23 KI-Agenten auf unserer Website. Die meisten wirkten menschlich

KI-Assistenten öffnen inzwischen Websites für Menschen. Sie bitten ChatGPT, zwei Preisseiten zu vergleichen, und irgendwo klickt sich ein Browser für Sie durch. Wir bauen ein Analyse-Tool, also wollten wir wissen, wie das von der anderen Seite aussieht: Erscheint so ein Besuch als Mensch, als Bot oder gar nicht?

Also haben wir eine kleine Testseite gebaut, zwei Dutzend KI-Agenten, Chatbots und Entwicklerwerkzeugen dieselbe Aufgabe gegeben und jede Anfrage und jeden Klick aufgezeichnet. Danach haben wir die Aufgabe selbst erledigt, mit Trackpad, Maus, Smartphones und zwei Bedienungshilfen, um zu sehen, wo sich Menschen und Agenten unterscheiden.

Kurz gesagt: Die meisten Agenten, die einen Browser bedienen, sehen genau aus wie ein Mensch in Chrome. Sie melden keine Automatisierung, senden einen normalen Chrome-User-Agent, und viele kamen über unseren eigenen Internetanschluss. Nur wenige sagten, was sie sind, und nur einer, Manus, hat seine Anfragen signiert, sodass eine Website sie prüfen kann. Die meisten Chatbots, die nur eine Seite abrufen, nennen Ihrem Server ihren Namen und erreichen Ihre Webanalyse nie, aber zwei von ihnen führen Ihre Skripte aus und erscheinen als Besucher, der sofort wieder geht. Wie lange ein Agent die Maustaste hält, hat sie nicht verraten: Zwei warten wie ein Mensch. Wie der Mauszeiger zum Knopf kommt, hat es getan, bei jedem klickenden Agenten in unserem Test.

Getestet am 26. Oktober 2026: 49 Durchläufe von 23 KI-Agenten, Chatbots und Werkzeugen und 8 menschliche Setups, jede Anfrage und jeder Klick aufgezeichnet. Alle bekamen dieselbe Aufgabe auf denselben drei Seiten. Methode und Grenzen stehen am Ende.

Der Test

Die Testseite war eine erfundene Notiz-App mit drei Seiten: einer Startseite, einer Preisseite und einer Kontaktseite mit Formular. Die Preisseite enthält das Detail, nach dem wir gefragt haben, nämlich ob der Team-Tarif Single Sign-on enthält, in einer Vergleichstabelle, die zugeklappt startet. Jeder Agent bekam denselben Auftrag, auf Englisch:

Go to [the address] and find out what the Team plan costs per month and whether it includes SSO. Then open the contact page and tell me what it asks for. Don’t submit anything.

Auf Deutsch: Geh auf [die Adresse], finde heraus, was der Team-Tarif im Monat kostet und ob er SSO enthält. Öffne dann die Kontaktseite und sag mir, was sie abfragt. Schick nichts ab.

Jeder Durchlauf hatte eine eigene Adresse, also gehört jede Anfrage im Server-Log zu einem bekannten Besucher. Ein kleines Skript auf der Seite meldete, was der Browser über sich selbst sagte und wie jeder Klick ablief. Was jemand eingetippt hat, las es nie.

Getestet haben wir:

• KI-Agenten, die einen Browser bedienen: den eingebauten Browser von ChatGPT Work in der ChatGPT-Desktop-App, Claude in Chrome, Claude Cowork, Claude Computer Use, die Desktop-App von Grok, den Browser Comet von Perplexity und Manus.
• Werkzeuge, die Entwickler ihren Agenten geben: agent-browser von Vercel, Playwright MCP und Chrome DevTools MCP (gesteuert von Claude Code), das quelloffene Browser Use, ein einfaches Playwright-Skript und dasselbe Skript in einem Cloud-Browser von Browserbase.
• Chatbots, die die Seite abrufen: ChatGPT, Claude, Gemini, Perplexity, Mistral Le Chat, Meta AI, DeepSeek, Claude Code, Jina Reader und den gehosteten Agenten von Browserbase.
• Menschen: ein Mac-Trackpad, eine Maus, Windows, zwei iPhones, ein Android-Smartphone und die macOS-Bedienungshilfen Sprachsteuerung und Verweilen (Dwell), die für Sie klicken.

