Verhaltensebene
Ein Programm verrät sich daran, wie es handelt, nicht daran, was es tut
Jeder Besuch erzeugt Bewegung: ein Cursor, der auf eine Schaltfläche zuläuft, Tasten, die gedrückt und losgelassen werden, eine Seite, die gescrollt wird, ein Bildschirm, der berührt wird. TRACIO bewertet diese Bewegung fortlaufend und sagt Ihnen, ob sie von einer Hand kam oder von Software.
Was wir beobachten
Vier Eingabekanäle, gewichtet nach dem Gerät in der Hand des Besuchers
Jeder Kanal wird für sich bewertet und dann zusammengeführt. Die Gewichte sind nicht fest — sie richten sich nach dem Gerät, das der Besucher tatsächlich benutzt. Auf dem Smartphone trägt Touch die Entscheidung, und ein fehlender Cursor bedeutet nichts. Auf dem Desktop ist der Cursor der stärkste Kanal, und ein fehlender Touch-Strom ist schlicht zu erwarten.
Maus und Cursor
Primär am DesktopGeschwindigkeit und ihre Schwankung, Richtungswechsel pro Wegstrecke, wie sich die Bahn auf ein Ziel zukrümmt, Beschleunigen und Abbremsen vor einem Klick und das feine Zittern einer menschlichen Hand, das eine skriptgesteuerte Bewegung nicht nachbildet.
Tastaturrhythmus
Nur TimingWie lange jede Taste unten bleibt, der Abstand zwischen einem Loslassen und dem nächsten Anschlag, die Überlappung, wenn die nächste Taste heruntergeht, bevor die vorige hochkommt, Schübe und Pausen, Korrekturen und Rücktasten. Timing — niemals die Zeichen. Siehe den Datenschutzabschnitt weiter unten.
Scrollen
Beide FormfaktorenDie Streuung der Geschwindigkeit, wie oft sich die Richtung umkehrt, ein Schwung, der so ausläuft, wie ein physischer Wisch ausläuft, und Pausen, die dazu passen, wie viel Text tatsächlich auf dem Bildschirm steht.
Touch
Primär auf dem SmartphoneDie Kontaktfläche und wie sie sich über einen Tipp hinweg verändert, der gemeldete Druck, wo das Gerät ihn ausgibt, die kleine Abweichung eines Fingers, der nie zweimal auf demselben Pixel landet, und das Timing zwischen mehreren Berührungen.
Dieselbe Sitzung, zweimal anders gewichtet
Maus und Tastatur tragen das Gewicht. Ein Touch-Strom wird hier nicht erwartet, sein Fehlen kostet den Besucher also nichts.
Touch und Gerätebewegung tragen das Gewicht. Ein Besuch ganz ohne Cursorbewegung ist auf dem Smartphone normal, nicht verdächtig.
Abwesenheit ist kein Nachweis
Ein Kanal, den das Gerät nie angeboten hat, wird aus der Bewertung ausgenommen, statt dem Besucher angelastet zu werden. Das klingt selbstverständlich und ist zugleich der häufigste Weg, auf dem naive Verhaltensbewertung echte Kunden zu Verdächtigen macht: Ein Smartphone hat keine Maus, wer einen Screenreader benutzt, hat keine glatte Cursorbahn — und beides sagt nichts darüber aus, ob jemand ein Bot ist.
Der Nachweis
Drei Dinge, die Software tut und Hände nicht können
Das sind Beispiele, nicht das vollständige Regelwerk, aber sie zeigen, welche Art von Nachweis wir verwenden. Jedes davon ist für eine Hand physisch unmöglich, und jedes ist so abgesichert, dass ein einzelner sonderbarer Moment nie zu einer Entscheidung wird.
Anschläge im Metronomtakt
Was wir messen
Jede Taste wird über die gesamte Eingabe hinweg fast exakt gleich viele Millisekunden lang gehalten.
Warum eine Hand das nicht kann
Wie lange ein Finger auf einer Taste bleibt, hängt davon ab, welche Taste es ist, zu welcher Hand der Finger gehört und wie müde diese Hand ist. Menschliche Haltezeiten streuen. Eingeschleuste Tastenanschläge werden aus einer Konstante erzeugt, und die Streuung fällt auf nahezu null.
Was es ehrlich hält
Die Regel braucht genügend Anschläge im Fenster, bevor sie überhaupt zählt. Eine Eingabe mit vier Zeichen ist keine Stichprobe und wird auch nicht als eine bewertet.
