So erkennst du, ob dein GA4-Traffic-Spike Bots sind

Veröffentlicht im August 2026.

TL;DR: GA4s eigene Bot-Filterung entfernt nur bekannte Crawler aus der IAB- und Google-Liste — sie erkennt weder Headless-Browser-Scraping noch Measurement-Protocol-Aufrufe, die direkt an deine Property-ID geschickt werden, und beides sieht wie eine normale Sitzung aus. Bevor du einen Traffic-Spike feierst, prüfe drei Zahlen: durchschnittliche Interaktionszeit, Rate wiederkehrender Nutzer und den Anteil von Direkt an den Sitzungen. Liegt die Interaktionszeit unter 15 Sekunden, sind wiederkehrende Nutzer unter 5 % und Direkt über 80 %, siehst du automatisierten Traffic, kein Wachstum.

Sicht des Operators: Ich habe für diesen Beitrag die eigenen GA4-Zahlen dieser Website gezogen. Direkt lag bei 77,8 % der Sitzungen, die durchschnittliche Interaktionszeit bei 12 Sekunden pro aktivem Nutzer, und nur 0,5 % der Nutzer kamen zurück. Jede dieser Zahlen für sich hat eine harmlose Erklärung. Zusammen nicht. Genau diese Kombination ist der Grund, warum ich einer Sitzungszahl nicht mehr traue, bevor ich sie nicht durch die untenstehende Checkliste laufen lassen habe — und warum ich dir dasselbe raten würde.

Ein Traffic-Spike ist aufregend, gerade weil er etwas bedeuten soll: Content, der funktioniert, ein Kanal, der sich auszahlt, Momentum, auf das man verweisen kann. Genau deshalb lohnen sich 10 Minuten, um zu bestätigen, dass der Spike aus Menschen und nicht aus Scrapern besteht, bevor du danach handelst — Budget umschichtest, einem Kunden sagst, es funktioniere, oder das Fenster als Baseline für alles nimmst, woran du später misst.

Inhaltsverzeichnis

Inhaltsverzeichnis öffnen

• Warum GA4s Bot-Filterung dich nicht rettet
• Die drei Zahlen, die auffangen, was der Filter übersieht
  • 1. Durchschnittliche Interaktionszeit pro aktivem Nutzer
  • 2. Rate wiederkehrender Nutzer
  • 3. Anteil von Direkt an allen Sitzungen
• Die Prüfung durchführen
• Was zu tun ist, sobald du es bestätigt hast
• FAQ

Warum GA4s Bot-Filterung dich nicht rettet

GA4 hat eine permanent aktive Bot-Filterung, für die es keinen Schalter gibt — Google entfernt Traffic, der auf die IAB/ABC International Spiders and Bots List passt, automatisch, bevor er überhaupt in deinen Berichten ankommt. Das ist real, und deshalb sind die Zahlen, die du siehst, nicht roh. Aber die Liste ist eine Liste bekannter Bots. Sie erkennt identifizierte Crawler, die sich selbst zu erkennen geben. Sie erkennt nicht:

• Headless-Browser-Scraping. Ein Skript, das Puppeteer oder Playwright mit einem echten Chrome-User-Agent ausführt, sieht für GA4 exakt aus wie ein Mensch mit geöffnetem Browser. Nichts in der Anfrage kennzeichnet sie als automatisiert.
• Measurement-Protocol-Aufrufe direkt an deine Property-ID. GA4s Measurement Protocol ist eine öffentliche API. Wenn deine Property-ID nach außen gelangt — und gtag.js liefert sie im Klartext an den Browser jedes Besuchers —, kann jeder Events direkt an deine Property schicken, ganz ohne Seitenaufruf. Das zeigt sich als Sitzungen ohne entsprechenden realen Traffic anderswo: kein Server-Log-Treffer, kein Werbebudget, keine Verweisquelle, die es erklärt.

Beides sieht in deinen Berichten wie normale, gefilterte, legitime Sitzungen aus. Die IAB-Liste schützt dich vor den Bots, die sich zu erkennen geben. Für die, die es nicht tun, tut sie nichts.

