So, das schaut ja gar nicht mal schlecht aus, also echte Hotlinker (fremde Webseiten) unterbinden und spezielle freigeben (Facebook, Pinterest und Co.). Aber noch mal zur Verdeutlichung, denn Du bringst immer zwei Dinge in einem Satz: Hotlinking und Indexierung. Das sind zwei völlig verschiedene Dinge.
1. Die Bots zur Indexierung kannst Du nur per User-Agent erkennen, die senden niemals einen Referer.
2. Hotlinking in dem Sinne, also eigenes Bild auf fremder Webseite, das wird dann bei Abruf ein Referer gesendet und entsprechend der Liste dann freigegeben oder nicht.
3. Die Bildersuchen selbst sind zweischneidig. Für die Indexierung muss der User-Agent freigegeben sein (Punkt 1). Dann hat man also das eigene Bild als kleine Version in der Bildersuche. Für die große Bildansicht nutzen Sumas nun auch Hotlinking und somit greift hier dann der Referer und nicht der User-Agent (Punkt 2).
Sprich, die folgende Cond ist dafür, dass man das große Bild in der Bildersuche sehen kann. Hotlink und Referer Google. Hast Du auskommentiert, also für die Darstellung in der Bildersuche nicht gut (für den User). Musst aber aufpassen, ob deren URL überhaupt so ist und nicht "images.google.de" oder sonst was. Spielt für die Indexierung aber keine Rolle.
#RewriteCond %{HTTP_REFERER} !^https?://(www\.)?google\.[^/]+(/.*)?$ [NC]
Die hier sind für die Indexierung von Google:
RewriteCond %{HTTP_USER_AGENT} !^(.*)Googlebot(.*)$ [NC]
RewriteCond %{HTTP_USER_AGENT} !^Googlebot\-Image(.*)$ [NC]
RewriteCond %{HTTP_USER_AGENT} !^Googlebot\-Video(.*)$ [NC]
Analog ist das bei den anderen Rules auch. Da sind welche für den "Abruf / Indexierung" und die anderen für die "Darstellung".
Bei den Großansichten in den Suchmaschinen sendet jeder User seinen eigenen UA und den Referer der Suma. Schau ich mir also ein Bild von Dir bei Google in Groß an, dann bekommst Du UA "Firefox" und Referer "Google.de".. Diese Konstellation ist bei Deiner htaccess nicht abgedeckt.
Bedenke also:
Ansicht (Hotlink) = Referer
Indexierung / Abruf = UA
Im Grunde könntest Du alle "Referer-Anweisungen" einkommentieren, egal ob SSL oder nicht (Wenn Die auf Deiner Seite sind, dann ist da nun ja ohne SSL, passt also). Wichtig ist, dass die Sumas per UA freigegeben werden (Indexierung). Diese Standard-Hotlink-Dinger, die arbeiten nur mit Referer und sperren halt somit einen Suma-Bot auch aus. Das von Dir schaut aber schon gut aus.
Es muss also bei Deinen Cons immer alles erfüllt sein. Jede muss TRUE ergeben. Ist nur eine dabei, die FALSE ergibt, dann wird die Sperre nicht eingeleitet.
Ich hatte meinem System damals (ist aber wegen DSGVO gelöscht) z.B. beigebracht, dass jede Suma indexieren darf. Kleine Bilder in der Suma waren OK. Die großen in der Suma, wo man ja einfach runterladen könnte, die wurden mit Wasserzeichen versehen. Fremde Domänen bekamen einen 403.