An einem Dienstag im Mai stehen im Bericht 812 Sitzungen. Am Montag waren es 47, am Mittwoch sind es wieder 51. Der Shop verkauft Angelzubehör nach Deutschland und Österreich, die 812 Sitzungen kommen aus Singapur, alle mit derselben Einstiegsseite, die durchschnittliche Interaktionsdauer pro Sitzung liegt bei null Sekunden, und in den Warenkorb hat niemand etwas gelegt.
Dieser Text zeigt dir, wie du solche Sitzungen zweifelsfrei als Bot-Traffic erkennst, welchen Bericht du dafür brauchst (den nach Hostname, den fast niemand baut), in welcher Reihenfolge die Gegenmaßnahmen wirken und warum die naheliegende Reaktion deine Vergleichszahlen für zwölf Monate unbrauchbar macht.
Was GA4 automatisch wegfiltert und was trotzdem durchkommt
Einen Teil der Arbeit macht GA4 ohne dich: Zugriffe von bekannten Bots und Spidern werden automatisch ausgeschlossen, auf Basis eigener Erkennung und der internationalen Spider- und Bot-Liste des IAB. Diese Filterung läuft in jeder Property, lässt sich nicht abschalten und nicht einsehen. Es gibt keinen Bericht darüber, wie viel sie entfernt hat.
Genau darin liegt das Problem. Die Liste erwischt, was sich zu erkennen gibt oder berüchtigt genug ist. Durch das Netz fällt die zweite Kategorie:
- Automatisierte Browser. Ein Skript, das einen echten Chrome ohne Fenster fernsteuert, führt dein Messskript aus wie ein Mensch.
- Uptime-Prüfer und Sicherheitsscanner. Alle fünf Minuten die Startseite, rund um die Uhr, gut 8.600 Aufrufe im Monat.
- Link-Prüfer und Vorschau-Abrufe von Messengern. Jemand teilt deinen Link, der Dienst holt die Seite für die Vorschaukachel.
- SEO-Crawler, auch die eigenen. Ein Crawl mit JavaScript-Rendering über 400 URLs erzeugt 400 Seitenaufrufe im eigenen Konto. Die Agentur, die montags den Monatscheck fährt, ist in kleinen Konten einer der größten Verzerrer.
- Das eigene Büro. Kein Bot, gleicher Effekt.
Dazu kommt eine Sonderklasse, bei der überhaupt nichts deine Website besucht hat. Deine Mess-ID (G-XXXXXXXXXX) steht im Quelltext jeder Seite, also öffentlich. Wer sie kopiert, kann Treffer direkt an Googles Erfassungsadresse schicken, ohne deinen Server je zu berühren. Das nennt man Ghost-Traffic, und es ist der Grund, warum eine Firewall dagegen nichts ausrichtet: Bei dir kommt nichts an, was man blockieren könnte.
Die Dimension Hostname: der Bericht, den fast niemand baut
Jedes Ereignis in deiner Property trägt einen Hostnamen mit, also die Domain, von der es kam. In den Standardberichten kommt diese Dimension nicht vor, deshalb schaut kaum jemand hin. Dabei ist sie der schnellste Weg zu der Frage, die sich sonst niemand stellt: Sendet hier eigentlich nur meine Website?
In zwei Minuten gebaut:
- Links im Menü auf Explorativ, dann auf Leer.
- In der Spalte Variablen neben Dimensionen auf das Plus, nach
Hostnamesuchen, auswählen, importieren. - Dasselbe bei Messwerte mit
SitzungenundEreignisanzahl. Hostnamein das Feld Zeilen ziehen, die Messwerte in Werte.- Zeitraum auf die letzten drei Monate stellen.