Die drei Zahlen, die auffangen, was der Filter übersieht

Lass jeden Spike durch diese drei Prüfungen laufen, bevor du danach handelst. Keine davon beweist allein etwas — eine einzelne kurze Sitzung, ein nicht wiederkehrender Besucher, ein Direkt-Treffer sind völlig normal. Erst die Kombination ist der Verräter.

1. Durchschnittliche Interaktionszeit pro aktivem Nutzer

Schwelle: unter 15 Sekunden ist verdächtig.

Ein echter Besucher, der auch nur eine kurze Seite liest, verbringt mehr als 15 Sekunden darauf — scrollen, eine Überschrift lesen, entscheiden, ob er bleibt. Ein Skript, das eine URL aufruft, das Pageview-Event protokolliert und zur nächsten URL auf seiner Liste weiterzieht, tut das nicht. Liegt deine durchschnittliche Interaktionszeit über einen Spike hinweg im einstelligen Bereich, hat der Großteil dieses „Traffics” sich nie tatsächlich etwas angesehen.

2. Rate wiederkehrender Nutzer

Schwelle: unter 5 % ist verdächtig für einen Spike, der eigentlich echtes Publikumswachstum darstellen soll.

Ein echtes Publikum — selbst eines, das du gerade erst aufbaust — kommt zurück. Jemand, der dich über eine Suche gefunden hat, das Gelesene mochte und einen Grund hat, wieder vorbeizuschauen, taucht innerhalb weniger Wochen als wiederkehrender Nutzer auf. Ein einmaliger Scraping-Lauf oder ein Schwall Measurement-Protocol-Müll kommt nie zurück, weil dahinter kein Mensch mit einem Grund dafür steckt.

Das ist die Zahl, der ich am meisten traue, weil sie sich am schwersten aus Versehen fälschen lässt. Legitime Traffic-Quellen — selbst bezahlte Anzeigen an Fremde — erzeugen über ein paar Wochen trotzdem etwas wiederkehrenden Traffic. Reiner Bot-Traffic praktisch nie.

3. Anteil von Direkt an allen Sitzungen

Schwelle: über 80 % ist ein Warnsignal, kein Urteil.

Diese Zahl solltest du vorsichtig verwenden. Ein Teil des Direkt-Traffics ist real, aber nicht getaggt — jemand öffnet einen gespeicherten Link, eine native App-Webview entfernt den Referrer, der Zitationslink eines KI-Assistenten landet ohne UTM. Hoher Direkt-Anteil allein bedeutet keine Bots. Aber in Kombination mit kurzer Interaktionszeit und nahezu null wiederkehrenden Nutzern hört er auf, „nicht getaggter echter Traffic” zu sein, und wird zu dem Standard-Eimer, in den automatisierte Treffer fallen, wenn sie überhaupt keinen Referrer mitbringen.

Lies es als Aufforderung zum Nachforschen, nicht als Messung von Bot-Traffic für sich genommen. Kill deinen Direkt-Kanal nicht wegen einer einzelnen Zahl.

Die Prüfung durchführen

Zieh einen GA4-Bericht — die Standard-Reports-Übersicht oder einen Explore-Workspace — für das Zeitfenster deines Spikes, und schau dir alle drei Zahlen gleichzeitig an:

Signal	Sieht gut aus	Nachforschen lohnt sich
Durchschn. Interaktionszeit / aktiver Nutzer	15 s+	Unter 15 s
Wiederkehrende Nutzer	5 %+	Unter 5 %
Anteil Direkt an Sitzungen	Unter 80 %	Über 80 %

Ein einzelnes Warnsignal für sich: Achselzucken und weitermachen. Zwei oder drei zusammen, besonders bei einem Spike, der plötzlich an einem bestimmten Datum ohne passende Ursache begann (kein neuer Backlink, kein Kampagnenstart, keine Presseerwähnung): Trau der Zahl nicht mehr, bis du die Quelle zurückverfolgt hast.

