Prüfen Sie den Umfang des Schutzes und die Bedingungen der Einführung.
Vor jeder Integration müssen Sie wissen, was geprüft wird, wo die Entscheidung fällt und was passiert, wenn eine Prüfung nicht durchläuft. Dieser Überblick führt durch diese Fragen.
Was geprüft wird und wo die Entscheidung fällt
Eine Zeile je angebundenem Kanal. Eine Zeile erscheint nur dort, wo wir das Verhalten in der Implementierung nachgelesen haben; was nicht belegt werden konnte, fehlt lieber, als geschätzt zu werden.
Einfach gesagt: Eine Prüfung kann nur dort entscheiden, wo sie tatsächlich läuft. Ein Skript auf der Seite zeichnet auf und bewertet, es erzwingt auf Ihrem Server nichts, und eine Prüfung, die nicht durchlief, wird nie als sauberes Ergebnis gemeldet.
| Kanal | Was geprüft wird | Wo die Entscheidung fällt | Wenn die Prüfung nicht verfügbar ist | Grenzen |
|---|---|---|---|---|
| Browser-Erweiterung | Erkannte persönliche und geschäftliche Werte im Text, den Sie senden wollen, sowie angehängte Dateien. | Im Browser, bevor der Text ihn verlässt. Es entscheidet der gewählte Modus: warnen, anonymisieren, überschreiben oder stoppen. | Eine Datei, die nicht gelesen werden konnte, wird mit Begründung als ungeprüft gemeldet — nie als sauber. | Unterstützt sind ChatGPT, Claude und Gemini. Die Tiefenprüfung und die serverseitige Dateiprüfung sind Aufrufe, die den Rechner verlassen. |
| Webformular | Ob die Absendung ein Widget-Token trägt und ob es sich verifizieren lässt, sowie die inhaltliche Qualität der benannten Felder. | In der Formularverarbeitung auf Ihrem Server. | Ein Token, das nicht geprüft werden konnte, wird wie ein fehlendes erfasst und weist die Absendung nie ab. | Die Abweisung bleibt aus, bis ein Betreiber sie für die Seite einschaltet. Ein fehlendes Token wird angenommen: Eine Besucherin ohne JavaScript sieht genauso aus. |
| Anmeldung | Dass ein Versuch stattfand und ob er erfolgreich war, als Ereignis auf der Anmeldefläche. | Nirgends. Dieser Kanal zeichnet auf; über die Anmeldung entscheidet die Prüfung der Zugangsdaten. | Für die anmeldende Person ändert sich nichts. | Das Ereignis entsteht nur, wenn genau eine registrierte Seite zum Ursprung der Anfrage passt. Weder E-Mail noch Passwort gehen hinein. |
| REST-Prüfung | Die Daten, die Sie senden: Einschleusungsmuster und die inhaltliche Qualität benannter Formularfelder. | In Ihrer Anwendung. Die Schnittstelle antwortet; was mit der Antwort geschieht, entscheidet Ihre Verarbeitung. | Ein fehlgeschlagener Aufruf ist der Ausfall eines Aufrufs, den Ihr Code macht — also entscheidet Ihre Verarbeitung. Auf unserer Seite wird nichts abgewiesen. | Geprüft wird nur, was Sie senden. Die Namen der Qualitätssignale bleiben in der Serverantwort und gehen nicht an den Browser zurück. |
| KI-Proxy — Eingabe | Eingabetext, der von außen kam. Ihre eigene Systemanweisung bewerten wir bewusst nicht als Angriff. | Bevor die Anfrage an den Anbieter geht: Eine abgewiesene erhält stattdessen einen Fehler mit Referenz. | Ein Rumpf, der nicht zerlegt werden kann, wird weitergeleitet und das Scheitern protokolliert; abgewiesen wird deswegen nichts. | Ein Fund darf eine Anfrage nur bei den Anfrageformen abweisen, die genau zerlegt werden — OpenAI chat completions und responses, Anthropic messages. Bei jeder anderen Form wird der Fund erfasst und die Anfrage läuft weiter. |
| KI-Proxy — Ausgabe | Die Antwort des Modells, wegen Daten, die nicht hinausgehen sollen. | Ohne Streaming vor der Übergabe der Antwort, wobei der Inhalt überschrieben wird. Beim Streaming werden nur die Bytes zurückgehalten, die gerade etwas bilden, das die Anzeige von sich aus abrufen würde. | Scheitert die Ausgabeprüfung, wird die Antwort des Anbieters unverändert zurückgegeben. | Streaming kann Gesendetes nicht zurückholen, und ein Wert, den die Prüfung nicht kennt, geht mit dem Strom hinaus. Jenseits der Rückhalte-Obergrenze gibt die Absicherung frei, was sie hält. |
| Dokument | Zuerst die Struktur — Endung, tatsächlicher Dateityp, Größe, Makros, Skripte in PDF, SVG und HTML — dann die Virenschutz- und Regelschicht, wo sie verfügbar ist. | Beim Hochladen, bevor die Datei an ihren Zielort gelangt. | Im aufzeichnenden Modus wird das Ergebnis vermerkt und nichts abgewiesen. Wo die Abweisung eingeschaltet ist, wird eine Datei, die nichts geprüft hat, zurückgehalten; eine Störung der Strukturprüfung lässt die Datei dagegen durch und löst eine laute Meldung aus. | Wer den Modus nie gesetzt hat, läuft im aufzeichnenden: geprüft, erfasst, nie abgewiesen. |
| MCP-Prüfwerkzeuge | Nur der Text, den Sie dem Werkzeug im Aufruf übergeben. | In der Antwort: Der Fund kommt als Hinweis mit dem Ergebnis zurück, und die Prüfwerkzeuge selbst werden nie abgewiesen. | Das Werkzeug antwortet ohne den Fund. | Dass ein Werkzeug angeboten wird, heißt nicht, dass der ganze Agent geprüft wird. Eine Obergrenze pro Sitzung — Token, Aufrufe, Zeit und Kosten — lässt sich einstellen, doch dieser Kanal misst nur dagegen: Ein Aufruf wird wegen einer erreichten Obergrenze nicht abgewiesen. |
| MCP-Gateway | Jeden Werkzeugaufruf, der hindurchgeht: die Klasse des Werkzeugs und die aus den Argumenten abgeleitete Absicht, gegen die Richtlinie. | Bevor das Werkzeug läuft. Ein blockierter Aufruf wird abgewiesen; ein zur Freigabe gehobener Aufruf wird nur zurückgehalten, wenn der Betreiber das Zurückhalten eingeschaltet hat. | Scheitert die Einstufung, wird ein Aufruf in einer Risikoklasse — oder einer ohne jede Klasse — zurückgehalten; alles andere läuft ohne sie weiter. | Ein Werkzeug, das in der Klassenkarte fehlt, gilt als sicheres Lesen. Aufrufe, die nicht durch dieses Gateway gehen, sind nicht abgedeckt. |
Einfach gesagt: Eine Prüfung kann nur dort entscheiden, wo sie tatsächlich läuft. Ein Skript auf der Seite zeichnet auf und bewertet, es erzwingt auf Ihrem Server nichts, und eine Prüfung, die nicht durchlief, wird nie als sauberes Ergebnis gemeldet.