Steht dort mehr als deine eigene Domain, hast du eine Erklärung gefunden:
| Fund im Bericht | Was dahintersteckt | Was du tust |
|---|---|---|
staging.deine-domain.de | Die Testumgebung sendet mit, meist nach einem Relaunch. | Tag entfernen oder eigene Property. |
localhost, 127.0.0.1 | Eigene Entwicklungsarbeit. Kleine Zahlen, aber genau die Sitzungen, die wie Kaufabbrüche aussehen. | Entwicklertraffic filtern. |
| Eine Übersetzungs- oder Proxy-Domain | Ein Dienst spiegelt deine Seite. Verzerrt Sprachen und Länder. | Beobachten, notfalls ausschließen. |
| Eine fremde Domain mit deinen Seitenpfaden | Jemand hat deine Website kopiert, samt Messskript. | Hostnamen ausschließen. |
(not set) oder eine Domain, die es nicht gibt | Ghost-Traffic mit gefälschten Feldern. Deine Website war nie beteiligt. | Ausschließen. |
Der Befund ist so wertvoll, weil er das Warum sofort beantwortet.
Referrer-Spam, verzerrte Durchschnitte und wann das wirklich wehtut
Unter den Verweisen stehen plötzlich Domains, die du nie kontaktiert hast und deren Namen wie eine Werbeanzeige klingen. Genau das ist der Zweck.
Die realistische Einordnung, weil dazu viel Unsinn im Umlauf ist: Referrer-Spam schadet deinem Ranking nicht. Google bewertet keine Website danach, was in ihrem Analytics-Konto steht, und meist existieren die verlinkenden Seiten nicht. Wer dir dagegen ein SEO-Risiko verkauft, verkauft dir Angst.
Kaputt gehen deine Durchschnittswerte. Ein Kanal sieht größer aus, als er ist. Die Absprungrate steigt, obwohl kein Mensch schneller abgesprungen ist, denn sie ist in GA4 nur der Gegenwert der Interaktionsrate (die Mechanik steht in Bounce Rate verstehen). Am zuverlässigsten wird die Conversion-Rate zu Unfug: Der Zähler bleibt gleich, der Nenner wächst. Zehn Anfragen auf 500 Sitzungen sind zwei Prozent, dieselben zehn auf 1.300 Sitzungen sind 0,77 Prozent, und du suchst drei Wochen nach einem Fehler im Conversion-Tracking, den es nicht gibt.
Damit ist auch beantwortet, wann du das Thema ernst nehmen musst. Es ist eine Frage der Größenordnung. Bei 500 Sitzungen im Monat ruinieren 800 Bot-Sitzungen jede Aussage. Bei 200.000 Sitzungen sind dieselben 800 Rauschen. Wer wenig Verkehr hat, muss sauberer messen als ein Konzern, nicht schludriger.
Woran du Bot-Traffic in GA4 erkennst
Ein einzelnes Merkmal beweist nichts, drei zusammen sind eindeutig. Die Gegenprobe gehört dazu, weil echter Verkehr auf den ersten Blick ähnlich aussieht:
| Merkmal | Bots und Spam | Echter Ausschlag |
|---|---|---|
| Verlauf | Sprung an einem Tag, danach sofort Normalniveau | Anstieg über Stunden, Abfall über Tage |
| Herkunft | ein Land, oft eine einzige Stadt | mehrere Länder, passend zur Quelle |
| Einstiegsseite | eine einzige, manchmal eine URL, die es nie gab | eine Hauptseite plus Streuung |
| Interaktionsdauer | null Sekunden, oder überall exakt derselbe Wert | breit gestreut, mit Ausreißern nach oben |
| Technik | ein Browser, eine Auflösung, oft eine sehr seltene | die übliche Mischung aus Handy und Desktop |
| Quelle | direkt, oder ein Verweis von einer unbekannten Domain | eine nachprüfbare Quelle |
Zwei Merkmale sind besonders verräterisch. Eine Einstiegsseite, die es auf deiner Website nicht gibt, kann nur gefälscht sein: Ein echter Besucher hätte eine Fehlerseite bekommen. Und identische Sitzungsdauern über hunderte Sitzungen kommen bei Menschen nicht vor, Menschen sind unordentlich. Wie eine plausible Streuung aussieht und warum eine echte Null nicht automatisch ein Bot ist, steht in Verweildauer in GA4 anzeigen. Wie du solche Berichte liest, steht in GA4 auswerten.
