Nutzt Ihre Website Drittanbieter-Dienste? Werden Sie in wenigen Minuten DSGVO-konform.
FlowConsent testenmobileCta.note
Kasada ist eine Bot-Abwehr- und Anti-Automatisierungsplattform, die clientseitige JavaScript-Challenge-Skripte einsetzt, um Bots, Credential-Stuffing-Angriffe und automatisierte Bedrohungen zu erkennen und zu blockieren. Sie setzt KP_*-Cookies und erfasst Geräte- und Verhaltenssignale, die auf US-amerikanischer und australischer Infrastruktur verarbeitet werden.
Kasada ist eine Bot-Abwehr- und Anti-Automatisierungsplattform des australischen Unternehmens Kasada Pty Ltd. Sie schützt Webanwendungen und APIs vor Credential Stuffing, Account-Übernahmen, Scraping und anderen automatisierten Bedrohungen, indem ein clientseitiges JavaScript-Challenge-Skript in Webseiten eingebettet wird. Dieses Skript erfasst Geräte-Fingerprint-Signale, Maus- und Tastaturverhalten, Browser-Eigenschaften und Netzwerkmetadaten und übermittelt diese zur Echtzeit-Bewertung an Kasada-Cloud-Server. Als Bot eingestufte Anfragen werden blockiert oder mit einer Challenge versehen, bevor sie die geschützte Anwendung erreichen.
Kasada setzt Cookies im KP_*-Namespace (z. B. KP_UIDz und KP_SESSIONID), um Gerätesitzungen mit Bot-Risikobewertungen zu verknüpfen. Das JavaScript-Skript erfasst zudem eine breite Palette von Gerätesignalen: Browserversion, installierte Schriftarten, Canvas- und WebGL-Fingerprints, Bildschirmauflösung, Prozessorkerne, Touch-Fähigkeit und Timing-Merkmale. Verhaltenssignale wie Mausbewegungsentropie und Anschlagrhythmus werden ebenfalls erfasst. Diese Signale werden zur Bewertung an die Kasada-Infrastruktur übertragen und nicht für Werbezwecke oder Tracking über die Bot-Erkennung und Betrugsprävention hinaus genutzt.
Geräte-Fingerprinting und das Setzen von Speicher-Identifikatoren auf Endgeräten wird durch Art. 5 Abs. 3 der ePrivacy-Richtlinie reguliert, der entweder die Einwilligung des Nutzers oder eine Begründung der strikten Notwendigkeit erfordert. Kasada und viele Sicherheitsanbieter argumentieren, dass Bot-Erkennungs-Cookies und Fingerprinting strikt notwendig sind, da sie die Sicherheit der Kommunikation schützen und Betrug verhindern. Mehrere EU-Datenschutzbehörden vertreten jedoch die Auffassung, dass Geräte-Fingerprinting, das über die bloße Sitzungsintegrität hinaus zur dauerhaften Geräteidentifikation führt, nicht automatisch befreit ist und möglicherweise einer Einwilligung bedarf. Nach der DSGVO ist die am häufigsten herangezogene Rechtsgrundlage das berechtigte Interesse gemäß Art. 6 Abs. 1 lit. f, gestützt durch eine dokumentierte Interessenabwägung.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Die vorherrschende Praxis europäischer Betreiber besteht darin, Kasada als strikt notwendig für Sicherheitszwecke einzustufen und sich auf berechtigte Interessen statt auf Einwilligung zu stützen. Dieser Ansatz ist vertretbar, wenn das Skript ausschließlich zur Bot- und Betrugsprävention eingesetzt wird, keine Daten an Werbenetzwerke weitergegeben werden, die KP_*-Cookies sitzungsbeschränkt oder kurzlebig sind und eine Interessenabwägung dokumentiert wird. Wenn das Kasada-Deployment eine persistente, sitzungsübergreifende Geräteidentifikation umfasst oder Daten über die Bot-Erkennung hinaus genutzt werden, verliert die Befreiung von der strikten Notwendigkeit an Wirkung und eine Einwilligung kann erforderlich werden.
