GA4 schließt Traffic von bekannten Bots und Spidern bereits automatisch aus, und du kannst das weder abschalten noch sehen, wie viel ausgeschlossen wurde. Was GA4 nicht ausschließen kann, ist Automatisierung, die es nicht kennt: Bots, die so gebaut sind, dass sie wie normale Besucher aussehen. Genau die klicken auf Anzeigen und füllen Formulare aus, und in deinen Berichten sehen sie wie Nutzer aus. So erkennst du sie, das können die GA4-Werkzeuge und das nicht, und das zählt am meisten, wenn du Werbung schaltest.
Was GA4 schon herausfiltert
Google ermittelt bekannte Bots und Spider aus eigenen Forschungsdaten und der „International Spiders and Bots List“ des Interactive Advertising Bureau (IAB) und schließt ihren Traffic aus jeder GA4-Property aus. Dafür gibt es keine Einstellung: Du kannst den Ausschluss nicht deaktivieren, und GA4 meldet nicht, wie viel Traffic ausgeschlossen wurde.
Eine Liste bekannter Bots erfasst Automatisierung, die sich zu erkennen gibt oder schon katalogisiert ist, etwa die Crawler von Suchmaschinen und Monitoring-Dienste. Automatisierung, die als echter Browser durchgehen soll, steht nicht darauf. Sie landet mit denselben Dimensionen wie ein Besucher in deinen Berichten.
Warum die Interaktionsrate nicht beweist, dass ein Besucher ein Mensch ist
GA4 zählt eine Sitzung als Sitzung mit Interaktion, wenn sie länger als 10 Sekunden dauert, ein Schlüsselereignis hat oder mindestens zwei Seiten- oder Bildschirmaufrufe. Die Absprungrate ist der Anteil der Sitzungen ohne Interaktion.
Jedes dieser Kriterien ist für Automatisierung leicht zu erfüllen. Ein Bot, der ein paar Sekunden wartet, eine zweite Seite lädt oder dein Formular abschickt, erzeugt eine Sitzung mit Interaktion, und wenn das Abschicken des Formulars ein Schlüsselereignis ist, auch eine Conversion. Eine gute Interaktionsrate sagt dir, dass die Sitzungen etwas getan haben. Sie sagt dir nicht, wer.
Anzeichen in deinen Berichten
Keines davon beweist allein einen Bot. Zusammen, und vor allem, wenn sie am selben Tag beginnen, lohnt sich ein genauerer Blick. Eine explorative Datenanalyse, die Sitzungen nach diesen Dimensionen aufschlüsselt, macht den Vergleich einfach.
- Ein Anstieg aus einer einzigen Quelle, Kampagne oder Landingpage ohne entsprechenden Anstieg bei Verkäufen oder qualifizierten Leads.
- Traffic aus Gegenden, in die du nicht verkaufst, oder gebündelt in wenigen Städten mit Rechenzentren statt Kunden, etwa Frankfurt, Nürnberg oder Ashburn in Virginia.
- Viele neue Nutzer mit identischer Ausstattung: dieselbe Browserversion, dieselbe Bildschirmgröße und dasselbe Gerät, im Abstand von Minuten.
- Schlüsselereignisse, aus denen nichts wird: Leads mit falschen Angaben, Nummern, unter denen nie jemand rangeht, Warenkörbe, die nie zu Bestellungen werden.
- Sitzungen, die entweder sofort enden oder seltsam gleichförmig sind: kaum Interaktionszeit oder bei jedem Besuch dieselben paar Sekunden.
Die Welle aus China und Singapur
Seit Oktober 2025 zeigen viele GA4-Properties plötzliche Spitzen von Sitzungen aus China, oft aus Lanzhou, und aus Singapur: fast nur direkter Traffic, eine Seite pro Sitzung, kaum Interaktionszeit und kein Scrollen, keine Klicks, keine Conversions. Im Thread dazu in der Google Analytics-Hilfe-Community gab ein ehrenamtlicher Produktexperte im November 2025 weiter, dass Googles Teams eine neue, gezielte Form nicht menschlichen Traffics erkannt hatten, die an der üblichen Bot-Filterung vorbeikommt, und dass eine langfristige Lösung in Arbeit ist. Als sofortiger Schritt wurde dort ein Segment in einer explorativen Datenanalyse empfohlen, weil es nur ändert, wie du die Daten siehst, sodass kein echter Traffic dauerhaft ausgeschlossen wird. Der Ratgeber zu Traffic aus China und Singapur in GA4 erklärt es Schritt für Schritt.
