Bot-Erkennung st\u00fctzt sich auf mehrere Signalarten: Fingerprints der Client-Umgebung, Verhaltensdaten auf der Seite und Informationen zu den IP-Adressen der Zugriffe. Laut OWASP hilft Fingerprinting, Bots zu erkennen, die ihre IP-Adressen wechseln, aber dieselbe Client-Umgebung wiederverwenden; Headless-Werkzeuge k\u00f6nnen ungew\u00f6hnliche JA3-Werte erzeugen. Verhaltensdaten wie Mausbewegungen, Scrollen und Fokus sollen laut OWASP nur in sensiblen Abl\u00e4ufen erhoben werden. Das Ziel ist nicht, s\u00e4mtliche Bots zu blockieren<\/strong>, denn Suchmaschinen-Crawler, Monitoring-Agenten und Hilfsmittel f\u00fcr Barrierefreiheit sind legitim; missbr\u00e4uchliche Automatisierung soll verteuert werden, ohne legitime Nutzer und Bots zu beeintr\u00e4chtigen.<\/p>\n Credential Stuffing zeigt, wogegen sich Bot-Erkennung richtet: Dabei werden Listen von Zugangsdaten, die anderswo gestohlen wurden, gegen die Anmeldung einer Anwendung getestet, um herauszufinden, ob Nutzer dieselben Logins wiederverwendet haben. Laut OWASP geh\u00f6ren zu solchem automatisiertem Missbrauch au\u00dferdem das Auslesen von Inhalten, Card Testing, gef\u00e4lschte Bewertungen und Klickbetrug. Ohne Bot-Erkennung k\u00f6nnen Angreifer gestohlene Zugangsdaten automatisiert an den Login-Endpunkten eines Versicherers durchprobieren. Laut OWASP ist Multi-Faktor-Authentifizierung die mit Abstand beste Verteidigung gegen die Mehrheit passwortbezogener Angriffe, einschlie\u00dflich Credential Stuffing und Password Spraying. Als zus\u00e4tzliche H\u00fcrde dienen CAPTCHAs, doch sie sind nicht perfekt<\/strong>: Es gibt Werkzeuge und Dienste, die sie mit recht hoher Erfolgsquote knacken k\u00f6nnen.<\/p>\n Bei manchen Bot-Erkennungsdiensten initialisiert die Webseite oder mobile App eine JavaScript-API oder ein SDK, wodurch Signale erfasst werden. Bei einem dieser Dienste enth\u00e4lt das Ergebnis eine Risikobewertung von 0,0 bis 1,0<\/strong> und Ursachencodes. Neben der IP-Adresse gibt es mehrere weitere Faktoren, mit denen sich ein Ger\u00e4t fingerprinten l\u00e4sst. Zus\u00e4tzlich kann der Anmeldeverkehr mit Informationen zu Proxys und zu IP-Adressbereichen von Hosting-Anbietern abgeglichen werden; laut OWASP kann das helfen, stark verteiltes Credential Stuffing zu erkennen, und als Ausl\u00f6ser f\u00fcr Gegenma\u00dfnahmen dienen.<\/p>\n Je nach Bewertung kann die Anwendung unterschiedlich reagieren. Ein CAPTCHA oder ein \u00e4hnliches R\u00e4tsel bei der Anmeldung kann laut OWASP dazu beitragen, automatisierte Angriffe zu erkennen und automatisierte Anmeldeversuche zu erschweren; es kann sinnvoll sein, das CAPTCHA nur bei verd\u00e4chtigen oder riskanten Anmeldeanfragen zu verlangen. Sichtbare CAPTCHAs gelten laut OWASP als barrierefeindlich, sind per maschinellem Lernen l\u00f6sbar und werden f\u00fcr Bruchteile eines Cents pro L\u00f6sung an menschliche L\u00f6sungsdienste ausgelagert. Laut OWASP ist zudem eine abgestufte Reaktion<\/strong> dauerhafter als harte Sperren, weil harte Sperren Angreifern zeigen, was funktioniert hat.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,402,401],"class_list":["post-33716","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-authentifizierung-credential-management","glossary_intl_topic-identitaet-zugriff"],"acf":{"card_description":"Bot-Erkennung wertet Signale wie Fingerprints und Verhalten aus, um missbr\u00e4uchliche Automatisierung von echten Nutzern zu unterscheiden.","nav_theme":"Identit\u00e4t & Zugriff","nav_subtheme":"Authentifizierung & Credential-Management","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Bot-Erkennung ist ein Schutzmechanismus f\u00fcr Webanwendungen, der automatisierten Datenverkehr anhand technischer Signale und Verhaltensmerkmale von Zugriffen menschlicher Nutzer unterscheidet, um missbr\u00e4uchliche Automatisierung wie Credential Stuffing oder das Anlegen gef\u00e4lschter Konten zu erschweren.","at_a_glance":[{"bullet":"Bot-Erkennung ist nicht darauf angelegt, legitime Automatisierung wie Suchmaschinen-Crawler, Monitoring-Agenten und Hilfsmittel f\u00fcr Barrierefreiheit zu blockieren."