Kasada hat seinen Hauptsitz in Sydney, Australien, und betreibt Cloud-Infrastruktur in den USA und Australien. Die EU hat keinen Angemessenheitsbeschluss für Australien erlassen, daher müssen Übermittlungen personenbezogener Daten aus der EU an Kasada in Australien auf Standardvertragsklauseln oder einem anderen Mechanismus nach Art. 46 beruhen. Übermittlungen an US-Infrastruktur fallen unter das EU-US-Datenschutzrahmenwerk, sofern Kasada zertifiziert ist, andernfalls unter Standardvertragsklauseln. Betreiber sollten den aktuellen DPF-Zertifizierungsstatus von Kasada prüfen und sicherstellen, dass der Auftragsverarbeitungsvertrag geeignete Übermittlungsgarantien enthält.
Für einen DSGVO-konformen Einsatz von Kasada: Abschluss eines Auftragsverarbeitungsvertrags mit Kasada gemäß Art. 28, Durchführung und Dokumentation einer Interessenabwägung für die Bot-Erkennungsverarbeitung, Offenlegung von Kasada in Ihrem Datenschutzhinweis als Sicherheitsdienstleister, Aufführung der KP_*-Cookies in Ihrer Cookie-Richtlinie unter der Kategorie strikt notwendig mit klarer Zweckbeschreibung, Überprüfung der Garantien für internationale Datenübermittlungen (SCC für AU, DPF oder SCC für USA) sowie Erwägung einer DSFA bei hochfrequentiertem Einsatz auf verbraucherorientierten Seiten. Überprüfen Sie Ihr Cookie-Audit mindestens jährlich.
Websites using Kasada must obtain user consent under GDPR regulations.
DPIA considerations
Eine Datenschutz-Folgenabschätzung (DSFA) ist für Kasada-Deployments empfehlenswert, bei denen Geräte-Fingerprinting in großem Maßstab eingesetzt wird. Wesentliche Risikofaktoren umfassen die systematische Erfassung von Geräte- und Verhaltenssignalen aller Besucher ohne vorherige Einwilligung, die Übermittlung dieser Daten an Server in den USA und Australien ohne EU-Angemessenheitsbeschluss für Australien sowie die Ambiguität gemäß Art. 5 Abs. 3 der ePrivacy-Richtlinie hinsichtlich der strikten Notwendigkeit des Fingerprinting-basierten Bot-Erkennungsverfahrens. Die DSFA sollte bewerten, ob eine Interessenabwägung das Risiko ausreichend mindert, und die Verhältnismäßigkeit gegenüber weniger eingreifenden Alternativen dokumentieren.
Sample consent text
Wir verwenden auf dieser Website die Bot-Schutz-Technologie von Kasada. Das clientseitige Skript von Kasada erfasst Geräteeigenschaften und Verhaltenssignale, um menschliche Besucher von automatisierten Bots zu unterscheiden und Credential-Stuffing-Angriffe zu verhindern. Diese Verarbeitung beruht auf unserem berechtigten Interesse an der Sicherheit und Integrität unserer Dienste (Art. 6 Abs. 1 lit. f DSGVO). Kasada setzt KP_*-Cookies, die für diese Sicherheitsfunktion technisch erforderlich sind. Daten werden auf der Grundlage von Standardvertragsklauseln an die Kasada-Infrastruktur in den USA und Australien übermittelt. Für weitere Informationen oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an [[email protected]].
Third-party domains contacted
kasada.ioips.kasada.iokasadapartners.comCookies placed
| Name | Type | Duration | Purpose |
|---|---|---|---|
| KP_UIDz | Security | 1 year | Stores a device session identifier used by Kasada to associate the device with a bot-risk score across sessions. Enables persistent bot-risk profiling of the device. |
| KP_SESSIONID | Security | Session | Session-scoped cookie that holds the current Kasada challenge session token. Cleared when the browser session ends. |
| KP_UIDz-o | Security | 1 year | Secondary Kasada device identifier cookie used in conjunction with KP_UIDz for cross-session bot detection continuity. |
| KP_CH | Security | Session | Kasada challenge response cookie set after a client-side JavaScript challenge is completed successfully. Verifies that the visitor passed the bot-detection challenge. |
Kasada ist ein essenzieller Dienst, aber Transparenz ist wichtig. Verwalten Sie Ihre gesamte Einwilligung mit FlowConsent.
