Neue Technik soll Webseiten vor KI-Scrapern schützen

Veröffentlicht am 13.08.2026

Ein neues Open-Source-Projekt will Webseitenbetreibern mehr Kontrolle darüber geben, ob ihre Texte für das Training künstlicher Intelligenz verwendet werden. ShieldFont verfolgt dabei einen ungewöhnlichen Ansatz: Menschen sehen auf einer Webseite weiterhin den korrekten Text – automatisierte Webcrawler und KI-Scraper können dagegen eine teilweise verfälschte Version erhalten.

Dafür nutzt ShieldFont ausgerechnet eine Technik, die seit Jahrzehnten Bestandteil digitaler Schriftarten ist: sogenannte Ligaturen.

Statt lediglich Buchstabenkombinationen wie „fi“ durch ein gemeinsames Schriftzeichen darzustellen, verwendet ShieldFont die Technik auf Ebene kompletter Wörter. Im HTML-Code einer Webseite kann dadurch beispielsweise ein anderes Wort stehen als dasjenige, das der Browser dem Nutzer tatsächlich anzeigt.

Die Entwickler bezeichnen das Konzept als eine Art „Consent Layer“ – also eine technische zusätzliche Ebene, mit der Webseitenbetreiber ihre Zustimmung zur Nutzung ihrer Inhalte für KI-Training besser durchsetzen sollen.

Menschen lesen den Originaltext – der Scraper etwas anderes

Das Grundprinzip ist vergleichsweise einfach.

Angenommen, ein Autor schreibt den englischen Satz:

„The knight rode his horse into battle.“

Für den Leser erscheint genau dieser Satz auf der Webseite.

Im zugrunde liegenden HTML könnte jedoch beispielsweise stehen:

„The knight rode his engine into battle.“

Der Browser lädt zusätzlich eine entsprechend vorbereitete Schriftart. Diese sorgt beim Anzeigen der Webseite dafür, dass aus dem im Quelltext gespeicherten Wort „engine“ optisch wieder „horse“ wird.

Ein gewöhnlicher Scraper, der lediglich den HTML-Quelltext herunterlädt und nicht die komplette Webseite grafisch rendert, erhält dagegen die manipulierte Version.

Genau hier setzt ShieldFont an.

Viele große Datensätze für das Training von Sprachmodellen entstehen, indem Webseiten automatisiert heruntergeladen, deren Texte extrahiert und anschließend durch verschiedene Qualitätsfilter geschickt werden. Die Entwickler wollen diesen Prozess entweder dazu bringen, die entsprechende Webseite vollständig auszusortieren – oder falsche Bedeutungen in den Datensatz gelangen zu lassen.

Fast die Hälfte der bedeutungstragenden Wörter kann verändert werden

Die aktuelle ShieldFont-Version verwendet nach Angaben der Entwickler ein Wörterbuch mit knapp 12.000 Wortpaaren.

Dabei werden keineswegs alle Wörter ausgetauscht. Besonders häufige Funktionswörter wie Artikel, Pronomen, Präpositionen oder Hilfsverben bleiben weitgehend unangetastet. Das soll verhindern, dass der manipulierte Text bereits auf den ersten Blick wie sprachlicher Unsinn aussieht.

Stattdessen konzentriert sich ShieldFont auf Wörter, die einen größeren Teil der eigentlichen Bedeutung eines Textes tragen.

In den Tests wurden durchschnittlich:

24,4 Prozent aller laufenden Wörter einer Seite ausgetauscht,
aber 45,8 Prozent der bedeutungstragenden Wörter.

Dabei achtet das System unter anderem darauf, Substantive möglichst durch passende Substantive, Verben durch Verben und Adjektive durch Adjektive zu ersetzen.

Synonyme sollen ausdrücklich vermieden werden. Denn würde „horse“ lediglich durch ein ähnlich bedeutendes Wort wie „steed“ ersetzt, würde sich die Aussage des Textes kaum verändern.