Die Gegenmaßnahmen, in der Reihenfolge, die wirkt
Sortiert nach Wirkung pro Aufwand. Punkt eins hat fast niemand erledigt.
Erstens: internen Traffic ausschließen. Bei einer kleinen Website ist der größte Verzerrer nicht der Bot aus Singapur, sondern das eigene Büro. Drei Mitarbeiter, ein Chef, der abends prüft, ob die neue Seite online ist, die Agentur mit ihrem Crawler: In einem Konto mit 500 Sitzungen im Monat sind das leicht 15 Prozent. Der Weg ist zweistufig, daran scheitern die meisten. Zuerst definierst du das Interne: Verwaltung → Datenerhebung und -änderung → Datenstreams → dein Web-Stream → Tag-Einstellungen bearbeiten → Mehr anzeigen → Internen Traffic definieren → Erstellen. Regelname eintragen, den Wert internal für den Parameter traffic_type stehen lassen, unter IP-Adresse die Büro-Adresse eintragen. Danach aktivierst du den Datenfilter unter Verwaltung → Datenerhebung und -änderung → Datenfilter.
Zweitens: die erlaubten Hostnamen begrenzen. Zwei Werkzeuge, zwei Wirkungen, und die verwechselt fast jeder. In einem Tag-Manager legst du eine Bedingung auf die eingebaute Variable für den Seiten-Hostnamen, sodass dein GA4-Tag nur auf deinen eigenen Domains auslöst. Das schützt gegen kopierte Seiten, Proxys und die Testumgebung, nicht aber gegen Ghost-Traffic, der deine Seite ja nie lädt. Dagegen hilft der Datenfilter für Web-Hostname-Traffic (englisch Web hostname traffic), den GA4 seit Mitte 2026 anbietet. Er kennt nur Ausschluss, keine Positivliste.
Drittens: den Datenfilter für Entwicklertraffic anlegen. Er greift auf Ereignisse mit dem Parameter debug_mode oder debug_event, also auf alles aus einer Debug-Sitzung. Zwei Klicks, und die Testsitzungen im Bestellformular sind weg.
Viertens: serverseitig blocken, wo es sich lohnt. Die einzige Maßnahme, die auch deine Serverlast senkt. Sie greift für alles, was deinen Server wirklich anfasst: Scraper, Scanner, aggressive Crawler, per Regel im CDN oder in der Firewall. Vorsichtig bedienen, sonst sperrt man Suchmaschinen mit aus.
Was bewusst fehlt: die Liste unerwünschter Verweise in den Tag-Einstellungen. Ratgeber empfehlen sie gern gegen Referrer-Spam, und das ist falsch. Die Funktion blockiert nichts. Sie sagt GA4 nur, dass diese Domain keine neue Sitzung als Verweis eröffnen soll, woraufhin dieselben Sitzungen als Direktzugriff in den Berichten landen. Du hast dann kein Problem weniger, sondern einen aufgeblähten Direktkanal (was der sonst noch einsammelt, steht in Direct Traffic in GA4). Gebaut ist sie für Selbstverweise, etwa den Zahlungsdienstleister im Bestellprozess. Gegen Spam ist sie das falsche Werkzeug.
Warum GA4-Datenfilter nicht rückwirkend wirken
Ein GA4-Datenfilter wirkt ab dem Moment der Aktivierung und nur nach vorn. Was gestern reingekommen ist, bleibt drin, für immer. Google formuliert das deutlich: Ausgeschlossene Daten werden nicht verarbeitet und sind auch später nicht verfügbar. Der Filter ist keine Brille, die du auf- und absetzt, sondern eine Tür.