| Kanal | Was geprüft wird | Wo die Entscheidung fällt | Wenn die Prüfung nicht verfügbar ist | Grenzen |
|---|---|---|---|---|
| Browser-Erweiterung | Erkannte persönliche und geschäftliche Werte im Text, den Sie senden wollen, sowie angehängte Dateien. | Im Browser, bevor der Text ihn verlässt. Es entscheidet der gewählte Modus: warnen, anonymisieren, überschreiben oder stoppen. | Eine Datei, die nicht gelesen werden konnte, wird mit Begründung als ungeprüft gemeldet — nie als sauber. | Unterstützt sind ChatGPT, Claude und Gemini. Die Tiefenprüfung und die serverseitige Dateiprüfung sind Aufrufe, die den Rechner verlassen. |
| Webformular | Ob die Absendung ein Widget-Token trägt und ob es sich verifizieren lässt, sowie die inhaltliche Qualität der benannten Felder. | In der Formularverarbeitung auf Ihrem Server. | Ein Token, das nicht geprüft werden konnte, wird wie ein fehlendes erfasst und weist die Absendung nie ab. | Die Abweisung bleibt aus, bis ein Betreiber sie für die Seite einschaltet. Ein fehlendes Token wird angenommen: Eine Besucherin ohne JavaScript sieht genauso aus. |
| Anmeldung | Dass ein Versuch stattfand und ob er erfolgreich war, als Ereignis auf der Anmeldefläche. | Nirgends. Dieser Kanal zeichnet auf; über die Anmeldung entscheidet die Prüfung der Zugangsdaten. | Für die anmeldende Person ändert sich nichts. | Das Ereignis entsteht nur, wenn genau eine registrierte Seite zum Ursprung der Anfrage passt. Weder E-Mail noch Passwort gehen hinein. |
| REST-Prüfung | Die Daten, die Sie senden: Einschleusungsmuster und die inhaltliche Qualität benannter Formularfelder. | In Ihrer Anwendung. Die Schnittstelle antwortet; was mit der Antwort geschieht, entscheidet Ihre Verarbeitung. | Ein fehlgeschlagener Aufruf ist der Ausfall eines Aufrufs, den Ihr Code macht — also entscheidet Ihre Verarbeitung. Auf unserer Seite wird nichts abgewiesen. | Geprüft wird nur, was Sie senden. Die Namen der Qualitätssignale bleiben in der Serverantwort und gehen nicht an den Browser zurück. |
| KI-Proxy — Eingabe | Eingabetext, der von außen kam. Ihre eigene Systemanweisung bewerten wir bewusst nicht als Angriff. | Bevor die Anfrage an den Anbieter geht: Eine abgewiesene erhält stattdessen einen Fehler mit Referenz. | Ein Rumpf, der nicht zerlegt werden kann, wird weitergeleitet und das Scheitern protokolliert; abgewiesen wird deswegen nichts. | Ein Fund darf eine Anfrage nur bei den Anfrageformen abweisen, die genau zerlegt werden — OpenAI chat completions und responses, Anthropic messages. Bei jeder anderen Form wird der Fund erfasst und die Anfrage läuft weiter. |
| KI-Proxy — Ausgabe | Die Antwort des Modells, wegen Daten, die nicht hinausgehen sollen. | Ohne Streaming vor der Übergabe der Antwort, wobei der Inhalt überschrieben wird. Beim Streaming werden nur die Bytes zurückgehalten, die gerade etwas bilden, das die Anzeige von sich aus abrufen würde. | Scheitert die Ausgabeprüfung, wird die Antwort des Anbieters unverändert zurückgegeben. | Streaming kann Gesendetes nicht zurückholen, und ein Wert, den die Prüfung nicht kennt, geht mit dem Strom hinaus. Jenseits der Rückhalte-Obergrenze gibt die Absicherung frei, was sie hält. |
| Dokument | Zuerst die Struktur — Endung, tatsächlicher Dateityp, Größe, Makros, Skripte in PDF, SVG und HTML — dann die Virenschutz- und Regelschicht, wo sie verfügbar ist. | Beim Hochladen, bevor die Datei an ihren Zielort gelangt. | Im aufzeichnenden Modus wird das Ergebnis vermerkt und nichts abgewiesen. Wo die Abweisung eingeschaltet ist, wird eine Datei, die nichts geprüft hat, zurückgehalten; eine Störung der Strukturprüfung lässt die Datei dagegen durch und löst eine laute Meldung aus. | Wer den Modus nie gesetzt hat, läuft im aufzeichnenden: geprüft, erfasst, nie abgewiesen. |
| MCP-Prüfwerkzeuge | Nur der Text, den Sie dem Werkzeug im Aufruf übergeben. | In der Antwort: Der Fund kommt als Hinweis mit dem Ergebnis zurück, und die Prüfwerkzeuge selbst werden nie abgewiesen. | Das Werkzeug antwortet ohne den Fund. | Dass ein Werkzeug angeboten wird, heißt nicht, dass der ganze Agent geprüft wird. Eine Obergrenze pro Sitzung — Token, Aufrufe, Zeit und Kosten — lässt sich einstellen, doch dieser Kanal misst nur dagegen: Ein Aufruf wird wegen einer erreichten Obergrenze nicht abgewiesen. |
| MCP-Gateway | Jeden Werkzeugaufruf, der hindurchgeht: die Klasse des Werkzeugs und die aus den Argumenten abgeleitete Absicht, gegen die Richtlinie. | Bevor das Werkzeug läuft. Ein blockierter Aufruf wird abgewiesen; ein zur Freigabe gehobener Aufruf wird nur zurückgehalten, wenn der Betreiber das Zurückhalten eingeschaltet hat. | Scheitert die Einstufung, wird ein Aufruf in einer Risikoklasse — oder einer ohne jede Klasse — zurückgehalten; alles andere läuft ohne sie weiter. | Ein Werkzeug, das in der Klassenkarte fehlt, gilt als sicheres Lesen. Aufrufe, die nicht durch dieses Gateway gehen, sind nicht abgedeckt. |
Die Prüfungen hinter diesen Kanälen
Die Matrix sagt, wo entschieden wird. Dieser Teil sagt, womit der Fund entsteht. Im Modus für IT-Fachleute sind die Details geöffnet.
