Ein KI-Agent hat gerade dein Kontaktformular ausgefüllt. Ist etwas kaputtgegangen?

Am 3. Juni 2026 hat Cloudflares CEO gepostet, dass automatisierter Traffic den menschlichen im Web zum ersten Mal überholt hat. Cloudflare Radar, das rund ein Fünftel aller Websites sieht, setzt automatisierte Anfragen inzwischen auf 57,5% des HTML-Traffics gegen 42,5% von Menschen. Speziell Agenten-Anfragen sind im Jahresvergleich um über 1.700% gestiegen.

Das meiste davon ist Crawling. Manches davon nicht.

Manches davon ist eine Person, die in ChatGPT Atlas oder Perplexity Comet sitzt und getippt hat: "Such mir drei Webentwickler in meiner Gegend und frag sie nach einem Angebot", und dann Kaffee kochen gegangen ist, während der Browser das gemacht hat. Diese Anfrage landet in deinem Postfach und sieht aus wie ein Lead. Weil sie einer ist. Am anderen Ende sitzt ein Mensch mit einem Budget und einem Problem.

Die Frage nach KI-Agenten, die Websites benutzen, ist also nicht mehr philosophisch. Sie ist operativ. Wenn einer dieser Agenten durch dein Kontaktformular läuft: Funktioniert das Formular? Erfährst du davon? Und wirfst du die Anfrage aus Versehen weg?

Bots haben Menschen überholt, und manche tragen eine Geldbörse

Die wichtige Trennlinie ist nicht Bot gegen Mensch. Es ist, wer die Anweisung gegeben hat.

Cloudflare zieht diese Linie inzwischen ausdrücklich. Seine Bot-Kategorien trennen Search (Inhalte sammeln und indexieren, um später Fragen zu beantworten), Training (Inhalte nehmen, um ein Modell zu trainieren) und Agent (automatisiertes Verhalten, das in Echtzeit im Auftrag einer Person handelt). Das Dritte ist das Neue, und es ist das, was etwas kaufen kann.

Die Zahlungsnetzwerke haben es schon gemerkt. Visa hat das Trusted Agent Protocol in Visa Intelligent Commerce gefaltet, Mastercard hat dieselbe Idee in Agent Pay gebaut, und American Express hat sich für sein agentisches Commerce-Programm dazu bekannt. Alles davon steht auf Cloudflares Web-Bot-Auth-Arbeit. Niemand baut eine Zahlungsauthentifizierungsschicht für Traffic, hinter dem kein Geld steht.

Ich habe das auf keiner Kundenseite gemessen. Das sage ich klar. Ich habe keine Zahl vom Typ "wir haben gesehen, dass 4% der Anfragen von Agenten kamen", und wenn dir jemand eine hinlegt, frag hart nach, wie er sie ermittelt hat. Was ich habe, ist dasselbe wie du: eine neue Besucherkategorie, die eindeutig existiert, die nach jedem öffentlichen Maß schnell wächst, und auf die die meisten Websites kleiner Unternehmen nicht gebaut sind.

Du kannst vermutlich nicht sagen, welche Besuche Agenten waren

Und hier ist der Teil, der mich am meisten nervt. Du kannst KI-Agenten auf deinen eigenen Websites nicht sauber identifizieren, und das ist nicht deine Schuld.

Atlas und Comet sind beide Chromium. Beim einfachen Fingerprinting sehen sie fast identisch zu einer generischen Chrome-Installation aus. Gemini in Chrome und Copilot in Edge sind schlimmer, denn sie sind überhaupt keine eigenen Browser, sondern Funktionen in einem Browser, den deine Besucher ohnehin nutzen. Es gibt keinen sauberen User-Agent-String zum Filtern. Analytics zeigt dir Chrome, und es sagt dir die Wahrheit.

Es gibt Hinweise. Serverseitig tragen Atlas-Sitzungen im User Agent oft CFNetwork- und Darwin-Muster, wegen der Art, wie OpenAIs Netzwerkschicht ausgehende Anfragen umschließt. Abgespeckten Chromium-Builds fehlen Einträge im Erweiterungs-Manifest und Stimmlisten der Web Speech API, die vollständiges Chrome offenlegt. Du kannst in GA4 in der Browser-Dimension nach "Atlas", "Comet", "PerplexityBot" oder "CFNetwork" suchen und Referrer von perplexity.ai und den OpenAI-Domains prüfen.

Aber das sind Hinweise, keine Identifikation. Rund 70% des KI-nahen Traffics kommt ganz ohne Referrer an, und deswegen beschreiben so viele Leute ihn als dunklen Traffic. Wenn dein Plan davon abhängt, genau zu wissen, welche Besuche agentengetrieben waren, funktioniert der Plan noch nicht. Bau für den Fall, dass du es nicht sagen kannst.

