Websites herunterladen, die GeeTest nutzen

Über GeeTest

Ein Bot-Schutz auf einer Seite ist eine Art Geständnis. Niemand bezahlt für einen solchen Schutz auf einer Website, in die nichts und niemand einzubrechen versucht. Wo ein solches Skript aus der Kategorie Security auftaucht, gab es genug Credential Stuffing, Scraping, Spam-Registrierungen oder automatisierte Käufe, um einen Vertrag mit einem Anbieter zu rechtfertigen, statt das Formular offen zu lassen.

GeeTest stammt vom Anbieter Wuhan Luoan Technology Co., Ltd. und ist seit 2012 unter der Lizenz Proprietary auf dem Markt. Stand Oktober 2026 erkennen wir GeeTest auf 4.630 Websites. Das Produkt ersetzt das übliche Klicken und Entziffern durch ein Schiebepuzzle und eine Risiko-Engine, die bewertet, wie sich ein Besucher bewegt, tippt und innehält, bevor sie entscheidet, ob überhaupt eine Prüfung nötig ist, sodass ein großer Teil der gewöhnlichen Besucher nie etwas davon sieht. Der Einsatz konzentriert sich dort, wo Missbrauch Geld kostet: Login, Registrierung, Checkout, Ticketvergabe und jeder Endpunkt, der etwas Knappes verteilt.

Für die Deutung dieses Skripts spielt die Herkunft eine Rolle. Der Anbieter Wuhan Luoan Technology Co., Ltd. hat das Produkt für einen Markt entwickelt, in dem automatisierter Missbrauch gegen Gaming-, Ticketing-, E-Commerce- und Finanzplattformen stark industrialisiert ist, und seine Verbreitung ist von dieser Basis aus nach außen gewachsen. Eine Website, die sich für GeeTest statt für eine westliche Standardlösung entschieden hat, hat meist eine bewusste Entscheidung getroffen, oft weil ein alternativer Anbieter für ihre Besucher langsam, unbekannt oder nicht erreichbar ist. Das Skript lässt sich deshalb ebenso als schwacher Hinweis auf die anvisierte Zielgruppe lesen wie auf die Sicherheitslage, sollte aber eher als Hypothese gelten, die man am restlichen Tech-Stack der Website prüft, und nicht als Schlussfolgerung.

Die Erkennung hat hier eine strukturelle Grenze. Wir erfassen die Plattform über das Skript, das die Prüfung in eine Seite lädt. Damit finden wir Websites, die das Widget irgendwo ausspielen, wo wir crawlen können, übersehen aber Installationen, die nur hinter einem Login erscheinen, nur in einem Formular, das erst nach einer Nutzeraktion gerendert wird, oder nur für Besucher, denen eine Risiko-Engine bereits misstraut. Adaptive Abwehr arbeitet bauartbedingt nur zeitweise, weshalb eine Untererfassung in der Methode angelegt ist und nicht zufällig entsteht. Die Zahl steht für Websites, auf denen wir die Prüfung gesehen haben, nicht für jede Website, die sie gekauft hat.

Für einen Forscher ist die nützliche Frage nie, ob eine einzelne Domain ein bestimmtes CAPTCHA einsetzt. Entscheidend ist, welche Gruppen von Websites überhaupt für Bot-Schutz bezahlen, wie sich diese Menge mit Zahlungsanbietern, Gaming-Plattformen oder Ticketing-Systemen überschneidet, auf welchen Länderendungen dieser Schutz auftaucht und wie sich die Menge zwischen Snapshots verschiebt, wenn Websites nach einem Vorfall den Anbieter wechseln. Sicherheitsanbieter fahren ihre Verdrängungskampagnen genau auf Grundlage dieser Liste, Betrugsteams schätzen damit die Größe eines Marktes ab, und Forscher verfolgen damit, wo automatisierter Missbrauch teuer genug ist, um ihn zu bekämpfen. Jeder dieser Zwecke braucht den gesamten erkannten Bestand in einer Datei, samt dem jeweils miterkannten Tech-Stack, was eine Abfrage pro Domain nicht zusammenstellen kann.