In der vernetzten Welt von heute sind Daten zum wertvollsten Rohstoff geworden. Unternehmen sammeln, analysieren und verwerten sie, um Wettbewerbsvorteile zu erlangen, personalisierte Dienste anzubieten und Gesch\u00e4ftsmodelle zu optimieren. Doch wo viel Licht ist, ist auch viel Schatten: Die automatisierte Extraktion von Daten \u2013 bekannt als „Scraping“ \u2013 hat sich zu einer der gr\u00f6\u00dften Herausforderungen f\u00fcr Betreiber von Websites und sozialen Netzwerken entwickelt. Was als harmloses Werkzeug f\u00fcr Preisvergleiche begann, ist heute eine ausgefeilte Angriffsmethode mit erheblichen wirtschaftlichen und rechtlichen Konsequenzen.<\/p>\n\n\n\n
Dieser Artikel beleuchtet das Ph\u00e4nomen des Scraping-Angriffs in seiner vollen Komplexit\u00e4t. Er erkl\u00e4rt die technischen Grundlagen, zeigt die vielf\u00e4ltigen Motive der Angreifer auf, analysiert aktuelle Gerichtsurteile und deren Auswirkungen und gibt einen umfassenden \u00dcberblick \u00fcber Schutzma\u00dfnahmen. Besonderes Augenmerk liegt auf der j\u00fcngsten Rechtsprechung, die die Grenzen zwischen Legalit\u00e4t und Illegalit\u00e4t neu definiert und sowohl Unternehmen als auch betroffene Privatpersonen vor neue Herausforderungen stellt.<\/p>\n\n\n\n
Ein Scraping-Angriff (auch Web Scraping oder Data Scraping) bezeichnet die automatisierte Extraktion von Daten aus Websites, sozialen Netzwerken oder anderen Online-Diensten ohne ausdr\u00fcckliche Genehmigung des Betreibers <\/a>. Im Gegensatz zu klassischen Hackerangriffen, bei denen Sicherheitsl\u00fccken ausgenutzt werden, um in gesch\u00fctzte Bereiche einzudringen, sammeln Scraping-Angriffe meist Informationen, die grunds\u00e4tzlich zug\u00e4nglich sind \u2013 allerdings in einer Art und Weise, die gegen die Nutzungsbedingungen verst\u00f6\u00dft und in erheblichem Umfang erfolgt <\/a>.<\/p>\n\n\n\n Der Begriff „Scraping“ leitet sich vom englischen „to scrape“ (kratzen, schaben) ab und verdeutlicht die Methode: Die Daten werden quasi von der Bildoberfl\u00e4che „abgekratzt“. Dabei kommen automatisierte Skripte oder Bots zum Einsatz, die tausende von Anfragen pro Minute senden k\u00f6nnen \u2013 eine Menge, die kein menschlicher Nutzer jemals erreichen k\u00f6nnte.<\/p>\n\n\n\n Die technische Umsetzung von Scraping-Angriffen erfolgt in der Regel in mehreren Schritten:<\/p>\n\n\n\n Entwicklung eines Scraping-Skripts<\/strong>: Angreifer nutzen Programmiersprachen wie Python mit spezialisierten Bibliotheken (BeautifulSoup, Scrapy, Selenium) oder kommerzielle „Scraping-as-a-Service“-Angebote. Diese Tools analysieren den HTML-Code der Zielwebsite und identifizieren die Struktur, in der die gew\u00fcnschten Daten pr\u00e4sentiert werden.