Der E-Commerce-Sektor ist längst im Visier automatischer Systeme: Laut Akamai-Bericht stammen 47,9 Prozent des Traffics im Handel von KI-Bots. Die Angriffe werden komplexer, die Abwehr erfordert neue Strategien.
Die Zahl ist alarmierend: Fast die Hälfte aller Klicks im Online-Handel stammt nicht von menschlichen Käufern, sondern von automatisierten Systemen. Der aktuelle Akamai-Bericht „State of the Internet“ zeigt, dass 47,9 Prozent des Traffics in der Handelsbranche auf das Konto von KI-Bots gehen – Tendenz steigend. Für Betreiber von Onlineshops bedeutet das eine neue Dimension der Bedrohungslage.
Drei Bot-Typen im E-Commerce
Die automatisierten Zugriffe lassen sich in drei Kategorien unterteilen. Der größte Anteil mit 36,6 Prozent entfällt auf sogenannte „Einkaufsagenten“. Diese Systeme – teilweise von Konsumenten genutzt, teilweise als automatisierte Preisvergleicher – durchforsten Shop-Seiten nach Produkten, Preisen und Verfügbarkeiten. Sie verbrauchen Bandbreite und Serverkapazität, generieren aber in der Regel keinen direkten Schaden.
Anders sieht es bei den 10,9 Prozent „Trainings-Crawlern“ aus. Diese Bots sammeln systematisch Daten, um KI-Modelle zu trainieren. Sie kopieren Produktbeschreibungen, Bilder und Preisinformationen – oft ohne Einwilligung des Shop-Betreibers. Die gesammelten Daten landen in großen Sprachmodellen und können dort gegen den ursprünglichen Händler verwendet werden.
Der kleinste, aber gefährlichste Anteil mit 0,4 Prozent sind die schädlichen Angriffe. Diese umfassen automatisierte Kaufversuche mit gestohlenen Zahlungsdaten, „Credential Stuffing“ (das systematische Testen gestohlener Login-Kombinationen) sowie gezielte DDoS-Attacken, die Shop-Systeme lahmlegen sollen.
Neue Angriffsmuster 2025
Die Bedrohungslage verschärft sich durch drei aktuelle Entwicklungen. „Frankenstein-Konten“ – Profile, die aus Daten verschiedener gestohlener Identitäten zusammengesetzt werden – werden zunehmend für automatisierte Betrugsversuche genutzt. Die Angriffe werden damit schwerer zu erkennen, da keine vollständige Identität mehr gestohlen wird, sondern fragmentierte Daten kombiniert werden.
Gleichzeitig nimmt die Häufigkeit und Intensität von DDoS-Attacken zu. Cyberkriminelle nutzen Bot-Netze, die aus kompromittierten IoT-Geräten bestehen, um gezielt E-Commerce-Plattformen in Spitzenzeiten wie Black Friday oder Weihnachtszeit außer Gefecht zu setzen.
Die dritte Entwicklung betrifft den Bereich Phishing. Automatisierte Systeme generieren zunehmend personalisierte Phishing-Nachrichten, die auf Basis ausgespähter Kundendaten massgeschneidert werden. Die Erfolgsrate solcher Angriffe liegt deutlich höher als bei generischen Spam-Kampagnen.
Was Händler jetzt tun können
Die Abwehr erfordert ein mehrschichtiges Sicherheitskonzept. Der erste Schritt ist die vollständige Inventarisierung aller APIs, die der Shop verwendet. Viele Angriffe nutzen undokumentierte oder veraltete Schnittstellen, die Betreiber längst vergessen haben.
Die Mikrosegmentierung des Netzwerks ist der zweite Baustein. Durch die Aufteilung in kleine, isolierte Segmente verhindert man, dass ein kompromittierter Bereich das gesamte System infiziert. Wenn das Content-Management-System isoliert ist, kann ein Angriff nicht direkt auf die Kundendatenbank zugreifen.
Verhaltensbiometrie als dritte Säule analysiert, wie ein Nutzer mit der Website interagiert – Tippgeschwindigkeit, Mausbewegungen, Scroll-Verhalten. Abweichungen vom menschlichen Muster erkennen automatisierte Systeme und können Zugriffe blockieren, bevor Schaden entsteht.
Der Weg zum „Agentic Commerce“
Langfristig wird sich die Branche nicht nur gegen Bots verteidigen müssen, sondern auch eigene automatisierte Systeme einsetzen. „Agentic Commerce“ beschreibt eine Entwicklung, bei der KI-Agenten eigenständig Einkäufe tätigen, Preise verhandeln und Lieferungen koordinieren.
Die Herausforderung für Händler: Sie müssen lernen, zwischen schädlichen Bots und zukünftigen KI-Kunden zu unterscheiden. Wer heute alle automatisierten Zugriffe blockiert, könnte morgen seine eigenen Kunden aussperren.