Bot-Traffic in GA4 erkennen und filtern

Der Traffic steigt. Die Interaktionsdauer liegt bei 2 Sekunden. Neue Nutzer aus einer mittelgroßen Stadt, die Sie gar nicht ansprechen, stehen bei 100 %, und keine einzige dieser Sitzungen hat konvertiert. Wenn Ihnen dieses Muster bekannt vorkommt, sehen Sie keinen Marketingerfolg; Sie sehen, wie Bot-Traffic aussieht, nachdem Googles automatischer Filter den einfachen Teil bereits entfernt hat.

Dieser Leitfaden behandelt alle drei Ebenen, die die meisten Bot-Leitfäden für GA4 zu einer zusammenfassen: was GA4 selbst filtert (und was dieser Filter strukturell übersieht), ein wiederholbares Rezept für explorative Datenanalysen, mit dem Sie den Rest aufdecken, und (der Teil, der tatsächlich Budget schützt) wie Sie aus jedem Symptom in GA4 eine Sperrmaßnahme in Google Ads und Meta machen. Denn die unbequeme Wahrheit ist: GA4 kann Bot-Traffic detailliert beschreiben, aber keinen einzigen Klick stoppen.

Was GA4 bereits filtert und was es strukturell nicht kann

GA4 schließt bekannten Bot-Traffic automatisch aus. Der Filter kombiniert Googles eigene Forschung mit der IAB/ABC International Spiders & Bots List, läuft in jeder Property, und Sie verwalten ihn nicht: Es gibt keinen Schalter zum Deaktivieren, keine Einstellungen zum Anpassen und keinen Bericht darüber, wie viel Traffic er entfernt hat. Er greift einfach, bevor die Daten Ihre Berichte erreichen.

Dieser Filter ist real, aber auch eng. Er erfasst deklarierte Crawler und bekannte Bots: automatisierten Traffic, der höflich genug ist, sich zu erkennen zu geben, oder berüchtigt genug, um auf einer Branchenliste zu stehen. Was er nicht erfasst, ist der Traffic, der Werbetreibende Geld kostet: Bots, die darauf gebaut sind, menschlich auszusehen. Moderner Klickbetrug betreibt vollständige Browserumgebungen, die JavaScript ausführen, Ihr GA4-Tag auslösen, scrollen und sich durch Seiten bewegen; er läuft über Residential Proxys, sodass die IP zu einem echten Haushalt statt zu einem Rechenzentrum gehört. Nichts davon passt zu einem Eintrag auf der IAB-Liste. Impervas Forschung zu bösartigen Bots beziffert automatisierten Traffic inzwischen auf 53 % des gesamten Web-Traffics, und der ausgefeilte Anteil daran ist genau der, den eine Liste bekannter Bots nicht sieht.

Und es gibt eine dritte Kategorie, die die meisten Leitfäden nie erwähnen: den Bot-Traffic, den GA4 überhaupt nicht erfasst. Viele Klick-Bots treffen Ihre Anzeige und führen das Analytics-Tag auf der Landingpage nie aus: kein JavaScript, keine Sitzung, keine Spur. In GA4 sind sie unsichtbar; auf Ihrer Google-Ads-Rechnung sind sie vollständig vorhanden. Deshalb ist eine wachsende Lücke zwischen bezahlten Klicks in Google Ads und bezahlten Sitzungen in GA4 selbst eines der stärksten Bot-Signale, die Sie haben, und deshalb kann die Erkennung in Analytics immer nur die halbe Wahrheit sein.

Passen Sie Ihre Erwartungen also an. In GA4 jagen Sie die mittlere Stufe: automatisierten Traffic, der Ihr Tag ausgeführt, den Filter für bekannte Bots passiert und Verhaltensspuren in Ihren Daten hinterlassen hat.

Sieben Signale, die Bot-Traffic in GA4 verraten

Keine einzelne Kennzahl beweist Bot-Traffic. Häufungen schon. Achten Sie darauf, ob mehrere dieser Signale gleichzeitig dieselbe Quelle, Kampagne oder Stadt betreffen:

