Bot-Erkennung: 9 Anti-Bot-Anbieter im Benchmark
Wir haben den Inhaltsabruf über mehr als 3.800 gekennzeichnete Domains mit drei kommerziellen Scraping-Diensten gemessen. Wir haben die Ergebnisse nach den Anti-Bot-Unternehmen gruppiert, die auf diesen Domains identifiziert wurden.
Anti-Bot-Marktanteil und Blockrate
Cloudflare wurde auf 73,3 % der 3.859 gekennzeichneten Domains identifiziert. Die Blockrate dieser Gruppe lag bei 6,7 %. Imperva wurde auf 3,7 % der Domains identifiziert, mit einer Blockrate von 46,6 %. Die beiden Kennzahlen ordnen die neun Unternehmen in nahezu entgegengesetzter Reihenfolge ein.
Kennzahlen erklärt: Wir verwenden die Blockrate für den Prozentsatz der Versuche, die nicht den erwarteten Inhalt zurückgaben, gemittelt über Bright Data, Zyte und Nimble bei Parallelitätsstufen von 5 und 100, wobei jede Domain gleich gewichtet wurde. Sie umfasst Fehler wie Parser-Probleme, fehlende Seiten und geografische Einschränkungen sowie Anti-Bot-Herausforderungen. Die Anteilswerte beschreiben die 3.859 gekennzeichneten Domains in dieser Stichprobe.
Beide zugrunde liegenden Benchmarks sind vollständig veröffentlicht: der E-Commerce-Scraper-Benchmark über 100 E-Commerce-Domains und der Website-Unblocker-Benchmark über die Tranco-Top-10.000.
Anti-Bot-Anbieter auf den von uns getesteten Domains
Neun Unternehmen wurden auf mindestens 20 der getesteten Domains identifiziert. Together machen sie 3.829 der 3.859 aus, die wir kennzeichnen konnten.
Cloudflare bietet in seiner free-Stufe Bot-Erkennung standardmäßig aktiviert. Eine unabhängige Messung des Tranco-Rankings fand Cloudflare auf 14,5 % der Top-1.000-Domains und auf 37,6 % über die gesamte Million hinweg – eine Streuung, die Autoren den zugänglichen free- und kostengünstigen Tarifen zuschreiben.1 Unsere allgemeine Web-Stichprobe liegt in diesem Long Tail und weist daher dieselbe Konzentration auf.
Zehn weitere Unternehmen lagen unterhalb der 20-Domains-Grenze und sind nicht aufgeführt. Es handelt sich um Radware (9 Domains), Sucuri (6), Queue-it (4), Kasada (3), Azion (2), Cequence Security (2) sowie einzelne Domains mit Google Cloud Armor und den hauseigenen Abwehrlösungen von Naver, MercadoLibre und Instacart. Drei Domains konnten nicht gekennzeichnet werden und wurden aus der Analyse ausgeschlossen.
Block-Rate nach Anti-Bot-Anbieter
Als Imperva gekennzeichnete Domains wiesen mit 46,6 % die höchste gemessene Blockrate auf, mit einem 95 %-Konfidenzintervall von 40,6 % bis 52,6 %. Anubis folgt mit 35,7 %, basierend auf einer Stichprobe von 28 Domains, deren Intervall von 22,6 % bis 49,4 % reicht. Diese Intervalle überschneiden sich.
Block-Rate und 95 %-Konfidenzintervalle
Die vier Unternehmen an der Spitze dieser Tabelle machen 7,8 % der gekennzeichneten Stichprobe aus. Cloudflare und Akamai machen zusammen 87,6 % aus und verzeichneten Blockraten von 6,7 % bzw. 10,7 %.
Diese Raten spiegeln die Kombination aus Site-Einstellungen, Seitentypen und Scraping-Diensten in der Stichprobe wider. Die Bereitstellungsentscheidungen wurden nicht kontrolliert, sodass Unterschiede zwischen Anbietergruppen nicht allein auf die Produkte zurückgeführt werden können.
