Mensch
Kein Bot-Signal oder nur schwache. Zählt in alle Kennzahlen und in die Attribution.
Score < 30 Methodik
So rechnet Attributa.
Jede Regel, jede Schwelle, jeder Crawler und jede Kennzahl auf dieser Seite entsteht aus demselben Code, der deine Daten bewertet. Ändert sich der Code, ändert sich diese Seite – nicht umgekehrt.
23gewichtete Regeln
30 / 60Schwellen für Verdächtig / Ungültig
51Crawler von 32 Betreibern, 18 davon KI
42Kennzahlen mit Formel
Vier Klassen für jeden Zugriff
Pixel und Fraud-Tag prüfen jeden Seitenaufruf. Aus den Signalen entsteht ein Score von 0 bis 100 – die Summe der Gewichte aller zutreffenden Regeln, höchstens 100. Bekannte Crawler prüfen wir getrennt über ihr Netz.
Verdächtig
Auffällig, aber nicht eindeutig. Wird ausgewiesen, aber nicht ausgeschlossen – und zählt nicht zum Maschinen-Anteil.
Score 30–59Bekannter Bot
Crawler, Vorschau- und Monitoring-Dienste, die sich korrekt ausweisen. Herausgerechnet, nie blockiert.
Crawler-UA, Netz nicht fremdUngültiger Traffic
Eindeutig automatisiert: Bots, Klickfarmen, gefälschte Crawler. Fällt aus Sessions und Attribution heraus.
Score ≥ 60 oder gefälschtDie Schwellen 30 und 60 sind der Standard; je Site lassen sie sich in den Einstellungen verschieben. Ein gefälschter Crawler gilt unabhängig davon immer als ungültiger Traffic.
23 gewichtete Regeln
Jede Regel prüft ein Signal aus Browser, Verhalten oder Netz. Treffen mehrere zu, addieren sich ihre Gewichte. „Wirkung“ zeigt, was eine Regel ohne weitere Treffer bewirkt, und den Bot-Typ, für den sie zählt – den Typ eines Zugriffs bestimmt die Gruppe mit dem höchsten Gewicht.
| Regel und warum sie für einen Bot spricht | Gewicht | Wirkung |
|---|---|---|
Automation-User-AgentDer Browser meldet sich als Automatisierungs-Werkzeug (z. B. Headless Chrome, Puppeteer, curl oder python-requests).ua_automation | 60 | allein: Ungültiger TrafficAutomatisierungs-Tool |
navigator.webdriver gesetztDer Browser gibt selbst an, dass er ferngesteuert wird (WebDriver).webdriver_flag | 60 | allein: Ungültiger TrafficHeadless Browser |
Headless-BrowserMerkmale des Browsers passen zu einem Browser ohne sichtbares Fenster.headless_ua | 50 | allein: VerdächtigHeadless Browser |
Honeypot ausgefülltEin für Menschen unsichtbares Formularfeld wurde ausgefüllt.honeypot | 50 | allein: VerdächtigFormular-Bot |
Rechenzentrums-NetzDer Zugriff kommt aus einem Hosting- oder Cloud-Netz, nicht aus einem Endkunden-Netz.datacenter_asn | 45 | allein: VerdächtigRechenzentrum/Hosting |
Nur Pixel, kein JavaScriptEs kam nur das Zählpixel an, das Tag hat nie geantwortet – typisch für Bots, die kein JavaScript ausführen.pixel_only | 35 | allein: VerdächtigNur Pixel (kein JavaScript) |
Unmögliche BildschirmwerteBildschirm oder Fenster haben Maße, die auf echter Hardware nicht vorkommen.screen_impossible | 30 | allein: VerdächtigGefälschtes Gerät |
Rechenaufgabe falsch gelöstDie kleine Rechenaufgabe, die jeder echte Browser nebenbei löst, wurde falsch beantwortet.challenge_failed | 30 | allein: VerdächtigAutomatisierungs-Tool |