Verhaltenssignale und Bewertung
Das Widget meldet, wie mit dem Formular gearbeitet wurde: Tipprhythmus, Mausbewegung, Zeit bis zur ersten Eingabe, Einfügen aus der Ablage, Scrollen. Aus diesen Signalen entsteht nach den aktivierten Regeln eine Bewertung.
Sie sehen die Bewertung, ihre Aufschlüsselung und die Regeln, die gegriffen haben.
Die Signale werden zu einem Sitzungsprofil zusammengesetzt, das sich mit einer anderen Sitzung derselben Seite vergleichen lässt. Die Bewertung entsteht aus Regeln — Signal, Gewicht, gegebenenfalls Schwelle — und das Ereignis hält sowohl die Aufschlüsselung als auch die Liste der tatsächlich angewendeten Regeln fest. Sperrregeln auf Adresse, Geräte-Fingerabdruck und User-Agent werden getrennt geführt, damit „angewendete Regeln“ weiterhin Bewertungsregeln bedeutet. Zu den eigenen Signalen kommt die Reputation einer Adresse aus öffentlichen Threat-Intelligence-Quellen, oder aus kostenpflichtigen mit Ihrem eigenen Schlüssel. Die Grenzen zwischen Aufzeichnung, Beobachtung, Nachfrage und Stopp werden je Seite eingestellt.
Die Signale werden zu einem Sitzungsprofil zusammengesetzt, das sich mit einer anderen Sitzung derselben Seite vergleichen lässt. Die Bewertung entsteht aus Regeln — Signal, Gewicht, gegebenenfalls Schwelle — und das Ereignis hält sowohl die Aufschlüsselung als auch die Liste der tatsächlich angewendeten Regeln fest. Sperrregeln auf Adresse, Geräte-Fingerabdruck und User-Agent werden getrennt geführt, damit „angewendete Regeln“ weiterhin Bewertungsregeln bedeutet. Zu den eigenen Signalen kommt die Reputation einer Adresse aus öffentlichen Threat-Intelligence-Quellen, oder aus kostenpflichtigen mit Ihrem eigenen Schlüssel. Die Grenzen zwischen Aufzeichnung, Beobachtung, Nachfrage und Stopp werden je Seite eingestellt.
Semantische Inhaltsprüfung
Ein Muster fängt eine bekannte Formulierung; eine umformulierte sieht anders aus. Deshalb wird der Text auch inhaltlich mit einer Sammlung von Angriffsformulierungen verglichen — „ignoriere die vorherigen Anweisungen“ und „sieh von den bisherigen Vorgaben ab“ landen nahe beieinander.
Ein Fund beruhte auf inhaltlicher Ähnlichkeit, nicht auf einem Muster.
Diese Schicht läuft neben der Musterprüfung, nicht an ihrer Stelle, und schlägt je nach Stärke der Ähnlichkeit einen Eingriff vor oder meldet gar nichts. Ist der Vergleich nicht verfügbar, bleibt sie still — eine Vermutung tritt nicht an ihre Stelle, und die Musterprüfung läuft weiter. Das Modell für den Vergleich kann lokal oder bei einem Anbieter laufen; was wo läuft, gehört in den Einführungsvorschlag.
Diese Schicht läuft neben der Musterprüfung, nicht an ihrer Stelle, und schlägt je nach Stärke der Ähnlichkeit einen Eingriff vor oder meldet gar nichts. Ist der Vergleich nicht verfügbar, bleibt sie still — eine Vermutung tritt nicht an ihre Stelle, und die Musterprüfung läuft weiter. Das Modell für den Vergleich kann lokal oder bei einem Anbieter laufen; was wo läuft, gehört in den Einführungsvorschlag.
Fallen und markierte Werte
In eine Seite lassen sich ein Link und ein Feld einbauen, die ein Mensch nie sieht: wer sie benutzt, hat sich selbst verraten. Ebenso lassen sich falsche Werte in den Daten verstreuen.
Eine ausgelöste Falle ist ein eigenes Ereignis mit hoher Schwere.
Die verborgene Adresse antwortet mit einem neutralen „angenommen“, damit der Besucher nichts davon merkt, und hält das Ereignis fest. Eine ausgelöste Falle ist kein Zuschlag auf die Bewertung, sondern eine Untergrenze darunter: sie ist kein Grad des Verdachts — der Köder wurde genommen oder nicht — und ein höherer Fund eines anderen Detektors bleibt unberührt. Falsche Werte werden als Fingerabdruck verglichen, nicht als der Wert selbst.
Die verborgene Adresse antwortet mit einem neutralen „angenommen“, damit der Besucher nichts davon merkt, und hält das Ereignis fest. Eine ausgelöste Falle ist kein Zuschlag auf die Bewertung, sondern eine Untergrenze darunter: sie ist kein Grad des Verdachts — der Köder wurde genommen oder nicht — und ein höherer Fund eines anderen Detektors bleibt unberührt. Falsche Werte werden als Fingerabdruck verglichen, nicht als der Wert selbst.
