Bot- und Lastschutz: Shop schützen, Lagebericht lesen

Der Bot- und Lastschutz hält Besuch von deinem Shop fern, der keine Kunden bringt: Suchschwärme mit tausenden wechselnden IP-Adressen, die jede Filterkombination abrufen, KI-Crawler und Preis-Scraper. Er läuft direkt auf deinem Server vor dem Shop, ohne Cloud-Dienst davor und ohne Daten an Dritte. Im Normalbetrieb merkt niemand etwas. Was gerade los ist, zeigt dir ein eigenes Dashboard.

Was deine Besucher merken

Solange der Shop nicht unter Druck steht: nichts. Steigt die Last, bekommen unbekannte Zugriffe einmal eine kurze Seite „Einen Moment bitte”. Dahinter steckt eine kleine RechenaufgabeProof of Work: Der Browser löst im Hintergrund eine kleine Rechenaufgabe. Für einen echten Besucher dauert das unter einer Sekunde, für tausende Bot-Skripte gleichzeitig ist es zu teuer., die der Browser in unter einer Sekunde von selbst erledigt, ohne Bilderrätsel und ohne Klicken. Danach ist der Besucher für Stunden freigeschaltet. Automatisierte Schwärme schaffen diese Prüfung nicht.

Suche und Filterseiten sind immer geschützt, weil genau dort die Last für Datenbank und PHP entsteht.

Kein DDoS-Schutz, aber nie der Grund für einen Ausfall

Gegen Angriffe auf das Netz schützt der DDoS-Schutz, der in jedem Paket enthalten ist. Der Bot- und Lastschutz kümmert sich um das, was täglich passiert: Bots, die den Shop langsam machen. Fällt er selbst aus, erreicht der Webserver deinen Shop direkt.

Was immer durchkommt

• Zahlungen: Rückmeldungen von PayPal, Klarna, Amazon Pay, Mollie, Stripe und weiteren Zahlungsdiensten bekommen nie eine Prüfseite.
• Deine Schnittstellen: Warenwirtschaft, ERP und Webhooks sind freigestellt.
• Echte Suchmaschinen: Google, Bing und die KI-Suchen erkennt der Schutz über die offiziellen Netzlisten der Betreiber, nicht über den Namen im Browser-Kennzeichen. Wer sich nur als Googlebot ausgibt, wird abgewiesen.
• Admin-Bereich deines Shops.

Wo der Schutz enthalten ist

Produkt	Bot- und Lastschutz
Shop-Server (Magento, Shopware)	dauerhaft inklusive
Managed Server, Pimcore-Server, WordPress-Server ab M	inklusive
Managed Start und S, Pimcore S, WordPress-Server S	30 Tage kostenlos, danach zubuchbar je Server
Hosting-Pakete	30 Tage kostenlos, danach zubuchbar je Domain
Root-Server	nicht verfügbar

Nach den 30 Tagen läuft der Schutz ohne Buchung im Beobachtungsmodus weiter: Er greift nicht ein, erkannte Angriffe siehst du aber weiterhin. Mit der Buchung ist er sofort wieder aktiv, ein automatisches Abo gibt es nicht. Gebucht wird vorerst per Ticket. Auf unseren Shop-Servern ist der Schutz von Anfang an dabei.

Den Lagebericht im Dashboard lesen

1. Öffne im Browser https://deinshop.de/_gatekeeper/dashboard/ (deine eigene Shop-Domain statt deinshop.de).
2. Melde dich mit dem Dashboard-Passwort an. Es gilt für alle geschützten Domains auf deinem Server, du bekommst es mit der Einrichtung von uns. Die Sitzung bleibt 12 Stunden angemeldet.
3. Lies oben den Lagesatz: Er sagt in einer Zeile, ob gerade etwas los ist.
4. Darunter findest du Schutzstatus und aktuelle Stufe, den Verlauf, die Vorfall-Chronik, die erkannten Crawler, Herkunftsländer, User-Agents und die IP-Liste. Wähl oben den Zeitraum: 24 Stunden, 7 oder 30 Tage.
5. Für deine Unterlagen lädst du den Lagebericht als PDF herunter. Die IP-Liste exportierst du als CSV, etwa für eine eigene Firewall.

Mehr Hintergrund und Zahlen aus der Testphase liefert unser Blogbeitrag Bot- und Lastschutz: die Bilanz der BETA.

Freigaben und Anpassungen

Eingestellt wird der Schutz von uns, eine kurze Nachricht per Ticket genügt. Typische Wünsche:

• Ein Tool, eine Agentur oder ein Monitoring soll ohne Prüfseite durchkommen: Schick uns die IP-Adresse oder das Netz.
• Eine Schnittstelle oder ein Pfad fehlt in den Freistellungen: Schick uns den aufgerufenen Pfad.
• Crawler anders behandeln: etwa KI-Training-Crawler sperren oder zulassen, einen einzelnen Crawler bremsen, damit er den Shop nicht überlastet.
• Prüfseite im eigenen Design mit Logo, Farben und Text: zubuchbar je Domain, zusammen mit dem Bot- und Lastschutz.

Datenschutz

IP-Adressen liegen 7 Tage als Rohdaten auf deinem Server, danach nur noch als Tagessummen (30 Tage) und schließlich als reine Zahlen ohne IP. Suchbegriffe werden nicht gespeichert. Es werden keine Daten an Dritte übertragen.

Wenn etwas schiefläuft

Ein Tool oder eine Agentur meldet plötzlich Fehler 429 oder eine Prüfseite

Externe Tools führen kein JavaScript aus und können die Prüfung deshalb nicht lösen. Unter Last werden sie gebremst.

Lösung: Schick uns per Ticket die IP-Adresse oder das Netz des Tools. Wir stellen es binnen Minuten frei.

Eine Schnittstelle oder ein nachgeladenes Element bleibt leer

Ein Pfad, den deine Anwendung im Hintergrund abruft, ist noch nicht freigestellt.

Lösung: Nenn uns den betroffenen Pfad, am einfachsten aus der Browser-Konsole oder dem Log deiner Schnittstelle. Wir ergänzen die Freistellung.

Klicks aus Anzeigen landen auf „keine Ergebnisse”

Ein Tracking-Parameter einer Anzeige oder eines Affiliate-Links wird als Filter gewertet.

Lösung: Schick uns einen Beispiel-Link per Ticket. Wir tragen den Parameter als Ausnahme ein.

Du hast das Dashboard-Passwort nicht mehr

Das Passwort gilt für alle geschützten Domains auf deinem Server.

Lösung: Ticket öffnen, wir setzen ein neues Passwort und schicken es dir zu.

Verwandte Artikel

• WAF: Die Schutzschilde deiner Website: die zweite Schutzschicht gegen Angriffe auf deine Anwendung.
• Ressourcennutzung im Panel prüfen: wenn Lastspitzen dein Hosting-Konto ans Limit bringen.
• GoAccess: Zugriffe selbst analysieren: Zugriffe auch ohne Dashboard auswerten.

Du kommst nicht weiter?

Dein Shop ist trotz Schutz langsam, oder ein Dienst kommt nicht mehr durch? Ticket im Kundencenter öffnen. Nenn Domain, Zeitpunkt und, wenn vorhanden, die IP-Adresse des betroffenen Dienstes.