KI-Agenten erkennen: Wie sich die Browser von Claude, ChatGPT und Perplexity von Menschen unterscheiden

2024 sind KI-Agenten von experimentellen Demos in den Produktions-Traffic gewechselt. Claudes Computer-Use-API kann einen Browser steuern. Die Browsing-Tools von ChatGPT navigieren über Websites, um Anfragen zu beantworten. Perplexitys Answer-Engine crawlt in Echtzeit. Und eine wachsende Kategorie KI-gestützter Assistenten — Browserbase, Anthropics Computer Use, OpenAI Operator — erledigt Web-Aufgaben Ende-zu-Ende im Auftrag von Nutzern.

Für eine Website entsteht damit eine neue Besucherkategorie, die in keinen der beiden Körbe traditioneller Bot-Erkennung passt. KI-Agenten sind keine Scraper, die Daten in großem Stil extrahieren. Sie sind keine Menschen, die sich durch eine UI klicken. Sie sind etwas dazwischen — ein Besucher pro Session, ein Ziel pro Besuch, aber ausgeführt in Maschinengeschwindigkeit mit mechanischer Präzision.

Sie zu erkennen ist aus anderen Gründen wichtig als das Erkennen von Bots. Manchmal will man sie bedienen (ein hilfreicher Agent, der für einen Kunden einkauft). Manchmal will man sie blockieren (unautorisiertes Scraping über einen KI-Wrapper). So oder so muss man zuerst wissen, dass sie da sind.

Wie sich KI-Agenten architektonisch unterscheiden

Drei Hauptarchitekturen erzeugen KI-Agenten-Traffic im Web:

Browser-steuernde Agenten betreiben einen Headless- oder Headful-Browser, der von einem LLM gesteuert wird. Anthropics Computer Use, OpenAI Operator, Browserbase und Skyvern gehören alle hierher. Der Browser ist echtes Chrome oder Chromium. Der Agent instruiert ihn über DOM-Manipulation oder über Screenshot-Analyse und Koordinaten-Klicks.

API-only-Agenten rufen Seiten über HTTP-Bibliotheken ab (Node.js, Python, Go) und übergeben das HTML einem LLM zur Verarbeitung. Die meisten Perplexity- und suchbasierten Agenten arbeiten so. Es gibt keinen Browser — nur eine Abrufschicht, die Text an ein Modell füttert.

Hybride Agenten nutzen einen Browser für JavaScript-lastige Sites und API-Abrufe für statische Inhalte. Viele Produktions-Agenten fallen in diese Kategorie und wählen dynamisch je nach Ziel.

Jede Architektur hinterlässt andere Fingerprints.

Signal 1. Lebensdauer der Browser-Session

Echte Nutzer haben lange, unfokussierte Sessions. Sie öffnen Tabs, lassen sich ablenken, kommen zurück. Die mediane menschliche Session-Dauer bei einer Entscheidungsaufgabe liegt bei 8–20 Minuten.

KI-Agenten haben kurze, fokussierte Sessions. Eine typische Computer-Use-Aufgabe — einen Flug buchen, Lebensmittel bestellen, Produktdaten extrahieren — dauert Ende-zu-Ende 30 Sekunden bis 3 Minuten. Die Session beginnt mit dem Seitenladen, führt 5–30 Aktionen in Folge aus und endet.

Eine Session-Dauer unter 5 Minuten mit mehr als 10 diskreten Aktionen und ohne Wechsel des Browser-Tabs ist untypisches menschliches Verhalten und typisches Agenten-Verhalten.

Signal 2. Präzision der Klick-Koordinaten

Browser-steuernde Agenten von Anthropic und OpenAI identifizieren UI-Elemente per Screenshot-Analyse und klicken dann auf Koordinaten. Die Koordinatenberechnung ist pixelgenau.

Echte Nutzer klicken innerhalb von Regionen. Ein Button von 200x40 Pixeln erhält Klicks, die über die gesamte Fläche verteilt sind — zur Mitte hin gewichtet, aber mit menschlicher Varianz. KI-Agenten klicken in einem schmalen Band — oft innerhalb von 2–3 Pixeln um das geometrische Zentrum des Elements. Hundert Klicks mit einer mittleren Abweichung unter 3 Pixeln sind keine menschliche Verteilung.

Die Erkennung erfordert das Sammeln von Klick-Koordinaten und deren Analyse relativ zu den Elementgrenzen. Auf Daten über die Länge einer Session funktioniert das gut.

Signal 3. Fehlen von explorativem Scrollen

Menschen scrollen, um zu sehen, was auf einer Seite ist. Sie scrollen nach unten, dann wieder hoch, dann ein Stück weit. Sie halten bei Inhalten inne, die ihre Aufmerksamkeit wecken. Ihre Scroll-Spuren sind zerklüftet.

