Rate Limiting
Was ist Rate Limiting?
Rate Limiting begrenzt, wie viele Anfragen ein Nutzer, Programm oder System innerhalb eines definierten Zeitraums senden darf. Ein Limit kann beispielsweise 100 Anfragen pro Minute betragen. Überschreitungen werden verzögert, abgewiesen oder mit dem HTTP-Statuscode 429 beantwortet. Dadurch schützt Rate Limiting Server, APIs und Konten vor Überlastung und automatisierten Angriffen.
Rate Limiting, auf Deutsch Anfragedrosselung, kontrolliert den Zugriff auf digitale Ressourcen anhand festgelegter Regeln. Die Begrenzung kann sich auf eine IP-Adresse, einen Nutzer, einen API-Schlüssel, eine Sitzung oder einen User-Agent beziehen. Das Verfahren wird auf Webservern, in APIs, Content Delivery Networks, Firewalls und Web Application Firewalls eingesetzt.
Wie funktioniert Rate Limiting?
Rate Limiting zählt Anfragen innerhalb eines Zeitfensters und vergleicht die Zahl mit einem festgelegten Grenzwert. Erlaubt eine API 60 Aufrufe pro Minute, wird jeder erfolgreiche Aufruf auf dieses Kontingent angerechnet. Nach dem 60. Aufruf muss der Client warten, bis Kapazität frei wird oder ein neues Zeitfenster beginnt.
Eine Überschreitung führt häufig zum HTTP-Statuscode 429 Too Many Requests. Der Server kann zusätzlich über den Response-Header Retry-After mitteilen, nach wie vielen Sekunden oder zu welchem Zeitpunkt eine neue Anfrage zulässig ist. Rate Limiting kann pro IP-Adresse, API-Schlüssel oder User-Agent greifen.
Rate-Limiting-Verfahren im Vergleich
Der gewählte Algorithmus bestimmt, wie exakt ein Grenzwert eingehalten wird und ob kurzfristige Lastspitzen erlaubt sind. Ein einfaches festes Zeitfenster benötigt wenig Speicher, kann aber an der Grenze zwischen zwei Zeitfenstern deutlich mehr Anfragen durchlassen als im Durchschnitt vorgesehen.
| Verfahren | Funktionsweise | Typische Eigenschaft |
|---|---|---|
| Fixed Window | Zählt Anfragen in festen Abschnitten, etwa von 12:00 bis 12:01 Uhr. | Einfach umzusetzen, erlaubt jedoch Lastspitzen an Fenstergrenzen. |
| Sliding Window | Betrachtet einen fortlaufend gleitenden Zeitraum vor jeder Anfrage. | Hält Grenzwerte genauer ein, benötigt aber mehr Rechenleistung oder Speicher. |
| Token Bucket | Jede Anfrage verbraucht einen Token. Neue Tokens werden laufend ergänzt. | Erlaubt kontrollierte Bursts, solange ausreichend Tokens vorhanden sind. |
| Leaky Bucket | Anfragen gelangen in eine Warteschlange und werden mit gleichmäßiger Rate verarbeitet. | Glättet Lastspitzen; überzählige Anfragen werden bei voller Warteschlange verworfen. |
Ein verbreiteter Denkfehler besteht darin, nur den Zahlenwert des Limits zu betrachten. Ein Token Bucket mit 60 Tokens pro Minute kann mehrere Anfragen unmittelbar nacheinander zulassen, während ein streng gleichmäßiges Verfahren dieselben 60 Anfragen über die gesamte Minute verteilt. Prüfe deshalb neben dem Grenzwert immer Zeitfenster, Burst-Kapazität und Verhalten bei Überschreitungen.
Rate Limiting in der IT-Sicherheit
In der IT-Sicherheit reduziert Rate Limiting die Zahl automatisierter Zugriffsversuche auf sensible Funktionen. Bei Login-Formularen kann ein Limit pro Konto und IP-Adresse Brute-Force-Angriffe verlangsamen. Bei Formularen, Suchfunktionen und APIs begrenzt Rate Limiting automatisiertes Scraping, Spam und den missbräuchlichen Verbrauch von Rechenleistung.
