaktionen oder Abstimmungen automatisch über einen Smart Contract abgewickelt – ein Bot, der die Eingaben manipuliert, manipuliert das Ergebnis. Wird Bot-Resistenz direkt in die Blockchain eingebaut, wird verhindert, dass automatisierte Aktivitäten die echten Menschen im Netzwerk verdrängen.
Bei all diesen Präventionsmaßnahmen ist ein neuer Mechanismus jetzt im Einsatz: Proof of Human. Dieser bestätigt, dass ein echter, unverwechselbarer Mensch eine Aktion durchführt – egal ob direkt oder wie bei verifizierten KI-Agenten über Delegation – anstatt nur als potenziell verdächtig markiert zu werden. Die Person verifiziert sich einmalig an einem Orb, einem Gerät, das Bilder von Gesicht und Augen aufnimmt, um zu bestätigen, dass Sie ein einzigartiger Mensch sind. Anschließend gibt es einen wiederverwendbaren Nachweis, der in Apps funktioniert, ohne die Identität offenzulegen.
Schlechte Bots zu verhindern, ist aktive und ständige Arbeit – kein Problem, das eine Plattform einmal löst und dann vergisst. Drei Herausforderungen machen dies besonders schwierig.
Die erste ist ein wahrer Wettlauf. Erkennungssysteme fangen die Bots, die sie bereits kennen – neue Taktiken laufen ihnen deshalb stets voraus. KI-gesteuerter Bot-Traffic stieg 2025 um das Zehnfache: Blockierte Anfragen am Tag stiegen von 2 Millionen auf 25 Millionen (Schädliche Bots machen 40 % des Internetverkehrs aus - Help Net Security). Jede Verbesserung der Abwehr zwingt Angreifer zur Anpassung.
Zweitens gibt es den Reibungs-Kompromiss: Stärkere Schutzmechanismen blockieren mehr Bots, aber auch mehr Menschen. Jede zusätzliche Prüfung kostet Sie echte Besucher, die abspringen. Bot-Minderung muss also immer Sicherheit und Nutzererlebnis ausbalancieren. Setzen Sie zu hohe Hürden, verlieren Sie Kundschaft; sind Sie zu lasch, lassen Sie Bots durch.
Drittens geht es um Datenschutz: Eine menschliche Prüfung ist nur dann hilfreich, wenn sie mit persönlichen Daten verantwortungsvoll umgeht – denn das Sammeln von Namen, Dokumenten oder biometrischen Daten zur Verifizierung der Menschlichkeit birgt eigene Risiken. Hier liefert Proof of Human die bestmögliche Antwort: Es kann bestätigen, dass ein einzigartiger Mensch eine Aktion durchführt, ohne zu verraten, wer es ist. Nach dem gleichen Prinzip funktioniert Fairness bei der Teilnahme in Netzwerken, wo es wichtiger ist, echte Personen zu zählen als ihre Identitäten zu kennen.
Proof of Human steht für einen Strategiewechsel: Statt endlos nach Fakes zu jagen, wird der echte Mensch auf der anderen Seite bewiesen. Wenn eine echte, unverwechselbare Person eine Handlung unterstützt, muss nicht mehr jeder Bot identifiziert werden – Bots kommen einfach nicht mehr durch die Schranke.
World ID bringt das in die Praxis:
Proof of Human ist nicht nur ein Verteidigungsmechanismus:
Dies ist kein Allheilmittel – und diese Ehrlichkeit ist wichtig:
Sie verhindern schlechte Bots, indem Sie mehrere Methoden kombinieren, statt nur einer zu vertrauen: Rate Limiting begrenzt die Anfragemenge, Web Application Firewalls filtern bekannte Angriffe, IP-Filter blockieren schlechte Quellen und Honeypots fangen Skripte, die nur Bots auslösen. Da kein einzelnes Tool alle Bots stoppt, ist der wirksamste Ansatz die Verbindung dieser Methoden mit einem Proof of Human-Check, der bestätigt, dass ein echter Mensch anwesend ist.