Du hast am 12. Juni internen Traffic und zwei Hostnamen ausgeschlossen, im Juli vergleichst du Juni mit Mai und siehst 14 Prozent Rückgang. Der ist nicht echt, sondern der Filter, im Bericht steht er aber wie ein Einbruch. Im nächsten Frühjahr passiert dasselbe beim Vorjahresvergleich. Deine Zeitreihe hat an diesem Tag eine Stufe, und nichts in GA4 erinnert dich daran. Also: Schreib das Datum jeder Filteraktivierung auf.
Für Altdaten sind Filter ohnehin das falsche Mittel. Dort arbeitest du mit Vergleichen und Segmenten. In den Standardberichten legst du über Vergleich hinzufügen eine Bedingung an, die das Land oder den Hostnamen des Ausschlags ausschließt, und liest den bereinigten Verlauf daneben; in einer Exploration baust du dasselbe als Segment. Beides löscht nichts, ist umkehrbar und wirkt zurück bis zum ersten Messtag.
Die zweite Falle kostet Wochen: Datenfilter starten im Zustand „Test". Im Testmodus wird nichts ausgeschlossen. GA4 markiert die betroffenen Ereignisse nur mit der Dimension für den Namen des Testdatenfilters, damit du prüfen kannst, wie viel der Filter erwischen würde. Gute Funktion für die ersten Tage, sie führt nur dazu, dass Leute den Filter anlegen und einen Monat später feststellen, dass ihre eigenen Zugriffe unverändert dastehen. Nach zwei bis drei Tagen setzt du ihn auf Aktiv.
Warum Googlebot und GPTBot gar nicht in GA4 auftauchen
Suchmaschinen- und KI-Crawler erscheinen in GA4 normalerweise überhaupt nicht. Nicht, weil sie herausgefiltert würden, sondern weil sie dein Messskript nicht ausführen. GA4 misst über JavaScript im Browser, und GPTBot, ClaudeBot, PerplexityBot und ihre Verwandten holen in der Regel nur den HTML-Quelltext. Googlebot rendert zwar JavaScript, wird von Google in Analytics aber nicht gezählt.
Wenn du wissen willst, wer wirklich crawlt, ist GA4 das falsche Werkzeug; die Antwort steht in den Server-Logs, und welche Namen du dort suchst, steht in KI-Crawler steuern. Umgekehrt ist viel verdächtiger Verkehr in GA4 fast nie ein Suchmaschinen-Bot, sondern ein automatisierter Browser, ein Scanner oder ein gefälschter Treffer. Die Suche fängt also beim Hostnamen an, nicht bei den bekannten Bot-Namen.
Womit du anfängst
- Bau die Exploration nach Hostname, Zeitraum drei Monate. Steht dort etwas, das nicht deine Domain ist, hast du deine Erklärung.
- Richte den internen Traffic ein, mit der Büro-IP und der deiner Agentur. Der Datenfilter muss danach von Test auf Aktiv.
- Notiere das Datum der Aktivierung.
- Lege für den Ausschlag in der Vergangenheit einen Vergleich oder ein Segment an, statt an Altdaten zu verzweifeln.
- Erst danach die Feinarbeit: Hostname-Bedingung im Tag-Manager, Entwicklerfilter, notfalls eine CDN-Regel.
Danach bedeutet eine Zahl im Bericht wieder etwas. Vorher ist Optimierung eine Wette auf verrauschte Daten.
Häufige Fragen
Wie erkenne ich Bot-Traffic in GA4?
Such nach dem Muster, nicht nach einem einzelnen Wert. Verdächtig ist ein Sprung an einem Tag, aus einem Land, auf einer einzigen Einstiegsseite, mit null Sekunden Interaktionsdauer und immer derselben Browser- und Auflösungskombination. Drei davon gleichzeitig sind eindeutig. Die schnellste Einzelprüfung ist eine Exploration mit der Dimension Hostname.
Filtert GA4 Bots automatisch heraus?
