Wie erkennen Sie gefälschte KI-Bots auf Ihrer Website?

Massenhafte Schwachstellen-Scans tarnen sich als KI-Bots wie ClaudeBot

Michael Dobler

Autor Dr. Web

12. August 2026

2 Min. Lesezeit

Ein Scan-Netzwerk tarnt sich als ClaudeBot oder GPTBot und sucht auf fremden Websites gezielt nach Dateien wie /.claude/settings.json oder /.env.production. Der Analysedienst Known Agents führt die Kampagne als aktive Bedrohung. Im Logfile steht davon nichts, dort erscheint ein freundlicher KI-Crawler.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Mehr als 5.000 Websites liefern Known Agents täglich Rohdaten darüber, welche KI-Bots anklopfen. Seit kurzem steht über dieser Auswertung eine Warnung: Ein Angreifer sucht im großen Stil nach Zugangsdaten und gibt sich dabei als etablierter Crawler aus. Im Visier stehen die Konfigurationsdateien der neuen KI-Programmierwerkzeuge.

Das Wichtigste in Kürze

Known Agents führt eine laufende Kampagne als aktive Bedrohung: Scanner geben sich als KI-Bots aus und suchen nach Zugangsdaten.
Ganz oben auf der Zielliste stehen /.config/anthropic/credentials/default.json, /.claude/settings.json und /.codex/config.toml.
Als gefälscht gilt ein Zugriff, sobald er eine bekannte Bot-Identität behauptet, an der Prüfung per verifizierter IP oder Web Bot Auth aber scheitert.
98,5 Prozent der Bots befolgen die robots.txt. Gegen einen Angreifer, der über seine Identität lügt, hilft diese Quote nicht.

Warum beweist der User-Agent gar nichts?

Ein Brecheisen, Schlüssel und ein Ausweis mit der Aufschrift „KI-CRAWLER“ liegen auf weißem Grund — Known Agents verifiziert Zugriffe durch geprüfte IP-Adressen oder Web Bot Auth Signaturen statt User-Agent Angaben

Der User-Agent ist eine Selbstauskunft ohne Beleg, jeder Client trägt dort ein, was er will. Known Agents wertet einen Zugriff deshalb erst als echt, sobald er zusätzlich die Prüfung des jeweiligen Betreibers besteht, also eine verifizierte IP-Adresse oder eine Signatur nach Web Bot Auth vorweist.^[1]

Cloudflare schlug für genau diese Lücke HTTP Message Signatures nach RFC 9421 vor: Der Bot unterschreibt seine Anfrage mit einem privaten Schlüssel und nennt im Header Signature-Agent die Stelle, an der sein öffentlicher Schlüssel liegt.^[3] Reine IP-Listen greifen laut Cloudflare zu kurz, weil Adressen wechseln und mehrere Dienste sich dieselbe Infrastruktur teilen. Auf Ebene der robots.txt endet die Abwehr ohnehin, wie Googles Einschätzung zum KI-Opt-out deutlich gemacht hat.

Wie lange läuft diese Masche schon?

Neu ist das Beuteschema, nicht die Methode. HUMAN Security untersuchte über zwei Wochen den Verkehr von 16 bekannten KI-Crawlern und kam auf 5,7 Prozent gefälschte Anfragen, beim Nutzer-Crawler ChatGPT-User auf rund 16,7 Prozent.^[2] Ein Teil der Fälscher arbeitete schon damals aus dem passenden Rechenzentrum heraus, mit Adressen direkt neben den offiziellen Bereichen.

Damals zielten die Scanner auf Inhalte, so wie beim überlasteten Bugtracker von Gentoo. Inzwischen fragen die Scanner Schlüsseldateien ab, unter anderem /.aws/credentials und /terraform.tfstate. Welchen Weg Zugangsdaten aus einer .env-Datei nehmen, war zuletzt bei GitHub Copilot zu besichtigen.

5,7 %

der Anfragen mit KI-Crawler-Kennung waren gefälscht, gemessen an 16 bekannten Crawlern über zwei Wochen

16,7 %

Fälschungsquote allein bei der Kennung ChatGPT-User, dem am stärksten missbrauchten Namen der Analyse

98,5 %

der Bots befolgen die robots.txt. Ein Angreifer, der seine Identität erfindet, hält sich an keine Datei

Googlebot

ist die meistgefälschte Bot-Identität. Danach folgen ChatGPT-User, GPTBot, OAI-SearchBot und PerplexityBot

Wonach die Scanner suchen

/.config/anthropic/credentials/default.json
/.claude/settings.json
/.codex/config.toml
/.aws/credentials
/.env.production
/terraform.tfstate

Ein Logfile, das brav ClaudeBot meldet, taugt 2026 nicht mehr als Sicherheitsnachweis. Der Eintrag ist eine unbelegte Behauptung des Absenders.
— Markus Seyfferth, Chefredakteur Dr. Web

Was sollten deutsche Betreiber jetzt prüfen?

Prüfen Sie zuerst, ob der eigene Server solche Pfade überhaupt ausliefert. Eine erreichbare .env-Datei mit Datenbank- oder Cloud-Zugangsdaten ist datenschutzrechtlich keine Lappalie: Artikel 32 DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik. Fließen personenbezogene Daten ab, startet zusätzlich die 72-Stunden-Frist aus Artikel 33. Die Verantwortung dafür bleibt in der Geschäftsführung.

Im Zugriffslog lohnt die Suche nach Anfragen auf Pfade, die auf Ihrer Website nie existiert haben. Werkzeuge wie McpSnoop machen KI-Verkehr sichtbar. Danach gehören Geheimnisse aus dem Webroot heraus, betroffene Schlüssel rotieren Sie am selben Tag. Einen Teil davon nimmt Ihnen ein Managed-Hoster ab, die Unterschiede zeigt der Vergleich der WordPress-Hoster.

Eine Sperre über den User-Agent bleibt wirkungslos. Der Angreifer schreibt denselben String einfach weiter. Belastbar wird die Unterscheidung erst über verifizierte IP-Bereiche oder Signaturen. Für die Sichtbarkeit in KI-Antworten bleiben echte Crawler willkommen, deren Fälschungen nicht.