Kennzahlen erklärt: Die horizontale Achse zeigt die Blockrate wie oben definiert. Die vertikale Achse zeigt den Anteil der 3.859 gekennzeichneten Domains, der jedem Unternehmen zugeschrieben wird, auf einer logarithmischen Skala, da der Bereich von 0,6 % bis 73,3 % reicht. Die schattierten Bänder markieren das obere und untere Ende des gemessenen Blockratenbereichs.
Anubis ist der einzige Eintrag ohne Anbieter dahinter. Es handelt sich um einen Open-Source-Reverse-Proxy, der eine Proof-of-Work-Herausforderung vor eine Website setzt und vor allem von Open-Source-Infrastruktur unter KI-Crawler-Last eingesetzt wird.2 Veröffentlichte Analysen argumentieren, dass der Ansatz gegenüber entschlossenen Scrapern schwach sein dürfte, weil die Herausforderung in weniger als zwei Sekunden berechnet wird und eine Woche lang gültig bleibt.3 Gegen die drei kommerziellen Unblocker in diesem Benchmark verzeichnete er 35,7 %.
Die Breiten der Konfidenzintervalle spiegeln Stichprobengröße und Variation der Ergebnisse wider. Die Läufe von Cloudflare sind 1.1 Punkte breit bei 2.829 Domains. Die Läufe von Alibaba sind 18.3 Punkte breit bei 23. Trennungen im mittleren Bereich der Tabelle sind nicht belegt.
Block-Rate auf E-Commerce- und allgemeinen Web-Domains
Als Akamai gekennzeichnete Domains verzeichneten eine Blockrate von 33,1 % in der E-Commerce-Stichprobe und 8,9 % in der allgemeinen Web-Stichprobe, ein Faktor von 3.7. Die beiden Stichproben enthielten 42 bzw. 503 Domains. Als Cloudflare gekennzeichnete Domains verzeichneten 30,0 % und 6,6 % über 16 bzw. 2.779 Domains.
Die beiden Werte von HUMAN liegen 2.9 Punkte auseinander. Jedes andere Unternehmen in dieser Tabelle bewegte sich zwischen den beiden Datensätzen um mindestens 8 Punkte. Imperva verläuft in die andere Richtung, mit 47,1 % im allgemeinen Web gegenüber 13,5 % auf zwei E-Commerce-Domains, eine zu kleine Stichprobe für einen Vergleich.
Die Spalten E-Commerce und allgemeines Web stammen aus unterschiedlichen Seitentypen. Der E-Commerce-Benchmark forderte Produkt- und Suchseiten auf Einzelhandelsseiten an. Der allgemeine Web-Benchmark forderte eine Seite pro Domain aus einem breiten URL-Pool an.