Manche konnten wir nicht testen. Gemini in Chrome sagte uns, es könne den Browser hier nicht steuern, und sein Browser-Agent ist Berichten zufolge auf bezahlte Tarife in den USA beschränkt. Das Computer-Use-Modell von OpenAI haben wir nicht laufen lassen. Microsoft Copilot in Edge schien aus der geöffneten Seite zu antworten, ohne eigene Anfrage, also gab es nichts aufzuzeichnen.

Die Ergebnisse auf einen Blick

Jeder Agent, der die Aufgabe beendet hat, gab die Antwort, auf die unsere Testseite ausgelegt war: 9 € im Monat, kein SSO und die vier Felder des Kontaktformulars.

Die meisten Agenten sehen aus wie ein Mensch in Chrome

Bot-Erkennung beginnt meist mit drei Fragen: Sagt der Browser, dass er automatisiert ist (navigator.webdriver), nennt der User-Agent einen Bot, und kommt der Besuch aus einem Rechenzentrum? Bei den meisten Agenten lautete die Antwort auf alle drei Nein.

ChatGPT Work lief in einem Chrome 156 innerhalb der ChatGPT-Desktop-App auf unserem Mac. Es meldete webdriver: false, einen normalen Chrome-User-Agent, unsere Zeitzone, unseren Grafikchip und unsere IP-Adresse von zu Hause. Auffällig waren nur ein schmales Fenster, 319 Pixel breit, und das Tempo: Ein ganzer Besuch dauerte 11 bis 21 Sekunden. Google Analytics zeigte diese Besuche als gewöhnliche Sitzungen, unser eigenes Tool ebenso. 2025 hat Simon Willison festgestellt, dass der Agent von ChatGPT seine Anfragen signierte, damit Websites sie prüfen können. In unseren Durchläufen sendete der Browser von ChatGPT Work überhaupt keine Signatur.

Claude in Chrome läuft in Ihrem eigenen Browser, ist also Ihr Browser: dieselbe Version, dieselben Erweiterungen, dieselbe IP-Adresse. Da gibt es nichts zu unterscheiden. Comet war genauso, wenn es in unserem Comet-Fenster arbeitete: ein Chrome-145-User-Agent ohne Hinweis auf Comet oder Perplexity, über unseren Anschluss.

Grok war der seltsamste. Die Anfragen kamen von unserer IP-Adresse mit unserer Zeitzone, aber der Browser meldete Linux auf einem x86-Prozessor, 8 Kerne und keine Grafikkarte, auf einem Mac mit Apple-Chip. Es war also nicht unser Browser, aber für die Website kam er über unseren Anschluss. Wo dieser Browser läuft, wissen wir nicht. Sein User-Agent war ein einfaches Linux-Chrome, nichts nannte Grok.

Claude Computer Use sieht den Bildschirm über Screenshots und klickt über das Betriebssystem, so wie die Maus eines Menschen. Wir haben es wie das Referenz-Setup von Anthropic in einem Linux-Desktop in Docker laufen lassen. Auch hier meldete der Browser ein einfaches Linux-Chrome mit webdriver: false.

Unter den Entwicklerwerkzeugen sehen Browser Use und Playwright MCP ebenfalls aus wie ein normales Chrome. Ein einfaches Playwright-Skript meldet webdriver: true, Playwright MCP schaltet das ab. Ein Cloud-Browser von Browserbase verbirgt es auch, kommt aber aus einem Rechenzentrum, eine Prüfung der IP-Adresse würde ihn also erkennen.