Kasada setzt Cookies im KP_*-Namespace, in der Regel KP_UIDz und KP_SESSIONID. Diese Cookies speichern eine Gerätesitzungskennung und einen Bot-Risiko-Score, der vom Kasada-Challenge-Mechanismus verwendet wird. Es handelt sich nicht um Werbe-Cookies und sie werden nicht mit Werbenetzwerken Dritter geteilt.
In den meisten EU-Deployments wird Kasada als strikt notwendig für Sicherheitszwecke gemäß der Ausnahmeregelung des Art. 5 Abs. 3 der ePrivacy-Richtlinie eingestuft, was bedeutet, dass vor dem Auslösen des Skripts keine Einwilligung eingeholt wird. Einige Datenschutzbehörden betrachten jedoch dauerhaftes Geräte-Fingerprinting als außerhalb der Ausnahme für strikt Notwendiges, weshalb eine dokumentierte Interessenabwägung unerlässlich ist.
Die primäre Rechtsgrundlage nach der DSGVO ist das berechtigte Interesse (Art. 6 Abs. 1 lit. f), begründet durch die Notwendigkeit, die Sicherheit und Integrität von Online-Diensten vor Bot-Angriffen und Credential Stuffing zu schützen. Eine Interessenabwägung sollte dokumentieren, dass der Sicherheitsnutzen die Datenschutzbeeinträchtigung durch Geräte-Fingerprinting überwiegt, die Daten ausschließlich für das Sicherheits-Scoring verwendet werden und weniger eingreifende Alternativen geprüft wurden.
Ja. Kasada verarbeitet Daten auf Infrastruktur in den USA und Australien. Übermittlungen in die USA können durch das EU-US-Datenschutzrahmenwerk abgedeckt sein, sofern Kasada eine aktuelle DPF-Zertifizierung besitzt, oder durch Standardvertragsklauseln. Übermittlungen nach Australien müssen auf Standardvertragsklauseln oder einem anderen Mechanismus nach Art. 46 beruhen, da die EU keinen Angemessenheitsbeschluss für Australien erlassen hat.
Eine DSFA ist ratsam, wenngleich nicht automatisch verpflichtend, wenn Kasada für großflächiges Geräte-Fingerprinting von Website-Besuchern eingesetzt wird. Die Kombination aus systematischer Signalerfassung bei allen Nutzern, internationalen Datenübermittlungen in Länder ohne EU-Angemessenheitsbeschluss und der anhaltenden Rechtsdebatte über Fingerprinting gemäß Art. 5 Abs. 3 ePrivacy schafft ausreichend Risikoindikatoren, um eine DSFA zu empfehlen.
Schließen Sie einen Auftragsverarbeitungsvertrag mit Kasada gemäß Art. 28 DSGVO. Führen Sie eine dokumentierte Interessenabwägung durch. Weisen Sie in Ihrem Datenschutzhinweis auf Kasada als Sicherheitsdienstleister hin. Listen Sie KP_*-Cookies in Ihrer Cookie-Richtlinie unter der Kategorie strikt notwendig mit einer klaren Zweckbeschreibung auf. Bestätigen Sie die Garantien für internationale Datenübermittlungen und erwägen Sie eine DSFA für hochfrequentierte verbraucherorientierte Seiten.
Alternativen umfassen serverseitige Bot-Erkennung mittels IP-Reputation, Rate-Limiting und Anomalieerkennung ohne clientseitiges Fingerprinting. Diese Optionen können weniger genau sein, haben aber einen geringeren ePrivacy-Fußabdruck. Wenn Fingerprinting-basierte Lösungen aus Effizienzgründen erforderlich sind, dokumentieren Sie in Ihrer Interessenabwägung, warum weniger eingreifende Alternativen nicht ausreichen.
Prüfen Sie Ihren Cookie-Scan mindestens einmal jährlich oder immer wenn Kasada sein Skript aktualisiert. Stellen Sie sicher, dass KP_*-Cookies einzeln nach Name, mit korrekter Laufzeit, Zweck und Verantwortlicheninformation aufgeführt sind. Wenn Kasada neue Cookie-Namen einführt oder Laufzeiten verlängert, aktualisieren Sie Ihre Richtlinie innerhalb eines angemessenen Zeitraums.