Ein Limit ausschließlich pro IP-Adresse bietet keinen vollständigen Schutz, weil Angreifer Anfragen über wechselnde Adressen verteilen können. Belastbarer ist eine Kombination mehrerer Merkmale, etwa IP-Adresse, Nutzerkonto, Sitzung, Geräteinformationen und angefragter Endpunkt. Besonders sensible Aktionen wie Passwort-Resets benötigen meist strengere Regeln als öffentlich abrufbare Seiten.
Auswirkungen auf SEO und GEO
Rate Limiting kann SEO-Crawler blockieren, wenn eine Firewall oder ein Server ihre Anfragen als zu häufig bewertet. Ein technischer Crawl bleibt dann unvollständig, obwohl die betroffenen URLs für normale Nutzer erreichbar sind. Das erschwert die Erkennung defekter Links, fehlerhafter Statuscodes, fehlender Metadaten und anderer technischer Schwächen.
Rate Limiting betrifft auch Suchmaschinen und zugelassene KI-Crawler. Werden bekannte Bots durch zu enge Regeln regelmäßig mit 429-Antworten abgewiesen, können Abrufe verzögert oder unvollständig bleiben. Für GEO, also Generative Engine Optimization, ist zusätzlich relevant, ob öffentlich freigegebene Inhalte von den vorgesehenen Systemen technisch erreichbar sind.
Bei SEA können zu strenge Sicherheitsregeln automatisierte Prüfungen von Landingpages und Tracking-Endpunkten beeinträchtigen. Eine gemeinsame technische SEO-Analyse von Statuscodes, Server-Logs und Firewall-Regeln zeigt, ob echte Besucher, Suchmaschinen oder Prüfsysteme unterschiedlich behandelt werden.
Rate Limiting messen und prüfen
Messbar ist Rate Limiting über Server-Logs, CDN-Ereignisse und HTTP-Response-Header. Filtere die Protokolle nach Statuscode 429 und prüfe anschließend die betroffene URL, den Zeitpunkt, die Quell-IP, den User-Agent und die ausgelöste Regel. Tritt der Fehler nur am CDN auf, muss zusätzlich geprüft werden, ob der Ursprungsserver dieselbe Anfrage akzeptiert.
Ein SEO-Technik-Crawler kann wiederkehrende 429-Antworten während eines Crawls sichtbar machen. Für eine gezielte Fehlersuche lässt sich die Pause zwischen zwei Abrufen schrittweise erhöhen. Als technische Ausgangswerte nennt das Handbuch der Performance Suite 1.500 bis 3.000 Millisekunden Verzögerung sowie höchstens ein bis zwei parallele Verbindungen.
Bei einer 429-Antwort sollte ein Client den Retry-After-Header respektieren. Fehlt diese Angabe, kann Exponential Backoff eingesetzt werden: Nach jedem fehlgeschlagenen Versuch verlängert der Client die Wartezeit, beispielsweise von einer auf zwei, vier und acht Sekunden. Zufällige kleine Abweichungen verhindern, dass viele Clients gleichzeitig erneut anfragen.
Ein kostenloser SEO-Check liefert einen ersten Überblick über technische Auffälligkeiten einer Website. Für die konkrete Rate-Limiting-Analyse bleiben Server- und Firewall-Protokolle maßgeblich, weil sie zeigen, welche Komponente eine Anfrage abgewiesen hat.
Rate Limiting richtig konfigurieren
Ein sinnvoller Grenzwert ergibt sich aus der normalen Nutzung, der technischen Kapazität und dem Schutzbedarf des jeweiligen Endpunkts. Ein pauschales Limit für die gesamte Website ist häufig zu grob. Eine Produktseite, ein Login, eine interne Suche und ein Datenexport erzeugen unterschiedliche Lasten und benötigen deshalb getrennte Regeln.