Cloudflare hat im September die Standardeinstellungen geändert. Prüf deine.

Am 15. September 2026 sind Cloudflares neue Crawler-Standardeinstellungen in Kraft getreten. Training- und Agent-Traffic ist auf Seiten, die Werbung zeigen, jetzt standardmäßig blockiert, während Search erlaubt bleibt. Das gilt für neue Domains, neue Kunden und jeden Bestandskunden im kostenlosen Tarif. Zahlende Bestandskunden behalten ihre alten Einstellungen, solange sie nicht aktiv zustimmen.

Lies das nochmal, wenn du im kostenlosen Tarif bist. Die Agent-Kategorie ist standardmäßig blockiert. Das ist die Kategorie mit dem, was in Echtzeit im Auftrag einer Person handelt.

Für einen Publisher voller Werbung ist dieser Standard vermutlich richtig. Cloudflare hat Pay Per Crawl außerdem in Pay Per Use umbenannt, wobei Ceramic.ai Publisher bezahlt, wenn Inhalte in Ergebnissen auftauchen, und You.com bezahlt, wenn ein Agent auf Premium-Inhalte zugreift, es gibt also einen echten geschäftlichen Grund, die Linie zu halten.

Für die fünfzehnseitige Seite eines Dienstleisters mit Kontaktformular und ohne Werbung sieht die Rechnung anders aus. Du verkaufst keine Inhalte. Du versuchst, Anfragen zu bekommen. Schau nach, was deine Einstellungen gerade tatsächlich tun, denn die Standardwerte wurden für eine andere Art Website gewählt als deine. Über die andere Seite dieses Problems habe ich in AI Bots Are Crawling Your Website to Death. Here's How to Stop Them. geschrieben, und die Spannung ist real: Du willst den Scraper los und den Kunden durchlassen. Das ist derzeit schwer zu trennen.

Die entstehende Lösung heißt Web Bot Auth, ein IETF-Entwurf, der HTTP Message Signatures (RFC 9421) auf automatisierten Traffic anwendet, sodass ein Agent kryptografisch beweisen kann, wer er ist, statt es in einem Header zu behaupten. Cloudflares Programm für signierte Agenten ist mit ChatGPT Agent, Goose von Block, Browserbase und Anchor Browser gestartet, dazu Cloudflares eigenem Browser Rendering. Das ist die richtige Lösungsform. Es ist auch früh, unvollständig und deckt eine Handvoll der KI-Agenten ab, die gerade draußen Websites benutzen.

Was tatsächlich kaputtgeht

Das ist der nützliche Teil. Agenten lesen deine Seite über drei Kanäle: Screenshots, rohes HTML und den Accessibility Tree. Alles, was nur in einem davon existiert oder erst existiert, nachdem eine Maus etwas getan hat, ist ein Fehlerpunkt.

Turnstile und Verwandte. Das ist das große Ding. Turnstile bewertet Browserverhalten, Geräteintegrität und Interaktionsmuster im Hintergrund, bevor irgendeine sichtbare Aufgabe erscheint. Berichte von Leuten mit aktivem Agentenmodus beschreiben, dass die Prüfung scheitert, sogar wenn ein Mensch übernimmt und manuell klickt, weil die Browserumgebung bereits markiert war. Dein CAPTCHA fragt nicht "bist du ein Mensch", es fragt "sieht diese Sitzung normal aus", und eine nutzergetriebene Agentensitzung tut das nicht. Ein echter Kunde mit echtem Budget bekommt einen harten Stopp ohne Erklärung.

Honeypot-Felder. Ein klassisches verstecktes Eingabefeld namens website oder phone2 fängt dumme Spam-Bots wunderbar. Es fängt auch ein Sprachmodell, das das DOM liest, ein Feld namens website sieht und hilfsbereit die Firmen-URL einträgt, weil es gründlich ist. Fallen auf Feldebene setzen voraus, dass der Ausfüller dumm ist. Dieser hier ist es nicht.

Mehrstufige Assistenten. Jeder Schritt ist ein weiterer Ort, an dem Zustand verloren geht, ein weiteres dynamisch eingefügtes Feld, eine weitere Validierungsregel, die beim Verlassen feuert. Einfache Formulare überleben. Fünfstufige Qualifizierungs-Funnels mit bedingter Logik nicht.

Felder, die erst bei Hover oder beim Scrollen erscheinen. Wenn ein Feld erst nach einem Mouseover oder nach dem Feuern eines Intersection Observers rendert, kann es genauso gut nicht existieren. Dasselbe gilt für Elemente kleiner als ein paar Pixel oder solche unter einem transparenten Overlay.

