Untersuchung verdächtigen Bot-Traffics mit Google Analytics
Dieser Leitfaden bietet einen schrittweisen Prozess zur Verwendung von Google Analytics 4 (GA4), um verdächtige Bot-Aktivitäten zu identifizieren und zu untersuchen.
1. Verständnis der Standard-Bot-Filterung in GA4
GA4 schließt den Traffic von bekannten Bots und Spinnern standardmäßig automatisch aus.[1] Diese Filterung basiert auf der Forschung von Google und der International Spiders & Bots List des IAB.
Die Schritte in diesem Leitfaden sollen Ihnen helfen, fortschrittlichere oder unbekannte Bots zu identifizieren, die möglicherweise nicht auf dieser Liste stehen.
2. Traffic auf ungewöhnliche Muster analysieren
Bots erzeugen oft Traffic, der erheblich von Ihren typischen Nutzungsmustern abweicht.
Schritte:
-
Echtzeit-Berichte prüfen:
- Gehen Sie zu Berichte > Echtzeit-Seiten. Achten Sie auf plötzliche, unerklärliche Anstiege bei „Aktive Nutzer in den letzten 30 Minuten". Dies kann das erste Anzeichen für einen Anstieg aktiver Bots sein.
Wenn Sie glauben, dass Ihre Seite einem Spam-Angriff ausgesetzt ist, nutzen Sie unseren Leitfaden unter Immediate actions you can take during a spam attack -
Geografischen Standort untersuchen:
-
Gehen Sie zu Berichte > Demografie > Nutzer > Nutzerattribute > Demografische Details.
-
Das standardmäßig angezeigte Diagramm sollte Demografische Details: Land sein. Achten Sie auf eine hohe Anzahl von Nutzern aus Ländern, die Sie nicht ansprechen, in denen Sie keine geschäftliche Präsenz haben oder aus denen Sie normalerweise wenig Traffic erhalten. Ein plötzlicher Anstieg aus einem unerwarteten Ort ist ein großes Warnsignal.
-
-
Traffic-Quellen auf Referenz-Spam analysieren:
-
Gehen Sie zu Berichte > Akquisition > Traffic-Akquisition.
-
Der Bericht ist standardmäßig auf „Standard-Session-Kanalgruppe" eingestellt. Klicken Sie auf den Dropdown-Pfeil neben der primären Dimension und wählen Sie Session-Quelle / Medium. Scannen Sie nach verdächtigen oder sinnlosen Referenzquellen (z. B.
„free-traffic-seo.com,"„buttons-for-your-website.com"). Dies sind klassische Anzeichen für Referenz-Spam[2].
-
3. Nutzerverhaltensmetriken genau prüfen
Verhaltensmetriken sind möglicherweise das stärkste Werkzeug von GA4, um menschliche Nutzer von Bots zu unterscheiden.
Schritte:
-
Auf niedrige Engagierungszeit achten:
- Gehen Sie zu Berichte > Engagement > Seiten und Bildschirme.
In GA4 ist die Engagement-Rate der Prozentsatz der Sitzungen, die länger als 10 Sekunden dauerten, ein Conversion-Ereignis hatten oder mindestens 2 Seitenaufrufe beinhalteten. Dies bietet eine differenziertere Sicht auf die Sitzung als die frühere Messung der „Absprungrate".-
Die Metrik Durchschnittliche Engagierungszeit zeigt an, wie lange Ihre Seite im Vordergrund für Nutzer aktiv war. Bots verbringen typischerweise sehr wenig Zeit auf einer Seite. Sortieren Sie die Tabelle nach „Durchschnittliche Engagierungszeit" (aufsteigend), um Seiten mit ungewöhnlich geringer Engagementzeit trotz signifikanter Aufrufe zu finden.
-
Suchen Sie nach Seiten mit hohen „Aufrufen", aber einer sehr niedrigen „Engagement-Rate". Dies deutet darauf hin, dass Nutzer auf die Seite gelangen und diese sofort wieder verlassen, was ein häufiges Bot-Verhalten ist.
Wenn Sie die Spalte „Engagement-Rate" nicht sehen, müssen Sie sie hinzufügen. Klicken Sie oben rechts auf das Stiftsymbol (Bericht anpassen), wählen Sie „Metriken" und fügen Sie „Engagement-Rate" zum Bericht hinzu. Vergessen Sie nicht, Ihre Änderungen zu speichern. -
Landing-Seiten prüfen:
-
Gehen Sie zu Berichte > Engagement > Landing-Seite.
-
In der linken Navigation gehen Sie zu Berichte > Engagement > Landing-Seite. Suchen Sie nach Seiten mit einer hohen Anzahl von Neuen Nutzern, aber einer extrem niedrigen Durchschnittlichen Engagierungszeit. Dieses Muster deutet auf automatisierten Traffic hin, der spezifische Einstiegspunkte Ihrer Seite trifft und diese sofort wieder verlässt.
-
4. Was Google Analytics nicht verraten kann 
- IP-Adressen: Wie bei der Google Search Console meldet Google Analytics keine IP-Adressen der Nutzer. Diese Informationen finden Sie nur in Ihren Server-Logs. Die Analyse der Server-Logs ist entscheidend, um bösartige IPs zu blockieren.
Fazit
Obwohl Google Analytics hilfreich sein kann, um verdächtige Traffic-Muster zu identifizieren, müssen Sie, um unerwünschte Crawler auf einem Discourse-Forum zu verlangsamen oder zu blockieren, einige der Crawler-Einstellungen unter Admin > Konfiguration > Sicherheit anpassen.
Discourse blockiert bereits standardmäßig mehrere aggressive Crawler (mauibot, semrushbot, ahrefsbot, blexbot, seo spider) über die Einstellung Gesperrte Crawler-Benutzeragenten. Für zusätzliche Bots, die Sie vollständig blockieren möchten, fügen Sie deren Benutzeragenten zu dieser Liste hinzu.
Für weniger aggressive, aber dennoch ressourcenintensive Bots können Sie diese zu Crawler-Benutzeragenten verlangsamen hinzufügen, um ihre Crawler-Geschwindigkeit zu reduzieren, ohne sie vollständig zu blockieren. Standardmäßig begrenzt dies bereits die Rate gängiger KI-Bots (gptbot, claudebot, anthropic-ai, brightbot). Sie können die Rate der Verlangsamung über die Site-Einstellung Crawler-Verlangsamungsrate verwalten, die die Anzahl der Sekunden zwischen erlaubten Anfragen steuert (Standard: 60 Sekunden).
Es gibt auch eine Einstellung Erlaubte Crawler-Benutzeragenten, die als strikte Whitelist fungiert. Wenn Sie Benutzeragenten zu dieser Liste hinzufügen, werden alle anderen Crawler blockiert. Verwenden Sie dies nur, wenn Sie Ihre Seite auf eine bestimmte Gruppe von Crawlern beschränken möchten.
Schließlich denken Sie daran, dass diese Maßnahmen nicht wasserdicht sind. Crawler entwickeln sich ständig weiter und verhalten sich möglicherweise nicht ordnungsgemäß; sie können ihre Benutzeragenten-Zeichenketten ändern oder Anfragen über mehrere IP-Adressen verteilen, um diese Grenzen zu umgehen. Daher sollten Sie, obwohl diese Einstellungen eine starke erste Verteidigungslinie bieten können, weiterhin Ihre Analysen und Server-Logs auf neue oder ungewöhnliche Muster überwachen.