window.chrome fehltDer Browser gibt sich als Chrome aus, ihm fehlt aber ein Objekt, das jeder echte Chrome hat.chrome_object_missing | 25 | nur zusammen mit anderenHeadless Browser |
Viele Zugriffe pro NetzadresseVon derselben (gehashten) Netzadresse kamen in 10 Minuten ungewöhnlich viele Zugriffe.ip_velocity | 25 | nur zusammen mit anderenKlick-Bot |
Außerhalb der ZielregionDer Zugriff kommt aus einem Land, in dem deine Kampagnen nicht ausgespielt werden.out_of_geo | 25 | nur zusammen mit anderen |
Proxy/VPNDer Zugriff läuft über einen bekannten Proxy- oder VPN-Dienst.proxy_vpn | 20 | nur zusammen mit anderenProxy/VPN |
Mobil ohne TouchDer Browser gibt sich als Smartphone aus, hat aber keinen Touchscreen.mobile_ua_no_touch | 20 | nur zusammen mit anderenGefälschtes Gerät |
Sofort-KlickDer erste Klick kam schneller, als ein Mensch die Seite überhaupt sehen kann.instant_click | 20 | nur zusammen mit anderenKlick-Bot |
Click-ID wiederholtDieselbe Klick-ID einer Werbeplattform wurde mehrfach verwendet.clickid_repeat | 20 | nur zusammen mit anderenKlick-Bot |
Software-GrafikDie Grafik wird per Software berechnet (z. B. SwiftShader) – typisch für Server ohne Grafikkarte.swiftshader | 20 | nur zusammen mit anderenHeadless Browser |
Keine Plugins, keine SprachenEin Desktop-Browser ohne Plugins und ohne Spracheinstellung ist fast immer automatisiert.no_plugins_no_langs | 15 | nur zusammen mit anderenHeadless Browser |
Berechtigungen widersprüchlichDie Berechtigungs-Schnittstelle des Browsers liefert Werte, die sich gegenseitig ausschließen.permissions_inconsistent | 15 | nur zusammen mit anderenHeadless Browser |
Keine InteraktionDie Seite war lange offen, ohne eine einzige Maus-, Scroll-, Touch- oder Tastatur-Aktion.no_interaction_long_dwell | 15 | nur zusammen mit anderenKlick-Bot |
Lineare MausbewegungDie Maus bewegt sich in auffällig geraden, gleichförmigen Linien.linear_mouse | 15 | nur zusammen mit anderenAutomatisierungs-Tool |
Bildschirmfläche widersprüchlichDie nutzbare Bildschirmfläche ist größer als der Bildschirm selbst.screen_avail_mismatch | 10 | nur zusammen mit anderenGefälschtes Gerät |
Zeitzone passt nicht zum LandDie Zeitzone des Geräts passt nicht zum Land des Netzes.tz_geo_mismatch | 10 | nur zusammen mit anderen |
Kein WebGLDer Browser hat keine Grafikschnittstelle – bei echten Geräten selten.no_webgl | 5 | nur zusammen mit anderen |
Rechenzentrums-Netze, Proxy-Dienste und die Häufigkeit je Netzadresse prüft der Server; die Netzadresse liegt dabei nur als gesalzener Hash vor. Bot-Hits im Dashboard nennen zu jedem Zugriff die Regeln, die gegriffen haben.
Crawler-Prüfung je Betreiber
Ein User-Agent lässt sich beliebig fälschen. Deshalb ordnen wir jeden bekannten Crawler seinem Betreiber zu und prüfen, aus welchem Netz (ASN) der Zugriff kommt. Daraus folgt eine von vier Stufen – in dieser Reihenfolge geprüft.
