Rund 50 Prozent des gesamten Internet-Traffics stammen laut aktuellen Analysen von Sicherheitsdienstleistern wie Imperva und Cloudflare von Bots, und der Anteil wächst, seit KI-Agenten eigenständig Preise vergleichen, Produkte recherchieren und Bestellungen anbahnen. Für Shop-Betreiber wird das zum teuren Problem: Jeder dieser Requests verbraucht Serverressourcen, verfälscht Analytics-Daten und kostet bares Geld. Jetzt verdichtet sich eine Debatte, die den E-Commerce grundlegend verändern könnte: ein verpflichtender Bot-Ausweis.
Was genau steckt hinter der Idee eines Bot-Ausweises?
Der Bot-Ausweis ist ein standardisierter Identifikationsmechanismus, mit dem sich automatisierte Systeme gegenüber Webservern ausweisen müssten, vergleichbar mit einem Nummernschild im Straßenverkehr. Konkret laufen die Diskussionen um kryptographisch signierte HTTP-Header, etwa auf Basis des IETF-Standards Web Bot Auth, den Cloudflare seit 2025 in seiner Plattform ausrollt. KI-Firmen wie OpenAI oder Anthropic könnten ihre Crawler und Shopping-Agenten damit eindeutig identifizierbar machen. Wer sich nicht ausweist, gilt künftig als verdächtig.
Für den Handel sortiert das den Traffic neu. Bisher war Bot-Erkennung ein Katz-und-Maus-Spiel: Händler setzen auf WAFs, Rate-Limiting und User-Agent-Heuristiken, während Scraper sich immer geschickter tarnen. Mit einem verbindlichen Ausweis verschiebt sich die Logik von „erkennen und blockieren“ zu „einordnen und entscheiden“.
Die zwei Klassen von Bots, die Händler trennen müssen
Der Unterschied liegt in der Absicht. Content-Scraper ziehen Produktbeschreibungen und Preise ab, trainieren damit Modelle oder speisen Preisvergleichsseiten, ohne je etwas zu kaufen. Preisvergleichs-Crawler von Mitbewerbern gehören in dieselbe Kategorie: Kosten ohne Gegenwert.
Auf der anderen Seite stehen agentische Käufer. Wenn ein KI-Assistent im Auftrag eines Kunden „die beste Espressomaschine unter 400 Euro mit sofortiger Lieferbarkeit“ sucht, ist der Shop, der diesen Request beantwortet, potenziell am Umsatz beteiligt. OpenAI hat mit dem Agentic Commerce Protocol bereits einen ersten Standard für solche Transaktionen vorgelegt; Stripe und Shopify sind als Partner mit an Bord. Wer diese Agenten pauschal blockt, sperrt einen wachsenden Vertriebskanal aus.
Konkrete Auswirkungen auf den Shop-Alltag
Die Folgen treffen drei Bereiche. Erstens die Kosten: Ein Mittelständler mit 500.000 Sessions im Monat, von denen ein Drittel Bot-Traffic ist, zahlt für diesen Traffic Hosting, CDN und Datenbankabfragen mit, je nach Setup schnell vierstellige Beträge im Jahr. Zweitens die Datenqualität: Conversion-Rates, Absprungraten und Attribution verzerren, wenn Agenten-Traffic in Google Analytics oder Matomo als reguläre Besuche auftaucht. Drittens die Sichtbarkeit: Shops, deren Produktdaten für KI-Agenten nicht maschinenlesbar aufbereitet sind, verschwinden aus dem neuen Discovery-Kanal.
Praktisch anpacken lässt sich das schon heute. Wer Cloudflare nutzt, kann über die Bot-Management-Regeln verifizierte Bots von unbekannten trennen und unterschiedliche Zutrittsregeln definieren. Shopware- und Magento-Betreiber greifen typischerweise auf ModSecurity-Regelsätze oder WAF-Module ihres Hosters zurück. Entscheidend ist ein strukturiertes Vorgehen:
- Server-Logs nach Crawler-User-Agents auswerten und Bot-Anteil am Gesamttraffic beziffern
- Regelwerk aufbauen: bekannte KI-Agenten erlauben, anonyme Scraper drosseln oder blocken
- Produktdaten über saubere Feeds und strukturierte Daten (Schema.org) agentenfähig machen
- Analytics um ein Bot-Segment ergänzen, damit Conversion-Zahlen wieder ehrlich werden
Warum sich der Aufwand lohnt, und wer jetzt zögert
Kritik gibt es freilich. Ein Ausweis-System funktioniert nur, wenn sich die großen KI-Anbieter daran beteiligen, böswillige Scraper werden sich weiterhin tarnen, Ausweispflicht hin oder her. Zudem fürchten Datenschützer neue Tracking-Möglichkeiten über signierte Identitäten.
Trotzdem: Der Trend ist eindeutig. Agentic Commerce wird den Traffic-Mix in den nächsten zwei Jahren spürbar verändern, und Händler, die jetzt ihre Zutrittsregeln ordnen, haben dann saubere Daten, niedrigere Infrastrukturkosten und einen funktionierenden Draht zu den KI-Käufern. Der erste sinnvolle Schritt kostet nichts: ein Blick in die Server-Logs dieser Woche zeigt, wie groß der unsichtbare Teil des eigenen Traffics bereits ist.