Einige sagen, was sie sind. Der Browser von Claude Cowork meldete sich als HeadlessChrome/153 mit webdriver: true, von Servern von Anthropic und fast für jede Seite von einer anderen IP-Adresse. agent-browser von Vercel und Chrome DevTools MCP melden ebenfalls webdriver: true. Am weitesten ging Manus: Es hängt Manus-User/1.0 an seinen User-Agent und signiert jede Seitenanfrage mit einem Signature-Agent: "https://api.manus.im"-Header und einer kryptografischen Signatur (dem Standard Web Bot Auth, einem IETF-Entwurf). So kann eine Website prüfen, dass die Anfrage wirklich von Manus kam. Kein anderer Agent im Test hat das getan.

Ein Agent, zwei Browser

Wir haben Comet sechsmal denselben Auftrag gegeben. Dreimal arbeitete es in unserem eigenen Comet-Fenster. Die anderen drei Male nutzte es einen Browser in der Cloud von Perplexity: Windows, eine Server-Grafikkarte, die Zeitzone von Los Angeles und eine Adresse aus einem Amazon-Rechenzentrum. Als wir zwei Aufgaben gleichzeitig starteten, lief die erste in unserem Browser und die zweite in der Cloud.

Auf Nachfrage sagte Comet, es nutze den Cloud-Browser für öffentliche Seiten und unseren eigenen Browser nur, wenn eine Website unser Login braucht. Das hat es nicht getan: Für dieselbe öffentliche Seite hat es dreimal unseren Browser benutzt. Die beiden Browser klicken auch unterschiedlich, wie die nächsten Abschnitte zeigen. Dasselbe Produkt kann Ihre Website also als Mensch an einem Heimanschluss erreichen oder als Server in einem Rechenzentrum.

Viele kamen über unseren eigenen Anschluss

ChatGPT Work, Claude in Chrome, Comet in unserem Browser und Grok erreichten die Seite alle von unserer IP-Adresse zu Hause, mit unserer Zeitzone, und ebenso jedes Entwicklerwerkzeug, das wir auf unserem Mac laufen ließen. Das ist wichtig, wenn Sie Bots nach IP-Adresse oder nach „Rechenzentrum oder nicht“ filtern: Bei diesen Agenten sieht eine Website dieselbe Adresse wie bei dem Menschen, der sie geschickt hat.

Agenten, die nur lesen

Grok beantwortete dieselbe Frage komplett richtig und rechnete den Monatspreis sogar selbst aus (10,80 €), ohne einen einzigen Klick, Scroll oder Mausbewegung. Es tippte die Adressen der Preis- und der Kontaktseite direkt ein und las die SSO-Antwort aus der Tabelle, die auf dem Bildschirm noch zugeklappt war. Manus machte es genauso: drei Seiten in 21 Sekunden eingetippt, kein Klick, kein Scrollen, keine Bewegung.

In der Webanalyse sind das drei Seitenaufrufe, fast keine Zeit auf jeder Seite und keine Interaktion: Es sieht aus wie ein Besucher, der sofort wieder gegangen ist. Tatsächlich ist es ein Besucher, der alles gelesen hat. Als wir Grok sagten, es solle sich durchklicken, tat es das und klickte dann wie die anderen Agenten weiter unten.

Die meisten Chatbots, die die Seite abrufen, nennen ihren Namen

Wenn Sie einen Link in einen Chatbot einfügen und um eine Zusammenfassung bitten, öffnen die meisten keinen Browser. Sie rufen die Seite einmal von ihren eigenen Servern ab. Kein Skript läuft, ein Analyse-Tool, das mit einem Skript in der Seite zählt, sieht den Besuch also nie. Ihr Server sieht ihn, und die meisten davon sind leicht zu unterscheiden: Sie sagen im User-Agent, wer sie sind, und die meisten Anbieter dokumentieren das (OpenAI, Anthropic, Perplexity, Google, Mistral, Meta).

Perplexity (PerplexityBot/1.0) rief robots.txt ab und dann unsere Startseite statt der Adresse, die wir ihm gegeben hatten, zweimal. Die Startseite der Testseite ist leer, also sagte es uns, es könne die Seite nicht abrufen. Ein anderes Mal sagte es, die Seite liefere „keinen lesbaren Inhalt“, ohne uns eine einzige Anfrage zu schicken.