Zahlungskarten
Bei Zahlungsversuchen wird die Form des Angriffs beurteilt: ein Gerät, das viele Karten durchprobiert, ein wiederkehrender Karten-Fingerabdruck, eine ungewöhnliche Häufung nach Herausgeber.
Sie sehen, welche Regel gegriffen hat und welcher Eingriff daraus wurde.
Das Urteil setzt sich aus vier Regeln zusammen. Einen Stopp erreicht von allein nur jene, die die Form des Kartentestens kennt; die anderen messen je eine Dimension und erhöhen den Verdacht. Ein Muster, das andere Shops gesehen haben, ist unterhalb eines Stopps begrenzt — es ist eine Bestätigung, kein Beweis. Das Gerät wird über das Token ermittelt, das der Shop schon hält, damit kein Geräte-Fingerabdruck an eine Bezahlseite gegeben wird. Eine Eingabe mit vollständiger Kartennummer wird am Rand abgewiesen, eine solche Nummer wird also gar nicht verarbeitet.
Das Urteil setzt sich aus vier Regeln zusammen. Einen Stopp erreicht von allein nur jene, die die Form des Kartentestens kennt; die anderen messen je eine Dimension und erhöhen den Verdacht. Ein Muster, das andere Shops gesehen haben, ist unterhalb eines Stopps begrenzt — es ist eine Bestätigung, kein Beweis. Das Gerät wird über das Token ermittelt, das der Shop schon hält, damit kein Geräte-Fingerabdruck an eine Bezahlseite gegeben wird. Eine Eingabe mit vollständiger Kartennummer wird am Rand abgewiesen, eine solche Nummer wird also gar nicht verarbeitet.
Dateien und Anhänge
Eine hochgeladene Datei kommt zuerst in einen abgestellten Bereich. Geprüft wird, was sie wirklich ist, nicht wie sie heißt: Endung, tatsächlicher Dateityp, Makros, Skripte in PDF, SVG und HTML. Virenscanner und Regeln folgen, wo verfügbar.
Sie sehen Urteil und Grund; „nicht geprüft“ ist ein eigenes Ergebnis, nicht sauber.
Die strukturelle Prüfung läuft in der Anwendung selbst, Virenscanner und Regeln in einem eigenen Prozess, und beide Ergebnisse werden zu einem einzigen Urteil zusammengefasst — in dieser Reihenfolge, damit für eine strukturell abgewiesene Datei kein Scanner startet. War kein einziges Werkzeug verfügbar, lautet das Urteil „nicht geprüft“ und darf nicht als sauber gelesen werden. Was mit dem Urteil geschieht — zurückhalten, in Quarantäne, nur festhalten — entscheidet der eingestellte Modus, nicht die Prüfung selbst.
Die strukturelle Prüfung läuft in der Anwendung selbst, Virenscanner und Regeln in einem eigenen Prozess, und beide Ergebnisse werden zu einem einzigen Urteil zusammengefasst — in dieser Reihenfolge, damit für eine strukturell abgewiesene Datei kein Scanner startet. War kein einziges Werkzeug verfügbar, lautet das Urteil „nicht geprüft“ und darf nicht als sauber gelesen werden. Was mit dem Urteil geschieht — zurückhalten, in Quarantäne, nur festhalten — entscheidet der eingestellte Modus, nicht die Prüfung selbst.
Ausgaben des Modells
Die Antwort des Modells wird auf Daten geprüft, die nicht hinausgehen sollen. Ohne Streaming wird sie vor der Übergabe überschrieben. Beim Streaming werden nur die Bytes zurückgehalten, die sich zu etwas zusammensetzen, das die Anzeige selbst nachladen würde.
Sie sehen den Fund und ob er zurückgehalten oder nur festgehalten wurde.
Zurückgehaltener Text wird noch vor dem letzten Bild des Streams freigegeben, denn ein Gebilde, das erst der letzte Bruchteil vollendet, ist genau das Ziel eines Angriffs. Die Hülle des Streams — Abschlussgrund, Verbrauch, Werkzeugaufrufe — geht Byte für Byte und in der Reihenfolge weiter; eine Wache, die sie umschreibt, zerstört den Client, den sie schützt. Streaming kann nicht zurückholen, was schon draußen ist, und ein Wert, den die Prüfung nicht kennt, geht damit hinaus.
Zurückgehaltener Text wird noch vor dem letzten Bild des Streams freigegeben, denn ein Gebilde, das erst der letzte Bruchteil vollendet, ist genau das Ziel eines Angriffs. Die Hülle des Streams — Abschlussgrund, Verbrauch, Werkzeugaufrufe — geht Byte für Byte und in der Reihenfolge weiter; eine Wache, die sie umschreibt, zerstört den Client, den sie schützt. Streaming kann nicht zurückholen, was schon draußen ist, und ein Wert, den die Prüfung nicht kennt, geht damit hinaus.
Werkzeugaufrufe eines Agenten
Vor der Ausführung wird ein Werkzeugaufruf einer Klasse zugeordnet und mit der aus den Argumenten abgeleiteten Absicht verglichen. Je nach Richtlinie läuft er weiter, geht zur Freigabe oder wird gestoppt.
Sie sehen den Aufruf, seine Klasse und den Grund für Stopp oder Freigabe.
Die Argumente werden gegen das Schema des Werkzeugs geprüft, und auch die Länge der Schrittkette in einer Sitzung wird überwacht. Beschreibung und Schematexte eines Werkzeugs werden eigens gelesen: ein Agent nimmt sie als Anweisungen, also kann ein untergeschobenes Werkzeug darin einen Befehl verstecken, den bei einem Namen wie „addieren“ niemand erwartet. Ein Werkzeug, das in der Klassenkarte fehlt, zählt als sicheres Lesen, und Aufrufe, die nicht durch das Gateway laufen, sind nicht abgedeckt.
