Verhaltensbasierte Bot-Erkennung: Wie Anomaly Shield schädliche Automatisierung und Login-Angriffe erkennt

Der automatisierte Anteil des Webverkehrs wächst rasant. Der Verizon Data Breach Investigations Report 2026 beobachtet einen kontinuierlichen Anstieg automatisierter Angriffe und KI-gestützter Bot-Aktivitäten. Immer mehr Programme und KI-Agenten suchen nach Schwachstellen, greifen Inhalte ab oder probieren systematisch Zugangsdaten durch.

Doch nicht jede automatisierte Anfrage ist ein Angriff. Suchmaschinen, Preisvergleichsportale oder KI-Dienste greifen ebenfalls automatisiert auf Webanwendungen zu und erfüllen dabei eine wichtige Funktion. Eine Sicherheitslösung darf deshalb nicht einfach alle Bots blockieren.

Die Herausforderung besteht darin, schädliche von erwünschter Automatisierung zu unterscheiden. Genau hier setzt eine verhaltensbasierte Erkennung an: Statt zu entscheiden, ob eine Anfrage von einem Menschen oder einer Maschine stammt, bewertet sie das Verhalten einer Session und erkennt automatisierte Aktivitäten, die auf einen Angriff hindeuten.

Schädliche Automatisierung lässt sich selten anhand einer einzelnen HTTP-Anfrage erkennen. Ein Googlebot, ein KI-Agent und ein Angreifer können auf den ersten Blick sehr ähnliche Requests erzeugen. Erst das Verhalten über eine längere Folge von Anfragen zeigt, welche Absicht hinter einer Session steckt.

Genau hier setzt der Airlock Anomaly Shield an. Er bewertet nicht einzelne Anfragen, sondern das Verhalten einer Session oder einer IP-Adresse über die Zeit. Mehrere Modelle analysieren unterschiedliche Aspekte dieses Verhaltens und führen ihre Ergebnisse zu einer gemeinsamen Entscheidung zusammen.

Dieses Prinzip kommt bei verschiedenen Angriffsmustern zum Einsatz. Die folgenden Kapitel zeigen dies anhand zweier Beispiele: der Erkennung schädlicher Bots und dem Schutz von Anmeldemasken vor Password Spraying und Credential Stuffing.

Um zwischen erwünschter und schädlicher Automatisierung zu unterscheiden, kombiniert der Airlock Anomaly Shield zwei voneinander unabhängige Modelle.

Das erste Modell beurteilt, ob das Verhalten eines Clients typisch für einen Menschen oder für eine automatisierte Anwendung ist. Dazu wertet der Anomaly Shield aus, wie Maus, Tastatur oder Touchscreen verwendet werden. Dabei spielt weder der Inhalt der Eingaben noch die betätigten Schaltflächen eine Rolle. Entscheidend ist ausschliesslich, ob das Interaktionsmuster auf einen Menschen oder auf ein Skript hindeutet.

Das zweite Modell bewertet die Absicht einer Session. Dazu berücksichtigt es unter anderem die Statuscodes des Backends sowie die Beurteilung der einzelnen Requests durch den Airlock Gateway. So erkennt es Verhaltensmuster, die typisch für automatisierte Angriffe sind.

Eine Abwehrmassnahme erfolgt erst, wenn beide Modelle übereinstimmen: Die Session muss sowohl als automatisiert als auch als schädlich eingestuft werden. Ein Bot wird also nicht blockiert, weil er ein Bot ist, sondern weil er ein bösartiges Verhalten zeigt.

Dadurch bleiben legitime Bots, beispielsweise Suchmaschinen oder KI-Crawler, unbehelligt. Sie sind zwar automatisiert, erfüllen jedoch nicht das zweite Kriterium einer schädlichen Nutzung.

Verhaltensanalyse ohne Nutzeridentifikation

Bei einer Verhaltensanalyse stellt sich schnell die Frage nach dem Datenschutz. Der Airlock Anomaly Shield wurde deshalb so entwickelt, dass er keine Personen identifizieren muss. Er benötigt weder authentifizierte Sessions noch erstellt er Profile einzelner Nutzer.

Stattdessen bewertet er ausschliesslich das Verhalten einer Session. Er beantwortet dabei nur eine einzige Frage: Handelt es sich um einen Menschen oder um eine automatisierte Anwendung? Wer die Person hinter einer Session ist oder ob dieselbe Person später erneut auf die Anwendung zugreift, spielt für die Erkennung keine Rolle.

Dieser datensparsame Ansatz ermöglicht eine wirksame Erkennung schädlicher Automatisierung, ohne Nutzer zu identifizieren oder ihr Verhalten über verschiedene Sitzungen hinweg nachzuverfolgen.

Login-Seiten und Self-Service-Prozesse gehören zu den häufigsten Angriffszielen automatisierter Angriffe. Mit Password Spraying und Credential Stuffing versuchen Angreifer, Benutzerkonten in grosser Zahl zu kompromittieren, ohne dabei Schwachstellen der Anwendung ausnutzen zu müssen.

Wie bei der Bot-Erkennung kombiniert der Airlock Anomaly Shield auch hier mehrere Modelle, die unterschiedliche Aspekte des Angriffs bewerten.

Ein Modell analysiert die Verwendung von Formularen. Es bewertet verschiedene Merkmale der Formularnutzung und vergleicht sie mit dem erlernten Normalverhalten. Dadurch erkennt es ungewöhnliche Nutzungsmuster, wie sie bei automatisierten Angriffen auf Login-, Passwort-Reset- oder andere Formulare auftreten können.
Im Gegensatz zu regelbasierten Lösungen müssen diese Formulare nicht manuell konfiguriert werden. Der Anomaly Shield erkennt Formular-Endpunkte und ihr normales Nutzungsverhalten automatisch. Dadurch entfällt die aufwendige Pflege von Login-URLs oder Formularfeldern.

Ein zweites Modell betrachtet verschiedene Metadaten der Requests einer Session. Daraus lernt es, welche Verhaltensmuster im normalen Betrieb typisch sind. Sessions, deren Verhalten deutlich ausserhalb dieser Muster liegt, werden als Anomalien eingestuft.

Erst wenn beide Modelle auf einen Angriff hindeuten, wird der Anomaly Shield aktiv und unterbindet weitere Zugriffe dieser Session. Dadurch lassen sich automatisierte Angriffe erkennen, ohne legitime Benutzer aufgrund einzelner Auffälligkeiten unnötig einzuschränken.

In verschiedenen Angriffsszenarien mit Password Spraying und Credential Stuffing konnten wir nachweisen, dass mindestens 97 % aller Angriffsversuche auf Login-Seiten abgewehrt wurden.

Angriffsmuster erkennen, bevor geschützte Systeme belastet werden

Der Airlock Anomaly Shield erkennt automatisierte Angriffe bereits auf Ebene der Web Application Firewalls. Dadurch werden schädliche Sessions gestoppt, bevor sie das geschützte IAM-System oder die Anwendung erreichen.

Gerade bei Password Spraying und Credential Stuffing ist dies ein entscheidender Vorteil. Jede blockierte Login-Anfrage verhindert, dass das Backend rechenintensive Operationen wie die Berechnung von Argon2id-Passworthashes, Datenbankabfragen oder weitere Schritte der Authentisierung ausführen muss.

Dadurch werden geschützte Systeme auch bei laufenden Angriffen nur mit legitimen Anfragen belastet. Die verfügbaren Ressourcen stehen den echten Benutzern zur Verfügung, anstatt für automatisierte Angriffe verbraucht zu werden.