Der gehostete Agent von Browserbase nutzte für die ganze Aufgabe ebenfalls keinen Browser. Er rief die Seiten mit Headern ab, die Chrome 146 auf macOS nachahmen, zehn Versionen hinter allem anderen im Test, und fragte zwei Seiten in derselben Millisekunde von zwei verschiedenen IP-Adressen ab.

Zwei „Abrufer“ führen Ihre Skripte aus

Zwei der Chatbot-Werkzeuge haben die Seite nicht nur abgerufen. Sie haben sie in einem echten Browser geöffnet, also lief unser Skript, und ein Analyse-Tool würde einen Besucher zählen.

Jina Reader, ein Dienst, mit dem Agenten eine Seite in Text umwandeln, lud sie in einem Headless Chrome in einem Rechenzentrum. Sein User-Agent sagte einfaches Linux-Chrome 156; nur ein zweiter Versions-Header, der 155 sagte, zeigte, dass der User-Agent verändert wurde.

DeepSeek öffnete die Seite in Firefox 149 unter Linux, mit Chinesisch als Sprache und der Zeitzone von Hongkong, von einer Adresse der Huawei Cloud in Hongkong, und war nach drei Sekunden wieder weg. Nichts, was es sendete, nannte DeepSeek oder einen Bot.

In der Webanalyse sind beide ein Besucher, der eine Seite geladen, nichts getan und sie wieder verlassen hat.

Was die klickenden Agenten verraten hat

Sobald ein Agent klickt, konnten wir seine Klicks mit unseren vergleichen. Das Erste, was wir gemessen haben, wie lange die Maustaste gehalten wird, hat bei den meisten Agenten funktioniert und bei zweien versagt:

Browser Use und Comet in unserem Browser drücken, warten und lassen los wie ein Mensch. Comet in der Cloud nicht: Es hielt die Taste 10 bis 13 ms.

Was jeden klickenden Agenten verraten hat, war der Weg des Mauszeigers zum Knopf. Ein Mensch bewegt eine Hand, also kommt der Zeiger in vielen kleinen Schritten an; der letzte Schritt vor einem Klick war bei jedem unserer Klicks 0 bis 2 Pixel. Ein Agent bewegt keine Hand. Vor jedem Klick erschien der Zeiger mit einem einzigen Sprung von 200 bis 840 Pixeln auf dem Ziel, oder er erschien dort zum ersten Mal auf der Seite, und sonst bewegte er sich kaum:

Das galt für alle 13 Arten klickender Agenten, in jedem Durchlauf: für die, die über die Fernsteuerung von Chrome klicken, für Claude Computer Use, das über das Betriebssystem klickt, und für die beiden, die wie ein Mensch warten.

Signale, die nicht gehalten haben

Manches, das nach einem guten Bot-Signal klingt, ist an unseren eigenen Daten gescheitert:

• Wie lange die Taste gehalten wird. Die meisten Agenten klicken in wenigen Millisekunden, aber Browser Use und Comet halten die Taste so lange wie Menschen, und die Bedienungshilfen weiter unten klicken schneller als jeder Agent.
• Genau in die Mitte eines Knopfes klicken. ChatGPT Work tat das, meist auf einen Pixel genau. Aber Claude in Chrome und Claude Computer Use zielen auf den Text, den sie in einem Screenshot sehen, und verfehlten die Mitte eines breiten Elements um mehr als 230 Pixel. Und einer von uns traf einen Link mit dem Trackpad auf 2 Pixel genau in der Mitte.
• Ein großer Sprung des Mauszeigers. Ein schnelles Wischen auf dem Trackpad bewegte den Zeiger in einem Schritt um 701 Pixel. Verdächtig ist nur ein Sprung, der genau auf dem landet, was als Nächstes geklickt wird.
• Druck. ChatGPT Work und Comet meldeten beim Klicken einen Druck von 0, wo eine Maus 0,5 meldet. Die Playwright-Werkzeuge meldeten 0,5.
• Wie navigiert wird. ChatGPT Work tippte in manchen Durchläufen die Adressen ein und klickte in anderen die Links wie ein Mensch, mit demselben Browser.
• Der Konsolen-Trick gegen Fernsteuerung. Werkzeuge, die Chrome über seine Fernsteuerungs-Schnittstelle bedienen, hören oft die Browser-Konsole mit. Bot-Erkennungsskripte nutzen das aus: Die Seite schreibt ein Fehlerobjekt in die Konsole, das merkt, wenn jemand es ausliest, und ein mithörendes Werkzeug tut das. In keinem Browser, den wir getestet haben, hat es etwas bemerkt, auch nicht bei Playwright. In den Chrome-Versionen, die wir gesehen haben (136 bis 156), funktioniert es also nicht.