Bekannter Bot
Netz des Betreibers passt
Der Zugriff kommt aus einem Netz, das nur der Betreiber nutzt.
ua_good_bot_verified· Crawler, Netz des Betreibers passt
Bekannter Bot
Cloud-Netz – nicht prüfbar
Der Zugriff kommt aus einem geteilten Cloud-Netz, in dem der Betreiber crawlt – dort kann aber jeder sitzen.
ua_good_bot_cloud· Crawler aus Cloud-Netz (nicht prüfbar)
Bekannter Bot
nicht prüfbar
Für den Betreiber ist kein Netz hinterlegt, oder das Netz des Zugriffs ist unbekannt.
ua_good_bot· Bekannter Crawler (nicht prüfbar)
Ungültiger Traffic
gefälscht
Automatisierungs-Signale im Browser, ein bezahlter Werbeklick oder ein Netz, das nicht zum Betreiber gehört.
ua_good_bot_spoofed· Crawler-UA mit Bot-Signalenua_good_bot_paid_click· Crawler-UA mit Werbeklickua_good_bot_wrong_network· Crawler-UA aus fremdem Netz
Was das nicht ist: Geprüft wird das Netz (ASN) des Zugriffs – kein Abgleich mit veröffentlichten IP-Listen der Betreiber. „Netz des Betreibers passt“ ist deshalb die stärkste Aussage – wir schreiben nie „per IP verifiziert“.
Crawler ohne JavaScript sieht das Pixel nicht – viele KI-Crawler gehören dazu. Die Zahlen sind deshalb eine Untergrenze.
Alle 51 Crawler nach Betreiber
4 eigene Netze · 1 Cloud-Netz
- AdsBot-Google
- Mediapartners-Google (AdSense)
- Google-InspectionTool
- Storebot-Google
- GoogleOther
- Google-CloudVertexBot
- Google-Abruf (Feedfetcher, Read Aloud, APIs)
- Googlebot
Microsoft (Bing)
Netz des Betreibers passt2 eigene Netze · 1 Cloud-Netz
- BingPreview
- AdIdxBot
- Bingbot
Apple
Netz des Betreibers passt2 eigene Netze
- Applebot
Meta
Netz des Betreibers passt2 eigene Netze
- Meta-ExternalAgent
- Meta-ExternalFetcher
- facebookexternalhit (Link-Vorschau)
- Facebot
- WhatsApp (Link-Vorschau)
OpenAI
Cloud-Netz – nicht prüfbarkein eigenes Netz hinterlegt · 4 Cloud-Netze
- OAI-SearchBot
- ChatGPT-User
- GPTBot
Anthropic
Cloud-Netz – nicht prüfbarkein eigenes Netz hinterlegt · 4 Cloud-Netze
- Claude-SearchBot
- Claude-User
- ClaudeBot
Perplexity
Cloud-Netz – nicht prüfbarkein eigenes Netz hinterlegt · 2 Cloud-Netze
- Perplexity-User
- PerplexityBot
Amazon
Cloud-Netz – nicht prüfbarkein eigenes Netz hinterlegt · 2 Cloud-Netze
- Amazonbot
ByteDance
nicht prüfbarkein eigenes Netz hinterlegt
- Bytespider
Common Crawl
Cloud-Netz – nicht prüfbarkein eigenes Netz hinterlegt · 2 Cloud-Netze
- CCBot
DuckDuckGo
Cloud-Netz – nicht prüfbarkein eigenes Netz hinterlegt · 3 Cloud-Netze
- DuckAssistBot
- DuckDuckBot
Yandex
Netz des Betreibers passt2 eigene Netze
- YandexBot
Baidu
Netz des Betreibers passt3 eigene Netze · 3 Cloud-Netze
- Baiduspider
Huawei (Petal)
nicht prüfbarkein eigenes Netz hinterlegt
- PetalBot
2 eigene Netze
- LinkedInBot
kein eigenes Netz hinterlegt · 2 Cloud-Netze
- Pinterestbot
X (Twitter)
Netz des Betreibers passt1 eigenes Netz
- Twitterbot
Slack
nicht prüfbarkein eigenes Netz hinterlegt