<\/p>\n\n\n\n Durchf\u00fchrung der Extraktion<\/strong>: Die Bots senden massenhaft Anfragen an den Zielserver, laden die Seiten herunter und extrahieren die relevanten Informationen. Um nicht entdeckt zu werden, verteilen fortgeschrittene Scraper ihre Anfragen \u00fcber Proxy-Netzwerke und wechseln st\u00e4ndig ihre IP-Adressen, um wie normale Besucher zu wirken.<\/p>\n\n\n\n Aufbereitung und Speicherung<\/strong>: Die gesammelten Daten werden strukturiert aufbereitet und in Datenbanken gespeichert. Sie k\u00f6nnen dann f\u00fcr verschiedene Zwecke genutzt oder weiterverkauft werden.<\/p>\n\n\n\n Scraping-Angriffe werden oft mit anderen Formen von Bot-Angriffen verwechselt. Eine klare Abgrenzung ist jedoch wichtig:<\/p>\n\n\n\n Die \u00dcberg\u00e4nge sind jedoch flie\u00dfend, und Scraping-Angriffe k\u00f6nnen Teil komplexerer Angriffsszenarien sein.<\/p>\n\n\n\n Die Beweggr\u00fcnde f\u00fcr Scraping-Angriffe sind so vielf\u00e4ltig wie die gesammelten Daten selbst. Sie reichen von wirtschaftlichen Interessen \u00fcber kriminelle Aktivit\u00e4ten bis hin zu ideologischen Motiven.<\/p>\n\n\n\n Ein Hauptmotiv f\u00fcr Scraping-Angriffe ist die Wirtschaftsspionage. Unternehmen lassen Konkurrenzwebsites auslesen, um:<\/p>\n\n\n\n Preisstrategien zu analysieren<\/strong>: Im E-Commerce ist Preis-Scraping weit verbreitet. Wettbewerber lesen regelm\u00e4\u00dfig die Preisdaten ihrer Konkurrenten aus, um die eigene Preisgestaltung anzupassen oder systematisch zu unterbieten. Eine US-Fluggesellschaft stellte fest, dass 25 Prozent ihres Suchdatenverkehrs auf unerw\u00fcnschte Scraping-Aktivit\u00e4ten zur\u00fcckzuf\u00fchren waren <\/a>.<\/p>\n\n\n\n Produktkataloge zu kopieren<\/strong>: Komplette Produktdatenbanken mit Beschreibungen, Bildern und Spezifikationen werden extrahiert und f\u00fcr eigene Angebote verwendet.<\/p>\n\n\n\n Marktanalysen durchzuf\u00fchren<\/strong>: Start-ups und etablierte Unternehmen nutzen Scraping, um Markttrends zu identifizieren, ohne auf teure Marktforschungsinstitute angewiesen zu sein.<\/p>\n\n\n\n Die finanziellen Auswirkungen sind erheblich: Unternehmen verlieren durch Bot-Traffic durchschnittlich 4,3 Prozent ihrer Online-Einnahmen, was f\u00fcr ein typisches Gro\u00dfunternehmen etwa 85 Millionen Dollar j\u00e4hrlich bedeutet <\/a>.<\/p>\n\n\n\n Content-Scraping zielt auf die unbefugte \u00dcbernahme von Inhalten ab:<\/p>\n\n\n\n Nachrichtenartikel und Blogbeitr\u00e4ge<\/strong>: Online-Medien und Blogger finden ihre Inhalte h\u00e4ufig auf unz\u00e4hligen anderen Websites wieder, oft ohne Quellenangabe und ohne Genehmigung.<\/p>\n\n\n\n Produktbewertungen und Kundenrezensionen<\/strong>: Bewertungen sind wertvolle Verkaufsargumente. Ihre \u00dcbernahme durch Konkurrenzplattformen kann zu erheblichen Umsatzeinbu\u00dfen f\u00fchren.<\/p>\n\n\n\n Bilder und Videos<\/strong>: Visuelle Inhalte werden f\u00fcr eigene Websites oder sogar f\u00fcr den Verkauf von Stockmaterial genutzt.