Was ist Denial of Inventory?

Denial of Inventory ist ein Bot-Angriff, bei dem Automatisierung begrenzte Bestände beansprucht — Produkte in Warenkörbe legt, Sitzplatzreservierungen hält, Terminslots blockiert —, ohne je einen Kauf abzuschließen. Die Ware wird nie gekauft, nur unverfügbar gemacht: Solange die Bots die Artikel halten, sehen echte Kunden „ausverkauft" und kaufen woanders. Anders als ein Scalper-Bot, der Bestände kauft, um sie weiterzuverkaufen, profitiert ein Denial-of-Inventory-Angriff vom Ausbleiben des Verkaufs — genau das macht ihn in umsatzorientierten Dashboards so schwer erkennbar.

Wie der Angriff funktioniert

Die meisten E-Commerce- und Buchungsplattformen reservieren Bestand in dem Moment, in dem ein Artikel in den Warenkorb wandert oder eine Buchung angehalten wird — typischerweise für ein Fenster von Minuten bis Stunden, damit legitime Käufer nicht mitten im Checkout leer ausgehen. Denial-of-Inventory-Bots machen genau diese Kulanz zur Waffe: Skripte eröffnen viele parallele Sessions, legen die Zielartikel in allen davon in den Warenkorb und erneuern jede Reservierung kurz vor Ablauf. Eine überschaubare Flotte von Sessions kann so eine ganze Produktlinie dauerhaft festsetzen. Die Ziele reichen weit über den Handel hinaus — Sitzplatzkarten von Airlines und Veranstaltern, Hotelzimmerkontingente, Restaurantreservierungen und Terminsysteme arbeiten alle nach demselben Halten-dann-Bestätigen-Muster und werden auf dieselbe Weise angegriffen.

Wer dahintersteckt und was es kostet

Das Motiv ist meist Wettbewerb oder Manipulation: ein Konkurrent, der einen Produktlaunch ausbremst, ein Reseller, der künstliche Knappheit erzeugt, um eigene Ware abzusetzen, oder ein Erpresser, der Druckmittel demonstriert. Der Schaden des Opfers ist doppelt. Direkt stockt der Verkauf, während die Regale leer wirken — die Bestandsberichte melden Bewegung, doch nichts wird versendet. Indirekt summiert sich der Signalschaden: Frustrierte Kunden kaufen bei der Konkurrenz, bezahlter Traffic konvertiert immer schlechter, und Nachfrageprognosen, die auf Warenkorbdaten trainiert sind, erben die Verzerrung. Weil jede einzelne Warenkorb-Aktion eine völlig normale Operation ist, versteckt sich der Angriff im gewöhnlichen Bot-Traffic, bis jemand Reservierungsvolumen mit abgeschlossenen Bestellungen korreliert.

Bestände verteidigen

Die strukturelle Abwehr macht das Halten teuer: kurze Ablaufzeiten für Warenkörbe, keine stille Verlängerung und Obergrenzen pro Session für gehaltene Mengen verkleinern, was eine Bot-Flotte festsetzen kann. Die entscheidende Schicht sitzt an den Warenkorb- und Reservierungsaktionen selbst — die Verifizierung, dass ein echter Kunde die Reservierung platziert, die Dienste wie CaptchaFox unsichtbar über Umgebungs- und Verhaltenssignale durchführen, bevor der Bestand gebunden wird. Monitoring schließt die Lücke: Ein steigendes Verhältnis von Reservierungen zu abgeschlossenen Käufen oder Warenkörbe, die sich aus frischen Sessions auf ein Produkt konzentrieren, sind die klarste Signatur des Angriffs — und einen Alarm wert.