- Slackbot
Discord
nicht prüfbarkein eigenes Netz hinterlegt
- Discordbot
Telegram
nicht prüfbarkein eigenes Netz hinterlegt
- TelegramBot
Mistral AI
nicht prüfbarkein eigenes Netz hinterlegt
- MistralAI-User
You.com
nicht prüfbarkein eigenes Netz hinterlegt
- YouBot
Cohere
nicht prüfbarkein eigenes Netz hinterlegt
- cohere-ai
Semrush
nicht prüfbarkein eigenes Netz hinterlegt
- SemrushBot
Ahrefs
nicht prüfbarkein eigenes Netz hinterlegt
- AhrefsBot
Majestic
nicht prüfbarkein eigenes Netz hinterlegt
- MJ12bot
Moz
nicht prüfbarkein eigenes Netz hinterlegt
- DotBot
Screaming Frog
nicht prüfbarkein eigenes Netz hinterlegt
- Screaming Frog SEO Spider
UptimeRobot
nicht prüfbarkein eigenes Netz hinterlegt
- UptimeRobot
Pingdom
nicht prüfbarkein eigenes Netz hinterlegt
- Pingdom
GTmetrix
nicht prüfbarkein eigenes Netz hinterlegt
- GTmetrix
Lighthouse / PageSpeed
nicht prüfbarkein eigenes Netz hinterlegt
- Lighthouse / PageSpeed Insights
51 Crawler von 32 Betreibern
Kanäle und KI-Assistenten
Jeder menschliche Besuch bekommt genau einen Kanal. Wir prüfen die Merkmale vom stärksten zum schwächsten: zuerst Click-IDs der Werbeplattformen, dann UTM-Parameter, dann die Herkunftsdomain. Fehlt alles, ist der Besuch „Direct“.
- Click-ID – setzt nur die Plattform selbst, z. B. gclid für Google Ads oder fbclid für Meta.
- UTM-Parameter – utm_medium=cpc mit bekannter Quelle wird zur Plattform, Newsletter- und Affiliate-Quellen zu ihrem Kanal.
- Herkunftsdomain – KI-Assistenten vor Suchmaschinen, dann Video, Social und sonstige Verweise. Die eigene Domain zählt nicht als Verweis.
Click-IDs und ihr Kanal
- t11idInfluencer
- gclidGoogle Adsbezahlt
- gbraidGoogle Adsbezahlt
- wbraidGoogle Adsbezahlt
- dclidDV360bezahlt
- fbclidMeta Adsbezahlt
- ttclidTikTok Adsbezahlt
- msclkidMicrosoft Adsbezahlt
- epikPinterest Adsbezahlt
- sccidSnapchat Adsbezahlt
- li_fat_idLinkedIn Adsbezahlt
- twclidX Adsbezahlt
- rdt_cidReddit Adsbezahlt
- tblciTaboolabezahlt
- dicboOutbrainbezahlt
- cto_pldCriteobezahlt
- yclidYandex Directbezahlt
- irclickidAffiliate
- awcAffiliate
- mc_cidE-Mail
- _kxE-Mail
- gad_sourceGoogle Adsbezahlt
- srsltidOrganic Shopping
KI-Assistenten als eigener Kanal
Besuche aus ChatGPT, Perplexity, Gemini, Copilot, Claude, Mistral, DeepSeek, Meta AI, Grok, You.com, Poe, Phind, Kagi, Brave AI und DuckDuckGo AI weisen wir einzeln aus. Bezahlte Anzeigen in ChatGPT laufen getrennt als ChatGPT Ads.
Erkannt über Herkunftsdomain oder utm_source. Schickt ein Assistent beides nicht mit, bleibt der Besuch „Direct“ – wir raten nicht.
42 Kennzahlen und wie sie entstehen
Dashboard, Wochen-Digest und Hinweise rechnen mit genau diesen Definitionen. Fehlt eine Grundlage – etwa Werbeausgaben für den ROAS –, zeigen wir „–“ statt einer Null.
Besuche
- SeitenaufrufeAnzahl
- Seitenaufrufe von Menschen (ohne Bot-User-Agents).
