Cloudflare hat ein neues Werkzeug zur Erkennung von Bots vorgestellt. Das System mit dem Namen Precursor soll Websites nicht mehr nur an einzelnen Kontrollpunkten wie Login oder Checkout absichern, sondern über die gesamte Sitzung hinweg beobachten, wie sich Besucher verhalten.

Bislang setzte Cloudflare vor allem auf Turnstile, eine Art risikobasierte Verifizierung, die inzwischen nach eigenen Angaben rund drei Milliarden Mal pro Tag zum Einsatz kommt. Das Problem dabei: Turnstile schützt zwar sensible Momente wie die Anmeldung, lässt aber Lücken zwischen diesen Kontrollpunkten offen.

Wie Precursor funktioniert

Precursor setzt genau dort an. Ein leichtgewichtiges JavaScript wird automatisch in die HTML-Antworten einer Website eingebunden, sobald der Dienst aktiviert ist, ganz ohne zusätzliche Konfiguration.

Das Skript zeichnet fortlaufend Interaktionssignale auf, etwa Mausbewegungen, Tastatureingaben, Fokuswechsel oder Sichtbarkeit der Seite. Diese Daten werden gebündelt und in regelmäßigen Abständen an eine Auswertungsebene bei Cloudflare übermittelt, wo verschiedene Prüfmodule sie miteinander abgleichen.

Entscheidend ist dabei die sogenannte Session-Bindung: Die gesammelten Verhaltensdaten bleiben über die gesamte Sitzung hinweg bestehen. Ein Bot kann sein Verhaltensmuster also nicht einfach zurücksetzen, indem er die Seite neu lädt oder eine neue Prüfung startet.

Menschliche Fehler als Sicherheitsmerkmal

Der Ansatz beruht auf einer simplen Beobachtung: Menschliche Bewegungen folgen physikalischen Gesetzmäßigkeiten, die schwer zu simulieren sind. Cloudflare nennt hier etwa die eingeschränkte Drehbewegung des Handgelenks, eine messbare Reaktionszeit zwischen Sehen und Klicken sowie das leichte Zittern jeder menschlichen Hand.

Bots verraten sich dagegen oft durch zu perfekte Bewegungen. Sie folgen geraden Linien oder mathematisch idealen Kurven und klicken mit einer Präzision, die kein Mensch erreicht, wie Cloudflare erklärt. Selbst wenn Automatisierungswerkzeuge versuchen, Zufälligkeit einzubauen, fehlt ihnen laut dem Unternehmen der charakteristische Rhythmus, der sich erst über eine ganze Sitzung hinweg zeigt.

Datenschutz und Verfügbarkeit

Beim Thema Datenschutz betont Cloudflare, dass nur das Nötigste erfasst werde. Tastatureingaben würden etwa lediglich als Zeitmuster und nicht als tatsächlich gedrückte Tasten gespeichert, zudem fließen die Signale ausschließlich in aggregierter Form in die internen Erkennungssysteme ein.

Kunden bekommen die gesammelten Daten demnach nicht direkt zu sehen, auch eine Verknüpfung mit Nutzerkonten oder Login-Identitäten findet laut Cloudflare nicht statt. Parallel zum Start von Precursor führt das Unternehmen zudem neue sitzungsbasierte Auswertungen in seiner Security Analytics ein.

Precursor wird schrittweise ausgerollt und lässt sich direkt über das Cloudflare-Dashboard aktivieren. Bis zur allgemeinen Verfügbarkeit später im Jahr soll die Nutzung kostenlos bleiben, wie Cloudflare mitteilt.