49,6 Prozent des weltweiten Internet-Traffics stammt laut dem Bad Bot Report von Imperva nicht von Menschen. Jeder zweite Klick auf Ihre Produktseite kommt also potenziell von einer Maschine. 32 Prozent gelten als böswillig: Preis-Scraper, Warenkorb-Füller, die Bestände blockieren, Karten-Tester, die Ihren Payment-Gateway bombardieren. Wer diese Zahlen zum ersten Mal in seinem Shop-Analytics sieht, reagiert fast immer gleich: erst Entsetzen, dann der Impuls, alles zu sperren. Genau da setzt die aktuelle Debatte um eine digitale Ausweispflicht für Bots an, und genau da lohnt ein zweiter Blick.
Der berühmte New-Yorker-Cartoon von 1993 hat es formuliert, bevor es ein Thema war: Im Internet weiß niemand, dass du ein Hund bist. Drei Jahrzehnte später sitzt der Hund vor dem Computer und will per Sprachbefehl Turnschuhe bestellen. KI-Agenten wie OpenAIs Operator, Perplexity oder die kommenden Agent-Modi der großen Browser browsen, vergleichen und kaufen im Auftrag von Menschen. Die Frage, wer da gerade klickt, ist keine Trivia-Frage mehr. Sie ist eine Umsatzfrage.
Wie viel Ihres Traffics ist überhaupt menschlich?
Wer seine Shop-Analysen nicht um Bot-Traffic bereinigt, trifft Entscheidungen auf Basis von Sand. Conversion Rates, Bounce Rates, Sitzungsdauer: Alle diese Kennzahlen werden von maschinellen Besuchern verzerrt. Ein Händler, dessen Seite täglich von Konkurrenz-Scrapern gecrawlt wird, misst Absprungraten, die nie ein echter Kunde verursacht hat. Er verschiebt Budgets, optimiert die falschen Landing Pages und wundert sich über Kampagnen, die rechnerisch hätten funktionieren müssen.
Die wirtschaftliche Seite geht über vergiftete Daten hinaus. Bad Bots verursachen direkte Kosten: Server-Last für Crawler, die nichts kaufen, Bestandsreservierungen durch sogenannte Denial-of-Inventory-Angriffe, Credit-Card-Stuffing-Tests, die Payment-Provider-Flags auslösen und im schlimmsten Fall die Payment-Methoden des Shops kosten. Estnische und litauische Rechenzentren, Tausende rotierende IPs, Headless Browser, die sich wie ein Samsung Galaxy melden. Das ist der Alltag des modernen Shop-Betriebs, ob man es wahrhaben will oder nicht.
Was würde eine digitale Ausweispflicht konkret bedeuten?
Die Idee klingt simpel und ist es technisch nicht: Jeder automatisierte Agent soll sich kryptografisch ausweisen, wenn er eine Seite aufruft. Der konkrete Anlasser kommt unter anderem aus dem Umfeld von Cloudflare, das mit HTTP Message Signatures und eigenen Agent-Registern arbeitet, sowie aus den Laboren der KI-Anbieter selbst. Ein Agent signiert seine Anfragen, der Server prüft die Signatur gegen ein Register verifizierter Identitäten und weiß: Das ist der Shopping-Agent von Anbieter X, handelnd für Nutzer Y, mit Berechtigung Z.
Für die KI-Branche wäre das die Antwort auf ein existenzielles Problem. Ihre Agenten werden heute großflächig geblockt, weil Seitenbetreiber Crawler nicht mehr unterscheiden können oder wollen. Eine verifizierte Identität wäre der Türöffner. Für Seitenbetreiber wäre es das Versprechen, endlich unterscheiden zu können: Der Preis-Scraper des Konkurrenten kommt nicht rein, der Shopping-Agent mit echter Kaufabsicht eines echten Kunden schon.
Die Ausweispflicht ist dabei keine erfundene Utopie mehr. Im Sommer 2025 hat Cloudflare angekündigt, KI-Crawler standardmäßig zu blockieren, solange sie sich nicht registrieren und deklarieren. Millionen von Websites sind per Infrastruktur-Default plötzlich Teil dieses Systems, ob sie es wissen oder nicht.
Warum könnten Händler trotzdem profitieren?
Weil im Bot-Chaos der größte Vertriebskanal des kommenden Jahrzehnts versteckt liegt. Agentic Commerce ist kein Konferenz-Buzzword mehr, es ist Realität mit einem Umsatzproblem. Perplexity hat Ende 2024 einen Kauf-Button eingeführt, ChatGPT baut Shopping-Funktionen aus, Amazon testet eigene Kauf-Agenten. Wenn ein Agent im Auftrag eines Nutzers einkaufen soll, muss der Händler wissen, dass dieser Agent legitim ist. Ein signierter Agent mit verknüpftem Nutzerkonto ist im Grunde ein eingeloggter Kunde mit Turbolader. Das senkt Fraud-Risiko, ermöglicht personalisierte Preise und eröffnet einen Kanal, in dem nicht mehr der Kunde den Shop besucht, sondern dessen Software.