Überblick über die Anti-Bot-Anbieter
1. Cloudflare
Cloudflare bewertet jede Anfrage auf einer Skala von 1 bis 99, wobei Werte unter 30 als Bot-Schwellenwert dokumentiert sind, und stellt diesen Score als Feld bereit, gegen das Kunden Firewall-Regeln schreiben können.4 Die vollständige Bewertung, JA3- und JA4-Fingerabdrücke sowie Erkennungs-IDs befinden sich im Enterprise Bot Management-Add-on. Niedrigere Tarife erhalten den Bot Fight Mode, den die Dokumentation von Cloudflare selbst als mit eingeschränkter Kontrolle und ohne Möglichkeit beschreibt, ihn über benutzerdefinierte Firewall-Regeln zu überspringen.5
Gemessen:
- 6,7 % Blockrate über 2.829 Domains
- 73,3 % der getesteten Domains, die größte installierte Basis in diesem Set
2. Akamai
Akamai verkauft Bot Manager in den Tarifen Standard und Premier und bündelt Premier in Account Protector, sein Produkt gegen Account-Missbrauch.6 Seine Blockseiten tragen keine Anbietersignatur, weshalb signaturbasierte Erhebungen ihn zu niedrig erfassen und weshalb unsere eigene Kennzeichnung Akamai einer schwächeren Evidenzstufe zugeordnet hat als Anbieter, die sich selbst nennen. Rezensenten auf zwei Websites berichten in nahezu identischen Worten von demselben Abstimmungsaufwand und beschreiben viele False Positives ohne sorgfältige Kalibrierung sowie eine lange Liste von Ausnahmen über Teams hinweg.7
Gemessen:
- 10,7 % Blockrate über 552 Domains
- 33,1 % im E-Commerce gegenüber 8,9 % auf allgemeinen Webseiten
3. Imperva
Imperva verkauft Advanced Bot Protection als Modul seiner Anwendungssicherheitsplattform, aufbauend auf der Distil-Networks-Technologie, die das Unternehmen im Juni 2019 erworben hat.8 Thales schloss die Übernahme von Imperva im Dezember 2023 für rund 3.6 Milliarden Dollar ab, und die Produktdokumentation liegt nun auf Thales-Domains.9 Die Erkennung von Imperva wird über First-Party-Domains per Proxy bereitgestellt oder serverseitig ausgeführt, sodass kein anbietereigenes Skript übrig bleibt, das eine Erhebung zählen könnte.
Gemessen:
- 46,6 % Blockrate über 142 Domains
- 95 %-KI von 40,6 % bis 52,6 %, überlappend mit dem Anubis-Intervall
4. DataDome
DataDome wird vor Web-, Mobile- und API-Traffic unabhängig vom CDN des Kunden eingesetzt, mit vorgefertigten Integrationen für Cloudflare, Akamai, Fastly und AWS CloudFront u. a. Das Unternehmen veröffentlicht eine False-Positive-Rate von unter 0,01 %, umschrieben als weniger als ein Mensch, der pro 10.000 ausgelieferten Anfragen eine Herausforderung sieht.10 Forrester ernannte es im Juni 2026 zum Leader im Bot and Agent Trust Management Software Wave.11
Gemessen:
- 16,0 % Blockrate über 92 Domains
- 23,6 % auf 6 E-Commerce-Domains gegenüber 15,5 % auf 85 allgemeinen Web-Domains
5. AWS WAF Bot Control
AWS WAF Bot Control läuft als verwaltete Regelgruppe innerhalb von AWS WAF, aufgeteilt in Common Bot Control für sich selbst identifizierende Bots und Targeted Bot Control für ausweichende Automatisierung.12 Es ist opt-in und kostenpflichtig. Seine 10 E-Commerce-Domains sind alle Amazon-Länderversionen, sodass diese Spalte die Bereitstellung eines Einzelhändlers über regionale Websites hinweg abbildet.
Gemessen:
- 11,2 % Blockrate über 69 Domains
- 28,9 % auf 10 E-Commerce-Domains, alle Amazon-Länderversionen, gegenüber 8,2 % auf 59 allgemeinen Web-Domains
6. F5
F5 verkauft Distributed Cloud Bot Defense, aufbauend auf Shape Security, das F5 im Dezember 2019 für rund 1 Milliarde Dollar in bar übernommen hat.13 Forrester stufte es in der Ausgabe 2024 derselben Wave als Strong Performer ein.14 Unsere Kennzeichnungsrunde stufte F5s häufigsten Marker, einen TS-Cookie, gefolgt von Hex-Zeichen, nach Prüfung auf Edge-Ebene herab, da BIG-IP-Lastverteilung denselben Cookie hinterlässt, ohne dass ein Bot-Produkt im Spiel ist. Keine der 100 E-Commerce-Domains führte F5 als primäre Abwehr, daher beruht sein Wert allein auf allgemeinen Webseiten.