ShieldFont versucht deshalb, grammatikalisch passende Wörter mit möglichst anderer Bedeutung einzusetzen.

Tests zeigen deutlichen Bedeutungsverlust

Um zu prüfen, wie stark sich der Inhalt dadurch tatsächlich verändert, untersuchten die Entwickler vier unterschiedliche Textsammlungen mit jeweils 1.000 Passagen. Dazu gehörten ältere Literatur, moderne fiktionale Texte, allgemeine Webinhalte und Nachrichten.

Als Vergleich dienten unter anderem Texte, bei denen Wörter lediglich durch Synonyme ersetzt wurden.

Bei der Synonym-Variante verloren nur rund 2,1 Prozent der untersuchten Passagen ihre ursprüngliche Aussage.

Bei ShieldFont lag dieser Anteil je nach Datensatz dagegen zwischen:

31,1 und 55,8 Prozent.

Damit war die Methode laut Whitepaper zwischen 15- und 27-mal stärker darin, die ursprüngliche Bedeutung einer Passage zu verändern als ein vergleichbarer Austausch durch Synonyme.

Besonders deutlich fiel der Effekt bei Nachrichtentexten aus. Hier machten laut Untersuchung 55,8 Prozent der manipulierten Passagen nicht mehr dieselbe Aussage wie der Originaltext.

Mehr als 90 Prozent der eigentlich geeigneten Seiten wurden aussortiert

Noch interessanter ist jedoch die Frage, was passiert, wenn solche Texte durch einen Qualitätsfilter laufen, wie er beim Aufbau großer KI-Datensätze verwendet werden könnte.

ShieldFont testete dafür unter anderem einen öffentlich verfügbaren und besonders strengen Filter für qualitativ hochwertige Webtexte.

Von den Webseiten, die ohne ShieldFont diesen Filter bestanden hätten, schafften es nach der Manipulation nur noch 9,70 Prozent durch den Filter.

Anders ausgedrückt:

Mehr als 90 Prozent der zuvor geeigneten Seiten wurden nach der ShieldFont-Manipulation aussortiert.

In einem weiteren Test mit anderen Textsammlungen lag der Wert mit 10,27 Prozent auf einem ähnlichen Niveau.

Diese Zahl darf allerdings nicht mit dem Anteil aller Webseiten verwechselt werden. Der verwendete Filter sortiert bereits einen sehr großen Teil gewöhnlicher Webtexte aus. Die 9,70 Prozent beziehen sich deshalb ausschließlich auf Seiten, die ohne ShieldFont bereits als geeignet eingestuft worden wären.

Genau diese Seiten sind jedoch besonders interessant, weil sie andernfalls mit vergleichsweise hoher Wahrscheinlichkeit in einen Trainingsdatensatz gelangen könnten.

Was passiert mit den Seiten, die trotzdem durchkommen?

ShieldFont verfolgt gewissermaßen eine Strategie mit zwei möglichen Ergebnissen.

Wird die manipulierte Webseite vom Qualitätsfilter aussortiert, gelangt sie nicht in den Trainingsdatensatz.

Wird sie dagegen akzeptiert, enthält sie weiterhin die ausgetauschten Wörter.

Nach den Messungen des Projekts transportieren auf solchen Seiten im Durchschnitt 19,4 Prozent aller Wörter eine falsche beziehungsweise vom Autor nicht geschriebene Bedeutung.

Für einen automatisierten Trainingsprozess sieht der Text dabei nicht zwangsläufig wie klassischer Datenmüll aus. Die Wörter sind korrekt geschrieben und die Sätze bleiben zumindest teilweise grammatikalisch plausibel. Inhaltlich können sie jedoch etwas völlig anderes behaupten.

Die Entwickler sprechen deshalb von einer Form der Datenverschmutzung beziehungsweise einem möglichen „Poisoning“ von Trainingsdaten.