KI-Agenten scrollen nur, wenn es nötig ist. Ist das Ziel, auf „In den Warenkorb" zu klicken, und liegt der Button above the fold, scrollt der Agent unter Umständen überhaupt nicht. Liegt das Zielelement below the fold, scrollt der Agent einmal, direkt zum Ziel, und führt dann aus.

Sessions mit weniger als 2 Richtungswechseln beim Scrollen oder mit konstanter Scroll-Geschwindigkeit über alle Scroll-Events hinweg deuten auf aufgabengetriebenes Browsen statt Exploration hin.

Signal 4. Timing der Texteingabe

Echte Nutzer tippen mit 30–60 Wörtern pro Minute, mit variablen Pausen, gelegentlichen Löschungen und Mikro-Korrekturen. Das Tastatur-Timing folgt einer Verteilung mit hoher Varianz und einer Löschrate über null.

KI-Agenten füllen Formulare, indem sie Werte einfügen oder Tastenanschläge in festem Takt simulieren — oft 50–100 Zeichen pro Sekunde, gleichförmig, ohne Löschungen. Ein Feld, das in 200ms mit einem 30-Zeichen-String und null Backspaces gefüllt wird, ist keine menschliche Eingabe.

Signal 5. Fehlen von Tippfehlern

Verwandt, aber eigenständig: Menschen machen Tippfehler. Auf 1000 Zeichen Texteingabe produzieren echte Nutzer 15–40 Korrekturen. KI-Agenten produzieren null. Eine Formularübermittlung mit 3 Feldern und insgesamt über 100 Zeichen ohne eine einzige Korrektur ist für einen Menschen ungewöhnlich.

Signal 6. Inkonsistenzen beim User-Agent

Einige KI-Agenten verwenden eigene User-Agents, die sie explizit identifizieren: perplexity-user, ChatGPT-User, ClaudeBot. Das sind höfliche Agenten, die der Konvention der Selbstidentifikation folgen und oft robots.txt respektieren.

Die Erkennung ist hier trivial — User-Agent lesen, gegen bekannte Listen abgleichen. Der Wert liegt darin zu wissen, wann man sie anders bedienen sollte (oder blockieren, wenn man kein Scraping möchte).

Andere Agenten laufen auf Browser-steuernden Frameworks und erben, welchen User-Agent auch immer der Browser nutzt — typischerweise Chrome. Diese sind allein über den User-Agent schwerer zu identifizieren und erfordern Verhaltenssignale.

Signal 7. WebGL-Rendering im Headless-Betrieb

Browser-steuernde Agenten, die Chromium im Headless-Modus nutzen, exponieren den SwiftShader-Renderer, den wir im Puppeteer-Artikel besprochen haben. Jede Session, in der der WebGL-Renderer SwiftShader enthält und der Besucher mehr als 10 gezielte Aktionen ausführt, ist mit an Sicherheit grenzender Wahrscheinlichkeit ein Browser-steuernder KI-Agent.

Neuere Agenten-Frameworks (Browserbase, einige Skyvern-Setups) fahren Headful-Chrome, um dieses Signal zu vermeiden. Sie präsentieren echte GPU-Strings. WebGL allein reicht für die Erkennung moderner Agenten daher nicht aus — notwendig als erster Filter, aber keine vollständige Lösung.

Signal 8. Perfekte Einhaltung der Seitenstruktur

Echte Nutzer klicken auf Links, selbst wenn gerade ein Seiten-Redirect läuft. Sie unterbrechen sich selbst. Sie doppelklicken, wo ein einzelner Klick genügen würde. Sie klicken auf Dinge, die keine Links sind.

KI-Agenten folgen dem DOM. Wollen sie navigieren, richten sie eine Aktion gegen ein spezifisches Element. Sie klicken nicht auf das falsche Element und laden nicht mitten im Ladevorgang neu. Ihre Sessions entfalten sich mit einer mechanischen Linearität, die kein abgelenkter Mensch produziert.

Session-Traces mit perfekter Einhaltung — jeder Klick auf ein gültiges Element, jedes Formularfeld in DOM-Reihenfolge gefüllt, jeder Seitenübergang von einer bewussten Aktion eingeleitet — lesen sich als agentengesteuert.

Signal 9. Time-to-Interactive ist null

Echte Nutzer brauchen Zeit, um eine Seite zu verarbeiten. Sie lesen. Sie überfliegen. Sie verstehen, bevor sie handeln.

