Bot-Traffic: Wie Bots Ihre Gebotsstrategie verfälschen

Die Sitzungen in GA4 steigen, der Umsatz nicht. Irgendwer schaltet einen Filter ein, die Kurve beruhigt sich, das Thema ist erledigt. Für den Bericht stimmt das. Für das Werbebudget nicht.

Denn jeder Bot, der einen Conversion-Tag auslöst, landet genauso bei Google Ads und Meta wie ein echter Kunde. Und dort wird er nicht nur gezählt, sondern als Lernbeispiel verwendet. Bot-Traffic ist deshalb weniger ein Reporting-Problem als ein Problem der Gebotssteuerung.

Fehlende Daten und falsche Daten sind nicht dasselbe

Beim Tracking geht es meist um verlorene Conversions: Ein Teil der Käufe kommt nicht im Werbekonto an. Das ist ärgerlich, aber der Algorithmus lernt aus den übrigen Ereignissen trotzdem ein im Kern richtiges Bild.

Bot-Conversions wirken anders. Sie sagen dem System: „Diese Art von Besucher kauft.“ Die Folgen:

• Smart Bidding und Kampagnen wie Performance Max bauen ihr Modell aus allem, was als Conversion markiert ist – also auch aus Bots.
• Breite Ausrichtungen suchen gezielt mehr Traffic, der dem vermeintlich erfolgreichen Muster ähnelt.
• Zielgruppen für Remarketing und ähnliche Zielgruppen werden mit Nicht-Menschen befüllt.
• Die Kennzahlen kippen: Der gemeldete CPA sinkt, während der tatsächliche steigt. Entscheidungen auf dieser Basis gehen in die falsche Richtung.

Wie stark ist ein Onlineshop betroffen?

Die gute Nachricht für Shops: Ein Bot bezahlt selten eine echte Bestellung. Das Kauf-Ereignis bleibt deshalb meist recht sauber. Weiter oben im Funnel sieht es anders aus.

Ereignis	Aufwand für einen Bot	Risiko für Gebote und Zielgruppen
page_view, view_item	keiner	hoch, wenn Zielgruppen darauf aufbauen
add_to_cart	gering	hoch bei Kampagnen, die darauf optimieren
Newsletter-Anmeldung, Kontaktformular	gering	sehr hoch, wenn als Conversion gezählt
purchase	hoch (echte Zahlung)	eher gering

Die Faustregel: Je weiter oben im Funnel eine Conversion liegt und je billiger sie auszulösen ist, desto mehr lohnt sich Bot-Filterung. Wer B2B-Anfragen, Muster-Bestellungen oder Newsletter-Anmeldungen als Ziel nutzt, sollte das Thema ernst nehmen.

Schritt 1: Erst messen, dann blockieren

Der häufigste Fehler ist, sofort zu blockieren. Dann fehlt jede Vergleichsbasis – und niemand weiß, ob der Filter echte Kunden mit erwischt.

Mit einem Server-Container ist eine Messphase einfach umzusetzen. Stape bietet dafür eine Bot-Erkennung (ab dem Pro-Tarif), die jede eingehende Anfrage bewertet und das Ergebnis als Header mitgibt: X-Device-Bot (ja/nein) und X-Device-Bot-Score. Die Bewertung lässt sich grob so lesen:

• unter 50: sehr wahrscheinlich ein Mensch
• 50 bis 75: verdächtig, aber nicht eindeutig
• über 75: Bot

So bauen Sie daraus einen Bericht:

1. Bot-Erkennung im reinen Kennzeichnungsmodus aktivieren, ohne Blockieren.
2. Im Server-Container eine Variable vom Typ Request Header für X-Device-Bot-Score anlegen.
3. Den Wert als Parameter bot_score an den GA4-Tag übergeben.
4. In GA4 bot_score als benutzerdefinierte Dimension auf Ereignisebene registrieren.
5. Ein bis zwei Wochen laufen lassen.

Danach interessieren drei Fragen: Wie hoch ist der Anteil mit Score über 75? Auf welche Kanäle und Landingpages konzentriert er sich? Und vor allem: Lösen diese Besucher Conversions aus? Erst die letzte Antwort entscheidet, ob Sie ein Kosmetik- oder ein Budgetproblem haben.

1. KennzeichnenBot-Erkennung ohne Blockieren aktivieren
2. AuslesenHeader-Variable für den Score
3. Übergebenbot_score an GA4 senden
4. RegistrierenDimension in GA4 anlegen
5. AuswertenEin bis zwei Wochen beobachten

Ein zweites, kostenloses Signal ist die Bildschirmauflösung. 0x0 deutet fast sicher auf einen automatisierten Zugriff hin. Feste Werte wie 800x600 sind dagegen nur ein Indiz, weil echte Geräte sie gelegentlich auch melden. Prüfen Sie in GA4, wie sich Auflösung und bot_score überschneiden.

Schritt 2: Wo Sie filtern – drei Ebenen im Vergleich

Ebene	Was passiert	Vorteil	Nachteil
Pro Tag im Server-Container	Ausnahme-Trigger verhindern, dass Werbe-Tags bei hohem Score feuern	fein steuerbar, GA4 misst weiter	muss bei neuen Tags mitgepflegt werden
Blockieren bei Stape	Anfragen mit Score über 75 erreichen den Container gar nicht	schützt neue Tags automatisch, spart Anfragevolumen	Bots sind auch in GA4 nicht mehr sichtbar
Vor der Website (z. B. Cloudflare)	Traffic aus Rechenzentren wird herausgefordert oder abgewiesen	stoppt Bots, bevor überhaupt etwas lädt	Risiko, Suchmaschinen oder eigene Dienste auszusperren

Für den Anfang empfiehlt sich die erste Ebene. Legen Sie einen Trigger an, der auf das Conversion-Ereignis und einen Score über 75 reagiert, und hängen Sie ihn als Ausnahme an die Tags für Google Ads, die Meta Conversions API und weitere Werbeplattformen. GA4 bleibt bewusst ohne Ausnahme: So messen Sie weiter, während kein Bot mehr in einen Gebotsalgorithmus gelangt. Arbeiten Sie mit dem Score statt mit dem Ja/Nein-Header, behalten Sie die Schwelle selbst in der Hand.