},{"bullet":"Laut OWASP werden Bot-Vorf\u00e4lle fast ebenso oft nachtr\u00e4glich festgestellt wie in Echtzeit."},{"bullet":"Nutzer mit geh\u00e4rtetem Browser k\u00f6nnen \u201ebot-\u00e4hnlich\u201c wirken; OWASP r\u00e4t, Nutzer nicht allein deshalb zu blockieren."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Beim Carding werden mehrfach Zahlungsautorisierungen versucht, um die G\u00fcltigkeit in gro\u00dfer Menge gestohlener Zahlungskartendaten zu pr\u00fcfen; Bot-Erkennung zielt darauf, solche automatisierten Zugriffe von normalen Zahlungen zu unterscheiden."},{"example":"Beim Scraping werden Inhalte oder andere Daten einer Anwendung gesammelt, um sie anderswo zu verwenden; Bot-Erkennung zielt darauf, solche automatisierten Zugriffe von normalen Besuchen zu unterscheiden."},{"example":"An den Login-Endpunkten eines Versicherers soll Bot-Erkennung massenhafte, automatisierte Anmeldeversuche mit gestohlenen Zugangsdaten von den Anmeldungen menschlicher Nutzer unterscheiden."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33732],"pillar_link":null,"sources":[{"publisher":"","name":"Bot Management and Anti-Automation","url":"https:\/\/cheatsheetseries.owasp.org\/cheatsheets\/Bot_Management_and_Anti-Automation_Cheat_Sheet.html","doc_type":"","group":"used"},{"publisher":"","name":"Credential Stuffing Prevention","url":"https:\/\/cheatsheetseries.owasp.org\/cheatsheets\/Credential_Stuffing_Prevention_Cheat_Sheet.html","doc_type":"","group":"used"},{"publisher":"","name":"OAT-008 Credential Stuffing","url":"https:\/\/owasp.org\/www-project-automated-threats-to-web-applications\/assets\/oats\/EN\/OAT-008_Credential_Stuffing","doc_type":"","group":"used"},{"publisher":"","name":"Google Cloud Fraud Defense overview","url":"https:\/\/cloud.google.com\/recaptcha\/docs\/overview","doc_type":"","group":"used"},{"publisher":"","name":"OAT-001 Carding","url":"https:\/\/owasp.org\/www-project-automated-threats-to-web-applications\/assets\/oats\/EN\/OAT-001_Carding","doc_type":"","group":"used"},{"publisher":"","name":"OAT-011 Scraping","url":"https:\/\/owasp.org\/www-project-automated-threats-to-web-applications\/assets\/oats\/EN\/OAT-011_Scraping","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-07"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Bot-Erkennung?<\/h2>\n
Welche Signale nutzt die Bot-Erkennung?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Wechselnde IP-Adressen bei gleicher Client-Umgebung<\/td>\n Fingerprinting hilft laut OWASP, Bots zu erkennen, die IP-Adressen rotieren, aber dieselbe Client-Umgebung wiederverwenden.<\/td>\n<\/tr>\n \n Ungew\u00f6hnliche JA3-Werte<\/td>\n Headless-Werkzeuge k\u00f6nnen laut OWASP ungew\u00f6hnliche JA3-Werte erzeugen.<\/td>\n<\/tr>\n \n Verhaltensdaten der Seite<\/td>\n Mausbewegungen, Scrollen und Fokus geh\u00f6ren laut OWASP zu den Verhaltensdaten, die nur in sensiblen Abl\u00e4ufen erhoben werden sollen.<\/td>\n<\/tr>\n \n Anmeldeverkehr aus Proxy- und Hosting-Bereichen<\/td>\n Der Abgleich von Anmeldeverkehr mit Informationen zu Proxys und zu IP-Adressbereichen von Hosting-Anbietern kann helfen, stark verteiltes Credential Stuffing zu erkennen.<\/td>\n<\/tr>\n \n Massenhafte Anmeldeversuche<\/td>\n Massenhafte Anmeldeversuche sind laut OWASP das kennzeichnende Merkmal von Credential Stuffing; mit ihnen wird die G\u00fcltigkeit gestohlener Paare aus Benutzername und Passwort gepr\u00fcft.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n