KI-Agenten parsen das DOM sofort. Die Zeit zwischen abgeschlossenem Seitenladen und erster Nutzeraktion beträgt bei einem echten Nutzer typischerweise 1.5–4 Sekunden, selbst auf einfachen Seiten. Bei KI-Agenten kann sie unter 200ms liegen — die Zeit, die das LLM braucht, um das Zielelement im DOM zu identifizieren.

Eine sehr schnelle erste Aktion auf einer Seite, die das Verstehen von Inhalten erfordert, ist ein starkes Agenten-Signal.

Signal 10. HTTP-Abrufmuster bei API-only-Agenten

Perplexity, einige Tool-Use-Flows von Claude und die meisten suchbasierten Agenten betreiben keine Browser. Sie rufen Seiten direkt über HTTP-Bibliotheken ab.

Diese Agenten hinterlassen die TLS- und HTTP-Signale, die wir zuvor besprochen haben — den undici-Fingerprint von Node.js, den Python-requests-Fingerprint, den Go-net/http-Fingerprint. Sie führen typischerweise kein JavaScript aus und lösen daher clientseitige Erkennung gar nicht erst aus.

Die Erkennung von API-only-Agenten findet auf der Netzwerkebene statt: TLS-JA4-Hashes, Reihenfolge der HTTP-Header, fehlende browserspezifische Verhaltensweisen (kein Favicon-Abruf, kein Analytics-Beacon, keine Font-Requests). Wer diese Agenten identifizieren will, muss ebenso darauf schauen, was nicht passiert, wie darauf, was passiert.

Signal 11. Aufgabenförmige Session-Ziele

Das stärkste Signal ist nicht technisch — es ist verhaltensbasiert. KI-Agenten-Sessions sind zielgerichtet auf eine Weise, wie es menschliche Sessions selten sind.

Ein echter Nutzer, der ein Produkt sucht, schaut sich vielleicht 8 Artikel an, vergleicht Spezifikationen über 3 Tabs, liest Bewertungen, bricht ab, kommt eine Stunde später zurück und kauft dann. Ein KI-Agent geht zum Produkt, extrahiert die Spezifikationen, legt es in den Warenkorb, schließt den Kauf ab. Unter 90 Sekunden. Ohne Abweichung.

Erkennungssysteme, die Zielabschlussraten auf Session-Ebene verfolgen, können Agenten-Traffic an der Dichte erfolgreich abgeschlossener Aufgaben in kurzen Sessions identifizieren. Das ist ein langsameres Signal, aber ein hochzuverlässiges, wenn es mit Signalen pro Aktion kombiniert wird.

Agenten anders bedienen

Einmal identifiziert, lässt sich KI-Agenten-Traffic auf mehrere Arten behandeln:

• Blockieren — wenn die Site keinen automatisierten Zugriff will, an der Edge ablehnen. Günstig und einfach.

• Alternative Inhalte ausliefern — mit einer API-optimierten Version antworten (JSON, strukturierte Daten), die günstiger zu erzeugen ist als die vollständige HTML-Seite.

• Rate-Limiting — Agenten zulassen, aber ihre Request-Rate begrenzen, um die Performance der Site zu erhalten.

• Abrechnen — einige Sites beginnen, KI-Unternehmen für den programmatischen Zugriff auf ihre Daten Geld zu berechnen. Erkennung ist die Voraussetzung für Abrechnung.

• Normal bedienen — handelt der Agent im Auftrag eines echten Kunden, ist es Geschäft, ihn zu bedienen.

Verschiedene Sites werden unterschiedlich entscheiden. Technisch entscheidend ist, die Erkennung im Einsatz zu haben, damit die Wahl überhaupt besteht.

Das bewegliche Ziel

KI-Agenten-Frameworks verbessern sich monatlich. Anthropic liefert Computer-Use-Updates aus, die Scroll-Varianz hinzufügen. Browserbase ergänzt Maus-Jitter. OpenAI Operator führt Tippfehler-Simulation ein. Jede Framework-Generation schließt einen Teil der oben beschriebenen Erkennungsoberfläche.

Die Techniken, die 2026 funktionieren, werden bis 2027 Aktualisierung brauchen. Doch die zugrunde liegende Realität ändert sich nicht: KI-Agenten führen Aufgaben aus. Menschen erleben Websites. Diese Asymmetrie erzeugt Signal — egal mit welchen konkreten Techniken Agenten versuchen, sich einzufügen.

Erkennungs-Stacks, die KI-Agenten als dauerhafte, sich weiterentwickelnde Kategorie behandeln — statt als einmal gelöstes Problem —, behalten die Sichtbarkeit. Wer einen einzelnen Detektor ausliefert und weiterzieht, wird erleben, wie seine Abdeckung still erodiert.