QR-Codes statt CAPTCHA – Google setzt auf neue Bot-Abwehr

Mit "Google Cloud Fraud Defense“ treibt Google die Weiterentwicklung von reCAPTCHA voran und reagiert damit auf eine neue Realität im Web. Künftig geht es nicht mehr nur darum, Menschen von simplen Bots zu unterscheiden, sondern auch autonome KI-Agenten zu erkennen und einzuordnen. Diese Systeme übernehmen immer häufiger Aufgaben wie Produktsuche, Kaufentscheidungen oder komplette Transaktionen und werden damit zu einem festen Bestandteil des Datenverkehrs.

Der neue Ansatz setzt darauf, automatisierte Zugriffe differenzierter zu bewerten. Statt alles pauschal als Bot-Traffic abzulehnen, analysiert die Plattform, welche Art von Agent auf eine Website zugreift, wie vertrauenswürdig er ist und welche Identität dahintersteht. Grundlage dafür sind unter anderem neue technische Standards, die es erlauben, dass sich legitime Systeme kryptografisch ausweisen, anstatt nur leicht manipulierbare Merkmale zu nutzen.

Ein zentrales Werkzeug ist ein Dashboard, das Betreibern sichtbar macht, welche KI-Agenten ihre Dienste nutzen. Ergänzt wird das durch eine Regel-Engine, mit der sich festlegen lässt, wie sich unterschiedliche Nutzer und Systeme in verschiedenen Situationen verhalten dürfen. Ein verifizierter Agent kann so etwa Informationen abrufen, stößt aber bei sensiblen Aktionen wie Logins oder Zahlungen auf strengere Prüfungen.

Besonders auffällig ist die Einführung einer neuen Sicherheitsabfrage per QR-Code. Statt klassischer Bilderrätsel wird bei verdächtigen Vorgängen eine Interaktion mit einem Smartphone verlangt, um menschliche Anwesenheit zu bestätigen. Technisch knüpft das an bekannte Mechanismen an, denn sowohl App Clip unter iOS als auch Instant App unter Android erlauben es, Mini-Apps direkt über einen Link oder QR-Code auszuführen, ohne Installation und in einer stark eingeschränkten Umgebung. Das Betriebssystem erkennt dafür passende Domains, kontaktiert den Server und startet die Anwendung direkt, ohne den Umweg über den Browser.

Hinter all dem steht eine veränderte Bedrohungslage, denn Angriffe werden fortlaufend komplexer und nutzen zunehmend KI sowie künstlich erzeugte Identitäten. Google positioniert seine Lösung deshalb auch als Vertrauensplattform für ein Web, in dem nicht nur Menschen, sondern auch Maschinen eigenständig handeln.