Wenn du in diesen Ländern nicht verkaufst, hält ein Segment oder Berichtsfilter, der sie auslässt, deine Diagramme sauber, ohne etwas zu löschen. Taucht dasselbe Muster in deinem bezahlten Traffic auf, kostet es dich Klicks, und die Adressen sind einen Blick wert: Füge sie oder dein Server-Log in den kostenlosen Generator für IP-Ausschlusslisten ein. Er zählt die Google-Ads-Klicks jeder Adresse und markiert die in Cloud-Netzen, darunter Alibaba Cloud, Tencent Cloud und Huawei Cloud.
Quelle: Google Analytics-Hilfe-Community, Google Analytics 4 Bot Traffic Increase from China / Singapore on WordPress Sites (das Update des Produktexperten vom 10. November 2025, auf Englisch).
Was die GA4-Werkzeuge leisten
| Werkzeug | Was es tut | Grenze |
|---|---|---|
| Ausschluss bekannter Bots | Entfernt Traffic von bekannten Bots und Spidern | Immer aktiv; nur bekannte Bots; kein Bericht über Entferntes |
| Datenfilter „Interner Traffic“ | Schließt Ereignisse von IP-Adressen oder -Bereichen aus, die du festlegst | Nur Websites, keine App-Nutzer; bis zu 10 Datenfilter pro Property |
| Datenfilter „Traffic – Webhostname“ | Schließt Ereignisdaten aus, die von Domains kommen, die du auswählst | Betrifft Daten anderer Domains, nicht Bots auf deiner eigenen Website |
| Berichtsfilter und Vergleiche | Blenden Traffic in einem Bericht aus oder isolieren ihn | Ändern, was du siehst, nicht, was erfasst wurde |
Datenfilter gelten ab dem Moment ihrer Erstellung und wirken sich nicht auf Verlaufsdaten aus, und ihre Wirkung ist dauerhaft: Ausgeschlossene Ereignisse werden nie verarbeitet und lassen sich nicht zurückholen. Ein IP-Filter wirkt außerdem nur auf die Adressen, die du einträgst, und automatisierter Traffic behält selten lange dieselbe Adresse. Um verdächtige Bots in vorhandenen Daten zu untersuchen, nutze stattdessen Berichtsfilter und Vergleiche.
Quellen: Google Analytics-Hilfe, Ausschluss von Traffic von bekannten Bots, [GA4] Interaktions- und Absprungrate, Datenfilter und Internen Traffic herausfiltern. Die Grenze von 10 Datenfiltern pro Property steht in der englischen Fassung der letzten Seite.
Wo es am meisten zählt: was du an deine Werbeplattformen sendest
Ein Bot in deinen Berichten verzerrt ein Diagramm. Eine Bot-Conversion, die Google Ads oder Meta erreicht, verändert, was du als Nächstes einkaufst. Wenn GA4-Schlüsselereignisse als Conversions in Google Ads importiert werden oder deine Formulare und dein Checkout direkt an deine Werbeplattformen melden, sagt jeder konvertierende Bot ihren Gebotsstrategien, mehr Traffic wie ihn zu finden. Den Bericht hinterher zu filtern, macht das nicht rückgängig.
Beheb es an der Quelle
Berichte zu bereinigen, lohnt sich, aber der größere Gewinn ist, Bot-Conversions aus dem herauszuhalten, woraus deine Werbeplattformen lernen. Unser Ratgeber zu Fake-Leads aus Google Ads behandelt die Formularseite, der zu Card Testing bei WooCommerce die Shopseite.
Wo AdProtektor ansetzt
- Es prüft jeden Besuch. AdProtektor bewertet jeden Besuch auf deiner Website und ordnet den Traffic echten Besuchern, Crawlern, Bots, Wettbewerbern und Klickfarmen zu, mit den Nachweisen hinter jedem Urteil im Dashboard.
- Es sperrt wiederkehrende Quellen. Besucher, die deinen Bedrohungs-Schwellenwert überschreiten, werden gesperrt, und die stärksten Quellen landen in deinen Google-Ads-IP-Ausschlusslisten.
- Es hält gesperrte Besucher aus dem Lernen heraus. Mit ConversionOS und aktivem Betrugsschutz wird eine Conversion von einem Besucher, den AdProtektor gesperrt hat, zurückgehalten, statt an GA4, Google Ads oder Meta zu gehen.
Das Zurückhalten betrifft die Conversions, die ConversionOS sendet. Ereignisse, die dein eigenes GA4-Tag direkt erfasst, fallen nicht darunter. Wenn du auch Schlüsselereignisse aus dem Tag zählst, vergleiche sie mit den Besuchern, die AdProtektor markiert hat.
GA4 sagt dir, dass eine Sitzung Interaktion hatte. Es kann dir nicht sagen, dass ein Mensch dahinterstand.
Um zu sehen, welche deiner Besucher Bots sind, starte eine kostenlose Testphase und füge das Skript in deine Website ein.