Websites herunterladen, die PerimeterX nutzen

Über PerimeterX

Bot-Abwehr wird installiert, nachdem bereits etwas schiefgegangen ist. Niemand kauft sie auf Vorrat, deshalb ist ein Fund von PerimeterX auf einer Domain ein brauchbarer Indikator dafür, dass die Website Konten hat, die sich zu stehlen lohnen, Preise, die sich abzugreifen lohnen, Lagerbestände, die sich zu horten lohnen, oder einen Checkout, dessen Missbrauch sich lohnt. Der Einsatz in der Kategorie Security ist hier weniger eine technische Vorliebe als eine Aussage darüber, wie lohnend ein Angriff auf das Unternehmen wäre.

Bei den Namen ist Vorsicht geboten. Wir führen das Produkt unter dem Anbieternamen HUMAN Security, also nicht unter dem Namen, mit dem es gestartet ist, denn das ursprüngliche Unternehmen ging in einem größeren Bot-Management-Anbieter auf, und die Marke wird seitdem schrittweise umgestellt. Technische Fingerabdrücke überdauern Markennamen. Hinter einer Erkennung kann eine Website stecken, die den älteren Sensor, die neuere Suite oder ein Paket einsetzt, das ein Partner aus dem Content-Delivery-Bereich weiterverkauft, und unsere Bezeichnung richtet sich nach dem Code, nicht nach dem Verkaufsprospekt.

Der Sensor ist in JavaScript geschrieben und steht unter der Lizenz Proprietary, und diese Kombination ist für jeden wichtig, der Ausgaben schätzen will. Die Produktlinie reicht bis 2014 zurück und wird nach Traffic-Volumen im Rahmen von Enterprise-Verträgen verkauft, nicht von einer kleinen Website kostenlos eingeschaltet. Im erkannten Bestand überwiegen daher klar E-Commerce, Ticketing, Reisen, Finanzdienstleistungen und Medien, und zwar in einer Größenordnung, in der Betrug eine eigene Zeile im Budget und einen namentlich benannten Verantwortlichen hat.

Stand Oktober 2026 erkennen wir PerimeterX auf 141 Websites, und die Zahl unterschätzt die tatsächliche Verbreitung aus einem Grund, der für diese Kategorie typisch ist. Ein beträchtlicher Teil des Schutzes läuft am Netzwerkrand oder ist dem Origin-Server vorgeschaltet, wo er überhaupt nichts in die ausgelieferte Seite einbaut. Die Erkennung setzt voraus, dass der clientseitige Sensor im Markup auftaucht, das wir erhalten, und so bleibt ein Kunde, der nur die Netzwerkebene nutzt oder den Sensor über einen Pfad auf der eigenen Domain ausliefert, für uns unsichtbar. Dass ein Crawler Anti-Crawling-Software misst, ist offensichtlich ironisch, und das offen zu sagen ist besser, als so zu tun, als sei die Stichprobe vollständig.

Wer will diese Liste haben? Konkurrierende Anbieter wollen die Kunden, denn eine Installation zur Bot-Abwehr ist eine Vertragsverlängerung mit festem Datum und einem internen Fürsprecher, der vom Problem bereits überzeugt ist. Sicherheitsforscher wollen den Bestand, um zu untersuchen, wie Abwehrmaßnahmen mit Branche, Traffic-Wert und dem übrigen Stack zusammenhängen. Betrugs- und Marktplatz-Teams wollen wissen, welche ihrer Partner geschützt sind und welche nicht. Wer eine einzelne Domain prüft, erfährt, ob diese eine Website geschützt ist. Der Auszug zeigt, welche Teile des Webs beschlossen haben, dass es sich lohnt, Geld dafür auszugeben, automatisierten Traffic in den Griff zu bekommen, und diesen Überblick liefert keine Einzelabfrage.