Bot- und Lastschutz für Shops: BETA-Tester gesucht

Seit dem Frühjahr bekommen die Shops auf unseren Servern immer mehr Besuch, der nichts kauft. Suchschwärme rufen jede Filterkombination einer Kategorie ab, KI-Crawler kämmen den Katalog für Trainingsdaten durch, Preis-Scraper laufen aus Rechenzentren. Dagegen haben wir einen eigenen Bot-Schutz für Online-Shops entwickelt, den Bot- und Lastschutz. Er läuft seit dem 1. Oktober produktiv auf zwei Pilot-Shops. Jetzt suchen wir weitere BETA-Tester, die ihn mit uns besser machen.

Das Problem: Schwärme statt einzelner Angreifer

Ein einzelner Request eines solchen Bots ist harmlos. Gefährlich wird die Masse. Bei der Welle vom 24. und 25. September kamen rund 4.000 IPs aus einem einzigen Cloud-Netz, jede mit nur einer Handvoll Anfragen. Zusammen legen sie PHP und Datenbank lahm, und deine echten Kunden warten auf die Kategorieseite oder brechen den Kauf ab.

Klassische IP-Sperren greifen hier nicht mehr. Wer jede IP nur fünfmal fragen lässt, sperrt nichts, wenn der Schwarm einfach die nächsten 4.000 Adressen nimmt. Und wer großzügig ganze Netze sperrt, trifft schnell auch echte Kunden.

Wie der Bot- und Lastschutz arbeitet

Der Dienst läuft direkt auf deinem Server, vor dem Shop, und prüft jeden Request, bevor der Shop ihn sieht. Im Normalbetrieb merkt niemand etwas davon.

Gerät der Shop unter Druck, schaltet der Schutz selbstständig eine Stufe höher. Besucher, die noch nicht als Mensch bestätigt sind, bekommen dann eine kurze Rechenaufgabe vorgeschaltet. Das ist ein Proof of Work Der Browser löst eine kleine Rechenaufgabe, bevor er die Seite bekommt. Für einen Besucher unmerklich, für tausende Skripte teuer. , kein Bilderrätsel und kein Klick auf Ampeln. Ein normaler Browser erledigt sie in unter einer Sekunde, danach ist für längere Zeit Ruhe. Für einen Schwarm aus tausenden Skripten wird genau dieser Schritt teuer. Lässt der Druck nach, fährt der Schutz von selbst wieder zurück.

Dabei schaut der Dienst auf mehr als die IP-Adresse. Er bewertet Verhalten und Herkunft der Anfragen, deshalb hilft es dem Schwarm wenig, ständig neue Adressen nachzuschieben. Umgekehrt werden Kunden, die sich hinter derselben Firmen-IP einen Anschluss teilen, nicht gemeinsam ausgesperrt.

Der Aufwand auf deinem Server bleibt dabei klein: Im Median kostet die Prüfung 0 ms je Request, im 95. Perzentil 1 ms. Der Shop selbst braucht für dieselbe Seite 180 bis 230 ms.

Was immer durchkommt

Ein Schutz, der den Checkout blockiert, ist schlimmer als die Bots. Deshalb gilt:

• Zahlungen laufen ungestört. Rückmeldungen von PayPal, Klarna, Amazon Pay, Mollie, Stripe, Adyen und weiteren Anbietern sowie ERP-Schnittstellen werden nicht ausgebremst.
• Echte Crawler werden erkannt, falsche abgewiesen. Suchmaschinen, KI-Suche und Preisvergleicher prüfen wir gegen die veröffentlichten Angaben der Betreiber. Wer sich nur als Googlebot ausgibt, kommt nicht durch.
• Fail-open. Fällt der Dienst aus oder schalten wir ihn ab, leitet der Webserver direkt zum Shop. Der Schutz ist nie der Grund, warum dein Shop offline ist.

Wichtig zur Einordnung: Das ist kein DDoS-Schutz und ersetzt auch keinen. Es ist der Schutz für das, was täglich passiert, nämlich Bots, die deinen Shop langsam machen.

Der Lagebericht: Was war heute los?

Zu jeder geschützten Domain gehört ein Dashboard mit eigenem Passwort. Es liest sich wie ein Bericht und beantwortet die erste Frage in einer Zeile: Bin ich geschützt, und was war los? Die folgenden Ausschnitte stammen aus den Pilot-Shops.

Die Pegeltafel zeigt die Lage wie einen Wasserstand, mit den Meldestufen als Linien. Darunter folgen Kennzahlen gegen den Vorzeitraum und die verifizierten Crawler je Gruppe:

Der Verlauf macht sichtbar, wie viel davon nie beim Shop angekommen ist. Blau sind durchgelassene Anfragen, Braun die Challenges, die farbigen Bänder markieren Zeiten mit Schutzstufe 1 oder 2:

Für Agenturen gibt es zusätzlich eine IP-Liste mit Netz und Herkunft (inklusive CSV-Export), eine Auswertung der User-Agents und eine Länderkarte. Das Dashboard aktualisiert sich jede Minute und läuft auch auf dem Handy.

Deine Daten bleiben auf deinem Server

Es gibt keine Cloud vor deinem Shop, keinen DNS-Umzug und kein fremdes TLS-Zertifikat. Dashboard und Challenge-Seite laden nichts von externen Servern. IP-Adressen liegen 7 Tage als Rohdaten auf deinem Server, danach bleiben nur Tagessummen für 90 Tage. Weitergegeben wird nichts.

Stand der BETA

Seit dem 1. Oktober schützt der Dienst zwei Magento-Shops produktiv. Der Suchschwarm läuft dort weiter, wird aber über Challenges aufgehalten. Für Menschen bleiben die Shops schnell und kaufbar. Seitdem haben wir neun Updates ausgerollt, darunter einen erweiterten Schutz der Filterseiten, die Prüfung echter Crawler und das Dashboard.

Rückmeldungen aus dem Betrieb fließen direkt ein. Ein lang laufender Magento-Import und ein Preisvergleicher, der unnötig gechallenged wurde, haben die Konfiguration bereits verändert. Genau solche Fälle brauchen wir: Jeder Shop hat eigene Schnittstellen, Tools und Crawler, die wir in einer Testumgebung nie zu sehen bekommen. Shopware und WooCommerce, Plesk sowie die Webserver Apache und Nginx unterstützt der Dienst bereits. Was dort noch fehlt, ist der Praxistest mit echten Zugriffen.

So wirst du BETA-Tester

Voraussetzungen für die BETA:

• ein Shop auf einem unserer Server mit cPanel oder Plesk und LiteSpeed, Apache oder Nginx, etwa im Magento-Hosting oder auf einem Managed Server
• Magento, Shopware oder WooCommerce; andere Shops laufen mit einem allgemeinen Profil
• Bereitschaft, uns zu melden, wenn etwas hakt oder ein Tool eine Challenge bekommt

Die Installation übernehmen wir. Sie dauert unter einer Minute, und ab der ersten Sekunde gilt Fail-open. Passt der Schutz nicht zu deinem Shop, schalten wir ihn genauso schnell wieder ab. Englische Texte für Dashboard und Challenge-Seite folgen.

Die Teilnahme an der BETA ist kostenlos und wird auch nicht automatisch kostenpflichtig. Als Dankeschön bekommen BETA-Tester später einen dauerhaften Promocode.