Σ events.pageview - SessionsAnzahl
- Besuche: eine Session endet nach 30 Minuten ohne Aktivität. Bot-User-Agents zählen nicht.
Σ sessions.total - Menschliche BesucheAnzahl
- Sessions ohne die, die das Fraud-Tag nachträglich als ungültig erkannt hat. Vor dem Session-Tracking: Seitenaufrufe.
Σ je Tag (sessions.total − sessions.ivt), Tage ohne sessions: events.pageview - Ungültige SessionsAnzahl
- Sessions, deren Besuch das Fraud-Tag als ungültigen Traffic (SIVT) eingestuft hat. Sie zählen nicht ins Kontingent.
Σ sessions.ivt
Traffic Quality
- Geprüfte ZugriffeAnzahl
- Alle Zugriffe, die Pixel oder Fraud-Tag geprüft haben – Menschen und Maschinen.
Σ fraud.total - Zugriffe von MenschenAnzahl
- Geprüfte Zugriffe mit der Klasse „Mensch“.
Σ fraud.valid - IVT-RateAnteil
- Anteil ungültigen Traffics (SIVT) an allen geprüften Zugriffen.
fraud.sivt / fraud.total - Bekannte Bots (GIVT)Anzahl
- Zugriffe bekannter, sich korrekt ausweisender Bots – Such- und KI-Crawler wie Googlebot oder GPTBot, aber auch Vorschau- und Monitoring-Dienste.
Σ fraud.givt - VerdächtigAnzahl
- Auffällige Zugriffe unterhalb der SIVT-Schwelle.
Σ fraud.suspicious - Ungültiger Traffic (SIVT)Anzahl
- Zugriffe, die eindeutig von Bots, Klickfarmen oder gefälschten Crawlern stammen.
Σ fraud.sivt
KI-Assistenten und Crawler
- Besuche aus KI-AssistentenAnzahl
- Besuche, die ChatGPT, Perplexity, Gemini, Copilot & Co. geschickt haben – erkannt über Herkunftsdomain oder utm_source.
Σ je Tag channels.ai_referral.sessions, Tage ohne sessions: channels.ai_referral.pageview - Crawler-ZugriffeAnzahl
- Zugriffe bekannter Crawler, die das Pixel gesehen hat (Untergrenze: Crawler ohne JavaScript sieht das Pixel nicht).
Σ fraud.crawlers.*.*.{asn_match + cloud + unverifiable} - KI-Crawler-ZugriffeAnzahl
- Crawler-Zugriffe von KI-Anbietern (Training, Suche, Abruf im Chat).
crawler_hits für Agents mit ai = true - Gefälschte CrawlerAnzahl
- Zugriffe, die sich als Crawler ausgeben, aber nicht aus dem Netz des Betreibers kommen oder Bot-Signale zeigen.
Σ fraud.crawlers.*.*.spoofed
Conversions und Umsatz
- ConversionsAnzahl
- Käufe plus sonstige Conversions (Leads, Anmeldungen …).
Σ events.purchase + events.conversion - KäufeAnzahl
- Bestellungen aus Shop oder Tracker.
Σ events.purchase - LeadsAnzahl
- Conversions ohne Kauf (z. B. Formular, Anfrage, Anmeldung).
Σ events.conversion - Conversion-RateAnteil
- Conversions je menschlichem Besuch.
conversions / human_sessions - UmsatzBetrag
- Summe aus Bestellwerten und Conversion-Werten.
Σ revenue - Ø BestellwertBetrag
- Umsatz je Kauf.
revenue / purchases - NeukundenAnzahl
- Käufe von Neukunden laut Shop.
Σ customers.new - Bot-ConversionsAnzahl
- Conversions aus Besuchen, die das Fraud-Tag als ungültig erkannt hat – nicht in der Attribution enthalten.
Σ attribution.ivtConversions
Werbebudget
- WerbeausgabenBetrag
- Importierter Spend der verbundenen Werbekonten.
