Eine Website hat heute zwei Arten von Lesern. Die einen sind Menschen, die sehen, was der Browser darstellt. Die anderen sind Programme: Suchmaschinen, Preisvergleiche und zunehmend KI-Agenten, die im Auftrag von Nutzerinnen und Nutzern Seiten öffnen, Informationen zusammentragen und Aufgaben erledigen. Diese Programme lesen nicht die dargestellte Seite, sondern das, was der Server ausliefert. Und darin steht oft mehr als auf dem Bildschirm.
Für Website-Betreiber folgt daraus eine Frage, die bisher selten gestellt wird: Welche Texte liefert die eigene Website aus, die kein Mensch sieht, ein Agent aber liest und womöglich als Anweisung versteht? In unserem Research Lab lesen wir das öffentliche Web in großem Umfang. Der Abgleich zwischen sichtbarem und ausgeliefertem Text gehört dort zu den ersten Schritten, und er lässt sich auf jede eigene Website übertragen.
Warum Agenten versteckten Text befolgen
Ein Sprachmodell trennt nicht zuverlässig zwischen Daten und Anweisungen. Der Auftrag des Nutzers und der Inhalt einer gelesenen Webseite landen im selben Kontext. Steht auf der Seite ein Satz, der sich an das Modell richtet, kann das Modell ihn als Teil seines Auftrags behandeln. Das britische NCSC beschreibt genau diese fehlende Grenze als Kern des Problems. OWASP führt die Variante, bei der die Anweisung aus einer externen Quelle wie einer Website stammt, als indirekte Prompt Injection.
Für einen Agenten spielt es dabei keine Rolle, ob ein Text sichtbar ist. Ein Absatz mit display: none, ein Element mit dem Attribut hidden, weiße Schrift auf weißem Grund, ein HTML-Kommentar oder ein langer Alternativtext eines Bildes: All das steht im Dokument und kann im Kontext des Modells landen. Welche Anweisungen ein Agent am Ende befolgt, hängt vom Modell und vom Rahmen ab, den sein Betreiber gebaut hat. Wie Unternehmen ihre eigenen Agenten dagegen absichern, beschreibt der Beitrag Zugriffsrechte für KI-Agenten. Hier geht es um die andere Seite: um die Website, die gelesen wird.
Wo versteckte Texte entstehen
Die wenigsten versteckten Texte hat jemand bewusst für Agenten geschrieben. Sie entstehen auf gewöhnlichen Wegen:
- Eigene Gestaltungselemente. Akkordeons, Tabs, ausgeklappte Menüs und Texte nur für Screenreader sind versteckt, aber sinnvoll. Google nennt solche Elemente in seinen Spamrichtlinien ausdrücklich als zulässig.
- Reste aus der Redaktion. Alte Aktionstexte, auskommentierte Absätze und Platzhalter bleiben im Template stehen, weil sie niemand sieht.
- Importierte Inhalte. Produktbeschreibungen von Lieferanten, Texte aus einem Altsystem oder Feeds bringen eigenes HTML mit, einschließlich versteckter Elemente.
- Inhalte von Nutzern. Bewertungen, Kundenfragen und Kommentare werden von Dritten geschrieben. Lässt das System Formatierungen zu, kann darin auch unsichtbarer Text stehen.
- Skripte und Erweiterungen. Widgets, Apps und Tracking-Snippets schreiben Inhalte in die Seite, die nicht aus der eigenen Redaktion stammen. Der Beitrag Apps im Onlineshop beschreibt, wie viel fremder Code so zusammenkommt.
Einfluss Dritter →
- Text aus Widgets und Apps
- versteckte Elemente in Lieferantentexten
- Bewertungen
- Kundenfragen und Kommentare
- HTML-Kommentare und Reste im Template
- Alternativtexte und Meta-Angaben
- Redaktionelle Texte
- Akkordeons und Tabs
Sichtbarkeit für Menschen →
Grafik verwenden? Gern, mit Quelle Wundrig und Link auf diesen Beitrag. Hinweise
Die größte Aufmerksamkeit verdient das Feld oben links: Texte, die Menschen nicht sehen und die Dritte verändern können. Dort fällt eine untergeschobene Anweisung am wenigsten auf.
Der Abgleich: So prüfen wir eine Seite
Die Prüfung, die wir verwenden, beruht auf einem einfachen Vergleich. Ein Headless-Browser öffnet die Seite wie ein Besucher, führt alle Skripte aus und wartet, bis die Seite fertig geladen ist. Danach werden zwei Texte erzeugt:
- Der ausgelieferte Text. Der gesamte Textinhalt des Dokuments, einschließlich versteckter Elemente, HTML-Kommentare, Alternativtexte, Titel-Attribute und Meta-Angaben.
- Der sichtbare Text. Nur das, was der Browser tatsächlich darstellt, also ohne ausgeblendete Elemente und ohne Text, der durch Farbe, Größe oder Position nicht zu sehen ist.