Bedienungshilfen sehen mehr nach Bot aus als die Bots

Mit der Sprachsteuerung von macOS klicken Sie, indem Sie sagen, worauf. Jeder ihrer Klicks landete genau in der Mitte, die Taste war weniger als eine Millisekunde „gedrückt“, mit einem Druck von 0 und ganz ohne Mausbewegung. Bei jedem einzelnen Signal sah sie automatisierter aus als ChatGPT Work.

Verweilen (Dwell) klickt für Sie, wenn der Zeiger auf etwas ruht. Auch diese Klicks waren 0 bis 3 Millisekunden gehalten.

Beide unterscheiden sich von den Agenten darin, wie sich der Zeiger bewegt: Die Sprachsteuerung bewegt ihn vor einem Klick nie, und beim Verweilen ruht der Zeiger etwa drei Sekunden auf dem Ziel, von einer Hand in kleinen Schritten dorthin bewegt. Eine Erkennung, die sich auf das Timing von Klicks verlässt, würde Menschen, die keine Maus benutzen können, als Bots einstufen. Die Bewegung unterscheidet sie, aber das ist das Einzige, was es tut.

Was das für Ihre Webanalyse bedeutet

• KI-Agenten stecken schon als Menschen in Ihren Zahlen. Kurze Besuche, die alles lesen und nichts anklicken, und Besuche, die direkt zu den Preisen gehen, können Agenten sein.
• Die meisten Chatbot-Abrufe zählt man auf dem Server. Sie erreichen nie ein Skript in der Seite. Um zu sehen, wie oft jemand ChatGPT, Claude oder Mistral nach Ihren Seiten fragt, zählen Sie ChatGPT-User-, Claude-User- und MistralAI-User-Anfragen auf Ihrem Server. Manche, wie die von DeepSeek, erscheinen stattdessen als Besuch mit einer Seite in der Webanalyse.
• Verlassen Sie sich nicht auf IP-Adressen. Die meisten Agenten, die wir laufen ließen, kamen über unseren Heimanschluss.
• Vorsicht mit „Bot“-Filtern. Ein Filter, der sofortige Klicks in die Mitte erkennt, erkennt auch Menschen, die die Sprachsteuerung nutzen.

Was wir an Privatrak ändern

Privatrak markiert Besuche schon als automatisiert, wenn der Browser es sagt (webdriver) oder der User-Agent einen Headless-Browser oder einen Agenten wie Manus nennt. In diesem Test waren das das Playwright-Skript, agent-browser, DevTools MCP, Claude Cowork und Manus. ChatGPT Work, Claude in Chrome, Comet, Grok, Computer Use, Browser Use, Playwright MCP und der Browser von Browserbase wurden als Menschen gezählt.

Wir ergänzen eine Prüfung im Browser auf das Bewegungsmuster oben: Ein Besuch wird nur markiert, wenn jedem Mausklick auf der Seite ein einziger Sprung des Zeigers auf das Ziel vorausging, mit kaum anderer Bewegung, sodass Menschen mit Sprachsteuerung und Verweilen Menschen bleiben. Auf unsere Aufzeichnungen angewendet, markiert das jeden klickenden Agenten und keinen von uns. Der Browser sendet nur „automatisiert“ oder nicht, nie die Bewegungen selbst. Ein markierter Besuch wird weiter gezählt, und Sie entscheiden, ob Sie automatisierte Besuche aus Ihren Zahlen herauslassen. Agenten, die nur lesen, und Abrufer, die Ihre Skripte ausführen, sehen weiterhin aus wie Menschen.

