Bot-Erkennung ist ein Schutzmechanismus für Webanwendungen, der automatisierten Datenverkehr anhand technischer Signale und Verhaltensmerkmale von Zugriffen menschlicher Nutzer unterscheidet, um missbräuchliche Automatisierung wie Credential Stuffing oder das Anlegen gefälschter Konten zu erschweren.
Auf einen Blick
Bot-Erkennung ist nicht darauf angelegt, legitime Automatisierung wie Suchmaschinen-Crawler, Monitoring-Agenten und Hilfsmittel für Barrierefreiheit zu blockieren.
Laut OWASP werden Bot-Vorfälle fast ebenso oft nachträglich festgestellt wie in Echtzeit.
Nutzer mit gehärtetem Browser können „bot-ähnlich“ wirken; OWASP rät, Nutzer nicht allein deshalb zu blockieren.
Was ist Bot-Erkennung?
Bot-Erkennung stützt sich auf mehrere Signalarten: Fingerprints der Client-Umgebung, Verhaltensdaten auf der Seite und Informationen zu den IP-Adressen der Zugriffe. Laut OWASP hilft Fingerprinting, Bots zu erkennen, die ihre IP-Adressen wechseln, aber dieselbe Client-Umgebung wiederverwenden; Headless-Werkzeuge können ungewöhnliche JA3-Werte erzeugen. Verhaltensdaten wie Mausbewegungen, Scrollen und Fokus sollen laut OWASP nur in sensiblen Abläufen erhoben werden. Das Ziel ist nicht, sämtliche Bots zu blockieren, denn Suchmaschinen-Crawler, Monitoring-Agenten und Hilfsmittel für Barrierefreiheit sind legitim; missbräuchliche Automatisierung soll verteuert werden, ohne legitime Nutzer und Bots zu beeinträchtigen.
Credential Stuffing zeigt, wogegen sich Bot-Erkennung richtet: Dabei werden Listen von Zugangsdaten, die anderswo gestohlen wurden, gegen die Anmeldung einer Anwendung getestet, um herauszufinden, ob Nutzer dieselben Logins wiederverwendet haben. Laut OWASP gehören zu solchem automatisiertem Missbrauch außerdem das Auslesen von Inhalten, Card Testing, gefälschte Bewertungen und Klickbetrug. Ohne Bot-Erkennung können Angreifer gestohlene Zugangsdaten automatisiert an den Login-Endpunkten eines Versicherers durchprobieren. Laut OWASP ist Multi-Faktor-Authentifizierung die mit Abstand beste Verteidigung gegen die Mehrheit passwortbezogener Angriffe, einschließlich Credential Stuffing und Password Spraying. Als zusätzliche Hürde dienen CAPTCHAs, doch sie sind nicht perfekt: Es gibt Werkzeuge und Dienste, die sie mit recht hoher Erfolgsquote knacken können.
Wie funktioniert Bot-Erkennung?
Bei manchen Bot-Erkennungsdiensten initialisiert die Webseite oder mobile App eine JavaScript-API oder ein SDK, wodurch Signale erfasst werden. Bei einem dieser Dienste enthält das Ergebnis eine Risikobewertung von 0,0 bis 1,0 und Ursachencodes. Neben der IP-Adresse gibt es mehrere weitere Faktoren, mit denen sich ein Gerät fingerprinten lässt. Zusätzlich kann der Anmeldeverkehr mit Informationen zu Proxys und zu IP-Adressbereichen von Hosting-Anbietern abgeglichen werden; laut OWASP kann das helfen, stark verteiltes Credential Stuffing zu erkennen, und als Auslöser für Gegenmaßnahmen dienen.
Je nach Bewertung kann die Anwendung unterschiedlich reagieren. Ein CAPTCHA oder ein ähnliches Rätsel bei der Anmeldung kann laut OWASP dazu beitragen, automatisierte Angriffe zu erkennen und automatisierte Anmeldeversuche zu erschweren; es kann sinnvoll sein, das CAPTCHA nur bei verdächtigen oder riskanten Anmeldeanfragen zu verlangen. Sichtbare CAPTCHAs gelten laut OWASP als barrierefeindlich, sind per maschinellem Lernen lösbar und werden für Bruchteile eines Cents pro Lösung an menschliche Lösungsdienste ausgelagert. Laut OWASP ist zudem eine abgestufte Reaktion dauerhafter als harte Sperren, weil harte Sperren Angreifern zeigen, was funktioniert hat.
Welche Signale nutzt die Bot-Erkennung?
| Signal | Woran erkennbar |
|---|---|
| Wechselnde IP-Adressen bei gleicher Client-Umgebung | Fingerprinting hilft laut OWASP, Bots zu erkennen, die IP-Adressen rotieren, aber dieselbe Client-Umgebung wiederverwenden. |
| Ungewöhnliche JA3-Werte | Headless-Werkzeuge können laut OWASP ungewöhnliche JA3-Werte erzeugen. |
| Verhaltensdaten der Seite | Mausbewegungen, Scrollen und Fokus gehören laut OWASP zu den Verhaltensdaten, die nur in sensiblen Abläufen erhoben werden sollen. |
| Anmeldeverkehr aus Proxy- und Hosting-Bereichen | Der Abgleich von Anmeldeverkehr mit Informationen zu Proxys und zu IP-Adressbereichen von Hosting-Anbietern kann helfen, stark verteiltes Credential Stuffing zu erkennen. |
| Massenhafte Anmeldeversuche | Massenhafte Anmeldeversuche sind laut OWASP das kennzeichnende Merkmal von Credential Stuffing; mit ihnen wird die Gültigkeit gestohlener Paare aus Benutzername und Passwort geprüft. |
Beispiele aus der Praxis
- Beim Carding werden mehrfach Zahlungsautorisierungen versucht, um die Gültigkeit in großer Menge gestohlener Zahlungskartendaten zu prüfen; Bot-Erkennung zielt darauf, solche automatisierten Zugriffe von normalen Zahlungen zu unterscheiden.
- Beim Scraping werden Inhalte oder andere Daten einer Anwendung gesammelt, um sie anderswo zu verwenden; Bot-Erkennung zielt darauf, solche automatisierten Zugriffe von normalen Besuchen zu unterscheiden.
- An den Login-Endpunkten eines Versicherers soll Bot-Erkennung massenhafte, automatisierte Anmeldeversuche mit gestohlenen Zugangsdaten von den Anmeldungen menschlicher Nutzer unterscheiden.