Update vom 10. September 2026: Wir haben den ursprünglichen Beitrag mit den neuen Angaben von tonies überarbeitet. Eine frühere Fassung stellte den Bot-Angriff als Aufkauf der Ware dar. tonies hat inzwischen klargestellt, dass die Bots nichts kaufen konnten und allein die Website überlasteten.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Am 9. September legte eine Welle automatisierter Bots den tonies-Shop für Stunden lahm, als die neuen Weihnachts-Tonies starteten. Kaufen konnten die Skripte trotzdem nichts, die Kaufsperren hielten. Leer aus gingen die wartenden Familien, die im Ansturm nicht durchkamen.
Kauf-Bots trafen den tonies-Weihnachtsstart am 9. September mit voller Wucht. Kaufen konnten die Bots trotzdem nichts.[1] Ein mehrstufiger Schutz und harte Kauflimits hielten die Skripte vom Warenkorb fern, übrig blieb ein reiner Überlastungsangriff, der ehrliche Käufer aussperrte.
Das Wichtigste in Kürze
- Am 9. September 2026 legten massenhafte Bot-Anfragen den tonies-Shop stundenlang lahm, zusammen mit dem echten Kundenansturm.
- Kaufen konnten die Bots nichts: ein Exemplar pro Tonie, nur mit registrierter Toniebox, plus mehrstufiger Bot-Schutz.
- Die Angebote auf Wiederverkaufsplattformen stammen aus Vorbestellungen, Vor-Ort-Käufen und gewerblichen Anbietern, nicht aus Bot-Käufen.
Was ist beim tonies-Start wirklich passiert?
Der Shop fiel unter einer Flut automatisierter Anfragen, nicht unter dem Aufkauf durch Bots. Zum menschlichen Ansturm kamen laut tonies massenhafte, gleichzeitige Bot-Anfragen. Diese Kombination zwang die Systeme trotz aufgestockter Serverkapazität in die Knie.[1] „Kaufen konnten die Bots heute nichts – unsere Maßnahmen greifen“, teilt das Unternehmen mit. Was blieb, war ein Überlastungsangriff, der die wartende Kundschaft aussperrte.
Warum kamen die Bots nicht zum Kauf?
Kauflimits und Kontobindung schlossen die Bots vom Warenkorb aus. tonies gab jede Figur nur einmal pro Kundenkonto ab, band den Kauf an eine registrierte Toniebox und schaltete einen mehrstufigen technischen Bot-Schutz davor.[1] Eine feste Startzeit nannte das Unternehmen bewusst nicht, um Bot-Netzwerken die Vorbereitung zu erschweren. Der Preis dieser Abwehr traf die Falschen: Berufstätige Familien ohne Zeit zum Dauer-Refresh gingen leer aus, während Dauer-Beobachter zum Zug kamen.
Die Kauflimits haben getan, was sie sollten, die Bots gingen leer aus. Gescheitert ist tonies an der zweiten Bot-Front, der schieren Masse an Anfragen.
— Markus Seyfferth, Chefredakteur Dr. Web
Was Shops aus dem Fall lernen
Ein Launch hat zwei Bot-Probleme, die je eigene Abwehr brauchen. Kauflimits und Kontobindung stoppen den Aufkauf, den OWASP als Scalping führt.[2] Gegen die Anfrageflut, die den Server in die Knie zwingt, hilft das nichts. Dort greifen Warteschlangen, Rate-Limits und eine verhaltensbasierte Erkennung, wie sie Cloudflare an der Mausbewegung ansetzt. Die Wiederverkaufspreise wiederum stammen laut tonies aus Vorbestellungen, Vor-Ort-Käufen und dem gewerblichen Handel über UVP, nicht aus dem Launch. Für einen Hype-Start gehören beide Bot-Abwehren fest in die Planung.
Zwei Probleme, zwei Abwehren
Quellen
[1] tonies: „Informationen zu den Weihnachts-Tonies“
[2] OWASP: „OAT-005 Scalping“
Mehr Newshunger?
- Cloudflare Precursor: Bots verraten sich jetzt an der Mausbewegung
- Robots.txt lernt Nein sagen: Cloudflare stoppt KI-Scraper
- Massenhafte Schwachstellen-Scans tarnen sich als KI-Bots wie ClaudeBot
- Google erklärt KI-Opt-out in der robots.txt für wirkungslos
- TIME liefert KI-Bots eine andere Website, mit eingebauter Werbung