Gemessen:
- 7,4 % Blockrate über 54 Domains, alle aus dem allgemeinen Web
7. HUMAN
HUMAN vertreibt Bot Defender innerhalb der Human Defense Platform und liefert seine Erkennungsskripte von PerimeterX-Domains aus, dem Unternehmen, mit dem es 2022 fusionierte. Forrester ernannte es in derselben Wave vom Juni 2026 zum Leader.15
Gemessen:
- 15,6 % Blockrate über 40 Domains
- 18,0 % im E-Commerce gegenüber 15,1 % im allgemeinen Web, eine Lücke von 2.9 Punkten
8. Anubis
Anubis ist Open-Source-Software von Techaro, die eine Proof-of-Work-Herausforderung vor eine Website setzt. Es gibt keine Anbieterbeziehung, keinen Telemetrievertrag und keine Abrechnung pro Anfrage, und seine Richtliniendatei definiert Allow-, Deny- und Challenge-Regeln pro Route.16 Ein Forgejo-Maintainer berichtet, dass die Verifikationskosten auf Serverseite minimal sind.17
Gemessen:
- 35,7 % Blockrate über 28 Domains
- 95 %-KI von 22,6 % bis 49,4 %, 26.8 Punkte breit
9. Alibaba Cloud Anti-Bot-Service
Alibaba Cloud Anti-Bot-Service bietet Reverse-Proxy-Bot-Schutz für Web-, H5- und Mobile-Traffic über Alibaba Cloud WAF und DCDN, mit einem JavaScript-SDK für Browser-Ziele.18 Es richtet sich an E-Commerce- und Kleinanzeigenbetreiber, und die drei E-Commerce-Domains, die es nutzen, erzielten mit 44,2 % den höchsten E-Commerce-Wert im Set, bei einer zu kleinen Stichprobe für einen Vergleich mit den anderen.
Gemessen:
- 12,5 % Blockrate über 23 Domains
- 44,2 % auf 3 E-Commerce-Domains gegenüber 6,9 % auf 17 allgemeinen Web-Domains
- 95 %-KI von 4,2 % bis 22,5 %, 18.3 Punkte breit
Anti-Bot-Benchmark-Methodik
Domain-Auswahl
Das Set führt zwei AIMultiple-Benchmarks zusammen. Der E-Commerce-Scraper-Benchmark steuerte 100 Domains bei, die auf Produkt- und Suchseiten abgerufen wurden, und der Website-Unblocker-Benchmark steuerte rund 10.000 allgemeine Web-URLs bei. Fünfzig Domains erscheinen in beiden. Die Vereinigungsmenge ist nach Domain sortiert und ergibt 3.859 gekennzeichnete Domains, von denen 3.812 mit dem vollständigen Anbieterpanel gemessen wurden.
Anti-Bot-Erkennung
Wir haben die E-Commerce-Domains über drei Prüfkanäle gekennzeichnet. Zwei verwendeten ein benutzerdefiniertes Python-Skript, das curl aufruft. Eines nutzte die Standard-Header von curl. Das andere lieferte einen Chrome-138/macOS-User-Agent und HTTP-Header wie Accept, Accept-Language, Client-Hinweise und Sec-Fetch. Dieser zweite Modus wurde als browserähnlich beschrieben. Er speicherte Antwort-Header und HTML, ohne einen Browser zu starten oder JavaScript auszuführen. Wir untersuchten Set-Cookie-Header und HTML auf Anbietersignaturen und Skriptreferenzen, einschließlich solcher in HTTP-200-Antworten. Bright Data Web Unlocker stellte einen dritten Kanal für lokal nicht erreichbare Domains bereit. Zu den Zielen gehörten ausgewählte Produkt- und Such-URLs aus dem Benchmark sowie Homepages zum Vergleich. Diese Prüfungen identifizierten Anbieter. Die Leistungswerte stammten aus den separaten Scraping-Benchmarks.