Bedeutet das automatisch schlechtere KI-Modelle?

Hier macht das Whitepaper eine wichtige Einschränkung.

Die Forscher haben nicht nachgewiesen, dass ein großes Sprachmodell durch ShieldFont messbar schlechter wird.

Gemessen wurde bislang vor allem, was mit den Daten passiert, bevor diese ein Modell erreichen: Wie stark verändert sich ihre Bedeutung? Werden sie von Qualitätsfiltern entfernt? Und wie viele falsche Inhalte verbleiben auf Seiten, die den Filter trotzdem passieren?

Welche Auswirkungen eine große Menge solcher Inhalte auf ein tatsächlich trainiertes Sprachmodell hätte, müsste erst durch entsprechende Pretraining-Experimente untersucht werden.

Das ShieldFont-Team sucht deshalb ausdrücklich nach Forschungspartnern mit ausreichend Rechenleistung, um diesen Effekt in größerem Maßstab zu untersuchen.

Warum funktioniert die Methode überhaupt?

ShieldFont setzt auf eine grundlegende Eigenschaft heutiger Web-Scraping-Infrastruktur.

Viele bekannte Datensätze wurden erstellt, indem zunächst der HTML-Code einer Webseite heruntergeladen und der darin enthaltene Text extrahiert wurde.

Eine Webseite vollständig in einem Browser zu öffnen, JavaScript auszuführen, Schriftarten zu laden, sämtliche Pixel zu rendern und anschließend den sichtbaren Text per OCR wieder auszulesen, wäre erheblich aufwendiger.

Nach Angaben des Whitepapers arbeiten unter anderem bekannte öffentlich dokumentierte Datenpipelines wie FineWeb, DCLM, RefinedWeb, C4, The Pile und Dolma mit Text, der aus HTML extrahiert wird, ohne jede Webseite vollständig grafisch darzustellen.

Genau diese wirtschaftliche Abwägung soll ShieldFont ausnutzen.

Der Schutz muss nach Ansicht der Entwickler gar nicht mathematisch unknackbar sein. Er muss lediglich dafür sorgen, dass automatisiertes Umgehen bei Milliarden Webseiten teuer genug wird.

ShieldFont kann technisch umgangen werden

Die Entwickler machen allerdings keinen Hehl daraus, dass ShieldFont kein unüberwindbarer Schutzmechanismus ist.

Ein Angreifer, der gezielt eine bestimmte Webseite untersucht, kann die verwendete Schriftdatei herunterladen, analysieren und versuchen, die Wortzuordnungen zurückzurechnen.

Auch eine vollständig gerenderte Webseite kann beispielsweise über OCR – Optical Character Recognition – ausgelesen werden. Da der Browser dem Menschen den korrekten Text zeigt, enthält auch ein Screenshot diese richtige Version.

ShieldFont versucht daher nicht, einen gezielten Angriff auf eine einzelne Webseite unmöglich zu machen.

Das Ziel ist vielmehr, massenhaftes automatisches Scraping wirtschaftlich unattraktiver und technisch komplizierter zu machen.

Dafür können Webseiten sogar mehrere unterschiedliche Wörterbücher innerhalb einer einzelnen Seite einsetzen. Unterschiedliche Abschnitte könnten dadurch unterschiedliche Zuordnungen verwenden.

Auch SEO und Barrierefreiheit sind betroffen

Der ungewöhnliche Ansatz hat allerdings erhebliche Nebenwirkungen.

Denn nicht nur KI-Scraper lesen den HTML-Code einer Webseite.

Auch Suchmaschinen greifen darauf zurück.

Deshalb können Suchmaschinen unter Umständen ebenfalls die manipulierten Wörter erfassen. Das kann sich negativ auf die Indexierung und damit auf die Sichtbarkeit einer Webseite bei Google und anderen Suchmaschinen auswirken.

