Was ein User-Agent-String ist
Jede HTTP-Anfrage trägt einen User-Agent-Header, der die sendende Software nennt. Dreißig Jahre Browser, die sich gegenseitig nachahmen, haben das Format absurd gemacht: Chrome auf Windows meldet sich als Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/129.0.0.0 Safari/537.36 und behauptet, gleichzeitig Mozilla, WebKit und Safari zu sein. Parsen heißt zu wissen, welche Tokens zählen: Edg/ schlägt Chrome/, Chrome/ schlägt Safari/, und Firefox/ steht für sich.
Was er nicht mehr verrät
- Chrome friert die Minor-Version (
129.0.0.0) und die OS-Details ein (immer „Windows NT 10.0“, immer „Mac OS X 10_15_7“), eine Änderung namens UA-Reduktion. Die vollen Werte gibt es nur über Client-Hints-Header. - Windows 11 ist von Windows 10 nicht zu unterscheiden.
- Jeder iOS-Browser ist WebKit, „Chrome auf dem iPhone“ (
CriOS/) ist also Safaris Engine mit Googles Oberfläche.
Bots
Gut erzogene Crawler geben sich zu erkennen und nennen oft eine URL: Googlebot/2.1 (+http://www.google.com/bot.html). Die KI-Crawler machen inzwischen einen großen Teil des Verkehrs aus: GPTBot (OpenAI-Training), ChatGPT-User (Abruf für einen Nutzer), ClaudeBot und Claude-User (Anthropic), PerplexityBot, Bytespider, CCBot (Common Crawl), meta-externalagent. Jeder lässt sich in der robots.txt namentlich erlauben oder sperren; die robots.txt dieser Seite erlaubt sie, weil in KI-Antworten zitiert zu werden Teil des Zwecks ist.
Jeder kann jeden User-Agent setzen, der String beweist also nichts. Scraper kopieren Chromes String; die Identität von Googlebot sollte man mit einem Reverse-DNS-Lookup der IP bestätigen (sie muss auf googlebot.com oder google.com enden und wieder zurück auflösen).
Fragen
Wie sehe ich meinen eigenen User-Agent?
Das Feld oben ist mit dem String Ihres Browsers vorausgefüllt. Sie können auch navigator.userAgent in der Konsole ausführen oder die Anfrage-Header im Netzwerk-Tab ansehen.
Kann ich dem User-Agent für Sicherheitsentscheidungen trauen?
Nein. Er wird vom Client gesetzt und beliebig gefälscht. Nutzen Sie ihn für Analysen, grobe Feature-Hinweise und freundliche Bot-Identifikation; für alles Wichtige nehmen Sie IP-Reputation, Rate-Limits und Reverse-DNS-Prüfungen.
Warum zeigt meine Analyse Safari 605 oder Chrome 537?
Das sind WebKit-Build-Nummern (AppleWebKit/537.36, Safari/605.1.15), die sich nie ändern, keine Browser-Versionen. Die Browser-Version steht bei Safari hinter Version/ und bei Chrome hinter Chrome/.
Soll ich KI-Crawler sperren?
Das hängt davon ab, ob Sie in KI-generierten Antworten erscheinen wollen. Für eine Tool-Seite ist Zitiertwerden Verkehr. Reine Trainings-Crawler (GPTBot, Google-Extended, ClaudeBot) lassen sich getrennt von den On-Demand-Abrufern (ChatGPT-User, Claude-User) sperren, die für eine Person handeln.