<\/p>\n\n\n\n Die Sch\u00e4den gehen \u00fcber den reinen Inhaltsdiebstahl hinaus: Originalseiten k\u00f6nnen in Suchmaschinen schlechter platziert werden, wenn identische Inhalte mehrfach vorkommen (Duplicate Content), was zu Traffic-Verlusten und geringeren Werbeeinnahnen f\u00fchrt.<\/p>\n\n\n\n Das Sammeln von Kontaktdaten (Contact Scraping) ist eines der verbreitetsten Scraping-Ziele:<\/p>\n\n\n\n E-Mail-Adressen<\/strong>: Millionen von E-Mail-Adressen werden aus sozialen Netzwerken, Foren und Firmenwebsites extrahiert, um sie f\u00fcr Spam-Kampagnen zu nutzen. Das OLG Frankfurt stellte in einem Urteil fest, dass beim Facebook-Scraping-Vorfall etwa 533 Millionen Datens\u00e4tze betroffen waren <\/a>.<\/p>\n\n\n\n Telefonnummern<\/strong>: Die gesammelten Rufnummern dienen als Grundlage f\u00fcr unerw\u00fcnschte Werbeanrufe oder betr\u00fcgerische Anrufe im Rahmen von Social Engineering.<\/p>\n\n\n\n Berufliche Kontaktdaten<\/strong>: Unternehmen wie KASPR bauten durch Scraping von LinkedIn und anderen Plattformen Datenbanken mit etwa 160 Millionen beruflichen Kontakten auf, um sie als Browser-Erweiterung zu vermarkten \u2013 bis die franz\u00f6sische Datenschutzbeh\u00f6rde CNIL ein Bu\u00dfgeld von 240.000 Euro verh\u00e4ngte <\/a>.<\/p>\n\n\n\n Gescrapte Daten sind oft erst der Anfang einer Kette von Straftaten:<\/p>\n\n\n\n Phishing-Angriffe<\/strong>: Mit Namen, E-Mail-Adressen und weiteren pers\u00f6nlichen Informationen lassen sich t\u00e4uschend echte Phishing-Nachrichten erstellen, die deutlich h\u00f6here Erfolgsquoten erzielen als Massen-Mails.<\/p>\n\n\n\n Identit\u00e4tsdiebstahl<\/strong>: Die Kombination verschiedener Datenquellen erm\u00f6glicht es, komplette Identit\u00e4tsprofile zu erstellen, die f\u00fcr Betrug genutzt werden k\u00f6nnen.<\/p>\n\n\n\n Social Engineering<\/strong>: Je mehr Informationen Angreifer \u00fcber eine Person haben, desto glaubw\u00fcrdiger k\u00f6nnen sie sich am Telefon oder per E-Mail ausgeben.<\/p>\n\n\n\n Nicht alle Scraping-Angriffe sind kommerziell motiviert:<\/p>\n\n\n\n Journalistische Recherchen<\/strong>: Investigativjournalisten nutzen Scraping, um Korruption, Missst\u00e4nde oder illegale Aktivit\u00e4ten aufzudecken \u2013 hier bewegt sich Scraping in einem rechtlichen und ethischen Grenzbereich.<\/p>\n\n\n\n Politische Aktivisten<\/strong>: Sie scrapen Daten, um Machtstrukturen zu analysieren oder auf Missst\u00e4nde aufmerksam zu machen.<\/p>\n\n\n\n Forschung<\/strong>: Wissenschaftler nutzen Scraping f\u00fcr sozialwissenschaftliche Studien, Marktanalysen oder die Erforschung von Online-Ph\u00e4nomenen.<\/p>\n\n\n\n Die rechtliche Bewertung von Scraping-Angriffen hat sich in den letzten Jahren erheblich weiterentwickelt. Eine Flut von Gerichtsentscheidungen, insbesondere im Zusammenhang mit dem gro\u00dfen Facebook-Scraping-Vorfall, hat wichtige Klarstellungen gebracht \u2013 aber auch neue Fragen aufgeworfen.