Absenden-Buttons hinter JavaScript. Ein <div onclick>, das wie ein Button gestylt ist, ist als Handlung unsichtbar. Ein echter <button> nicht.

Ratenbegrenzung. Agenten sind schnell und pausieren nicht. Ein Formular, das eine Absendung pro IP alle dreißig Sekunden erlaubt, ist für Menschen in Ordnung und liest sich als Angriff von etwas, das sechs Felder in zwei Sekunden ausgefüllt hat. Zeitfallen, die alles ablehnen, was in unter zwei Sekunden fertig ist, haben dasselbe Problem, und sie waren bis dieses Jahr eine wirklich gute Anti-Spam-Technik.

Consent-Wände. Der Agent wird irgendetwas klicken. Nicht unbedingt das, was der Nutzer geklickt hätte. Wenn dein Cookie-Banner das Formular hinter einer Entscheidung verriegelt, hast du jetzt eine Einwilligung protokolliert, die niemand sinnvoll erteilt hat.

Wenn du eine statische Seite betreibst, geht How to Add a Contact Form to a Static Astro Site (Without SSR) ein Setup mit so wenigen beweglichen Teilen durch, dass das meiste von oben schlicht nicht zutrifft.

Ist es ein Lead oder Spam? Saubere Zahlen hat noch niemand

Die ehrliche Antwort auf "konvertieren agentengefüllte Anfragen" lautet: Ich weiß es nicht, und wer dir eine Prozentzahl nennt, auch nicht. Das Verhalten gibt es in nennenswertem Umfang seit rund einem Jahr. Es gibt keine verlässliche Identifikation, also keine verlässliche Kohorte, also keine verlässliche Conversion-Rate. Wer dir eine verkauft, hat sie auf Vermutungen gebaut.

Was du tun kannst, ist aufhören, deine Filter auf den falschen Feind zu optimieren. Von LLMs geschriebener Spam kommt inzwischen durchs sichtbare Formular, korrekt ausgefüllt, grammatikalisch sauber und personalisiert. Er sieht genau aus wie eine gute Anfrage. Gleichzeitig kann eine echte, agentenunterstützte Anfrage von einem realen Käufer drei deiner Abwehrmaßnahmen gleichzeitig auslösen.

Ändere also, worauf du filterst. Inhalt und Absicht, nicht Mechanik. Nennt die Nachricht etwas Konkretes über dein Geschäft, das ein Scraper nicht wüsste? Gibt es eine funktionierende Telefonnummer oder eine Domain, die zu einem echten Unternehmen auflöst? Wird eine Antwort binnen eines Tages von einem Menschen beantwortet? Der letzte Punkt ist der billigste Test, den es gibt, und er funktioniert unabhängig davon, was das Formular ausgefüllt hat.

Setz die Schwelle auf "antworte auf alles, was nicht offensichtlich Müll ist". Einen echten Kunden zu verlieren kostet mehr, als fünfzig schlechte Mails zu lesen. Mein Error Tracker hat mir eine verwandte Lektion auf die harte Tour beigebracht, in My Error Tracker Blew Up at 2 AM. The Attacker Was an SEO Tool.: Das, was wie ein Angriff aussieht, ist oft nur Software, die ihren Job macht.

Die langweilige gute Nachricht: Das ist einfach Barrierefreiheitsarbeit

Hier ist die Einsicht, die das ganze Thema handhabbar macht.

Agenten lesen den Accessibility Tree. Das ist dieselbe browsereigene Schicht aus Rollen, Namen und Zuständen, die assistive Technologie seit zwanzig Jahren nutzt. OpenAIs eigene Publisher-Dokumentation sagt, dass Atlas ARIA-Tags nutzt, dieselben Labels und Rollen, die Screenreader unterstützen, und verweist Publisher auf die WAI-ARIA-Best-Practices. Googles Hinweise für agentenfreundliche Seiten sagen dasselbe mit anderen Worten: echte <button>- und <a>-Elemente nutzen, Labels mit for an Eingaben binden, Layouts stabil halten, Hover-only-Interaktionen vermeiden, interaktive Elemente sichtbar halten.

Lies diese Liste nochmal. Das ist ein WCAG-Audit. Jeder einzelne Punkt.

Das heißt, du brauchst keine neue Disziplin, keinen neuen Anbieter und keinen "Agent-Readiness"-Berater. Du brauchst die Barrierefreiheitsarbeit, die seit 2023 auf deinem Backlog liegt. Fehlende Labels, unbeschriftete Buttons, div-Suppe als Navigation und unklare Fokuszustände brechen einen Screenreader und einen Agenten auf dieselbe Weise aus demselben Grund. Lass unseren Accessibility Checker gegen WCAG 2.2 laufen und behandle das Ergebnis als deinen Agenten-Kompatibilitätsbericht, denn fast genau das ist es.