Rechtlich wäre eine Agent-Identität ebenfalls ein Fortschritt. Wer haftet, wenn ein Agent falsch bestellt oder das Budget seines Nutzers überzieht? Ohne verlässliche Zuordnung von Agent und Auftraggeber bleibt jeder Agenten-Kauf rechtliches Niemandsland. Mit Ausweis ließe sich eine Chain of Trust aufbauen, die Verbraucherschutz und Händlersicherung miteinander vereinbart.
Ein verifizierter KI-Agent ist kein Bot-Problem, sondern ein eingeloggter Kunde mit Turbolader.
Die Schattenseite: Wer den Ausweis ausstellt, kontrolliert den Markt
Hier hört die gute Nachricht auf. Eine Ausweispflicht ist nur so neutral wie ihre Stellen. Wenn Cloudflare, Google oder ein Konsortium der großen Plattformen entscheidet, welche Agenten als legitim gelten, haben sie ein Gatekeeper-Monopol über den kommerziellen Verkehr des Netzes. Der Indie-Entwickler mit seinem Preisvergleichs-Agent, das kleine Vergleichsportal, der Preisbeobachter eines Verbraucherschutzvereins: Alle müssten erst beim Passamt des digitalen Kapitalismus vorsprechen. Die Geschichte des Internets zeigt, wie solche Register enden: zuerst Einladung, dann Gebühren, dann politische Kontrolle.
Zweite Schattenseite: die Privatsphäre. Anonymität im Netz ist kein Relikt, sie ist Bürgerrecht. Journalisten recherchieren mit Bots, Whistleblower kommunizieren automatisiert, Preisvergleicher schützen ihre Methoden. Eine universelle Ausweispflicht für automatisierten Traffic ist in der Konsequenz eine Ausweispflicht für jede Form anonymer Automatisierung. Die Debatte um Klarnamen-Pflicht in sozialen Netzwerken hat bereits gezeigt: Wer Anonymität abschafft, schafft nicht Missbrauch ab, sondern schwächere Stimmen.
Dritte Schattenseite, die fast niemand diskutiert: Fälschung wird profitabler, nicht unmöglicher. Jedes Identitätssystem erzeugt einen Schwarzmarkt für gestohlene Identitäten. Ein signierter Agent-Ausweis, der einen gestohlenen Vertrauensanker nutzt, wirkt überzeugender als jeder anonyme Bot es je könnte. Der Ausweis löst das Vertrauensproblem nicht. Er verlagert es auf die Stelle, die den Ausweis prüft.
Was Shop-Betreiber jetzt konkret tun sollten
Warten auf eine Ausweispflicht ist keine Strategie. Der pragmatische Weg liegt zwischen Blindvertrauen und Sperrfeuer:
- Bot-Management mit differenzierten Regeln einsetzen. Lösungen wie Cloudflare Bot Management, DataDome oder die eingebauten Filter der CDN-Anbieter lassen sich so konfigurieren, dass bekannte KI-Crawler wie GPTBot oder ClaudeBot gesondert behandelt werden, während unbekannte Scraper hart gedrosselt werden.
- Analytics um Bot-Traffic bereinigen. In GA4 lassen sich Bot-Segmente ausschließen, Server-Logs geben den ehrlicheren Blick frei. Erst wenn Sie wissen, wie viel Ihrer Sessions menschlich sind, können Sie die Conversion Rate ernst nehmen.
- Eine bewusste Crawl-Strategie fahren. robots.txt und Meta-Tags sind kein Sicherheitsinstrument, aber ein klares Signal. Entscheiden Sie aktiv, welche KI-Agenten Ihre Produktdaten lesen dürfen. Wer blockiert, wird im Agentic Commerce unsichtbar. Wer alles zulässt, verschenkt Preisintelligenz.
- Agent-Traffic als Kanal testen, nicht als Bedrohung. Messen Sie, welcher Anteil Ihrer Besuche von deklarierten KI-Agenten stammt, und prüfen Sie, ob diese Besuche zu Bestellungen führen. Erste Händler berichten von Konversionen aus Perplexity-Referrals, die klassische Paid-Kanäle schlagen.
Die Versuchung ist groß, die Ausweispflicht als Ende der Bot-Probleme zu feiern. Sie wird eher ihr Anfang sein. Denn sobald Maschinen Ausweise tragen, wird der Wettbewerb darum ausgetragen, wer den Ausweis ausstellt, wer ihn prüft und wem die Daten gehören, die dabei entstehen. Der Hund aus dem Cartoon sitzt dann nicht mehr anonym vor dem Computer. Er steht beim Passamt in der Schlange, direkt hinter den Plattformen, die das Passamt betreiben.