<\/p>\n\n\n\n Zwischen Januar 2018 und September 2019 nutzten unbekannte Dritte die Kontakt-Import-Funktion (Contact Import Tool, CIT) von Facebook aus, um durch massenhafte Eingabe zuf\u00e4lliger Telefonnummern Nutzerdaten abzugreifen <\/a>. Betroffen waren etwa 533 Millionen Nutzer weltweit, deren Daten \u2013 darunter Telefonnummern, Namen, Geschlecht und teilweise weitere Profilinformationen \u2013 im April 2021 im Internet ver\u00f6ffentlicht wurden <\/a>.<\/p>\n\n\n\n Dieser Vorfall l\u00f6ste eine Welle von Klagen betroffener Nutzer aus, die Schadensersatz wegen Verletzung der Datenschutz-Grundverordnung (DSGVO) forderten. Die Gerichte mussten grundlegende Fragen kl\u00e4ren:<\/p>\n\n\n\n Die zentrale Frage in vielen Verfahren war, ob und in welcher H\u00f6he betroffene Nutzer einen Anspruch auf immateriellen Schadensersatz nach Art. 82 DSGVO haben.<\/p>\n\n\n\n Der Bundesgerichtshof (BGH) hat mit Urteil vom 18. November 2024 (Az. VI ZR 10\/24) klargestellt: Der blo\u00dfe und selbst kurzzeitige Verlust der Kontrolle \u00fcber eigene personenbezogene Daten stellt bereits als solcher einen immateriellen Schaden dar<\/strong> <\/a>. Dies gilt unabh\u00e4ngig davon, ob der Betroffene individuelle Beeintr\u00e4chtigungen wie Angst, Stress oder konkrete negative Folgen nachweisen kann. Auch eine missbr\u00e4uchliche Verwendung der Daten oder sonstige sp\u00fcrbare negative Folgen sind nicht erforderlich.<\/p>\n\n\n\n Diese Entscheidung des BGH schafft Klarheit in einer bisher umstrittenen Frage. Mehrere Oberlandesgerichte waren zuvor unterschiedlicher Auffassung:<\/p>\n\n\n\n Demgegen\u00fcber hatte das OLG Oldenburg<\/strong> in mehreren Entscheidungen (Az. 13 U 59\/23, 13 U 79\/23, 13 U 60\/23) betont, dass zus\u00e4tzlich zu einem Datenschutzversto\u00df ein individueller Schaden dargelegt und bewiesen werden m\u00fcsse. Die blo\u00dfe Bef\u00fcrchtung eines Missbrauchs reiche nicht aus, wenn sie nicht tats\u00e4chlich begr\u00fcndet sei <\/a>.<\/p>\n\n\n\n Bei der H\u00f6he des zuzusprechenden Schadensersatzes zeichnen die Gerichte ein uneinheitliches Bild:<\/p>\n\n\n\nTechnische Grundlagen<\/h3>\n\n\n\n
Abgrenzung zu anderen Angriffsarten<\/h3>\n\n\n\n
\n
Ziele und Motive von Scraping-Angriffen<\/h2>\n\n\n\n
Wirtschaftliche Spionage und Wettbewerbsvorteile<\/h3>\n\n\n\n
Content-Diebstahl und Urheberrechtsverletzungen<\/h3>\n\n\n\n
Kontaktdatensammlung f\u00fcr Marketing und Betrug<\/h3>\n\n\n\n
Vorbereitung weiterer Straftaten<\/h3>\n\n\n\n
Politische und ideologische Motive<\/h3>\n\n\n\n
Die rechtliche Dimension: Aktuelle Rechtsprechung im \u00dcberblick<\/h2>\n\n\n\n
Der Facebook-Scraping-Fall als juristischer Pr\u00e4zedenzfall<\/h3>\n\n\n\n
\n
Immaterieller Schadensersatz nach Art. 82 DSGVO<\/h3>\n\n\n\n
Der blo\u00dfe Kontrollverlust als Schaden<\/h4>\n\n\n\n
\n
Die H\u00f6he des Schadensersatzes<\/h4>\n\n\n\n