Die Argumente werden gegen das Schema des Werkzeugs geprüft, und auch die Länge der Schrittkette in einer Sitzung wird überwacht. Beschreibung und Schematexte eines Werkzeugs werden eigens gelesen: ein Agent nimmt sie als Anweisungen, also kann ein untergeschobenes Werkzeug darin einen Befehl verstecken, den bei einem Namen wie „addieren“ niemand erwartet. Ein Werkzeug, das in der Klassenkarte fehlt, zählt als sicheres Lesen, und Aufrufe, die nicht durch das Gateway laufen, sind nicht abgedeckt.
Wiederverwendung des Tokens
Das Token, das ein Formular erhalten hat, ist nicht einmalig — ein Doppelklick oder ein Neuladen sind normal. Gezählt wird die Zahl seiner Verwendungen.
Eine Abweisung wegen Wiederholung trägt ihren eigenen Grund, getrennt von Funden aus dem Inhalt.
Signatur und Alter eines Tokens wurden immer geprüft; was fehlte, war das Zählen der Verwendungen — ein aus einem echten Browser abgefangenes Token autorisierte sonst Absendungen bis zu seinem Ablauf. Eine Bewertung hilft hier nicht: gefährlich ist gerade ein sauberes Token aus einer echten Sitzung. Deshalb entscheidet die Zahl der Verwendungen, und ihre Grenze liegt über allem, was ein Mensch erreicht — darum weist diese Prüfung schon in der Standardeinstellung ab.
Signatur und Alter eines Tokens wurden immer geprüft; was fehlte, war das Zählen der Verwendungen — ein aus einem echten Browser abgefangenes Token autorisierte sonst Absendungen bis zu seinem Ablauf. Eine Bewertung hilft hier nicht: gefährlich ist gerade ein sauberes Token aus einer echten Sitzung. Deshalb entscheidet die Zahl der Verwendungen, und ihre Grenze liegt über allem, was ein Mensch erreicht — darum weist diese Prüfung schon in der Standardeinstellung ab.
Die folgenden Prüfungen sind in der Installation vorhanden, aber nicht alle sind standardmäßig aktiv — bei jeder steht, ob sie sofort schützt oder erst, wenn Sie sie einschalten.
Lernen aus den eigenen Ereignissen
Aus dem, was auf Ihren Websites tatsächlich passiert, schlägt der Schutz selbst neue Regeln vor. Eine neue Regel läuft zunächst wirkungslos mit und wird beobachtet; zählen beginnt sie erst, wenn sie bestätigt ist. Sicherheitsdokumente, die Sie hinzufügen, prägen diesen Vorschlag — die Entscheidung im Moment der Anfrage liest sie nicht.
Sie sehen die vorgeschlagenen Regeln, wie oft jede gegriffen hat, und bestätigen oder verwerfen sie.
Erfahrung aus anderen Installationen
Angriffsmuster lassen sich über Installationen hinweg in anonymer Form sammeln — ohne Inhalt, ohne E-Mail-Adressen, mit der Adresse auf ihren Bereich verkürzt. Standardmäßig ist das aus und wird nur mit Ihrer Zustimmung eingeschaltet, aus Ihrem eigenen Administratorkonto. Das Einschalten wird im Audit festgehalten — wer es eingeschaltet hat und wann.
Ein frisches Muster beobachtet zunächst nur; zu stoppen beginnt es erst, wenn es genügend Installationen bestätigt haben.
Katalog bekannter Angriffe auf Websites
Eingaben werden mit einem Katalog der klassischen Angriffe auf Websites und Anwendungen verglichen: eingeschobene Datenbankbefehle, in eine Seite geschmuggelte Skripte, das Lesen von Dateien, die den Aufrufer nichts angehen, Betriebssystembefehle und Aufrufe in Ihr internes Netz. Den Katalog pflegen wir zentral, die Installation erneuert ihn selbst.
Ein Fund nennt die Angriffsklasse, zu der er gehört.
Markenimitation und Phishing
In den Links eingesandter Nachrichten und E-Mails wird nach Domains gesucht, die als Ihre verkleidet sind: ein vertauschtes Zeichen, eine andere Endung, Ihr Name in einer längeren Adresse versteckt. Hier wird nur aufgezeichnet und nichts abgewiesen. Bei Anhängen geht der Fund in das Ergebnis ein — eine imitierte Bank oder Versicherung, slowakischer oder tschechischer Text absichtlich ohne Diakritika, ein Passwort aus einer öffentlichen Kennung.
Ein Fund an einem Link ist ein eigener Eintrag und wird nicht in die Inhaltsbewertung gemischt.
Missbrauch von Krypto-Wallets
In Modellantworten und in Dokumenten wird nach Wallet-Adressen, Wiederherstellungsphrasen, Aufforderungen zum Signieren einer Transaktion und Mining-Skripten gesucht. Eine Wiederherstellungsphrase ist der Fund, nach dem der Text nicht unverändert übergeben wird.
Sie sehen, was gefunden wurde und ob es überschrieben oder gestoppt wurde.
Land und Reputation der Adresse
Das Land eines Besuchers lässt sich bestimmen, und ein Betreiber kann Länder auslassen: ein Besucher von dort bekommt die Seite nicht geöffnet und sendet nichts ab. Standardmäßig ist kein Land ausgelassen. Die Reputation der Adresse aus öffentlichen Quellen läuft ohne Einrichtung, bezahlte Quellen binden Sie mit Ihrem eigenen Schlüssel an.
Sie sehen das Land, den Grund für den Stopp und dass die Reputation beigetragen hat.
Bestätigung durch einen Schlüssel im Gerät
Ein Formular kann eine Bestätigung durch einen Sicherheitsschlüssel oder einen Fingerabdruck im Gerät verlangen, also einen Passkey. Die Signatur prüft der Server selbst, und die Bestätigung gilt einmal. Standardmäßig wird nur gemessen — so können wir schützen, sobald Sie es für ausgewählte Formulare einschalten.
Sie sehen, ob die Bestätigung geprüft wurde und ob sie über den Durchlass entschied.
Ob ein Text von einem Menschen oder einem Modell stammt
Einen längeren Text können wir auf Anzeichen maschinellen Ursprungs prüfen. Das ist ein Hilfssignal auf Anfrage, kein automatischer Teil der Bewertung jeder Anfrage, und einen kurzen Text bewertet es gar nicht.