Segmentiere den Spike zum Zurückverfolgen nach Landingpage, Gerätekategorie und Geografie. Bot-Traffic konzentriert sich meist — Hunderte Sitzungen, die alle dieselben drei URLs aufrufen, oder alle dasselbe Gerätemodell melden, oder sich in einer Handvoll rechenzentrumslastiger Länder bündeln, in denen du keinen plausiblen Grund für ein Publikum hast. Echter Traffic ist unordentlicher als das — er verteilt sich über deinen Content so, wie sich echtes Interesse verteilt.

Was zu tun ist, sobald du es bestätigt hast

• Baue keinen Bericht, keine Budgetentscheidung und kein Kunden-Update auf dem kontaminierten Zeitfenster auf. Wenn du eine „Vorher”-Baseline für irgendetwas führst — eine SEO-Kampagne, ein GEO-Retainer, ROI von Werbeausgaben — vergiftet ein verschmutzter Zeitraum den Vergleich, solange diese Baseline in Gebrauch bleibt. Es gibt keine Möglichkeit, im Nachhinein eine saubere Zahl zu rekonstruieren, sobald das Fenster geschlossen ist.
• Setze einen GA4-seitigen Filter, sobald du das Muster identifiziert hast. Wenn sich der Müll auf einen Hostnamen konzentriert (jemand anderes hat seine Website auf deine Measurement-ID zeigen lassen, oder eine Staging-Umgebung leakt echtes Traffic-Tagging), setz in GA4s Data-Streams-Einstellungen einen Filter für gültige Hostnamen. Konzentriert er sich auf Verhalten, bringt dich eine sitzungsbezogene benutzerdefinierte Dimension für Interaktionszeit unter einer Schwelle den größten Teil des Wegs, auch wenn GA4 dich Sitzungen, die schon eingegangen sind, nicht rückwirkend entfernen lässt.
• Blockiere am Edge, wenn es anhaltend ist, kein Einzelfall. Wenn du auf Cloudflare bist, stoppt eine Bot-Management- oder Rate-Limiting-Regel die nächste Welle, bevor sie deine Analytics überhaupt erreicht — günstiger als das nachträgliche Filtern, und es nimmt auch die Last von deinem echten Server.
• Verwirf Direkt nicht pauschal. Ein Teil davon sind echte Menschen, die du nicht zuordnen kannst — darunter ein wachsender Anteil, der deinen Content in der Antwort eines KI-Assistenten liest und deinen Namen danach direkt in den Browser tippt. Das ist ein echtes Ergebnis, das du zusammen mit dem Rauschen wegwerfen würdest. Sieh dir an, wie ich KI-Such-Traffic messe, um dieses Signal vom Rest von Direkt zu trennen, statt den ganzen Kanal abzuschreiben.

FAQ

Heißt das, mein Traffic-Spike ist gefälscht?

Nicht unbedingt — lass zuerst die drei Prüfungen laufen. Viele echte Spikes (ein viraler Beitrag, eine Erwähnung auf einer größeren Website, eine erfolgreiche Anzeige) zeigen gesunde Interaktion und einen normalen Direkt-Anteil. Die Checkliste existiert, um die zu erkennen, die es nicht sind — nicht, um dich jedem Anstieg misstrauen zu lassen.

Warum filtert GA4 das nicht einfach automatisch?

Die IAB-Bot-Liste erfasst nur Crawler, die sich über bekannte Signaturen zu erkennen geben. Ein Headless-Browser mit einem legitimen Chrome-User-Agent oder ein roher API-Aufruf an das Measurement Protocol zeigt keine Signatur, nach der gefiltert werden könnte — für GA4 ist er von einem echten Pageview nicht zu unterscheiden. Ihn zu erkennen erfordert Verhaltenssignale, die GA4 nicht automatisch anwendet, und genau deshalb zählt die manuelle Prüfung.

Wie lange sollte ich warten, bevor ich einem Spike traue?

Lang genug, um zu sehen, ob wiederkehrende Nutzer auftauchen — ich würde mindestens zwei bis drei Wochen ansetzen. Ein Spike, der nach diesem Zeitfenster immer noch nahezu null wiederkehrende Nutzer zeigt, kombiniert mit kurzer Interaktionszeit, wird mit mehr Zeit nicht zu echtem Publikum. Es ist einfach mehr vom Gleichen.