Für Chatbots, die nur abrufen, arbeiten wir daran, sie von Ihrem Server aus zu zählen: Ein kleiner Zusatz für Ihre Website sendet nur die Anfragen, deren User-Agent einen bekannten Chatbot oder Crawler nennt, und Privatrak zeigt, welche Seiten ChatGPT, Claude und Perplexity für jemanden abgerufen haben, getrennt von Ihren Besuchern.

Außerdem gesehen

• Besucher, bevor jemand den Link hatte. Wenige Minuten nachdem das Zertifikat der Seite ausgestellt war, besuchten sie Scanner, die die öffentlichen Zertifikatsprotokolle beobachten, manche gaben sich als Chrome aus. Der Crawler ClaudeBot von Anthropic kam am selben Morgen zweimal vorbei.
• Link-Vorschauen. Als Menschen die Testlinks öffneten, die wir ihnen geschickt hatten, waren die Vorschau-Abrufer von WhatsApp und Facebook zuerst da.
• Google kam von selbst wieder. Direkt nachdem der Besuch eines Agenten das Google-Analytics-Tag ausgelöst hatte, lud ein Google-Abrufer (GoogleOther) dieselbe Seite.

Jeder User-Agent, den wir gesehen haben

Zum Nachschlagen hier der User-Agent, den jeder gesendet hat, aus unserem Server-Log kopiert. Nur die mit „Ja“ markierten Zeilen haben die Skripte der Seite ausgeführt, nur diese können also ein Analyse-Tool erreichen, das mit einem Skript zählt. Die Agenten, die einen Browser bedienen, auch der Agent von ChatGPT, senden einen gewöhnlichen Chrome-User-Agent; nur Claude Cowork, agent-browser und Manus verraten sich darin.

So haben wir getestet

Die Testseite lief auf unserem eigenen Server, mit drei statischen Seiten. Das Server-Log hat jede Anfrage mit allen Headern aufgezeichnet. Ein Skript auf jeder Seite meldete, was der Browser über sich selbst sagte (User-Agent, webdriver, Fenstergröße, Zeitzone, Grafik), und wie jeder Klick ablief: wie lange die Taste gehalten wurde, wie sich der Zeiger davor bewegte und wie viele Bewegungen es insgesamt gab. Was ins Formular getippt wurde, las es nie.

Jeder Agent lief auf seine eigene Art:

• ChatGPT Work, Grok, Cowork, Comet, Manus und die Chatbots haben wir von Hand in ihren eigenen Apps oder Websites laufen lassen, wo möglich im kostenlosen Tarif.
• Claude in Chrome lief in unserem eigenen Chrome.
• Claude Computer Use lief mit Claude Opus 5.5 und dem Computer-Use-Werkzeugsatz in einem Linux-Desktop in Docker, der mit xdotool klickt, wie das Referenz-Setup von Anthropic.
• agent-browser, Playwright MCP und DevTools MCP wurden von Claude Code auf unserem Mac gesteuert; Browser Use lief auf unserem Mac mit Claude Sonnet 4.6 und seinen Standardeinstellungen.
• Das Playwright-Skript lief in Chrome auf unserem Mac und in einem Cloud-Browser von Browserbase. Jina Reader haben wir ohne Konto aufgerufen.

Grenzen, die Sie im Kopf behalten sollten:

• Es ist ein Tag und eine Website: ein bis sechs Durchläufe pro Agent und zehn Durchläufe von Menschen, die meisten von uns.
• Agenten ändern sich schnell. Eine neue Version kann morgen anders klicken.
• Ein Agent, der den Zeiger in kleinen Schritten über einen Weg bewegt, würde wie ein Mensch aussehen. Keiner der getesteten Agenten hat das getan.
• Wo der Browser von Grok läuft und wonach Comet einen Browser wählt, haben wir beobachtet, nicht bestätigt.