Klicks, die teleportieren
Was wir messen
Ein Klick landet auf einem Bedienelement, zu dem der Cursor nie hingelaufen ist — der Zeiger erscheint einfach an den Koordinaten und löst aus.
Warum eine Hand das nicht kann
Ein Mensch nähert sich einem Ziel: Die Bahn krümmt sich heran, die Geschwindigkeit fällt gegen Ende, und meist gibt es einen Moment des Verweilens vor dem Druck. Automatisierung setzt Koordinaten und schickt ein Event los; es gibt keine Annäherung, weil sich physisch nichts bewegt hat.
Was es ehrlich hält
Ein einzelner teleportierender Klick ist ein plausibles Artefakt von Tastaturnavigation oder Trackpad. Er zählt erst, wenn er die Mehrheit der Klicks in einer Sitzung ausmacht, die überhaupt genügend Klicks für ein Urteil hatte.
Tippen in einen unsichtbaren Tab
Was wir messen
Es kommen weiter Tastenanschläge an, während die Seite im Hintergrund liegt und nie in den Vordergrund geholt wurde.
Warum eine Hand das nicht kann
Ein Mensch kann nicht in eine Seite tippen, die er nicht ansieht. Farm-Software steuert Dutzende Tabs parallel und macht sich nicht die Mühe, jeden einzelnen zu fokussieren, bevor sie Formulare ausfüllt.
Was es ehrlich hält
Ein einzelnes Event im Moment eines Tab-Wechsels ist ein Wettlauf zwischen Browser-Events, kein Nachweis. Es zählt bei wiederholter Eingabe, während die Seite nach wie vor nie sichtbar war.
Datenschutz
Wir messen den Rhythmus. Den Text können wir nicht rekonstruieren.
Die Verhaltenserfassung läuft überall auf der Seite, auch in Feldern für Passwort, E-Mail und Kartennummer. Das ist eine bewusste Entscheidung, und sie verdient eine vollständige Erklärung, statt in einem Richtliniendokument vergraben zu werden.
Warum gerade die sensiblen Felder zählen
Credential Stuffing, Kartentests und Kontoübernahme spielen sich genau in diesen Eingabefeldern ab. Ein Detektor, der sich dort abschaltet, ist an der einen Stelle blind, an der der Angriff tatsächlich stattfindet. Genau so war es vorher: In sensiblen Feldern war die Erfassung pauschal deaktiviert, und damit lieferten die riskantesten Sekunden eines Besuchs überhaupt keine Messwerte.
Was aufbewahrt wird
Timing. Wann eine Taste heruntergedrückt wurde, wie lange sie unten blieb, wie lange es bis zur nächsten dauerte, ob sich zwei Anschläge überlappten. Das reicht, um eine Hand von einem Generator zu unterscheiden, und mehr hat der Detektor nie verlangt.
Was nicht aufbewahrt wird
Welche Taste es war. In sensiblen Feldern wird die Identität jedes Anschlags schon im Browser durch einen groben Ersatzwert überschrieben, bevor irgendetwas die Seite verlässt — einer aus einer kleinen Handvoll Klassen, kein Zeichen. Es gibt keinen Weg zurück. Der Strom, der unsere Server erreicht, enthält keinen Text, keine Textfragmente und nichts, was sich zu Text zusammensetzen ließe.
Die Folge, die wir auffangen mussten
Weil die Tastenidentität in diesen Feldern tatsächlich weg ist, muss jede Regel, die auf das Unterscheiden von Tasten angewiesen ist, diese Anschläge aus ihrer eigenen Zählung ausnehmen — sonst sähe ein normales Passwort aus wie eine einzige, immer wieder angeschlagene Taste, und wir würden Menschen dafür markieren, dass sie richtig tippen. Timing-basierte Regeln sind davon nicht betroffen und arbeiten weiter auf dem vollständigen Strom.
Die Erfassung abzuschalten hat den Inhalt nie geschützt
Die Zeichen wurden in keiner der beiden Varianten je erfasst. Der alte pauschale Ausschluss hat nur den Nachweis entfernt — er machte den Detektor blind, ohne irgendjemanden privater zu machen. Der Ansatz mit Ersatzwerten hält exakt dieselbe Zusage über Ihren Text und gibt dem Detektor seine Messwerte zurück. Bessere Erkennung und besserer Datenschutz kamen aus einer einzigen Entscheidung — selten genug, um es klar auszusprechen.