Bei verteilten Anwendungen muss Rate Limiting über alle Serverinstanzen hinweg konsistent zählen. Gilt ein Limit von 100 Anfragen pro Minute auf drei voneinander unabhängigen Servern, kann ein Client theoretisch bis zu 300 Anfragen senden. Ein zentraler oder synchronisierter Zähler verhindert, dass horizontale Skalierung den vorgesehenen Grenzwert vervielfacht.
Abgrenzung zu ähnlichen Verfahren
Der Unterschied zwischen Rate Limiting und Throttling liegt im Verhalten nach Erreichen des Grenzwerts. Rate Limiting weist weitere Anfragen typischerweise ab oder verschiebt sie. Throttling reduziert die Verarbeitungsgeschwindigkeit, kann Anfragen aber weiterhin annehmen. In technischen Dokumentationen werden beide Begriffe teilweise synonym verwendet, weshalb das konkrete Serververhalten geprüft werden muss.
Ein Quota Limit begrenzt meist die Gesamtmenge über einen längeren Zeitraum, beispielsweise API-Aufrufe pro Tag oder Datenvolumen pro Monat. Rate Limiting kontrolliert dagegen die Geschwindigkeit innerhalb kurzer Intervalle. Eine API kann deshalb gleichzeitig 10 Anfragen pro Sekunde und 20.000 Aufrufe pro Monat erlauben.
Eine Web Application Firewall analysiert zusätzlich Merkmale und Inhalte einer Anfrage. Rate Limiting betrachtet primär Häufigkeit, Zeit und Identität des Absenders. In einer Sicherheitsarchitektur ergänzt die Web Application Firewall das Rate Limiting durch Regeln gegen bekannte Angriffsmuster und verdächtige Nutzdaten.
Häufige Fragen zu Rate Limiting
Was bedeutet der Fehler 429?
Der HTTP-Statuscode 429 bedeutet, dass ein Server zu viele Anfragen innerhalb eines festgelegten Zeitraums erkannt hat. Der Client sollte weitere Abrufe pausieren und einen vorhandenen Retry-After-Header beachten.
Wie lange dauert ein Rate Limit?
Die Dauer hängt vom konfigurierten Zeitfenster ab. Ein Limit kann nach wenigen Sekunden zurückgesetzt werden oder als Tageskontingent bis zum Beginn des nächsten Abrechnungszeitraums gelten.
Was ist ein gutes Rate Limit?
Ein gutes Rate Limit schützt die Ressource und lässt die normale Nutzung weiterhin zu. Der passende Wert wird aus Serverkapazität, üblichen Zugriffsmustern, Endpunktkosten und Sicherheitsrisiko abgeleitet.
Kann Rate Limiting pro Nutzer statt pro IP gelten?
Rate Limiting kann pro Nutzerkonto, Sitzung, API-Schlüssel, IP-Adresse oder Kombination mehrerer Merkmale gelten. Nutzerbezogene Limits bleiben auch dann wirksam, wenn ein Nutzer zwischen verschiedenen Netzwerken wechselt.
Wie umgehen Programme einen 429-Fehler korrekt?
Programme sollten den Retry-After-Header respektieren und ihre Anfragerate reduzieren. Fehlt eine Zeitangabe, eignet sich Exponential Backoff mit zunehmenden Wartezeiten und einer begrenzten Zahl von Wiederholungen.
Kann Rate Limiting Suchmaschinen blockieren?
Zu enge oder fehlerhafte Regeln können Suchmaschinen und andere legitime Crawler mit Statuscode 429 abweisen. Server-Logs und Firewall-Ereignisse zeigen, welcher Bot betroffen ist und welche Regel den Zugriff begrenzt.
Wenn Statuscode 429 technische Crawls oder den Zugriff legitimer Bots beeinträchtigt, lohnt sich eine Prüfung von Server, CDN und Firewall.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
