Der Besucher, der keine Maus bewegt

Maschinen besuchen Webseiten seit dreißig Jahren. Neu ist, dass eine davon inzwischen ununterscheidbar aussieht von einem Menschen – nicht weil sie sich tarnt, sondern weil sie tatsächlich einen Browser fährt.

Damit zerfällt der Maschinenverkehr in zwei Hälften, die nichts gemeinsam haben außer dem Wort. Die eine erscheint niemals in einem Analysebericht und lässt sich mit einer Textdatei regeln. Die andere erscheint in jedem Bericht und lässt sich mit dieser Textdatei überhaupt nicht regeln.

Warum der Crawler nie im Bericht steht

Die ältere Art Maschine holt das ausgelieferte HTML und liest es. Sie führt kein JavaScript aus, lädt keinen Container nach und löst folglich kein Ereignis aus. Für ein Analysewerkzeug, das über ein Skript im Browser misst, hat dieser Besuch nie stattgefunden. Sichtbar wird er ausschließlich im Zugriffsprotokoll des Webservers.

Das gilt für die bekannten Sammler der Sprachmodellanbieter ebenso wie für Suchmaschinencrawler. Sie melden sich in der Regel mit einem eigenen Namen in der Kennung, halten sich an die robots.txt und sind genau deshalb regelbar: Wer nichts ausführt, umgeht auch nichts.

Warum der agentische Browser immer darin steht

Die neuere Art ist ein vollständiger Browser auf Chromium-Grundlage, gesteuert von einem Sprachmodell. Er rendert wie Chrome, weil er dieselbe Blink- und V8-Maschinerie benutzt. Er führt den Container aus, setzt Cookies, feuert Ereignisse und beendet eine Sitzung. In einem Bericht steht danach eine Sitzung, ein Gerät, eine Herkunft und eine Ereignisliste – alles davon echt.

Deshalb greifen die üblichen Filter nicht. Eine Ausschlussliste bekannter Bots arbeitet über die Kennung, und diese Kennung ist die eines gewöhnlichen Chrome. Eine Prüfung auf fehlendes JavaScript geht ins Leere, weil JavaScript läuft. Eine Prüfung auf fehlende Bildschirmmaße geht ins Leere, weil ein Fenster existiert.

Was die robots.txt hier nicht leistet

Die Datei richtet sich an selbständig sammelnde Programme. Ein agentischer Browser handelt aber im Auftrag eines Menschen, der gerade eine Frage gestellt hat, und die verbreitete Auslegung der Anbieter lautet, dass ein solcher Abruf kein Crawling ist. Ob diese Auslegung überzeugt, ist eine offene Frage. Praktisch entscheidend ist, dass eine Sperre dort ohnehin keine Wirkung hätte, weil die Anfrage nicht von einem benannten Sammler kommt.

Daraus folgt eine unangenehme Symmetrie. Die Maschinen, die sich über die robots.txt regeln lassen, tauchen in keiner Kennzahl auf. Die Maschinen, die jede Kennzahl beeinflussen, lassen sich dort nicht regeln.

Woran sich ein Agent trotzdem erkennen lässt

Was bleibt, ist das Verhalten. Ein gesteuerter Ablauf bewegt den Zeiger auf geraden Strecken zwischen den Elementen, statt an ihnen vorbeizuwandern. Er liest den Seitenbaum in Schüben statt beim Scrollen. Er löst Ereignisse in gleichmäßigen Abständen aus, weil zwischen ihnen kein Nachdenken liegt, sondern ein Schritt im Ablauf. Und er handelt häufig, ohne vorher gescrollt zu haben, was bei einem Menschen praktisch nicht vorkommt.

Serverseitig kommen technische Spuren hinzu, etwa Merkmale der Fernsteuerungsschnittstelle oder Abweichungen zwischen der behaupteten und der tatsächlichen Ausstattung des Browsers. Beide Wege haben denselben Haken, nämlich den Bedarf an rohen Ereignissen. In einer Berichtsoberfläche, die nur Sitzungen und Ereignisse zählt, ist keine dieser Angaben enthalten.

Wo welche Maschine sichtbar wird

  Trainingscrawler       Zugriffsprotokoll     ja
                         Analysebericht        nein  (kein JavaScript)
                         robots.txt regelbar   ja

  agentischer Browser    Zugriffsprotokoll     ja, als Chrome
                         Analysebericht        ja, als Sitzung
                         robots.txt regelbar   nein

  Unterscheidungsmerkmale nur im Rohdatenbestand:
    Abstand der Ereignisse, Reihenfolge ohne Scrollen,
    gerade Zeigerwege, Merkmale der Fernsteuerung

Die Kennung, die sich unterschreiben lässt

Für die Anbieterseite entsteht gerade eine Antwort auf die Erkennungsfrage. Web Bot Auth setzt auf HTTP-Nachrichtensignaturen nach RFC 9421: Der Betreiber eines Agenten erzeugt ein Ed25519-Schlüsselpaar, hinterlegt den öffentlichen Teil unter einem festen Pfad auf einer eigenen Domain und unterschreibt jede ausgehende Anfrage. Ein Auftritt kann die Unterschrift prüfen und weiß dann mit Sicherheit, von welchem Betreiber die Anfrage stammt.

Der Stand ist allerdings ehrlich zu benennen: Eine IETF-Arbeitsgruppe befasst sich seit Anfang 2026 damit, ein verabschiedetes Dokument gibt es bislang nicht. Mehrere große Netzbetreiber und Sicherheitsanbieter prüfen die Unterschriften trotzdem schon im Wirkbetrieb. Wer heute darauf setzt, setzt auf einen Entwurf mit breiter Unterstützung – und auch das hilft nur gegen Agenten, die sich zu erkennen geben wollen.

Was sich daraus für eine Kennzahl ergibt

Die verbreiteten Marktzahlen zum Anteil agentischen Verkehrs stammen von Sicherheitsanbietern, die Erkennung verkaufen. Sie sind nicht deshalb falsch, aber sie sind kein neutraler Befund, und sie beschreiben ohnehin fremde Auftritte. Für den eigenen Bestand ist die einzige belastbare Zahl die selbst erhobene.

Praktisch heißt das dreierlei. Erstens gehört der Rohdatenbestand dorthin, wo sich Abstände und Reihenfolgen auswerten lassen – eine Oberfläche mit fertigen Berichten genügt dafür nicht. Zweitens lohnt es sich, die Frage vor der nächsten Auffälligkeit zu stellen und nicht danach, denn ein sprunghafter Anstieg ohne Erklärung wird sonst der Kampagne zugeschrieben, die gerade lief. Drittens ist die ehrliche Antwort auf die Frage, wie hoch der Anteil ist, für die meisten Auftritte derzeit: unbekannt, und das ist eine bessere Auskunft als eine geliehene Prozentzahl.