Die Antwort erhält, wer gefragt hat; in den Ereigniseintrag geht sie nicht ein.
Nächtlicher Durchlauf des Angriffskatalogs
Jede Nacht schickt der Schutz einen Katalog bekannter Angriffe denselben Weg, den echte Anfragen nehmen, und misst, wie viele davon er stoppt. Ein Einbruch der Abdeckung ist ein Alarm — so fällt eine Änderung auf, die etwas unbemerkt verschlechtert hat.
Das läuft auf unserer Seite und ist nicht Teil der Kundenübersicht.
Lernen aus den eigenen Ereignissen
Aus dem, was auf Ihren Websites tatsächlich passiert, schlägt der Schutz selbst neue Regeln vor. Eine neue Regel läuft zunächst wirkungslos mit und wird beobachtet; zählen beginnt sie erst, wenn sie bestätigt ist. Sicherheitsdokumente, die Sie hinzufügen, prägen diesen Vorschlag — die Entscheidung im Moment der Anfrage liest sie nicht.
Sie sehen die vorgeschlagenen Regeln, wie oft jede gegriffen hat, und bestätigen oder verwerfen sie.
Erfahrung aus anderen Installationen
Angriffsmuster lassen sich über Installationen hinweg in anonymer Form sammeln — ohne Inhalt, ohne E-Mail-Adressen, mit der Adresse auf ihren Bereich verkürzt. Standardmäßig ist das aus und wird nur mit Ihrer Zustimmung eingeschaltet, aus Ihrem eigenen Administratorkonto. Das Einschalten wird im Audit festgehalten — wer es eingeschaltet hat und wann.
Ein frisches Muster beobachtet zunächst nur; zu stoppen beginnt es erst, wenn es genügend Installationen bestätigt haben.
Katalog bekannter Angriffe auf Websites
Eingaben werden mit einem Katalog der klassischen Angriffe auf Websites und Anwendungen verglichen: eingeschobene Datenbankbefehle, in eine Seite geschmuggelte Skripte, das Lesen von Dateien, die den Aufrufer nichts angehen, Betriebssystembefehle und Aufrufe in Ihr internes Netz. Den Katalog pflegen wir zentral, die Installation erneuert ihn selbst.
Ein Fund nennt die Angriffsklasse, zu der er gehört.
Markenimitation und Phishing
In den Links eingesandter Nachrichten und E-Mails wird nach Domains gesucht, die als Ihre verkleidet sind: ein vertauschtes Zeichen, eine andere Endung, Ihr Name in einer längeren Adresse versteckt. Hier wird nur aufgezeichnet und nichts abgewiesen. Bei Anhängen geht der Fund in das Ergebnis ein — eine imitierte Bank oder Versicherung, slowakischer oder tschechischer Text absichtlich ohne Diakritika, ein Passwort aus einer öffentlichen Kennung.
Ein Fund an einem Link ist ein eigener Eintrag und wird nicht in die Inhaltsbewertung gemischt.
Missbrauch von Krypto-Wallets
In Modellantworten und in Dokumenten wird nach Wallet-Adressen, Wiederherstellungsphrasen, Aufforderungen zum Signieren einer Transaktion und Mining-Skripten gesucht. Eine Wiederherstellungsphrase ist der Fund, nach dem der Text nicht unverändert übergeben wird.
Sie sehen, was gefunden wurde und ob es überschrieben oder gestoppt wurde.
Land und Reputation der Adresse
Das Land eines Besuchers lässt sich bestimmen, und ein Betreiber kann Länder auslassen: ein Besucher von dort bekommt die Seite nicht geöffnet und sendet nichts ab. Standardmäßig ist kein Land ausgelassen. Die Reputation der Adresse aus öffentlichen Quellen läuft ohne Einrichtung, bezahlte Quellen binden Sie mit Ihrem eigenen Schlüssel an.
Sie sehen das Land, den Grund für den Stopp und dass die Reputation beigetragen hat.
Bestätigung durch einen Schlüssel im Gerät
Ein Formular kann eine Bestätigung durch einen Sicherheitsschlüssel oder einen Fingerabdruck im Gerät verlangen, also einen Passkey. Die Signatur prüft der Server selbst, und die Bestätigung gilt einmal. Standardmäßig wird nur gemessen — so können wir schützen, sobald Sie es für ausgewählte Formulare einschalten.
Sie sehen, ob die Bestätigung geprüft wurde und ob sie über den Durchlass entschied.
Ob ein Text von einem Menschen oder einem Modell stammt
Einen längeren Text können wir auf Anzeichen maschinellen Ursprungs prüfen. Das ist ein Hilfssignal auf Anfrage, kein automatischer Teil der Bewertung jeder Anfrage, und einen kurzen Text bewertet es gar nicht.
Die Antwort erhält, wer gefragt hat; in den Ereigniseintrag geht sie nicht ein.
Nächtlicher Durchlauf des Angriffskatalogs
Jede Nacht schickt der Schutz einen Katalog bekannter Angriffe denselben Weg, den echte Anfragen nehmen, und misst, wie viele davon er stoppt. Ein Einbruch der Abdeckung ist ein Alarm — so fällt eine Änderung auf, die etwas unbemerkt verschlechtert hat.
Das läuft auf unserer Seite und ist nicht Teil der Kundenübersicht.
Die Wege, auf denen der Schutz in Ihr System kommt
Zu jedem Weg, was Sie übergeben und was zurückkommt. Vorgehen und Code stehen auf der Integrationsseite.
- Widget auf der Seite
Sie binden ein Skript mit dem Seitenschlüssel ein. Es übergibt Signale über die Arbeit am Formular und liefert ein signiertes Token, das Sie mit dem Formular absenden.
- SDK und Middleware
Fertige Middleware für Python, Node.js und PHP samt Laravel, ein Zusatz für WordPress und WooCommerce. Sie übergibt Token und Formularfelder und liefert Ihrer Verarbeitung eine Entscheidung.