Das ist selten in dieser Branche: zwei Probleme, eine Lösung, und die Lösung war schon aus eigenem Recht lohnend.

Die Checkliste für diese Woche

Ein halber Tag, keine neuen Werkzeuge. Das ist die gesamte praktische Antwort auf KI-Agenten, die Websites benutzen, und nichts davon ist exotisch.

1. Öffne dein Hauptkontaktformular in ChatGPT Atlas oder Perplexity Comet mit eingeschaltetem Agentenmodus und lass es eine Anfrage absenden. Schau, wo es hängen bleibt. Dieser eine Test sagt dir mehr als jeder Artikel, meiner eingeschlossen.
2. Prüf deine Cloudflare-Bot-Einstellungen. Finde heraus, ob die Agent-Kategorie auf deiner Seite blockiert ist. Entscheide bewusst, statt einen Standard zu erben, der für werbefinanzierte Publisher gedacht war.
3. Prüf das Formular-Markup. Echtes <label for> an jeder Eingabe. Echter <button type="submit">. Kein <div onclick>. Korrekte Eingabetypen und Autocomplete-Attribute.
4. Kill Hover-only- und Scroll-only-Einblendungen überall auf einem Conversion-Pfad.
5. Benenne deine Honeypot-Felder um oder entferne sie. Wenn der Feldname wie etwas Legitimes zum Ausfüllen liest, füllt ein LLM ihn aus. Bevorzuge serverseitige Bewertung gegenüber einer einzelnen versteckten Falle.
6. Lockere die Zeitfalle. Eine Mindestabsendezeit von zwei Sekunden ist jetzt ein Kundenfilter, kein Spamfilter.
7. Prüf die Ratenbegrenzung am Formular-Endpunkt. Stell sicher, dass eine schnelle, legitime Absendung nicht als Missbrauch behandelt wird.
8. Überdenk das CAPTCHA. Wenn es ein Kontaktformular mit geringem Wert bewacht statt eines Logins oder einer Zahlung, überwiegen die Anfragen, die es dich kostet, womöglich schon den Spam, den es stoppt.
9. Fass mehrstufige Formulare zu einem Schritt zusammen, wo es geht. Jeder Schritt ist auch für Menschen ein Fehlerpunkt.
10. Lass das Barrierefreiheits-Audit laufen und behebe, was es findet. Das ist der Großteil der Arbeit.

Lieber zum Ausdrucken? Lade das komplette Agent-Readiness-Audit als PDF — 9 Seiten, über 60 Prüfungen, ohne Login.

Was du nicht tun solltest

Blockier Agenten nicht pauschal. Das ist der Fehler, den ich dieses Jahr am häufigsten erwarte, und er ist auf eine Art teuer, die in keinem Bericht auftaucht, denn niemand schickt dir eine E-Mail, um dir zu sagen, dass er dir keine E-Mail schicken konnte.

Bau keine Abkürzungen nur für Agenten, keine versteckten Endpunkte, kein separates vereinfachtes Formular für Maschinen. Du pflegst dann zwei Pfade, und einer von ihnen verrottet still.

Beauftrage niemanden, der "KI-Agenten-Optimierung" als neue Leistung verkauft, bevor du ein Barrierefreiheits-Audit gemacht hast. Das Audit ist billiger und ist der Großteil der Antwort.

Und roll das nicht in deinem eigenen Team aus, ohne es zu durchdenken. Agenten deine Seite benutzen zu lassen ist eine andere Frage, als deine Mitarbeiter Agenten in euren Browsersitzungen laufen zu lassen, und das ist ein echtes Sicherheitsproblem, das ich in Lass dein Team noch keinen KI-Browser installieren behandelt habe.

Wenn du weiter gehen willst als nur nichts kaputtzumachen, ist der Opt-in-Weg WebMCP, das KI-Agenten deine Website benutzen lässt statt sie nur zu lesen. Da landet das irgendwann. Aber WebMCP ist ein Projekt. Deine Formular-Labels zu reparieren ist ein Dienstag.

Ich weiß nicht, wie sehr das in rohen Zahlen schon zählt, und das sage ich lieber, als etwas zu erfinden. Was ich weiß: Die Kosten der Bereitschaft sind gering, die Arbeit ist für menschliche Besucher ohnehin gerechtfertigt, und der Nachteil, nicht bereit zu sein, ist ein Kunde, der still woanders hingegangen ist.

Wenn du jemanden willst, der diese Checkliste gegen deine Seite fährt und dir sagt, was tatsächlich kaputt ist, ist das die Art Arbeit, die ich mache. Eine Person, kein Upsell, ehrliche Antwort in beide Richtungen.