Wenn „Biwak/1.0“ in Ihrem Protokoll steht.
Stand 16. September 2026 · 4 Minuten Lesezeit
Biwak ist ein Arbeitsprogramm für Kanzleien und kleinere Unternehmen. Es nimmt eine Aufgabe entgegen, arbeitet sie ab und legt das Ergebnis vor. Gehört zu dieser Aufgabe eine Seite im Netz — ein Gesetzestext, ein Handelsregisterauszug, eine Produktseite, die ein Mandant genannt hat —, dann ruft es sie in diesem Moment ab. Kein Zeitplan, keine Warteschlange, kein Bestand, der aufgebaut wird.
Woran Sie uns erkennen
Jeder Abruf trägt diese Kennung, unverändert und ohne Browser-Verkleidung davor:
Biwak/1.0 (+https://www.biwak.ai/bot; agent acting on behalf of a user)
Eine Kennung allein kann jeder abschreiben. Deshalb signieren wir zusätzlich: Jeder Abruf trägt die Kopfzeilen Signature, Signature-Input und Signature-Agent nach RFC 9421, so wie es der IETF-Entwurf Web Bot Auth vorsieht. Der öffentliche Schlüssel dazu steht auf dieser Domain:
https://www.biwak.ai/.well-known/http-message-signatures-directory
Geht die Signatur auf, war der Abruf wirklich von uns; geht sie nicht auf, war er es nicht — gleich, was in der Kennung steht.
Cloudflare, Akamai und Stytch prüfen dieses Verfahren bereits von sich aus. Wer es nicht prüft, sieht drei Kopfzeilen, die er nicht kennt, und ignoriert sie; kaputtgehen kann dadurch nichts.
Was wir tun und was wir nicht tun
- Wir folgen der robots.txt. Steht dort etwas gegen uns, gilt es.
- Wir lesen nur, was ohne Anmeldung offen steht. Keine Zugangsdaten, keine fremden Sitzungen, keine Bezahlschranke.
- Wir umgehen keine Sicherheitsabfrage. Ein Rätsel, das Menschen von Maschinen trennen soll, beantworten wir nicht — wir melden dem Nutzer, dass die Seite von hier aus nicht zu lesen ist.
- Wir bauen keinen Index und kein Trainingsmaterial. Was abgerufen wurde, dient der einen Frage, zu der es gehörte.
- Wir durchlaufen Ihre Seite nicht. Abgerufen wird die genannte Adresse; Verweisen darauf folgen wir nicht von selbst.
Wenn Sie uns nicht wollen
Der kürzeste Weg braucht keine Nachricht an uns und keine Wartezeit — zwei Zeilen in Ihrer robots.txt genügen:
User-agent: Biwak
Disallow: /
Wollen Sie es härter, sperren Sie serverseitig auf die Kennung oder auf das Vorhandensein der Signatur. Beides ist eindeutig, und genau das ist der Sinn der Sache: Ein Besucher, der sich ausweist, lässt sich auch aussperren. Kommt danach trotzdem etwas durch, ist das ein Fehler bei uns — schreiben Sie uns, wir beheben ihn.
Kontakt
Ein Mensch antwortet, in der Regel am selben Werktag, auf Deutsch oder Englisch: kontakt@biwak.ai. Verantwortlicher mit Namen und Anschrift steht im Impressum, die Verarbeitung personenbezogener Daten in der Datenschutzerklärung. Was Biwak sonst an Zusagen macht und wo sie im Code durchgesetzt werden, steht auf der Seite Sicherheit und Nachweise.
Nützlich für eine Rückfrage sind Zeitpunkt, abgerufene Adresse und die Zeile aus Ihrem Protokoll. Damit finden wir den Vorgang wieder.
Was dazu gefragt wird
Sammelt Biwak Daten, um damit ein Modell zu trainieren?
Nein. Wir betreiben keinen Crawler, wir bauen keinen Index und wir legen keinen Textbestand für ein Training an. Biwak ruft eine Seite ab, wenn ein Mensch in diesem Augenblick eine Frage gestellt hat, zu deren Beantwortung sie gehört. Danach ist der Abruf zu Ende. Ein eigenes Modell trainieren wir nicht, weder mit Ihren Seiten noch mit anderen.
Wie oft kommt Biwak, und wie stark belastet das meinen Server?
Ein Abruf entsteht nur aus einer Frage eines Menschen, nicht aus einem Zeitplan. Zwischen zwei Abrufen desselben Rechners liegen mindestens 0,7 Sekunden, ein einzelner Abruf bricht nach acht Sekunden ab, und es werden höchstens zwei Megabyte gelesen. Es gibt keinen Durchlauf über Ihre Seitenstruktur: Abgerufen wird die eine Adresse, um die es gerade geht, und den Verweisen darauf folgen wir nicht von selbst.
Ich möchte das nicht. Wie sperre ich Biwak aus?
Zwei Zeilen in Ihrer robots.txt: „User-agent: Biwak“ und darunter „Disallow: /“. Sie brauchen uns nicht zu fragen und nichts zu beantragen. Wenn Sie zusätzlich sicher sein wollen, sperren Sie serverseitig auf die Kennung oder auf die Signatur — beide sind eindeutig, gerade weil wir uns nicht verstecken. Und wenn etwas trotzdem durchkommt, ist das ein Fehler von uns und wir wollen ihn hören.
Warum gibt sich Biwak nicht einfach als Browser aus?
Weil es nicht hilft und weil es die falsche Aussage wäre. Bis zum 16. September 2026 stand in unserer Kennung ein Chrome auf einem Mac, an den wir unseren Namen gehängt hatten. Ein Bot-Schutz erkennt trotzdem die Rechenzentrums-Adresse und den Fingerabdruck der Verbindung; die Zeile hat also niemanden getäuscht ausser dem Betreiber, der sein Protokoll liest. Für ein Produkt, das Kanzleien verspricht, sich an Regeln zu halten, ist das der falsche Anfang.
Wer ist für diesen Abruf rechtlich verantwortlich?
Der Abruf geschieht auf Weisung eines bestimmten Menschen, der Biwak benutzt, und im Rahmen dessen, was er selbst mit einem Browser hätte abrufen können — öffentliche Seiten, keine Anmeldung, keine Umgehung einer Schutzmassnahme. Wenn Sie zu einem konkreten Abruf etwas wissen müssen, schreiben Sie uns mit Zeitpunkt und Adresse; das Impressum nennt den Verantwortlichen mit Namen und Anschrift.