KI-Bots verursachen fast die Hälfte des gesamten Commerce-Traffics

Angriffsvektoren: APIs als primäre Angriffsfläche, Layer-7-DDoS steigt um 104 %

Der Bericht bestätigt, dass APIs zur dominierenden Angriffsfläche geworden sind. 87 % aller Organisationen hatten 2025 einen API-bezogenen Sicherheitsvorfall . Allein die Commerce-Branche war zwischen 2024 und 2025 mehr als 200 Milliarden Angriffen auf Anwendungen und APIs ausgesetzt . API-Webangriffe stiegen zwischen Q4 2024 und Q4 2025 um 9 % und übertrafen damit das Volumen traditioneller Webanwendungsangriffe .

Layer-7-DDoS-Attacken explodieren regelrecht. Akamai meldet einen Anstieg solcher Angriffe um 104 % über zwei Jahre (2023–2025), mit einer Steigerung von 61 % allein von 2024 auf 2025 . Der Commerce-Sektor war zwischen 2024 und 2025 fast drei Billionen Layer-7-DDoS-Angriffen ausgesetzt . Der Einzelhandel wurde am härtesten getroffen – 84 % aller Layer-7-DDoS-Angriffe auf die Commerce-Branche zielten auf den Retail-Sektor .

Regionaler Anstieg: APAC führt mit 63 % mehr Bots

Die regionalen Trends zeigen deutliche Unterschiede :

• APAC – Explosives Wachstum: Die Bot-Zahlen stiegen um 63 % – so stark wie in keiner anderen Region . Der fragmentierte Reisemarkt und die Treueprogramme in APAC machten die Region zu einem primären Ziel .
• LATAM – Bot-Aktivität sprang um 48 % nach oben .
• EMEA – Moderater Anstieg der automatisierten Bot-Aktivität um 16 % .
• Nordamerika – Leichter Anstieg um 7 %, allerdings führte Nordamerika bei der reinen KI-Bot-Aktivität mit 33 Milliarden Zählern .

Agentic Commerce: Neue Risiken verwischen die Grenze zwischen Freund und Feind

Der Aufstieg des Agentic Commerce – bei dem KI-Agenten autonom im Namen von Nutzern einkaufen, Transaktionen durchführen und interagieren – hat die Bedrohungslandschaft grundlegend verändert. Angreifer nutzen aktiv die Vertrauenslücke zwischen menschlichen und maschinengesteuerten Interaktionen aus .

Bedrohungsakteure bewaffnen KI-Bots, um fortgeschrittene Angriffe zu automatisieren, die Sitzungsabläufe, Authentifizierungsmechanismen und API-Geschäftslogik ausnutzen, sowie um im großen Stil Identitäten zu erstellen und zu verwalten . Schadsoftware machte zwischen November 2025 und April 2026 56,5 % der Endpunkt-Bedrohungsaktivität aus, was darauf hindeutet, dass agentische Arbeitsabläufe die Endpunkt-Angriffsfläche vergrößern .

Der Bericht warnt, dass gutartige KI-Einkaufsagenten und bösartige Bots inzwischen nahezu identisch aussehen, was traditionelle Bot-Erkennung allein unzureichend macht .

Akamais Agentic Security Framework: Eine einheitliche Vertrauensebene mit Visa und Experian

Als Reaktion darauf kündigte Akamai am 15. Juni 2026 sein einheitliches Agentic Security Framework für seine Bot- und Agenten-Kontrolllösungen an . Das Framework verbindet Identität, Beobachtbarkeit, Vertrauen und Edge-Sicherheit in einer einzigen Echtzeit-Entscheidungsebene am Edge . Es besteht aus sechs eng integrierten Säulen :

• Verifizierte Identität und menschliche Zuordnung
• Benutzerzentrierte Authentifizierung
• Adaptive Vertrauensanalyse
• Edge-basierte Durchsetzung
• Content-Monetarisierung und Wertschöpfung
• Betriebliche Transparenz und Verkehrsanalyse

Zu den Partnern im Ökosystem gehören Visa, Experian, Skyfire, Ping Identity, Auth0 und Tollbit . Visa steuert insbesondere sein Trusted Agent Protocol (TAP) bei, um KI-Einkaufsagenten kryptografisch zu verifizieren und Betrug in der Akamai Cloud zu verhindern . Das Framework soll die grundlegenden Fragen nach Identität, Absicht und Vertrauen beantworten, die aufkommen, wenn KI-Agenten im Namen von Nutzern handeln .

Was CISOs jetzt tun sollten: Strategische Empfehlungen

Basierend auf den Erkenntnissen des Berichts empfiehlt Akamai Sicherheitsverantwortlichen folgende Prioritäten :

• Agentenbewusste Sicherheitsframeworks einführen – Echtzeit-Entscheidungen zu Identität, Beobachtbarkeit und Vertrauen implementieren, anstatt sich auf veraltete Bot-Erkennung zu verlassen.
• APIs als primäre Angriffsfläche absichern – API-Sicherheit als geschäftskritische Notwendigkeit behandeln, nicht nur als technisches Problem. Kontinuierliche API-Erkennung und verhaltensbasierte Überwachung durchführen.
• Auf Layer-7-DDoS in Spitzenzeiten vorbereiten – Da der Einzelhandel 84 % der Layer-7-DDoS-Angriffe auf den Commerce-Sektor absorbiert, DDoS-Abwehrmaßnahmen vor verkehrsstarken Einkaufsterminen skalieren.
• In regionalisierte Abwehr investieren – APAC aufgrund des 63-prozentigen Bot-Anstiegs priorisieren, aber EMEA und Nordamerika nicht vernachlässigen.
• Neue Authentifizierungsstandards übernehmen – Protokolle wie das Visa Trusted Agent Protocol (TAP), Web Bot Authentication und Know Your Agent (KYA) bringen kryptografische Verifikation in Bot-/Agenten-Interaktionen.
• Bot- und Betrugskontrollen integrieren – Da KI-Bots die Grenze zwischen legitimen Scraping-Aktivitäten und böswilligem Betrug verschwimmen lassen, müssen Sicherheits- und Betrugsteams ihre Strategien vereinheitlichen.