Den Bereich 50 bis 75 sollten Sie zunächst nicht blockieren, sondern beobachten. Zeigt ein Großteil davon zusätzlich 0x0 als Auflösung, stimmen zwei unabhängige Signale überein – dann ist eine niedrigere Schwelle vertretbar.

Bei der Edge-Ebene gilt: Regeln für Rechenzentrums-Netze (AWS, Azure, Hetzner und Co.) zunächst nur als Challenge statt als Sperre einsetzen und verifizierte Crawler ausdrücklich ausnehmen, bei Cloudflare über cf.client.bot. Wer das vergisst, sperrt womöglich den Googlebot aus.

Formulare: Die wichtigste Stelle für Leads

Wo Formulare als Conversion zählen, ist die wirksamste Maßnahme, dass ein Bot gar nicht erst zum Lead wird:

• Honeypot-Feld: ein Eingabefeld, das per CSS versteckt ist (nicht per type="hidden"). Ist es ausgefüllt, war es kein Mensch.
• Mindestzeit: Wird das Formular wenige Sekunden nach dem Laden abgeschickt, ist das verdächtig.
• Ereignis erst nach Prüfung: Schicken Sie generate_lead nicht beim Klick auf „Absenden“ in den dataLayer, sondern erst, wenn Ihr Server die Anfrage angenommen hat. Die Conversion steht dann für einen geprüften Lead, nicht für einen Klick.

Dasselbe gilt für Offline-Conversions aus dem CRM: Leads mit Status „Spam“ oder „disqualifiziert“ gehören nicht in den Upload, auch wenn sie eine GCLID haben. Das betrifft ebenso Enhanced Conversions für Leads.

Nebenwirkungen, die Sie kennen sollten

• Webhooks können mit blockiert werden. Server-zu-Server-Anfragen haben keine Browser-Merkmale und erhalten oft einen hohen Score. Wer etwa Shopify-Webhooks für Bestellungen nutzt, sollte sie über einen eigenen Pfad (z. B. /webhooks) senden, der nicht unter die automatische Sperre fällt – und direkt nach dem Aktivieren prüfen, ob sie noch ankommen.
• Shopify-Analytics bleibt unverändert. Shopify misst unabhängig vom Server-Container. Nach der Filterung wächst der Abstand zwischen GA4 und Shopify. Das ist erwartbar und kein Fehler; mehr zu solchen Abweichungen in GA4 zeigt weniger Umsatz als der Shop.
• Zu viel Filtern ist teurer als zu wenig. Ein fälschlich blockierter Kunde fehlt in allen Daten. Ein durchgerutschter Bot ist meist eine Randnotiz.
• Einwilligung gilt weiter. Ein Bot-Score ändert nichts an den Consent-Pflichten. Ob und wie Sie die zusätzlichen Signale verarbeiten dürfen, sollte rechtlich geprüft werden; Grundlagen finden Sie unter DSGVO.

Was der GA4-Filter kann – und was nicht

GA4 filtert bekannte Bots automatisch anhand einer Branchenliste. Das erfasst Crawler, die sich ehrlich zu erkennen geben, etwa Googlebot. Headless-Browser mit gefälschter Kennung, Scraper über private Proxys und viele neue KI-Crawler fallen durch. Abschalten oder auswerten lässt sich der Filter nicht. Sinnvoll in GA4 sind darüber hinaus: interne Zugriffe (eigenes Team, Agentur, Entwickler) ausschließen und die Dimension bot_score auch nach dem Blockieren behalten. Wie Sie erwünschte KI-Besuche getrennt betrachten, beschreibt KI-Traffic messen.

Prüfen, ob es wirkt

• Header in der Vorschau des Server-Containers sichtbar?
• bot_score kommt in GA4 an?
• Test-Conversion wird nicht durch die Ausnahme blockiert?
• Webhooks kommen bei aktivem Blockieren an?
• Conversion-Volumen in Google Ads zwei Wochen vor und nach der Umstellung vergleichen: Ein kleiner Rückgang ist normal, ein großer deutet auf blockierte echte Nutzer.
• Nach zwei Wochen den Bericht aus der Messphase wiederholen: Der Anteil hoher Scores bei Conversions sollte gegen null gehen.

Diese Punkte passen gut in den regelmäßigen Tracking-Audit.

Fazit

Bot-Filterung wird meist als Datenhygiene verstanden. Für Werbetreibende ist sie vor allem eine Frage der Gebotsqualität: Was als Conversion gemeldet wird, bestimmt, wen die Plattformen künftig suchen. Messen Sie zuerst, setzen Sie dann Ebene für Ebene um und behalten Sie den Score im Blick. Ziel ist nicht null Bots, sondern dass kein Bot Ihrem Algorithmus beibringt, wie ein Kunde aussieht.

Wie wir Bot-Filterung in ein Server-Side-Tracking-Setup für GA4 und die Werbeplattformen einbauen, besprechen wir gern mit Ihnen: Erstgespräch anfragen.