- REST-Prüfung
Sie rufen die Schnittstelle mit dem zu prüfenden Inhalt auf, oder mit einem Token zur Verifikation. Sie liefert den Fund; was damit geschieht, entscheidet Ihre Anwendung.
- Proxy vor dem Modell
Sie ändern die Basisadresse Ihrer Aufrufe an OpenAI oder Anthropic. Der Proxy übergibt Eingabe und Antwort des Modells und liefert sie nach der Prüfung zurück.
- MCP-Gateway
Ein Agent verbindet sich mit der MCP-Schnittstelle. Er übergibt Werkzeugnamen und Argumente und erhält das Ergebnis oder eine Abweisung mit Grund.
- Browser-Erweiterung
Sie wird im Browser der Mitarbeitenden installiert. Sie übergibt den Text, der an ein unterstütztes KI-Werkzeug gehen soll, und liefert ihn nach dem gewählten Modus zurück — Hinweis, Anonymisierung, Überschreiben oder Stopp.
Eine Entscheidung braucht einen klaren Ort der Ausführung.
Die Beobachtung erfasst einen Fund. Ein aktiver Modus kann im angebundenen Ablauf einen Eingriff auslösen. Beim Entwurf der Einführung legen wir auch das Verhalten im Fehlerfall fest, damit klar ist, wann die Anwendung weiterläuft und wann sie die Anfrage anhält.
Aufzeichnung
Der Fund wird festgehalten und niemand abgewiesen. Hier beginnt jeder Kanal.
Eingriff
Nur dort, wo der Kanal ihn wirklich trägt: Abweisung, Überschreiben, Zurückhalten. Welcher Kanal was kann, sagt die Matrix.
Im Fehlerfall
Jeder Kanal hat seine eigene Antwort, und sie lautet nie „sauber“. Entweder läuft die Anfrage weiter und die Lücke wird erfasst, oder sie wird zurückgehalten — je Einführung vereinbart.
Was erfasst wird und was die Aufzeichnung nicht ist
Eine Aufzeichnung ist nicht die Kommunikation
Ein Ereignis hält fest, was eine Absendung oder ein Aufruf enthielt und wie es bewertet wurde, nicht den vollen Inhalt.
Ein Hash ist kein rechtlicher Schluss
Eine Adresse wird als Hash gespeichert. Das verringert, was die Aufzeichnung preisgibt; anonym macht es sie nicht von selbst.
Eine Signatur ist keine Audit-Konformität
Eine Aufzeichnung kann so signiert werden, dass ein Dritter prüfen kann, dass sie unverändert ist. Eine allgemeine Garantie für Audit-Konformität ist das nicht.
Eine Regel ist kein trainiertes Modell
Regeln entstehen aus erfassten Ereignissen. Das ist weder ein Modelltraining noch ein Modell des normalen Verhaltens.
Das ist kein Versprechen, das bei der Unterschrift ausgefüllt wird. Es folgt, was ein Ereignis tatsächlich festhält, was nicht, wie lange es bleibt, wer darauf zugreift und wo es läuft.
- Was ein Ereignis festhält
Zeit, Art des Ereignisses, Bewertungsergebnis und dessen Punktwert, einen indirekten Abdruck von Gerät und Adresse, den Browser, die Verhaltenssignale und den Kontext der Anfrage: Seitenadresse, Status der Antwort, Kennzeichen einer Abfrage und, wo es eines gibt, den Kontonamen in indirekter Form.
- Was es nicht festhält
Den Inhalt der Kommunikation. Bei einer Anmeldung weder das Passwort noch die E-Mail-Adresse. Der Browser wird gekürzt gespeichert. Eine Eingabe mit einer offen lesbaren Zahlungskartennummer wird am Rand abgewiesen, eine solche Nummer wird also nie verarbeitet.
- Wie lange es bleibt
Nach Vertrag und Einstellung; dies sind die Standardwerte. Ein gewöhnliches Ereignis dreißig Tage. Ein von einem Betreiber markiertes Ereignis ein Jahr. Die vollständige Adresse sieben Tage, danach wird sie aus dem Ereignis entfernt und nur ihre indirekte und verkürzte Form bleibt. Qualitätsmessungen dreißig Tage, Einträge geschützter Geräte neunzig, Auditeinträge werden nicht gelöscht: die Anwendung kann an dieses Protokoll anfügen, es aber nicht ändern und keine Zeile daraus entfernen.
- Wer darauf zugreift
Die Daten sind bereits in der Datenbank pro Kunde getrennt. Die Ereignisübersicht und der gewöhnliche Export stehen Administrator und Manager offen. Die vollständige Adresse erscheint nur im Detail eines einzelnen untersuchten Ereignisses. Der Beweis-Export mit Adressen und das Prüferpaket gehören allein dem Administrator.
- Export
Ereignisse und Bedrohungen als Tabelle, ein Bericht als PDF, ein laufender Datenstrom in die Sicherheitsüberwachung mit Wiederaufsetzpunkt und ohne vollständige Adressen, ein Beweis-Export mit Adressen für Dritte und ein anonymisierter Mitschnitt eines Agentenlaufs. Jeder Download wird im Audit festgehalten.
- Signatur der Einträge
Jeder Auditeintrag ist per Abdruck an den vorhergehenden gekettet und mit einem Schlüssel Ihrer Installation signiert. Der private Schlüssel verlässt das System nicht und ist nicht im Export. Die Prüfung der Kette startet ein Betreiber selbst und sieht auch, wie viele Zeilen unsigniert sind. Das Ende der Kette wird in regelmäßigen Abständen bei einer unabhängigen Zeitstempelstelle verankert, sodass ein Dritter belegen kann, dass ein Eintrag zu jener Zeit existierte. Eine Garantie für Audit-Konformität ist das nicht.
- Momentaufnahme für eine Untersuchung
Ein Administrator kann eine Momentaufnahme des Schutzzustands über ein gewähltes Fenster anfordern. Sie ist für einen Schlüssel verschlüsselt, den Sie liefern, und trägt einen eigenen Abdruck des Inhalts. Eine regelmäßige automatische Aufnahme wird auf Wunsch eingeschaltet. Nichts löscht Momentaufnahmen nach einem Zeitplan: die Übersicht zeigt, welche davon eine gewählte Frist erfassen würde, und solange das nicht vereinbart ist, wird keine gelöscht.