Die Kennzeichnungen verwendeten anbieterspezifische Cookies, Header, HTML-Signaturen und Challenge-Seiten, wobei die Evidenz nach Stärke abgestuft wurde. Generische CDN-Marker allein reichten nicht aus. Generische Anbieter-Deny-Seiten stützten die Unternehmenszuordnung, unterschieden jedoch nicht zwischen Bot-Management-Produkten und anderen Sicherheitsregeln. Die Überprüfung mehrdeutiger Marker führte zu Korrekturen, einschließlich der Neuzuordnung der __uzm-Cookie-Familie von Imperva zu Radware über sieben eBay-Domains hinweg.
Die allgemeinen Web-Kennzeichnungen kamen mit dem eigenen Datensatz dieses Benchmarks als flache, domänenweise Unternehmensliste ohne Evidenzgrade. Wo die beiden Quellen voneinander abwichen, was bei 13 der 50 gemeinsamen Domains der Fall war, hatte die evidenzbewertete E-Commerce-Kennzeichnung Vorrang. Die Anwendung der umgekehrten Regel verschiebt den Anteil keines Unternehmens um mehr als 0.1 Punkte.
CAPTCHA-Widgets wurden verworfen, da reCAPTCHA und hCaptcha nichts darüber aussagen, welcher Stack über die Blockierung entscheidet. Reine CDNs wurden aus demselben Grund verworfen, da ein 403 hinter CloudFront die eigene Regel der Website sein kann.
Block-Ratenmessung
Die Block-Rate ist 100 minus die mittlere Erfolgsrate von Bright Data, Zyte und Nimble, den drei Anbietern, die in beiden Benchmarks vorkommen. Erfolg bedeutet das Abrufen des erwarteten Inhalts. Die Rate pro Domain jedes Anbieters ist der Mittelwert seiner beiden Parallelitätsläufe, bei 5 und 100. Jede Domain wird gleich gewichtet, sodass eine 50-mal abgerufene Domain genauso zählt wie eine einmal abgerufene. Zu den Fehlern gehören auch Ursachen, die nicht auf bestätigtes Anti-Bot-Blocking zurückgehen.
Oxylabs erscheint in beiden Quell-Benchmarks, ist hier jedoch ausgeschlossen, da es den veröffentlichten E-Commerce-Datensatz mit einem fehlerhaften Produkt-Parser verlassen hat, der auf Produktseiten 0 % und bei der Suche 100 % zurückgab.
Konfidenzintervalle
Die Intervalle sind 95 %-Domain-Cluster-Bootstraps mit 10.000 Resamples. Wir ziehen innerhalb jeder Anbietergruppe Domains erneut als Stichprobe, da Seiten auf einer Domain korreliert sind. Diese Intervalle beschreiben die Variation über die beprobten Domains hinweg. Sie berücksichtigen keine systematischen Kennzeichnungsfehler oder Unterschiede in der Site-Konfiguration.
Einschränkungen
Die Anbieterkennzeichnungen identifizieren Unternehmen anhand beobachtbarer Signaturen. Sie belegen nicht die genaue Produktstufe, Konfiguration oder Regel, die für eine fehlgeschlagene Anfrage verantwortlich ist. Für die E-Commerce-Kennzeichnungen waren Evidenzgrade verfügbar. Den allgemeinen Web-Kennzeichnungen fehlten diese Grade, sodass sich die Zuordnungssicherheit zwischen den beiden Quellen unterscheidet.
Die Websites unterschieden sich in Inhalt und Sicherheitseinstellungen, und jeder Anbieter wurde auf den Websites beobachtet, die ihn nutzten. Die Resultate beschreiben die Abrufergebnisse für die getesteten Dienste und Websites. Sie isolieren nicht die produktspezifische Genauigkeit der Bot-Erkennung und begründen kein Ranking unter vergleichbaren Konfigurationen.