Ja, aber nur bekannte. GA4 schließt Bots und Spider aus, die Google selbst erkennt oder die auf der internationalen Spider- und Bot-Liste des IAB stehen. Abschalten oder einsehen lässt sich das nicht. Durch kommt alles, was sich nicht als Bot zu erkennen gibt: automatisierte Browser, Uptime-Prüfer, Scanner und gefälschte Treffer.
Was ist Referrer-Spam und schadet er meinem SEO?
Referrer-Spam sind Verweise von Domains, die du nie kontaktiert hast und deren Name für irgendein Angebot wirbt. Deinem Ranking schadet das nicht, denn Google bewertet keine Website danach, was in ihrem Analytics-Konto steht. Schaden nehmen die Kennzahlen: Ein Kanal sieht größer aus, der Nenner von Absprung- und Conversion-Rate wächst.
Warum habe ich plötzlich viele Besucher aus einem Land, in dem ich nichts verkaufe?
Das ist das häufigste Erscheinungsbild von Bot- und Ghost-Traffic. Prüf drei Dinge: die Interaktionsdauer (bei Bots null oder überall identisch), die Einstiegsseite (meist eine einzige) und den Hostnamen in einer Exploration. Verlass dich nicht auf das Land allein, denn es gibt echte Fälle, etwa einen Link in einem ausländischen Forum. Dann streuen Einstiegsseiten und Verweildauern breit.
Wie schließe ich meine eigene IP-Adresse aus GA4 aus?
In zwei Schritten. Zuerst unter Verwaltung, Datenerhebung und -änderung, Datenstreams, dein Web-Stream, Tag-Einstellungen bearbeiten, Mehr anzeigen, Internen Traffic definieren eine Regel anlegen: Name, Wert internal für den Parameter traffic_type, dazu deine IP-Adresse. Danach unter Datenfilter den Filter für internen Traffic von Test auf Aktiv setzen.
Der zweite Schritt wird übersehen: Ohne aktiven Datenfilter wird der Traffic nur markiert, nicht ausgeschlossen. Eine wechselnde IP-Adresse im Homeoffice macht diesen Weg unzuverlässig, dann ist der Tag-Manager der bessere.
Wirken GA4-Datenfilter rückwirkend?
Nein. Ein Datenfilter wirkt ab seiner Aktivierung und nur nach vorn. Ausgeschlossene Daten werden gar nicht verarbeitet und sind auch später nicht verfügbar. Deine Zeitreihe bekommt am Tag der Aktivierung eine Stufe, und jeder Vergleich darüber hinweg zeigt einen Rückgang, den es nicht gab.
Kann ich Bot-Traffic aus der Vergangenheit entfernen?
Löschen lässt er sich nicht, GA4 kennt keinen Weg, bereits erfasste Ereignisse nachträglich herauszufiltern. Ausblenden lässt er sich aber sehr wohl: In den Standardberichten legst du über Vergleich hinzufügen eine Bedingung an, die das betroffene Land oder den fremden Hostnamen ausschließt, in einer Exploration dasselbe als Segment. Das wirkt zurück bis zum ersten Messtag.
Warum tauchen Googlebot und GPTBot nicht in GA4 auf?
Weil GA4 im Browser über JavaScript messen muss und diese Crawler dein Messskript nicht ausführen. Sie holen in der Regel nur den HTML-Quelltext, und der reicht für eine Sitzung nicht. Wer wissen will, wie oft sie vorbeikommen, muss in die Server-Logs schauen.
Was bedeutet ein fremder Hostname in meinen GA4-Berichten?
Dass Ereignisse mit deiner Mess-ID von einer Domain gesendet wurden, die nicht deine ist. Vier Erklärungen decken fast alle Fälle ab: eine Test- oder Entwicklungsumgebung, localhost aus der eigenen Arbeit, ein Proxy- oder Übersetzungsdienst, oder eine fremde Kopie deiner Website samt Messskript. Der fünfte Fall sind gefälschte Treffer, erkennbar an einem Hostnamen, den es real nicht gibt, oder an (not set).