Bot-Verkehr — die guten durchlassen, die schlechten bremsen.

Gute und schlechte Bots.

Erkennen.

Die Serverprotokolle zeigen jeden Zugriff mit Adresse, Zeitpunkt, aufgerufener Seite und Kennung des Programms. Auffällig sind: sehr viele Zugriffe von einer Adresse, Zugriffe auf Anmeldeseiten in Serie, Aufrufe von Adressen, die es gar nicht gibt — typisch für Lückensuche —, und unbekannte Programmkennungen (Protokolle analysieren).

Vorsicht: Programmkennungen lassen sich fälschen. Ein Zugriff, der sich als Google ausgibt, muss nicht von Google kommen. Echte Suchmaschinen lassen sich über ihre Adressen überprüfen.

Anmeldeversuche.

Massenhafte Anmeldeversuche sind die häufigste Form. Begrenzung der Versuche, Zwei-Faktor-Anmeldung und gegebenenfalls eine Zugriffsbeschränkung machen sie wirkungslos (Admin-Zugang).

Bei WordPress kommen viele Versuche über eine ältere Schnittstelle für Fernzugriffe. Wird sie nicht gebraucht, sollte sie abgeschaltet werden.

Formularspam.

Kontaktformulare, Kommentare, Registrierungen — alles, was Eingaben annimmt, wird von Spam-Programmen gefunden. Schutz bieten unsichtbare Fallen für Programme, Zeitprüfungen, Prüfdienste und serverseitige Filter (Formular-Spam stoppen).

Wichtig ist ein Schutz, der echte Besucher nicht behindert — auch nicht die, die das Cookie-Banner ablehnen.

Inhalte kopieren.

Manche Programme kopieren Inhalte massenhaft, etwa Preise aus Shops oder Texte für fremde Seiten. Vollständig verhindern lässt sich das nicht, weil öffentliche Inhalte öffentlich sind. Begrenzen lässt es sich: Drosselung bei sehr vielen Zugriffen, Sperre auffälliger Adressen.

Lastspitzen.

Wenn sehr viele automatisierte Zugriffe gleichzeitig kommen, wird die Website langsam oder fällt aus. Bei kleinen Servern reicht dafür schon ein schlecht programmierter Crawler. Ein Seiten-Cache hilft, weil zwischengespeicherte Seiten kaum Serverleistung brauchen (Caching, Server zu langsam).

Gegen gezielte Überlastungsangriffe hilft vor allem ein vorgeschalteter Dienst mit entsprechender Kapazität.

Firewall und vorgeschaltete Dienste.

Eine Firewall für Webanwendungen prüft Anfragen, bevor sie die Website erreichen, und blockiert bekannte Angriffsmuster. Es gibt sie auf Serverebene, beim Hoster, als Erweiterung oder als vorgeschalteten Dienst.

Vorgeschaltete Dienste — die den gesamten Verkehr über ihr Netzwerk leiten — bieten oft zusätzlich Schutz vor Überlastung und eine Bot-Erkennung. Datenschutzrechtlich ist zu prüfen, wo sie verarbeiten, und ein Auftragsverarbeitungsvertrag nötig (Datenschutz bei Diensten).

Nicht übertreiben.

Zu scharfe Regeln sperren auch Erwünschtes aus: Suchmaschinen, Überwachungsdienste, Schnittstellen, echte Besucher mit ungewöhnlichem Netz. Eine ausgesperrte Suchmaschine kostet Sichtbarkeit — das ist oft teurer als die Bots, die man abwehren wollte.

Nach jeder Regeländerung lohnt der Blick in die Search Console: Kann Google die Seiten noch abrufen (Indexierung)?

KI-Crawler.

Programme von KI-Anbietern rufen Inhalte für Training oder Antworten ab. Ob man sie zulässt, ist eine bewusste Entscheidung: Zulassen kann Sichtbarkeit in KI-Antworten bringen, Aussperren schützt Inhalte (KI-Crawler steuern).

Die Reihenfolge.

1. Protokolle ansehen — was kommt, wie viel, woher.
2. Anmeldung absichern — Begrenzung, Zwei-Faktor.
3. Formulare schützen.
4. Seiten-Cache für Lastspitzen.
5. Auffällige Zugriffe sperren — gezielt.
6. Bei Bedarf vorgeschalteten Dienst nutzen.
7. Prüfen, dass Erwünschtes durchkommt.

Wenn du nicht weiterkommst.

Wenn automatisierte Zugriffe deine Website belasten oder du Angriffe abwehren willst. Ich sehe mir deine Website an, sage dir, wo die Risiken liegen, und setze um, was nötig ist. Die Übersicht findest du unter Website-Sicherheit; wenn es gerade brennt, hilft der Notfall-Support.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Website-Sicherheit gehört zu meiner täglichen Arbeit — ich härte WordPress, TYPO3, Shopware und eigene PHP-Anwendungen, richte Sicherungen und Überwachung ein und habe zahlreiche kompromittierte Websites bereinigt. Als Dozent erkläre ich regelmäßig, wie Angriffe auf Websites tatsächlich ablaufen.

Ich bin kein zertifizierter Penetrationstester und behaupte das auch nicht. Was ich biete: die Grundlagen, die den Großteil realer Angriffe abwehren, sauber umgesetzt — und eine ehrliche Einschätzung, wann zusätzlich ein spezialisierter Prüfer sinnvoll ist.

Was du bekommst: eine Bestandsaufnahme in verständlicher Sprache, Maßnahmen nach Dringlichkeit und eine Website, die nicht beim ersten automatisierten Angriff fällt.