1. Durchschnittliche Interaktionsdauer nahe null. Echte Besucher aus bezahlten Kampagnen verbringen messbare Zeit auf einer Seite. Sitzungen mit durchschnittlich 0–2 Sekunden Interaktionsdauer, in größerer Zahl, aus einer Quelle, sind Automatisierung. Das ist das schärfste einzelne Signal in GA4.
2. Einbruch der Interaktionsrate in einem Segment. Wenn der bezahlte Traffic Ihrer Property zu 55–65 % interagiert und eine Kampagne, ein Placement oder eine Stadt plötzlich nur zu 5 %, hat dieses Segment ein Problem mit der Traffic-Qualität, nicht mit dem Creative.
3. ~100 % neue Nutzer aus einer einzigen Quelle. Bots wechseln Identitäten; Menschen kommen wieder. Eine Quelle, die nie einen wiederkehrenden Besucher hervorbringt, besonders in Verbindung mit Signal Nr. 1, ist ein starkes Zeichen für Automatisierung.
4. Regionen, die nicht zu Ihrem Targeting passen. Häufungen von Sitzungen aus Städten oder Ländern, in denen Sie nicht werben, oder unwahrscheinlich hohes Volumen aus einer kleinen Stadt deuten auf Proxy-Ausgänge und Klickfarmen hin. (Ein Teil des Traffics aus falschen Regionen ist auch ein Einstellungsproblem; mehr dazu unten.)
5. Unwahrscheinliche technische Fingerprints. Veraltete Browserversionen, Bildschirmauflösungen wie 800×600 oder (not set), wo Gerätedaten stehen sollten: Headless- und gefälschte Umgebungen verraten Ungereimtheiten, die echte Endgeräte nicht haben.
6. Sitzungsspitzen bei gleichbleibenden Conversions oder Junk-Conversions. Traffic-Anstiege, die nichts bringen, sind die eine Variante; Anstiege, die gefälschte Leads mit Wegwerf-E-Mails und toten Telefonnummern erzeugen, sind die teurere Variante, weil diese gefälschten Leads Ihre Gebotsautomatisierung füttern.
7. Anstiege beim direkten Traffic und auffällige Verweise. Plötzlicher unerklärlicher direkter Traffic mit botartiger Interaktion oder Verweisquellen, die Sie nicht kennen, runden das Bild ab. Klassischer Verweis-Spam ist in GA4 seltener als in Universal Analytics, aber unerwünschte Verweise tauchen immer noch auf und sollten ausgeschlossen werden.

Ein Rezept für explorative Datenanalysen zum Kopieren

Das meiste davon erkennen Sie in einer einzigen explorativen Datenanalyse im freien Format. In GA4: Explorative Datenanalysen → Freies Format, dann konfigurieren Sie:

• Dimensionen: Sitzungsquelle/-medium, Sitzungskampagne, Stadt, Gerätekategorie, Browser
• Messwerte: Sitzungen, Sitzungen mit Interaktionen, Durchschnittliche Interaktionsdauer pro Sitzung, Neue Nutzer, Schlüsselereignisse
• Filter: Standard-Channelgruppe der Sitzung = Paid Search (wiederholen für Paid Social / Display / Cross-Network)
• Zeilen: Beginnen Sie mit Sitzungsquelle/-medium + Stadt; ersetzen Sie im zweiten Durchgang Stadt durch Browser

Lesen Sie dann jede Zeile anhand dieser Schwellenwerte:

Zeilen, die bei nennenswertem Volumen in drei oder mehr Spalten durchfallen, verdienen eine Untersuchung. Zeilen, die in allen fünf durchfallen, sind Ihre Aufgabenliste für den nächsten Abschnitt. Führen Sie dieselbe Analyse wöchentlich durch; Bot-Kampagnen wandern, und erst der Vergleich mit der Basis der Vorwoche macht eine Spitze offensichtlich.

Was Sie finden, filtern, und die harten Grenzen von GA4

GA4 bietet Ihnen genau drei eigene Werkzeuge zur Bereinigung, und es lohnt sich, bei jedem ehrlich über die Obergrenze zu sein:

• Filter für internen Traffic und IPs. Sie können internen Traffic per IP definieren und herausfiltern. Der Haken bei Betrug: Der Filter setzt voraus, dass Sie die IPs im Voraus kennen, und GA4 zeigt Ihnen nie die IP-Adressen der Besucher. Er ist dafür gebaut, Ihr eigenes Büro auszuschließen, nicht rotierende Bot-Ausgänge.
• Ausschlüsse unerwünschter Verweise. Nützlich, um Verweis-Spam und Rauschen von Zahlungs-Gateways aus der Attribution zu entfernen. Gegen Bot-Sitzungen, die über bezahlte Klicks kommen, bewirken sie nichts.
• Vergleiche und Segmente. Ihr Werkzeug für die tägliche Hygiene: Erstellen Sie einen Vergleich, der die betreffende Stadt, Quelle oder Browser-Häufung ausschließt, damit Entscheidungen auf sauberen Daten beruhen. Beachten Sie, dass dies Junk in Berichten nur ausblendet; die zugrunde liegenden Daten bleiben.

Zwei Grenzen sind wichtiger als jede Funktion. Erstens: Datenfilter wirken nur nach vorn: Nichts entfernt Bot-Sitzungen, die bereits in Ihre Property verarbeitet wurden. Zweitens hat GA4 die Dimension für ISP bzw. Dienstanbieter abgeschafft, mit der Nutzer von Universal Analytics einst Rechenzentrums-Traffic erkannt haben, sodass selbst der Trick „Hosting-Anbieter unter den ISPs finden“ wegfällt. GA4 enthält schlicht nicht die Belege auf Netzwerkebene (IPs, ISPs, ASNs), die man letztlich braucht, um Bots von Menschen zu trennen.