Σ spend.platforms.*.spend - ROASFaktor
- Umsatz je Euro Werbebudget. Ohne Spend „–“.
Umsatz (attribuiert, sonst gesamt) / spend - Kosten je ConversionBetrag
- Werbebudget je Conversion. Ohne Spend „–“.
spend / conversions - CACBetrag
- Werbebudget je Neukunde. Ohne Spend „–“.
spend / new_customers - Budget an BotsBetrag
- Geschätzter Spend, der auf ungültigen Traffic entfällt – je Paid-Kanal Spend × IVT-Rate des Kanals.
Σ Paid-Kanäle spend(ch) × fraud.channels.ch.sivt / fraud.channels.ch.total - Match-QuoteAnteil
- Anteil des Spends, der sich getrackten Kampagnen zuordnen lässt.
zugeordneter Spend / spend
Engagement
- Engagement-RateAnteil
- Anteil menschlicher Seitenbesuche mit Scrollen, Klicken, Tippen oder mindestens 10 Sekunden Verweildauer.
Σ eng.*.engaged / Σ eng.*.n - Ø Verweildauer (bis 25 s)Dauer
- Mittlere Verweildauer je Seitenbesuch, je Besuch bei 25 Sekunden gekappt.
Σ eng.*.dwellMs / Σ eng.*.n
Leads
- Echte LeadsAnzahl
- Anfragen, Anrufe ab 60 Sekunden und Termine, die weder als Bot noch als verdächtig erkannt wurden.
Σ daily.leads.total.{form|conversion|booking}_real + call_real - AnfragenAnzahl
- Echte Formular-Anfragen und sonstige Conversions der Lead-Erfassung.
Σ daily.leads.total.form_real + conversion_real - AnrufeAnzahl
- Echte Anrufe aus dem Call-Tracking mit mindestens 60 Sekunden Dauer.
Σ daily.leads.total.call_real - TermineAnzahl
- Echte gebuchte Termine (Calendly, Cal.com oder eigenes Format) am Tag der Buchung.
Σ daily.leads.total.booking_real - Kosten je echtem LeadBetrag
- Werbekosten laut Plattform je echtem Lead. Verdächtige und Bot-Leads zählen nicht. Ohne Werbekosten „–“.
spend / real_leads - Anruf-KlicksAnzahl
- Klicks auf Telefonnummern (tel:-Links) – eine Absicht, noch kein Anruf und kein Lead.
Σ daily.leads.total.tel
Sessions: Eine Session endet nach 30 Minuten ohne Aktivität und gilt je Browser-Tab; blockiert ein Browser den Session-Speicher, zählt jeder Seitenaufruf als eigene Session. Sessions, die wir als Bot erkennen, zählen nicht in dein Kontingent.
Engagement: Verweildauer je Seitenbesuch bis 25 Sekunden gemessen.Länder: Land aus der Registrierung des Netzbetreibers (Näherung).Tage: Tage in UTC.
Frag Attributa – nur mit deiner Zustimmung
Der Assistent beantwortet Fragen zu deinen Zahlen in normaler Sprache. Er ist ab Werk ausgeschaltet; eine Admin-Person deiner Organisation muss ihn ausdrücklich aktivieren.
Was der Assistent verschickt: Der Assistent schickt an Anthropic: Summen deiner Kennzahlen (auch Werbekosten, GA4-Werte und Prognosen), deine Frage mit dem bisherigen Verlauf und Bezeichnungen aus deinen Daten (Site-Name, Kampagnen, Quellen, Referrer-Domains, Seitenpfade, Netzbetreiber, eigene Kanäle, GA4-Kanalgruppen, Titel deiner Maßnahmen, Namen deiner Szenarien) – keine Roh-IPs, keine User-Agents, keine E-Mail-Adressen, keine vollständigen URLs, keine Namen von Teammitgliedern. Für Berichtsentwürfe gehen nur die Zahlen des Berichts und die Titel der Maßnahmen mit. Die Verarbeitung findet außerhalb der EU statt.