PerimeterX (HUMAN Security)

Was PerimeterX (HUMAN Security) ist

PerimeterX ist ein Dienst zur Bot-Abwehr und Betrugsprävention, der nach der Fusion von 2022 inzwischen zu HUMAN Security gehört. Er hilft Websites und Anwendungen dabei, echte menschliche Besucher von automatisiertem Datenverkehr wie Scrapern, Tools für Credential Stuffing und Bots zur Erstellung gefälschter Konten zu unterscheiden. Der Dienst führt clientseitiges JavaScript aus, das Geräte-, Browser- und Verhaltenssignale sammelt, und bewertet anschließend jede Anfrage serverseitig, um sie zuzulassen, herauszufordern oder zu blockieren. Er wird häufig auf Anmeldeseiten, in Bezahlvorgängen und an APIs eingesetzt, wo automatisierter Missbrauch echten finanziellen Schaden verursacht. Da der Schutz in den Anfragepfad eingebettet ist, wirkt er auf jeden Besucher und nicht nur auf jene, die eine bestimmte Funktion nutzen. Diese Kombination aus dauerhaften Kennungen und groß angelegter Bewertung erklärt sowohl den Sicherheitswert als auch die datenschutzrechtliche Sensibilität.

Cookies und erfasste Daten

PerimeterX setzt eine kleine Familie eigener Cookies in der Domain des Website-Betreibers. Die Besucherkennung _pxvid bleibt bis zu einem Jahr bestehen und dient als stabile Gerätereferenz, während der Geräte-Hash _pxhd die Konsistenz des Fingerabdrucks über Sitzungen hinweg prüft und das kurzlebige Token _px3 ein signiertes Risikourteil trägt, das sich häufig erneuert. Neben diesen Cookies liest das Client-Skript Geräte- und Browsersignale wie Canvas-, WebGL- und Audiomerkmale, Navigator-Eigenschaften sowie TLS- und HTTP-Fingerabdrücke auf Verbindungsebene. Es erfasst zudem verhaltensbiometrische Daten wie Mausbewegungen, Scrollen und Tipprhythmus während der gesamten Sitzung. Zusammen bilden diese Signale einen Geräte-Fingerabdruck und ein Verhaltensprofil, das der Server nutzt, um ein Bot- oder Mensch-Urteil zu vergeben. Der genaue Cookie-Satz und die Laufzeiten können je nach Bereitstellung und Konfiguration variieren.

Auswirkungen von DSGVO und ePrivacy

Die von PerimeterX verarbeiteten Signale, einschließlich Gerätekennungen und Verhaltensmustern, sind personenbezogene Daten im Sinne der DSGVO, da sie einzelne Nutzer und Geräte herausgreifen und wiedererkennen. Sicherheit und Betrugsprävention können ein berechtigtes Interesse nach Artikel 6(1)(f) sein, und die Erwägungsgründe erkennen die Betrugsprävention ausdrücklich als gültiges Interesse an, doch der Verantwortliche muss dennoch eine Abwägung durchführen und dokumentieren. Die ePrivacy-Richtlinie fügt eine eigene Ebene hinzu, da das Lesen und Speichern von Informationen auf dem Endgerät grundsätzlich eine Einwilligung erfordert, sofern dies nicht für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Behörden wie die CNIL behandeln Geräte-Fingerprinting in dieser Hinsicht wie Cookies. Ob die Ausnahme der unbedingten Erforderlichkeit greift, hängt vom Einzelfall ab und wird tendenziell eng ausgelegt, sodass viele Bereitstellungen nicht annehmen können, dass sie die gesamte Erfassung abdeckt. Dieses Spannungsfeld zwischen einem berechtigten Sicherheitszweck und der ePrivacy-Regel zu Zugriff und Speicherung ist die zentrale Compliance-Frage des Tools.

Einwilligungsanforderungen und CMP-Integration

Viele Betreiber argumentieren, dass die unbedingt erforderlichen Sicherheitscookies und Signale zum Schutz einer Anmeldung oder Zahlung unter die ePrivacy-Ausnahme fallen, und ordnen sie daher einer Kategorie der unbedingten Erforderlichkeit zu, die ohne vorherige Einwilligung lädt. Diese Position ist nur dann vertretbar, wenn die Erfassung sich tatsächlich auf die Sicherheit beschränkt und nicht für Analyse, Werbung oder Profilbildung weiterverwendet wird. Jede Signalerfassung, die über den Schutz des gewünschten Dienstes hinausgeht oder zu anderen Zwecken weiterverwendet wird, sollte in Ihrer Consent-Management-Plattform an eine Einwilligung gebunden werden. Ein praktischer Ansatz besteht darin, PerimeterX als Sicherheitsmaßnahme einzustufen, zu dokumentieren, warum jedes Cookie und Signal erforderlich ist, und sicherzustellen, dass Ihre CMP diese Einstufung transparent widerspiegelt. Sie sollten das Geräte-Fingerprinting im Cookie-Hinweis klar beschreiben, damit Nutzer verstehen, dass mehr als einfache Cookies im Spiel sind.

Internationale Datenübermittlung

HUMAN Security hat seinen Sitz in den USA und betreibt seine Dienste von dort, sodass Signale europäischer Besucher zur Verarbeitung in die USA übermittelt werden. HUMAN zertifiziert sich selbst unter dem EU US Data Privacy Framework sowie seinen britischen und schweizerischen Erweiterungen, was teilnehmenden Organisationen einen auf Angemessenheit gestützten Übermittlungsmechanismus bietet. Wo der Rahmen eine bestimmte Übermittlung nicht abdeckt, dienen die Standardvertragsklauseln als Rückfallgarantie. Als Verantwortlicher sollten Sie den aktuellen Zertifizierungsstatus prüfen, den gewählten Übermittlungsmechanismus in Ihrem Verzeichnis festhalten und eine Folgenabschätzung der Übermittlung durchführen, wenn Ihr Risikoansatz dies verlangt. Der Nachweis dieser Mechanismen ist wichtig, da sich der rechtliche Rahmen für transatlantische Übermittlungen mehrfach geändert hat.

Praktische Compliance-Schritte

Schließen Sie zunächst einen Auftragsverarbeitungsvertrag mit HUMAN Security ab und erfassen Sie genau, welche Cookies und Signale auf Ihrer Website gesammelt werden. Dokumentieren Sie Ihre Abwägung des berechtigten Interesses für die Betrugsprävention und entscheiden Sie pro Seite oder Vorgang, ob die Ausnahme der unbedingten Erforderlichkeit wirklich greift oder eine Einwilligung nötig ist. Aktualisieren Sie Ihre Datenschutzerklärung und Ihre Cookie-Richtlinie, um die Sicherheitscookies zu benennen, das Geräte-Fingerprinting und die Verhaltensanalyse zu erläutern und anzugeben, dass die Signale in den USA verarbeitet werden. Konfigurieren Sie Ihre Consent-Management-Plattform so, dass jede nicht wesentliche Erfassung bis zur Zustimmung des Nutzers blockiert wird. Legen Sie angemessene Speicherfristen fest und bestätigen Sie mit dem Anbieter, wie lange Kennungen wie das Besucher-Cookie bestehen bleiben. Überprüfen Sie schließlich die Konfiguration regelmäßig, damit Ihre Dokumentation mit der tatsächlichen Bereitstellung des Produkts übereinstimmt.