53 % des Web-Traffics 2025 waren kein Mensch

Imperva, ein Unternehmen von Thales, veröffentlicht jedes Jahr eine Zählung dessen, was tatsächlich durch sein Netzwerk läuft. Die Ausgabe 2026 für das Jahr 2025 berichtet, dass „automatisierter Traffic die menschliche Aktivität im Netz weiter überholt und 2025 mehr als 53 % des gesamten Web-Traffics ausmachte, nach 51 % im Jahr zuvor", während „die menschliche Aktivität auf nur noch 47 % gesunken ist und weiter fällt". (Imperva, 2026 Bad Bot Report: Bad Bots in the Agentic Age, April 2026)

Das ist das zweite Jahr in Folge, in dem Maschinen im offenen Web zahlreicher waren als Menschen. Es lohnt sich, genau zu sein, was diese Zahl aussagt und was nicht. Denn der für Website-Betreiber nützliche Teil steckt nicht in der Schlagzeile.

Was als Bot zählt

„Bot" bedeutet in dieser Zählung jede automatisierte Anfrage, nicht nur eine bösartige. Erfasst sind mindestens vier verschiedene Gruppen, und sie kommen aus unterschiedlichen Gründen.

Suchmaschinen-Crawler indexieren Ihre Seiten, damit Menschen sie finden. KI-Crawler holen Seiten ab, um Fragen zu beantworten oder Modelle zu trainieren. Deshalb kann ein Shop, der noch nie eine Empfehlung aus einer KI gesehen hat, trotzdem hunderte Male im Monat gecrawlt werden. Scraper kopieren Preise, Lagerbestände und Inhalte für Wettbewerber, Aggregatoren und Wiederverkäufer. Und eine neuere Gruppe, die Agenten, surft im Auftrag einer Person, die eine Frage gestellt hat, klickt und liest in Echtzeit.

Impervas eigene Einordnung für diese Ausgabe ist die Ankunft der letzten Gruppe: Der Report trägt den Untertitel „Bad Bots in the Agentic Age". Eine saubere Aufteilung zwischen guten und schlechten Bots veröffentlicht das Unternehmen in der öffentlichen Zusammenfassung nicht. Die ehrliche Aussage ist deshalb die auf der Karte: 53 % des Traffics waren automatisiert, jeder Art, und 47 % waren Menschen.

Warum Ihre Analytics das nicht zeigt

Öffnen Sie Google Analytics für einen normalen Shop, und Sie sehen nichts, was einem Maschinenanteil von 53 % nahekommt. Das ist kein Widerspruch, sondern ein Messunterschied, und er ist wichtig.

Analytics-Tools, die im Browser laufen, zählen nur Besucher, die JavaScript ausführen. Die meisten Crawler tun das nicht. Sie fordern das HTML an, lesen es und verschwinden. Das Tracking-Skript wird nie ausgelöst, und sie tauchen in keinem Report auf. Analytics-Plattformen filtern bekannte Bots zudem absichtlich über den User Agent heraus, weil die Berichte Kunden beschreiben sollen.

Imperva zählt auf einer anderen Ebene. Das Unternehmen sitzt als Netzwerkdienst vor der Website und sieht jede Anfrage, mit oder ohne Skript. Die beiden Zahlen messen also Verschiedenes: Ihre Analytics misst Menschen, die eine Seite gerendert haben, Imperva misst Anfragen, die angekommen sind. Beides stimmt.

Praktische Folge: Der einzige Ort, an dem Sie diesen Traffic sehen, sind Ihre Server-Logs oder das Dashboard Ihres CDN. Wenn Sie dort noch nie hineingeschaut haben, haben Sie den größten Teil dessen, was Ihre Website liest, noch nie gesehen.

Was es bedeutet, wenn die meisten Leser Maschinen sind

Für einen Shop oder ein Dienstleistungsunternehmen folgen daraus drei Dinge.

Ihre Produktseite hat zwei Zielgruppen mit unterschiedlichen Bedürfnissen. Ein Mensch überfliegt Foto, Preis und Bewertung. Ein Crawler liest den Text und die strukturierten Daten und ignoriert das Foto vollständig. Eine Seite, die für einen Menschen vollständig aussieht, kann für eine Maschine fast leer sein: wenn die technischen Daten in einem Bild stecken, der Preis nach dem Laden per Skript eingesetzt wird oder die Lieferbedingungen in einem PDF liegen. Beide Zielgruppen sind inzwischen groß, und nur eine davon kann nachfragen.

Maschinelles Lesen speist KI-Antworten. Wenn jemand einen KI-Assistenten fragt, wo er ein Produkt kaufen kann, antwortet der Assistent aus Seiten, die abgerufen und gelesen wurden, entweder vom eigenen Crawler oder live während der Suche. Bei diesem Abruf zu fehlen, ist der häufigste Grund, warum ein Unternehmen in der Antwort nicht vorkommt. Und in der Analytics ist das unsichtbar, weil der Besuch dort nie aufgetaucht ist.

Ein Teil des Traffics arbeitet gegen Sie. Den Report gibt es, weil viel von dieser Automatisierung feindlich ist: Scraper, die Preise abgreifen, um sie zu unterbieten, Credential Stuffing, Inventory Hoarding. Pauschal zu blockieren ist die falsche Antwort, denn auf Netzwerkebene sehen die Crawler, die Suche und KI-Antworten speisen, denen sehr ähnlich, die Ihre Preise mitnehmen. Die Entscheidung lautet, welche Agenten Sie hereinlassen, nicht, ob Sie ein Tor haben.

Was Sie prüfen sollten

Drei Checks, jeder in einer halben Stunde oder weniger.

Schauen Sie eine Woche lang in Ihre Server- oder CDN-Logs und zählen Sie die Anfragen nach User Agent. Sie suchen die namentlich bekannten KI-Crawler, ob sie einen 200er oder einen 403er bekommen haben und welche Seiten sie angefragt haben. Erstaunlich viele Websites blockieren sie versehentlich über eine Sicherheitseinstellung, an deren Aktivierung sich niemand erinnert.

Öffnen Sie Ihre meistverkaufte Produktseite mit deaktiviertem JavaScript, oder rufen Sie sie mit einem einfachen HTTP-Request ab. Was übrig bleibt, entspricht ungefähr dem, was ein Crawler sieht. Fehlen Preis und die wichtigsten technischen Daten, haben Sie Ihre Lücke gefunden.

Prüfen Sie danach, ob Ihre robots.txt das sagt, was Sie glauben. Sie ist die eine Datei, die entscheidet, welche dieser Gruppen Sie überhaupt lesen darf, und meist wird sie einmal geschrieben und nie wieder gelesen.

Die Frage auf der Karte lautete: Wann hat Ihre Analytics zuletzt mehr Menschen als Bots gezeigt, und würden Sie es merken? Für fast jede Website ist die ehrliche Antwort, dass die Analytics es Ihnen so oder so nicht sagen könnte.