Woran erkennt ein Webserver heute den Bot-Traffic?

Wer eine Website aufruft, wird an vielen Servern zuerst benotet. Cloudflare, dessen Netz einem großen Teil des Webs vorgeschaltet ist, vergibt jeder Anfrage einen Wert zwischen 1 und 99. Die eigene Dokumentation beschreibt ihn so: „A score of 1 means Cloudflare is quite certain the request was automated, while a score of 99 means Cloudflare is quite certain the request came from a human“ (Cloudflare, Bot score¹). Zustande kommt der Wert über Mustervergleich mit bekannten Fingerabdrücken, über maschinelles Lernen und über Anomalieerkennung gegen eine gelernte Grundlinie. Jeder veröffentlichte Anteil an Bot-Traffic wird aus diesen Schätzwerten aufaddiert.

Meike Laaff referierte am 13. August 2026 im ZEIT-Newsletter „Künstliche Intelligenz: Agenten! Überall Agenten!“, was Cloudflares Finanzchef Thomas Seifert in einer Analystenkonferenz erklärt hatte: Der maschinelle Verkehr habe den menschlichen seit Mai überholt, in fünf Jahren erwarte er das Tausendfache. Ursprünglich hatte er mit 2027 gerechnet.

Cloudflares eigener Jahresbericht zählte 47 Prozent Menschen#

Der Radar-Jahresrückblick des Unternehmens hält für den 2. Dezember 2025 fest: „human traffic generated 47% of HTML requests, and non-AI bots generated 44%“. KI-Bots kamen im Jahresmittel auf 4,2 Prozent der HTML-Anfragen, der Googlebot allein auf 4,5 Prozent (Cloudflare Radar, 2025 Year in Review²).

Ein Wettbewerber datiert die Schwelle noch früher. Imperva, Teil von Thales, schreibt in seinem Bad Bot Report vom 29. April 2026: „Automated traffic continues to outpace human activity online, accounting for more than 53% of all web traffic in 2025, up from 51% the year before“. Nach dieser Rechnung fiel der Mensch schon im Berichtsjahr 2024 in die Minderheit.

Der Bot-Traffic wird in Abrufen gezählt, das Datenvolumen in Gigabyte#

Die Termine gehen auseinander, weil die Zahlen nicht dasselbe messen. Cloudflare zählt HTML-Anfragen und schreibt es dazu. Imperva nennt „all web traffic“, ohne die Einheit zu benennen. Die Bundesnetzagentur wiederum zählt Bytes und kam in ihrem Jahresbericht vom 5. Juni 2026 auf rund 175 Milliarden Gigabyte in den deutschen Festnetzen, im Mittel 376 Gigabyte je Breitbandanschluss und Monat. Ein HTML-Abruf wiegt einige Kilobyte, eine Stunde Video mehrere Gigabyte. Wer Anfragen zählt, bekommt Streaming kaum zu sehen; wer Bytes zählt, sieht Crawler kaum. Eine Umrechnung zwischen beiden gibt es nicht.

Das Tausendfache an Bot-Traffic verlangt jährlich 298 Prozent#

Seifert stellte ausdrücklich klar, der menschliche Verkehr gehe dabei nicht zurück. Bleibt er konstant, muss der maschinelle in fünf Jahren um den Faktor 1.000 wachsen, also jährlich um 298 Prozent, fünfmal hintereinander. Der Gesamtverkehr stiege dabei von zwei auf 1.001 Einheiten, Faktor 500.

Gemessen wird deutlich weniger. Derselbe Radar-Bericht nennt für 2025 ein globales Verkehrswachstum von 19 Prozent; fünf Jahre in diesem Tempo ergeben Faktor 2,4. Die Bundesnetzagentur zählte je Breitbandanschluss 54 Gigabyte mehr als 2024, ein Plus von 16,8 Prozent, im Mobilfunk 13,5 Prozent. Zwischen der Prognose und den gemessenen Reihen liegt rund der Faktor 210.

Zehn Tage vor dem Überholmonat verabschiedete Cloudflare die Zweiteilung#

Am 21. April 2026 erklärte Cloudflares Technikblog die Sortierung in Menschen und Maschinen für untauglich: „There are wanted bots and there are unwanted humans“ (Cloudflare, Moving past bots vs. humans³). Ein Agent, der im Auftrag eines konkreten Nutzers einen Fahrplan abfragt, zählt in der Statistik als Maschine. Die Seiten, von denen diese Abrufe leben, bekommen dafür immer weniger zurück: in der Zero-Click-Suche führen nur noch 8 statt 15 Prozent der Suchen zu einem Klick⁴.

Ein Verfahren, das die Unterscheidung belastbar machen würde, liegt seit dem 2. März 2026 als IETF-Entwurf vor: signierte Abrufe, eingebracht von Thibault Meunier (Cloudflare) und Sandor Major (Google). Der Text nennt den Grund selbst: „User-Agent, when used alone, can be spoofed meaning anyone may attempt to act as that agent“ (draft-meunier-web-bot-auth-architecture⁵). Ein Entwurf ist kein Standard. Denselben Abstand zwischen verkündetem Verfahren und eigenem Dokument hält Brüssel: die EU-Kommission nennt ihre Altersverifikation zero-knowledge-basiert, während die eigene Spezifikation die Technik als künftiges Experiment führt⁶.

Seifert verkündete die Zäsur dreieinhalb Monate nach diesem Blogeintrag, in derselben Konferenz, in der Cloudflare für das zweite Quartal 696,1 Millionen Dollar Umsatz meldete, 36 Prozent mehr als im Vorjahr. Bot-Erkennung und Crawler-Abrechnung stehen im Sortiment. Welcher Abruf als Maschine gilt, legt damit ein Anbieter fest, der die Grenze zugleich als Produkt verkauft.

Anlass war Meike Laaffs Newsletter „Künstliche Intelligenz: Agenten! Überall Agenten!“ für DIE ZEIT vom 13. August 2026; von dort stammen die Aussagen aus der Analystenkonferenz (Überholung seit Mai, Tausendfaches in fünf Jahren, ursprünglich erwartetes Jahr 2027), berichtet zuerst von The Register theregister.com ↗ am 7. August 2026. Eigene Quellen: Cloudflare Radar, 2025 Year in Review blog.cloudflare.com ↗ (Verkehrsanteile, 19 Prozent Wachstum), Cloudflare, Bot score developers.cloudflare.com ↗ (Punktwert und Erkennungsverfahren), Cloudflare, Moving past bots vs. humans blog.cloudflare.com ↗ vom 21. April 2026, Imperva Bad Bot Report⁷ vom 29. April 2026 (53 und 51 Prozent), Bundesnetzagentur, Jahresbericht Telekommunikation⁸ vom 5. Juni 2026 (Datenvolumina), draft-meunier-web-bot-auth-architecture datatracker.ietf.org ↗ vom 2. März 2026 und die Cloudflare-Quartalsmitteilung vom 6. August 2026⁹.