Ein Blick in den Headless-Browser: Wie Automatisierung wirklich auffliegt

Die meisten Tools für Scraping und Missbrauch am Checkout bauen auf denselben paar Frameworks auf: Selenium, Puppeteer und Playwright. Für Bot-Betreiber ist das bequem, denn diese Frameworks sind gut dokumentiert und leicht zu skripten. Es bedeutet aber auch, dass sie einen gleichbleibenden, gut bekannten Fingerabdruck hinterlassen.

Was sie verrät

Einige der zuverlässigeren Signale:

• WebDriver-Kennzeichen: navigator.webdriver und verwandte Automatisierungs-Eigenschaften sind standardmäßig gesetzt, wenn der Bot-Betreiber sie nicht gezielt entfernt
• Grafik per Software: Headless-Umgebungen weichen oft auf Software-Rendering aus (SwiftShader, llvmpipe) statt auf echte Hardware, was sich in WebGL- und Canvas-Fingerprints deutlich zeigt
• Widersprüchliche Angaben zur Umgebung: Ein User Agent, der Chrome auf macOS behauptet, dazu aber Schriften, Zeitzone und Prozessorkerne, die zu keinem echten Mac passen, ist ein starkes Indiz
• Fehlende oder künstliche Interaktion: kein echtes GPU-beschleunigtes Compositing, kein natürliches Eingabe-Timing und Event-Listener, die in Mustern feuern, die kein menschliches Eingabegerät erzeugt

Warum ein einzelnes Signal zu fälschen nicht reicht

Geschickte Bot-Betreiber fälschen einiges davon: Sie manipulieren navigator.webdriver, täuschen einen GPU-Hersteller vor und spielen falsche Mausbewegungen ein. Der Abgleich funktioniert trotzdem, weil es teuer ist, jedes Signal stimmig zu fälschen. Ein entferntes WebDriver-Kennzeichen repariert keinen unpassenden WebGL-Renderer. Ein Mausweg per Skript bildet nicht das feine Zittern eines echten Trackpads nach.

Skyfense bewertet dutzende dieser Signale gemeinsam, statt einem einzelnen zu vertrauen. Ein Besuch, der bei neunzehn Signalen sauber und bei einem widersprüchlich ist, bekommt eine ganz andere Bewertung als ein Besuch, der überall widersprüchlich ist. Und diese Kombination ist für Automatisierungs-Frameworks viel schwerer auf einmal zu fälschen.