Websites herunterladen, die Kasada nutzen

Über Kasada

Ein Produkt zur Bot-Abwehr auf einer Website sagt etwas darüber aus, wer dort einzudringen versucht hat. Kasada wurde 2015 gegründet, wird als Dienst unter der Lizenz Proprietary verkauft und richtet sich an Websites, für die automatisierter Traffic ein geschäftliches Problem ist und nicht bloß ein Ärgernis: Credential Stuffing gegen Login-Endpunkte, Scraping von Preisen und Lagerbeständen, automatisierte Kontoerstellung und automatisierte Checkouts bei knapper Ware.

Beobachten können wir das Produkt, weil ein Teil der Abwehr im Browser läuft. Kasada stellt dem Browser unsichtbare kryptografische Challenges, statt dem Besucher ein Rätsel zu zeigen, und der Code dieser Challenges muss die Seite erreichen. Dabei hinterlässt er einen Fingerabdruck, den man lesen kann, ohne die Challenge je zu lösen. Stand Oktober 2026 erkennen wir Kasada auf 1.305 Websites.

Die Zahl ist klein, und genau darauf kommt es an. Abwehr dieser Klasse kaufen Fluggesellschaften, Ticketing-Plattformen, Händler mit begrenztem Warenbestand, Telekommunikationsunternehmen, Gaming-Unternehmen und Finanzdienstleister, und gekauft wird sie in der Regel nach einem Vorfall und nicht vorbeugend. Eine Website, die sie einsetzt, besitzt etwas, für das sich automatisierte Angriffe lohnen, verfügt über Budget und hat meist ein Beschaffungsverfahren durchlaufen, in dem auch ihre direkten Wettbewerber irgendwo stecken.

Die Liste ist deshalb in entgegengesetzte Richtungen nützlich. Konkurrierende Anbieter im Anti-Bot-Markt lesen sie als Übersicht ihrer Zielkunden, bei der sich das Vertragsalter aus dem Alter der Installation ableiten lässt. Sicherheits- und Betrugsabwehrteams lesen sie als Vergleichsgruppe, denn das Wissen, welche vergleichbaren Unternehmen beschlossen haben, dass sich Ausgaben für dieses Problem lohnen, ist der schnellste Weg, dieselben Ausgaben intern zu begründen oder infrage zu stellen. Forschende, die das Wettrüsten rund um Automatisierung untersuchen, lesen sie als Maß dafür, wo Abwehrbudgets tatsächlich angekommen sind, und nicht dafür, wo sie laut den Anbietern angekommen sind.

Bei einem Produkt, das gebaut wurde, um sich Messungen zu entziehen, kommt es mehr als sonst darauf an, die Grenzen der Zählung offen zu benennen. Wir sehen Kasada dort, wo die Challenge auf eine gewöhnliche Seitenanfrage hin ausgeliefert wird. Wir sehen den Dienst nicht, wo der Schutz nur auf Login-, Checkout- oder API-Pfade angewendet wird, die ein Crawl nie anfragt, und eine Installation, die nur einer Anwendungs-Subdomain vorgeschaltet ist, taucht bei der Hauptdomain überhaupt nicht auf. Die Zahl sollte man als sichtbaren Ausschnitt der installierten Basis lesen, nicht als den ganzen Bestand, und in dieser Kategorie dürfte der unsichtbare Rest beträchtlich sein.

Ob eine bestimmte Fluggesellschaft Kasada einsetzt, lässt sich im Browser in einer Minute prüfen. Den gesamten Bestand zu ermitteln, erfordert dagegen einen Crawl des ganzen Webs, und genau das ist der herunterladbare Datensatz: mit der Domain, dem Erkennungsdatum und dem übrigen Stack jeder Website, sodass sich Installationen nach Branche, Größe und benachbarter Technologie segmentieren lassen, statt nur abstrakt gezählt zu werden.