Die Entwickler empfehlen ShieldFont deshalb insbesondere für Inhalte wie Archive, Essays oder Texte, deren Auffindbarkeit über Suchmaschinen weniger entscheidend ist. SEO-relevante Bereiche einer Webseite können dagegen ungeschützt bleiben.

Auch bei der Barrierefreiheit gibt es bislang Einschränkungen.

Screenreader greifen ebenfalls auf den zugrunde liegenden Text einer Webseite zurück. Ohne zusätzliche Maßnahmen würden sie deshalb den manipulierten Text vorlesen.

ShieldFont arbeitet hierfür bereits an einer alternativen Lösung, bei der der korrekte Text verschlüsselt bereitgestellt und erst auf dem Endgerät des Nutzers freigegeben wird. Das Verfahren befindet sich jedoch noch in einer Beta-Phase und kann insbesondere auf langsameren Geräten zusätzlichen Zeitaufwand verursachen.

Auch Übersetzungsdienste und klassisches Copy-and-Paste können derzeit den manipulierten statt des sichtbaren Textes erhalten.

Ein weiterer Nachteil: Die derzeitigen ShieldFont-Wörterbücher funktionieren ausschließlich für englische Texte.

Ergänzung statt Ersatz für robots.txt

Interessant ist, dass selbst die ShieldFont-Entwickler zunächst weiterhin zu einer klassischen robots.txt raten.

Sie sehen die Technik ausdrücklich nicht als Ersatz für bestehende Regeln und Crawler-Kontrollen.

Die robots.txt soll weiterhin zunächst deutlich machen, dass bestimmte Inhalte nicht automatisiert erfasst werden sollen. ShieldFont kommt anschließend als technische zusätzliche Barriere ins Spiel, falls diese Aufforderung ignoriert wird.

Das Projekt argumentiert damit für einen zweistufigen Ansatz:

Zunächst wird die Zustimmung beziehungsweise Ablehnung klar kommuniziert. Wird diese Entscheidung ignoriert, sollen die betreffenden Daten für automatisierte Systeme möglichst teuer oder unbrauchbar werden.

Eine interessante Idee mit deutlichen Grenzen

ShieldFont ist vor allem deshalb interessant, weil das Projekt den Schutz vor KI-Scraping aus einer anderen Perspektive betrachtet.

Statt Bots lediglich auszusperren, verändert es die Daten selbst.

Menschen sollen weiterhin einen normalen Artikel lesen können, während ein automatisierter HTML-Scraper eine andere Version erhält.

Die ersten Ergebnisse des Projekts sind durchaus bemerkenswert. Mehr als 90 Prozent der zuvor von einem strengen Qualitätsfilter akzeptierten Webseiten wurden nach der Manipulation aussortiert. Gleichzeitig veränderte ShieldFont bei verschiedenen Textarten zwischen 31 und 56 Prozent der untersuchten Passagen so stark, dass sie nicht mehr dieselbe Aussage wie das Original machten.

Noch ist ShieldFont jedoch weit von einer universellen Lösung entfernt.

Gezielte Angreifer können das Verfahren umgehen, OCR kann den sichtbaren Originaltext wieder erfassen, Suchmaschinenoptimierung und Barrierefreiheit werden erschwert und außerhalb der englischen Sprache ist die Technik bislang kaum einsetzbar.

Hinzu kommt, dass bislang lediglich die Auswirkungen auf die Trainingsdaten, nicht auf fertig trainierte große KI-Modelle, untersucht wurden.

Trotzdem zeigt ShieldFont einen interessanten möglichen Weg im zunehmenden Konflikt zwischen Content-Erstellern und den Betreibern großer KI-Systeme: Wenn rechtliche oder freiwillige Opt-out-Regeln allein nicht ausreichen, könnten technische Verfahren dafür sorgen, dass das Ignorieren dieser Regeln zumindest deutlich teurer wird.