Die Differenz der beiden ist die Liste dessen, was ein Agent liest und ein Mensch nicht. Diese Liste wird in zwei Durchgängen geprüft. Zuerst automatisch auf Formulierungen, die sich an eine Maschine richten: Ansprachen wie „als KI“, „Assistent“ oder „Agent“, Aufforderungen wie „ignoriere“ oder „vorherige Anweisungen“, Befehle mit Adressen, Links oder E-Mail-Adressen. Danach liest ein Mensch die übrigen Fundstellen und ordnet jede einer Herkunft zu.
Die Entscheidungsregel dafür ist kurz: Jeder versteckte Text braucht einen bekannten Zweck. Ein Akkordeon, ein Screenreader-Label oder strukturierte Daten haben einen. Ein Absatz, dessen Zweck niemand benennen kann, wird entfernt oder seine Quelle wird geklärt. Das gilt auch dann, wenn er harmlos aussieht.
Wichtig ist, die gerenderte Seite zu prüfen und nicht nur das Template. Viele versteckte Texte entstehen erst, wenn Skripte laufen oder Inhalte aus Datenbanken und Feeds eingesetzt werden. Bei Onlineshops lohnt es sich, nicht nur die Startseite, sondern je eine Seite pro Vorlage zu prüfen: Produktseite, Kategorieseite, Warenkorb, Seiten mit Bewertungen.
Was Sie einrichten sollten
| Maßnahme | Wo | Was sie verhindert |
|---|---|---|
| Abgleich sichtbar gegen ausgeliefert | Je eine Seite pro Vorlage, gerendert | Unbemerkte versteckte Texte |
| Formatierung in Nutzerinhalten einschränken | Bewertungen, Fragen, Kommentare | Unsichtbarer Text von Dritten |
| Importiertes HTML bereinigen | Lieferantentexte, Feeds, Altdaten | Versteckte Elemente aus fremden Quellen |
| Liste der Skripte und Apps | Shop, CMS, Tag-Manager | Text aus Erweiterungen ohne Zuständigkeit |
| Prüfung nach jedem größeren Release | Deploy-Ablauf | Neue Reste aus Templates und Tests |
Der zweite und dritte Punkt sind meist die wirksamsten. Wer in Bewertungen nur reinen Text zulässt und importiertes HTML auf eine kurze Liste erlaubter Elemente reduziert, nimmt Dritten die einfachsten Wege, unsichtbare Inhalte auf die eigene Website zu bringen.
Keine eigenen Botschaften an Agenten verstecken
Naheliegend ist auch der umgekehrte Gedanke: Wenn Agenten versteckten Text lesen, könnte man ihnen dort eigene Hinweise geben, etwa eine Empfehlung für das eigene Produkt. Davon raten wir ab. Google wertet Text, der Suchmaschinen etwas anderes zeigt als Menschen, als Verstoß gegen seine Spamrichtlinien. Und eine Website, die Agenten verdeckt steuern will, verhält sich genau so, wie es Betreiber von Agenten zu erkennen und auszufiltern versuchen.
Was ein Agent über das eigene Angebot wissen soll, gehört in den sichtbaren Text und in saubere strukturierte Daten. Für Menschen und Maschinen gilt dann dieselbe Fassung. Was dazu in Shops gehört, steht im Beitrag Produktdaten für die KI-Suche.
Fazit
KI-Agenten lesen das, was eine Website ausliefert, nicht das, was sie darstellt. Versteckter Text ist deshalb kein Randthema der Barrierefreiheit oder Suchmaschinenoptimierung mehr, sondern Teil dessen, was die eigene Website über das Unternehmen sagt. Die Prüfung ist überschaubar: gerenderte Seiten pro Vorlage abgleichen, jeden versteckten Text einem Zweck zuordnen, Nutzerinhalte und Importe bereinigen und den Abgleich nach größeren Releases wiederholen. Wer das einmal einrichtet, weiß, was Agenten auf der eigenen Website lesen, bevor es jemand anderes herausfindet.
Häufige Fragen
Können KI-Agenten versteckten Text auf Webseiten lesen?
Ja. Agenten verarbeiten den Inhalt des ausgelieferten Dokuments, nicht nur die dargestellte Seite. Dazu gehören ausgeblendete Elemente, HTML-Kommentare, Alternativtexte und Meta-Angaben. Ob ein Agent darin enthaltene Anweisungen befolgt, hängt vom Modell und von der Absicherung durch seinen Betreiber ab.
Wie finde ich versteckte Texte auf meiner Website?
Öffnen Sie die Seiten mit einem Headless-Browser und vergleichen Sie den gesamten Textinhalt des Dokuments mit dem sichtbar dargestellten Text. Die Differenz zeigt, was nur Maschinen lesen. Prüfen Sie je eine Seite pro Vorlage und ordnen Sie jede Fundstelle einem bekannten Zweck zu.
Ist versteckter Text auf einer Website grundsätzlich ein Problem?
Nein. Akkordeons, Tabs und Texte für Screenreader sind versteckt, aber sinnvoll, und Google nennt sie als zulässig. Problematisch ist versteckter Text ohne bekannten Zweck, besonders wenn Dritte ihn verändern können, sowie Text, der Maschinen bewusst etwas anderes zeigen soll als Menschen.