- Sicherungen
Eine Kopie der Datenbanken entsteht jede Nacht und eine weitere vor jeder Aktualisierung. Aktuelle Kopien bleiben beim Dienst; von den älteren bleiben eine wöchentliche und eine monatliche. Eine Kopie liegt außerdem außerhalb des Standorts, an dem der Dienst läuft — immer innerhalb der EU — und wird jede Nacht ergänzt; der Verlust dieses einen Standorts ist also kein Datenverlust.
- Wo verarbeitet wird
Der Dienst, den wir betreiben, läuft in der EU. Die andere Möglichkeit ist Schutz in Ihrer eigenen Infrastruktur, wo der Inhalt Ihr Netz nicht verlässt; ein Teil der Prüfungen kann direkt auf dem Gerät laufen. Adressreputation und die Modelle eines Anbieters sind Aufrufe nach außen — was wo läuft, gehört in den Einsatzvorschlag.
- Was ein Ereignis festhält
Zeit, Art des Ereignisses, Bewertungsergebnis und dessen Punktwert, einen indirekten Abdruck von Gerät und Adresse, den Browser, die Verhaltenssignale und den Kontext der Anfrage: Seitenadresse, Status der Antwort, Kennzeichen einer Abfrage und, wo es eines gibt, den Kontonamen in indirekter Form.
- Was es nicht festhält
Den Inhalt der Kommunikation. Bei einer Anmeldung weder das Passwort noch die E-Mail-Adresse. Der Browser wird gekürzt gespeichert. Eine Eingabe mit einer offen lesbaren Zahlungskartennummer wird am Rand abgewiesen, eine solche Nummer wird also nie verarbeitet.
- Wie lange es bleibt
Nach Vertrag und Einstellung; dies sind die Standardwerte. Ein gewöhnliches Ereignis dreißig Tage. Ein von einem Betreiber markiertes Ereignis ein Jahr. Die vollständige Adresse sieben Tage, danach wird sie aus dem Ereignis entfernt und nur ihre indirekte und verkürzte Form bleibt. Qualitätsmessungen dreißig Tage, Einträge geschützter Geräte neunzig, Auditeinträge werden nicht gelöscht: die Anwendung kann an dieses Protokoll anfügen, es aber nicht ändern und keine Zeile daraus entfernen.
- Wer darauf zugreift
Die Daten sind bereits in der Datenbank pro Kunde getrennt. Die Ereignisübersicht und der gewöhnliche Export stehen Administrator und Manager offen. Die vollständige Adresse erscheint nur im Detail eines einzelnen untersuchten Ereignisses. Der Beweis-Export mit Adressen und das Prüferpaket gehören allein dem Administrator.
- Export
Ereignisse und Bedrohungen als Tabelle, ein Bericht als PDF, ein laufender Datenstrom in die Sicherheitsüberwachung mit Wiederaufsetzpunkt und ohne vollständige Adressen, ein Beweis-Export mit Adressen für Dritte und ein anonymisierter Mitschnitt eines Agentenlaufs. Jeder Download wird im Audit festgehalten.
- Signatur der Einträge
Jeder Auditeintrag ist per Abdruck an den vorhergehenden gekettet und mit einem Schlüssel Ihrer Installation signiert. Der private Schlüssel verlässt das System nicht und ist nicht im Export. Die Prüfung der Kette startet ein Betreiber selbst und sieht auch, wie viele Zeilen unsigniert sind. Das Ende der Kette wird in regelmäßigen Abständen bei einer unabhängigen Zeitstempelstelle verankert, sodass ein Dritter belegen kann, dass ein Eintrag zu jener Zeit existierte. Eine Garantie für Audit-Konformität ist das nicht.
- Momentaufnahme für eine Untersuchung
Ein Administrator kann eine Momentaufnahme des Schutzzustands über ein gewähltes Fenster anfordern. Sie ist für einen Schlüssel verschlüsselt, den Sie liefern, und trägt einen eigenen Abdruck des Inhalts. Eine regelmäßige automatische Aufnahme wird auf Wunsch eingeschaltet. Nichts löscht Momentaufnahmen nach einem Zeitplan: die Übersicht zeigt, welche davon eine gewählte Frist erfassen würde, und solange das nicht vereinbart ist, wird keine gelöscht.
- Sicherungen
Eine Kopie der Datenbanken entsteht jede Nacht und eine weitere vor jeder Aktualisierung. Aktuelle Kopien bleiben beim Dienst; von den älteren bleiben eine wöchentliche und eine monatliche. Eine Kopie liegt außerdem außerhalb des Standorts, an dem der Dienst läuft — immer innerhalb der EU — und wird jede Nacht ergänzt; der Verlust dieses einen Standorts ist also kein Datenverlust.
- Wo verarbeitet wird
Der Dienst, den wir betreiben, läuft in der EU. Die andere Möglichkeit ist Schutz in Ihrer eigenen Infrastruktur, wo der Inhalt Ihr Netz nicht verlässt; ein Teil der Prüfungen kann direkt auf dem Gerät laufen. Adressreputation und die Modelle eines Anbieters sind Aufrufe nach außen — was wo läuft, gehört in den Einsatzvorschlag.
Die Standardwerte oben gelten für den Dienst, den wir betreiben; in einer dedizierten Installation oder in Ihrer eigenen Infrastruktur ändern sie sich nach Vertrag und Einstellung. Jeden davon haben wir am 18. Oktober 2026 in der eingesetzten Version des Schutzes nachgelesen, und sie ändern sich mit ihr.
Was wir gemeinsam prüfen
Ein Vorschlag zur Abnahme der Einführung, keine Behauptung, diese Tests seien auf Ihren Systemen bereits gelaufen.
- Eine gewöhnliche Anfrage
- Ein erwarteter Fund
- Ein falscher Fund und seine Korrektur
- Ein umgangener Client
- Eine nicht verfügbare Prüfung
- Eine überschrittene Grenze
- Export eines Ereignisses