CAPTCHAs reichen nicht mehr: Cloudflare stellt neue Bot-Erkennung vor

Cloudflare führt mit Precursor ein neues Verfahren zur Bot-Erkennung ein, welches das Verhalten von Besuchern über eine gesamte Websitzung hinweg auswertet. Statt nur einzelne Aktionen wie Login oder Checkout zu prüfen, sammelt das System fortlaufend Signale aus dem Browser. So soll es automatisierte Zugriffe zuverlässiger von menschlichen Nutzern unterscheiden. Die Funktion ergänzt Cloudflares Bot-Management und den CAPTCHA-Ersatz Turnstile zunächst als optionales Enterprise-Feature.

Verhaltensanalyse über die gesamte Sitzung

Nach Angaben von Cloudflare schließt Precursor eine Lücke der klassischen Bot-Abwehr: Moderne Bots können JavaScript ausführen, echte Browser verwenden und einzelne CAPTCHA-Prüfungen bestehen. Schwieriger sei es hingegen, menschliches Verhalten über einen längeren Zeitraum konsistent nachzubilden.

Dafür bindet Cloudflare beim Ausliefern von HTML-Seiten automatisch ein kompaktes JavaScript-Skript ein. Es erfasst während der Sitzung unter anderem Mausbewegungen, Tastaturaktivität, Fokuswechsel und Sichtbarkeitsänderungen der Seite. Die Daten werden fortlaufend an Cloudflares Auswertungsplattform übertragen und fließen in den Bot-Score sowie bestehende Schutzmechanismen ein.

Zum Beispiel kann das System erkennen, wenn Tastatureingaben auftreten, obwohl kein Eingabefeld aktiv ist, oder wenn Mausbewegungen nicht zu der Zeit passen, in der eine Seite tatsächlich sichtbar war. Solche Inkonsistenzen sind zusätzliche Indikatoren für automatisierte Zugriffe.

Menschliche Bewegungsmuster als Erkennungsmerkmal

Cloudflare begründet den Ansatz damit, dass menschliche Mausbewegungen durch biomechanische und kognitive Faktoren geprägt sind – etwa die Drehbewegung des Handgelenks, messbare Verzögerungen durch kognitive Verarbeitung und das physiologische Handzittern. Automatisierte Werkzeuge erzeugen dagegen häufig mathematisch ideale Bewegungsbahnen oder wiederkehrende Muster.

Entscheidend sei dabei nicht ein einzelnes Ereignis, sondern die Gesamtheit der Interaktionen innerhalb einer Sitzung. Da Precursor sitzungsbasiert arbeitet, soll ein Bot seine Bewertung auch nicht durch einfaches Neuladen einer Seite zurücksetzen können.

Parallel führt Cloudflare neue sitzungsbezogene Ansichten in Security Analytics ein. Administratoren sollen damit komplette Nutzerpfade analysieren können, statt lediglich einzelne HTTP-Anfragen zu betrachten.

Datenschutz soll berücksichtigt werden

Der Ansatz ist datenschutzrechtlich zumindest fragwürdig. Cloudflare betont in der Ankündigung jedoch, dass Precursor unter Datenschutzgesichtspunkten entwickelt worden sei. So würden bei der Tastaturerfassung beispielsweise nur zeitliche Muster und Eingaberhythmen ausgewertet, nicht jedoch die tatsächlich gedrückten Tasten. Die gesammelten Verhaltensdaten würden zudem aggregiert verarbeitet und weder Benutzerkonten noch dauerhaften Identitäten zugeordnet.

Precursor wird nach Angaben des Unternehmens derzeit eingeführt und lässt sich über das Cloudflare-Dashboard aktivieren. Bis zur allgemeinen Verfügbarkeit im Laufe des Jahres soll die Funktion kostenlos nutzbar sein, anschließend wird sie Teil von Cloudflares Enterprise Bot Management sein.

(fo)