Als bevorzugte Quelle hinzufügenFAQs
Bot-Erkennung entscheidet pro Anfrage oder pro Sitzung, ob der Client ein Mensch ist, der einen Browser bedient, oder ein automatisiertes Programm. Die Mitigation ist die zweite Hälfte und wählt die Antwort, die darin bestehen kann, die Anfrage zuzulassen, zu drosseln, eine Herausforderung zu stellen oder sie zu blockieren. Ein System kann eine Sitzung als automatisiert einstufen und sie dennoch durchlassen, weshalb die Anzahl der Bereitstellungen und die Blockraten unterschiedliche Dinge messen.
Sie bezeichnen dieselbe Produktkategorie aus unterschiedlichen Blickwinkeln. G2 führt die Kategorie als Bot Detection and Mitigation. Cloudflare, Fastly und Radware vermarkten Bot-Management. Das Glossar von Akamai verwendet Bot-Mitigation. Forrester benannte seine Bewertung im Juni 2026 in Bot and Agent Trust Management Software um, mit der Begründung, dass ein wachsender Anteil des automatisierten Traffics aus KI-Agenten besteht, die für echte Nutzer handeln.19 Gartner hat dafür keinen eigenständigen Quadranten, und die Fähigkeit ist in Cloud Web Application and API Protection angesiedelt.
Das bedeutet, dass die getesteten Scraping-Dienste auf Domains, die diesem Unternehmen zugeschrieben werden, häufiger den erwarteten Inhalt nicht abrufen konnten. Als Imperva gekennzeichnete Domains verzeichneten 46,6 % und als Cloudflare gekennzeichnete verzeichneten 6,7 %. Die Kennzahl umfasst auch Fehler, die nichts mit Bot-Schutz zu tun haben. Websites und Sicherheitskonfigurationen variierten zwischen den Anbietern, sodass diese Zahlen die Wirksamkeit der einzelnen Anti-Bot-Produkte nicht isolieren.
Zehn traten auf weniger als 20 Domains auf und wurden in den Diagrammen nicht berücksichtigt. Es handelt sich um Radware, Sucuri, Queue-it, Kasada, Azion, Cequence Security, Google Cloud Armor sowie die hauseigenen Abwehrlösungen bei Naver, MercadoLibre und Instacart. Arkose Labs, Netacea, Fastly und AppTrana sind in dieser Kategorie aktiv, traten jedoch auf keiner getesteten Domain als primäre Abwehr in Erscheinung.
Weiterführende Literatur
- E-Commerce-Scraper: 5 Anbieter im Benchmark
- Top 5 Website-Unblocker im Benchmark & Vergleich
- Die häufigsten Web-Scraping-Herausforderungen im Jahr 2026
- WAF-Lösungen: Benchmark-basierter Vergleich
- Beste CAPTCHA-Lösungsdienste im Jahr 2026
- Groß angelegtes Web-Scraping: 7 Anbieter im Benchmark
Zitieren Sie diesen Benchmark
Wählen Sie das Format, das zu Ihrem Veröffentlichungsort passt. Wenn Sie die Link-Version in Ihr CMS einfügen, bleibt der Backlink erhalten.
@misc{sari2026,
author = {Sarı, Ekrem},
title = {{Bot-Erkennung: 9 Anti-Bot-Anbieter im Benchmark}},
year = {2026},
month = aug,
howpublished = {\url{https://aimultiple.com/bot-detection-software}},
note = {AIMultiple. Abgerufen am 12. August 2026}
}Ergebnisse und Zeitstempel von 43 Datenpunkten. Laden Sie die Zusammenfassungsdaten aus den Diagrammen und Tabellen dieses Artikels als ZIP-Datei herunter, die 5 CSV-Dateien enthält.
Möchten Sie die granularen Daten dahinter? Premium beitreten
Referenzlinks
Seien Sie der Erste, der kommentiert
Ihre E-Mail-Adresse wird nicht veröffentlicht. Alle Felder sind erforderlich. Kommentare werden in ihrer Originalsprache belassen.