Das ist kein Fehler, sondern eine Grenze des Funktionsumfangs. GA4 ist ein Messprodukt. Womit wir beim Teil wären, der tatsächlich Geld spart.

Vom Symptom zur Maßnahme: Was auf der Anzeigenseite zu tun ist

Jedes Signal, das Ihre Analyse zutage gefördert hat, entspricht einer Steuerungsmöglichkeit außerhalb von GA4. Diese Zuordnung ist der Schritt, den die meisten Leitfäden zu Bot-Traffic auslassen:

Die Einschränkungen bei IP-Ausschlüssen verdienen einen eigenen Absatz, denn hier endet der Weg über GA4 in einer Sackgasse. Google Ads begrenzt IP-Ausschlüsse auf 500 pro Kampagne, Ausschlüsse auf Kampagnenebene gelten für Performance Max überhaupt nicht, und (das strukturelle Problem) GA4 kann Ihnen gar nicht sagen, welche IPs Sie ausschließen sollen, weil es sie nicht anzeigt. Bots über Residential Proxys wechseln an einem Tag durch mehr Adressen, als das Limit insgesamt zulässt. Diese Lücke zu schließen erfordert Bot-Erkennung auf Klickebene: eine unabhängige Ebene, die jeden bezahlten Klick mit seinem vollständigen Netzwerk- und Geräte-Fingerprint sieht, den Besucher anhand seines Verhaltens erkennt und Ausschlüsse automatisch anlegt. Das ist die Aufgabe eigener Software zum Schutz vor Klickbetrug, nicht einer Analytics-Property: GA4 sagt Ihnen, dass der Angriff stattgefunden hat; eine Schutzebene sorgt dafür, dass er aufhört.

Googles eigenes System für ungültige Klicks filtert den Traffic, den es erkennt, und schreibt ihn gut, und diese Grundlage ist real. Aber es optimiert für die Auktion im Maßstab der Plattform, und wie oben beschrieben ist die mittlere Stufe menschlich wirkender Automatisierung genau das, was durchrutscht, auf Ihre Kosten.

Die teuersten Bots berühren Ihre Website kein zweites Mal: Schützen Sie das Conversion-Signal

Hier liegt das sich verstärkende Versagen. Bot-Traffic, der Ihre Formulare erreicht, verschmutzt nicht nur Analytics; er sendet gefälschte Leads ab, und wenn diese gefälschten Leads als Conversions an Google und Meta gemeldet werden, lernen Ihre Smart-Bidding- und Advantage+-Kampagnen aus ihnen. Der Algorithmus kauft brav mehr von dem, was den Junk erzeugt hat. Ab diesem Punkt verlieren Sie nicht nur die Kosten der schlechten Klicks; Sie bezahlen die Plattform dafür, sie zu skalieren.

GA4 spielt hier keine Rolle. Die Lösung ist Filterung auf der Conversion-Ebene:

• Bei Google bedeutet das, Leads zu validieren, bevor sie über erweiterte Conversions für Leads hochgeladen werden, damit das Bidding nur auf echten Interessenten trainiert.
• Bei Meta bedeutet es um Betrug bereinigte Signale über die Conversions API: jedes Ereignis serverseitig bewerten und nur verifizierte Conversions senden, damit Advantage+ auf Menschen optimiert. Meta gibt Werbetreibenden keine IP-Ausschlüsse und wenige manuelle Stellschrauben, wodurch die Qualität der Conversion-Signale die einzige Kontrolle ist, die Sie auf dieser Plattform noch selbst in der Hand haben.

Wenn Ihre GA4-Analyse Junk-Formulareinträge aus bezahltem Traffic gezeigt hat, behandeln Sie die Conversion-Filterung als dringlicher als die Bereinigung der Berichte. Saubere Berichte sind schön; ein sauberes Trainingssignal ist bares Geld.

Fazit

Der automatische Bot-Filter von GA4 erledigt den Traffic, der sich selbst zu erkennen gibt. Für alles andere ist GA4 ein Rauchmelder: Führen Sie das Analyse-Rezept wöchentlich aus, lesen Sie Interaktionsdauer, Anteil neuer Nutzer, Regionen und Lücken zwischen Klicks und Sitzungen als Gesamtbild und nutzen Sie Vergleiche, um Entscheidungen sauber zu halten. Dann erledigen Sie den Teil, der tatsächlich die Rechnung verändert: Handeln Sie auf den Werbeplattformen und schalten Sie Bot-Erkennung auf Klickebene und Conversion-Filterung vor den Traffic, damit der Junk Ihre Property, Ihre Formulare und Ihre Gebotsalgorithmen gar nicht erst erreicht. Messung zeigt Ihnen das Leck. Schutz dichtet es ab.