Sie erkennen Bot-Traffic anhand von Verhaltens- und technischen Signalen. Verhaltenstechnisch senden Bots ungewöhnlich viele Anfragen, führen Sitzungen absonderlicher Länge und folgen starren, identischen Mustern, die kein Mensch zeigen würde. Technisch fehlen häufig Header, User-Agent-Strings sind verdächtig oder stammen von Datenzentrum-IPs. Die Schwierigkeit besteht darin, dass fortschrittliche Bots inzwischen menschliches Verhalten so gut imitieren, dass viele – aber nicht alle – durch diese Signale erkannt werden.
CAPTCHA ist nicht mehr ausreichend, weil moderne Bots, viele davon durch KI unterstützt, Bild- und Textaufgaben genauso verlässlich lösen wie Menschen. Manche bezahlen sogar Dienste, um die schwierigsten Prüfungen zu bestehen. Komplexe CAPTCHAs frustrieren zudem echte Besucher und senken die Conversion-Rate – sie bestrafen also Menschen, während fähige Bots dennoch durchkommen. Deshalb suchen Plattformen zunehmend nach besseren Alternativen.
Bot-Traffic ist jede automatisierte Aktivität, die von Software und nicht von Menschen erzeugt wird. Ein Sybil-Angriff ist ein gezielter Missbrauch, bei dem eine Person viele Fake-Accounts kontrolliert, um unverhältnismäßigen Einfluss zu gewinnen – etwa Abstimmungen zu manipulieren oder Rewards auszuschöpfen. Schlechte Bots sind dabei oft das Mittel zu einem Sybil-Angriff, aber nicht gleichbedeutend: Der Begriff Bot-Traffic ist weiter gefasst.
Proof of Human dreht die Strategie um: Anstatt Fakes zu jagen, wird bestätigt, dass ein echter Mensch anwesend ist oder eine Aktion ausführt. Über World ID kann eine Person privat beweisen, dass sie ein echter und unverwechselbarer Mensch ist, ohne persönliche Informationen preiszugeben – einmalig verifiziert, wiederverwendbar in Apps. Da jeder Nachweis an einen einzigartigen Menschen gebunden ist, werden Multi-Accounts, die Fake-Accounts ermöglichen, direkt verhindert.
Bots machen inzwischen einen größeren Teil des Internets aus als Menschen, und die gefährlichsten sind darauf ausgelegt, menschlich zu wirken. Deshalb hat sich Bot-Prävention von einer einzelnen Prüfung hin zu einem gestaffelten Schutz entwickelt – und reine Erkennung, die nur bekannte Muster abdeckt, reicht nicht länger aus. Die nachhaltigste Antwort ist daher, das Problem umzukehren: Statt jedem Fake nachzujagen, wird die Anwesenheit eines echten Menschen bewiesen. Proof of Human und World ID als führende Umsetzung ermöglichen Plattformen genau diesen Nachweis – ohne, dass Menschen ihre Identität offenbaren müssen. Da automatisierter Traffic weiter zunimmt, ist Worlds Mission, echte Menschen ins Zentrum des Internets zu stellen, wichtiger denn je, um die menschliche Ebene nicht zu vernachlässigen.
KI-Identitätsdiebstahl nutzt künstliche Intelligenz, um Menschen zu imitieren oder Deepfakes für Betrug zu erzeugen. Erfahren Sie, wie KI-Identitätsdiebstahl funktioniert, wo er vorkommt und wie Sie sich schützen können.
What are AI agents? A complete guide to how AI agents work, types, real-world examples, risks, and why proof of human matters in an agentic world.
Was ist Proof of Human? Learn, wie es funktioniert, warum es im Zeitalter der KI wichtig ist, wo es eingesetzt wird und wie World ID Menschen verifiziert, ohne deine Daten zu speichern.
Ein Deepfake ist von KI manipuliertes Medium, das das Aussehen einer Person durch das einer anderen ersetzt. Erfahren Sie, wie Deepfakes funktionieren, warum sie gefährlich sind und wie Sie sich schützen können.