Wie Regeln ausgeliefert werden
Eine neue Regel läuft blind, bevor sie eine Entscheidung berühren darf
Erkennung wird in dem Moment schlechter, in dem sie ohne Nachweis clever wird. Jede Verhaltensregel wird zuerst im Schattenbetrieb hinzugefügt: Sie wird gegen echten Produktions-Traffic ausgewertet und ihr Ergebnis wird aufgezeichnet, aber sie trägt nichts zu dem Score bei, den jemand zu sehen bekommt.
Ausgeliefert im Schatten
Die Regel wertet vom ersten Tag an echten Traffic aus. Ihr Ergebnis geht ausschließlich in die Analytik — keine Entscheidung über einen Kunden verschiebt sich, weil eine Regel hinzugekommen ist.
Gemessen an beiden Populationen
Wir beobachten, wie oft sie bei Sitzungen auslöst, die unabhängig als menschlich eingestuft wurden, und bei Sitzungen, die unabhängig als automatisiert eingestuft wurden — über genug echten Traffic, damit es etwas bedeutet.
Zwei Schwellen entscheiden
Sie muss mindestens zehn zu eins trennen — also mindestens zehnmal häufiger bei Automatisierung auslösen als bei Menschen — und sie muss bei echten menschlichen Sitzungen unter einer Auslöserate von 0,5 % bleiben.
Befördert oder im Dunkeln gelassen
Eine Regel, die beide Hürden nimmt, bekommt Gewicht im Score. Eine Regel, die das nicht schafft, bleibt im Schatten oder wird ganz entfernt. Die Beförderung ist eine bewusste, geprüfte Änderung — nichts wird automatisch scharf geschaltet.
Genau das schützt Sie vor einem Detektor, der über Nacht clever geworden ist und anfängt, Ihre eigenen Kunden abzuweisen. Ihre False-Positive-Rate verschiebt sich nicht, weil jemand an einem Freitagnachmittag eine Idee hatte.
Was Sie erhalten
Drei Felder, geliefert mit dem Identifikations-Event
Die Verhaltensentscheidung kommt zusammen mit dem übrigen Event — kein zweiter Aufruf, kein Polling, kein separater Endpunkt, den Sie anbinden müssen.
Auszug aus dem Event
{
"visitorId": "X7fh2Hg9LkMn3pQr",
"behavior": {
"score": 87.4,
"verdict": "human",
"confidence": 0.82
}
}Verfügbar ab dem Business-Tarif. Wird in Webhooks geliefert und ist über die Data API abrufbar.
Der Verhaltensblock ist ein Signal, keine Aktion. Er blockiert von sich aus nichts — Sie kombinieren ihn mit dem übrigen Event und mit Ihrer eigenen Richtlinie, und dorthin gehört die Entscheidung auch.
Grenzen
Was Verhalten Ihnen nicht sagt
Verhalten beantwortet eine Frage gut: Mensch oder Programm. Es beantwortet nicht „welcher Mensch“, und wir verkaufen es auch nicht so, als täte es das.
Es ist kein Identitätssignal
Wir behaupten nicht, eine wiederkehrende Person an ihrem Tippen oder ihrer Maus zu erkennen. Wir haben es an echtem Traffic gemessen: Eine bestimmte Person über zwei von ihr genutzte Browser hinweg zuzuordnen war nicht besser als Zufall. Jeden Anbieter, der „Verhaltensbiometrie, die den Nutzer identifiziert“ verkauft, sollte man bitten, genau diese Zahl zu veröffentlichen.
Es ersetzt die Identifikation nicht
Wer das Gerät ist, kommt aus der Geräte- und Browser-Ebene. Verhalten sagt Ihnen, welche Art von Akteur dieses Gerät steuert. Beide beantworten verschiedene Fragen, und keine ersetzt die andere.
Es braucht Eingaben, um zu funktionieren
Ein Besucher, der binnen zwei Sekunden kommt und wieder geht, liefert fast nichts zum Bewerten. Die ehrliche Ausgabe ist dort „uncertain“ mit niedriger Konfidenz — keine Vermutung im Gewand einer Entscheidung.
Häufig gestellte Fragen
Sehen Sie die Verhaltensentscheidung auf Ihrem eigenen Traffic
Installieren Sie den Agenten, sehen Sie den Score mit jedem Identifikations-Event ankommen und entscheiden Sie selbst, was er wert ist.