Die Nachricht kam an einem Mittwochmorgen. Absender: der Mailserver. Betreff: unzustellbar.
Die Website eines Kunden hatte eine Eingangsbestätigung verschickt, so wie sie es bei jeder Anfrage tut. Nur existierte die Empfängeradresse nicht. Sie war nie echt gewesen. Ein Programm hatte in der Nacht das Kontaktformular ausgefüllt, mit erfundenem Namen und erfundener Adresse, und die Website hatte höflich geantwortet.
Am selben Vormittag warteten bei einer anderen Kundenwebsite zwei Kommentare auf Freigabe, beide mit Werbelinks in kyrillischer Schrift, beide innerhalb von acht Stunden eingegangen.
Zwei Websites, ein Vormittag, kein einziger Mensch beteiligt.
Die Mehrheit ist gekippt
Der Bad Bot Report von Thales und Imperva misst seit dreizehn Jahren, wer sich im Netz eigentlich bewegt. Die Ausgabe 2026 wertet 17,2 Billionen Anfragen aus dem Jahr 2025 aus.
53 Prozent davon kamen von Maschinen. Menschen: 47 Prozent. Im Vorjahr stand es noch 51 zu 49, und der Abstand wächst.
Das ist keine Schlagzeile für Sicherheitsforscher, sondern eine Aussage über deinen Betrieb. Wenn dein Analytics dreihundert Zugriffe im Monat zeigt, ist die Hälfte davon niemand, der bei dir kaufen könnte.
Nicht jede Maschine ist ein Gegner
Die Zahl allein führt in die Irre, denn sie mischt zwei Gruppen, die kaum unterschiedlicher sein könnten.
Etwa 13 Prozent sind Programme, die du brauchst. Der Googlebot, der deine Seiten in den Index aufnimmt. KI-Crawler, die Inhalte für Antworten sammeln. Dienste, die prüfen, ob deine Seite überhaupt erreichbar ist. Ohne sie findet dich niemand.
Die anderen 40 Prozent sind das Problem. Programme, die Inhalte abgreifen, Passwörter durchprobieren, Formulare zumüllen. Ihr Anteil ist von 37 auf 40 Prozent gestiegen, das siebte Wachstumsjahr in Folge. Der Treiber ist offensichtlich: KI-gestützte Angriffe haben sich innert eines Jahres mehr als verzwölffacht. Nicht, weil die Angreifer besser geworden sind, sondern weil die Werkzeuge inzwischen jeder bedienen kann.
Und sie sind schwerer zu erkennen als früher. Etwa 41 Prozent laufen über Chrome, damit sie im Serverprotokoll aussehen wie ein Besucher aus Buchs. Jeder fünfte nutzt Anschlüsse von Privathaushalten statt Rechenzentren. Wer im Analytics nach Auffälligkeiten sucht, findet meistens keine.
Warum das teuer wird, obwohl nichts kaputtgeht
Zurück zu der Fehlermeldung vom Mittwoch, denn dort steckt der eigentliche Schaden.
Ein Bot füllt das Formular aus. Die Website bestätigt an eine erfundene Adresse. Der fremde Mailserver lehnt ab und schickt die Nachricht zurück. Fachleute nennen das Backscatter, und aus Sicht der grossen Mailanbieter sieht es aus, als würde deine Domain wahllos an nicht existierende Adressen schreiben.
Einmal ist das egal. Über Wochen sinkt der Ruf deiner Domain. Und wenn dieser Ruf einmal beschädigt ist, landen irgendwann auch die Mails im Spam, die du wirklich geschrieben hast. Offerten. Rechnungen. Terminbestätigungen.
Das Tückische ist die Unsichtbarkeit. Die Website läuft, das Formular funktioniert, die Fehlermeldungen wirken wie technischer Kleinkram. Bis eine Kundin anruft und fragt, warum sie nie eine Antwort bekommen hat. Wie unsichtbar dieses Problem sein kann, habe ich in Deine Website funktioniert. Deine Anfragen kommen trotzdem nie an. an einem echten Fall beschrieben.
Vier Dinge, die reichen
Ich betreue Websites von KMU in Buchs, im Werdenberg, im Rheintal und in Liechtenstein. Was dort tatsächlich ankommt, ist selten spektakulär. Diese vier Punkte decken den grössten Teil ab.
Formulare absichern. Ein moderner, unsichtbarer Schutz fängt automatisierte Anfragen ab, ohne dass deine Besucher etwas anklicken müssen. Prüfungen aus den frühen Zehnerjahren, bei denen man Ampeln anklickt, halten heutige Programme nicht mehr auf. Bei den Websites, die ich in Hosting und Wartung betreue, gehört das zum Standard.
Mailversand über die eigene Domain. Nicht über den Webserver, sondern über ein echtes Postfach. Dazu die drei Einträge SPF, DKIM und DMARC, mit denen Empfänger prüfen können, ob eine Mail wirklich von dir stammt. Das schützt deinen Ruf und verhindert nebenbei, dass jemand in deinem Namen schreibt.
Bestätigungsmails erst danach. Wer sie aktiviert, bevor der Formularschutz steht, baut sich den Backscatter selbst ein.
Kommentarfunktion abschalten, wenn du sie nicht brauchst. Auf den meisten Firmenwebsites wurde sie nie genutzt und steht trotzdem offen.
Das ist kein Sicherheitspaket für ein paar hundert Franken im Monat. Es sind ein paar Stunden Arbeit, danach kostet es nichts mehr.
Und die gute Hälfte
Für die 13 Prozent, die du brauchst, gilt das Gegenteil von Abwehr. Sauberes Markup, aussagekräftige Alt- und Linktexte, ein Layout, das beim Laden nicht springt. Damit finden Suchmaschinen deine Inhalte, und damit finden sie auch die Programme, die inzwischen im Auftrag deiner Kunden unterwegs sind. Das habe ich in Deine Website bekommt bald Besuch, der kein Mensch ist ausführlicher beschrieben.
Bemerkenswert daran ist, dass es dieselbe Arbeit ist wie immer. Barrierefreiheit, saubere Struktur, stabile Darstellung. Nichts davon ist neu, nichts davon ist eine Wette auf die Zukunft.
Was bleibt
Die 47 Prozent bezahlen weiterhin die Rechnungen. An dieser Rechnung ändert sich nichts.
Was sich ändert, ist der Aufwand daneben. Eine Website ist nicht mehr nur ein Schaufenster, sie ist auch eine Tür, an der ständig jemand rüttelt, der nichts kaufen will. Wer diese Tür offen lässt, merkt es lange nicht und zahlt später mit seiner Zustellbarkeit.
Ein guter erster Test kostet dich zwei Minuten: Schau in dein Postfach. Wenn dort regelmässig Fehlermeldungen über nicht zustellbare Nachrichten liegen, die du nie geschrieben hast, weisst du bereits, dass deine Tür offen steht.
Und wenn du sie zumachen willst, ohne selbst in die Technik zu steigen, melde dich einfach.