Tastaturdynamik, Mausbewegungs-R², Scroll-Verhalten, Touch-Ereignisse, Ausfüllzeit von Formularen, Verweildauer auf der Seite – all diese Signale fließen in den lokalen Scorer und die Bewertungs-Pipeline im Backend ein.

Canvas, WebGL, Audio-Context, Schrifterkennung und navigator-Fingerprinting werden zu einem SHA-256-Geräte-Hash zusammengeführt. Erkennt headless-Browser und Anti-Detect-Werkzeuge.

Zu Sitzungsbeginn entsteht ein kurzlebiger Cache-Snapshot von device_hash, webgl_renderer, user_agent, Zeitzone und Bildschirmauflösung. Bei sensiblen Ereignissen (Login, Formularübermittlung, Checkout) wird der aktuelle Fingerprint dagegen abgeglichen; jede Abweichung erhöht das Risiko deutlich.

OpenAI- und Anthropic-kompatible Basis-URL. Shield prüft jeden Prompt vor der Weiterleitung und jede Completion vor der Rückgabe, blockiert bei einem Richtlinienverstoß und entfernt PII und Geheimnisse direkt im Stream.

Embedding-basierte Erkennung über viele Angriffskategorien hinweg. „Disregard earlier directives" ≈ „Ignore previous instructions" über die Kosinus-Ähnlichkeit. Lokale Embeddings über Ollama – keine API-Kosten pro Anfrage.

Fängt Tool-Aufrufe von Claude-, Cursor- und IDE-Agenten ab. JSON-Schema-Validierung der Argumente, Begrenzung der Kettenschritte, Domain-Allowlist und explizite Freigabe-Gates bei destruktiven Tools. Jeder Aufruf wird vor der Ausführung an den Agent-Schutzregeln geprüft.

Über 40 Muster prüfen Eingaben, Ausgaben und Tool-Aufrufe vor und nach dem Modelllauf. Läuft parallel zur Semantischen Firewall und sorgt so für eine mehrschichtige Verteidigung.

5 über MCP bereitgestellte Tools: shield_get_stats, shield_get_threats, shield_add_rule, shield_get_events, shield_verify_token. So kann Ihr Claude- oder Cursor-Agent Vorfälle untersuchen und darauf reagieren, ohne den Chat zu verlassen.

SQL-Validierung über den geparsten AST. Blockiert UNION, INTO OUTFILE, pg_sleep und information_schema. LIMIT wird gedeckelt. Sensible Spalten (password, api_key, ssn) werden automatisch geschwärzt. Dazu Query-Fingerprinting und Honeytoken-Fallen-Tabellen.

Wallet-Erkennung: BTC (P2PKH/Bech32), ETH, SOL, TRX, XRP, LTC, DOGE. Prüfung von BIP-39-Seed-Phrasen (12/24 Wörter). Signing-Prompts (EIP-712). Mining-Domains werden blockiert. Erkennung von Mustern für Zahlungsumleitungen.

Erkennung von Bigramm-Kauderwelsch (EN / DE / CS / SK / ES), über 100 Wegwerf-E-Mail-Domains, Spam-Muster (wiederholte Zeichen, GROSSBUCHSTABEN, URL-Flut) und Erkennung verdächtiger Namen. Der Korpus für Phishing und Schadinhalte deckt 9 Sprachen ab (siehe Phishing-Karte). Additive Bewertung mit Cluster-Boni.

Mehrschichtiger Scanner für E-Mails und Anhänge. Erkennt slowakische, tschechische, polnische, deutsche, französische, spanische und serbische Texte ohne Diakritika (das stärkste Phishing-Signal in der Praxis), Social Engineering mit Passwort-Hinweisen in 9 Sprachen, Dateinamen, die Großrechner imitieren, sowie passwortgeschützte PDF- und Office-Dateien. Das markenunabhängige Cluster erkennt dasselbe Muster bei jedem imitierten Firmennamen.

check_upload() akzeptiert form_fields. Wird ein Datei-Upload von Formulardaten (Titel, Beschreibung, Name, Nachricht) begleitet, läuft die Bewertung der Inhaltsqualität auch über diese Felder. Ein sauberes PDF mit Kauderwelsch-Metadaten wird so bei hoher Konfidenz dennoch abgelehnt.

Jede Datei durchläuft ein Quarantäne-Gate – Allowlist erlaubter Dateiendungen, MIME-Erkennung über Magic Bytes, Erkennung von Office-Makros, PDF JavaScript / Launch / OpenAction sowie SVG- und HTML-Skript-Injection. Maximalgröße und Endungsliste pro Mandant einstellbar.

Python (FastAPI / Django / Flask), Node.js (Express / Next.js), PHP (WordPress / Laravel). Validiert das X-Shield-Token bei jeder Anfrage. Kein Token → 403. Die HMAC-Verifikation wird über einen kurzlebigen Cache pro (Token, Pfad) zwischengespeichert.

3-Zustands-Breaker (closed / open / half_open) in allen drei Backend-SDKs. Nach mehreren aufeinanderfolgenden Transportfehlern → OPEN für ein kurzes Intervall → eine HALF_OPEN-Probe. 4xx löst den Breaker nicht aus. PHP hält den Zustand per APCu über FPM-Worker hinweg. Damit gibt es während eines Upstream-Vorfalls nicht mehr bei jeder Anfrage einen Timeout.

Zuordnung reason → (machine_code, human_hint). /shield/verify und die 403-Bodies aller drei SDKs liefern remediation und remediation_code zurück. Zu Unrecht blockierte Nutzer sehen „Ihre Sitzung ist abgelaufen – bitte neu laden" statt eines kommentarlosen 403.

Drop-in-PHP-Plugin: injiziert das Widget automatisch und bringt eine Middleware mit, die Shield-Token auf /wp-login.php und Admin-Endpunkten validiert. Standardmäßig fail-closed, konfigurierbar.

Mehrdimensionales Rate Limiting: pro IP, pro Gerät und pro Endpunkt, mit progressiver Eskalation. Serverseitige Zähler mit gleitenden Fenstern.

IP-Geolokalisierung über ip-api.com (kurzlebiger Cache). Pro Website gepflegte Listen gesperrter und erlaubter Länder. Score-Modifikatoren für Rechenzentren sowie Proxy / Tor. Harte Sperre schon beim Seitenaufruf mit Zugriff-verweigert-Overlay, bevor sich das Widget initialisiert.

Bei hoher Konfidenz verhindert das Widget die Formularübermittlung. Rotes Overlay: „Blockiert durch Corpilus Shield". Serverseitig signierte HMAC-SHA256-Token hängt ein Interceptor automatisch an fetch() an.

278 kompilierte Erkennungsmuster werden bei jedem Event automatisch geprüft und decken alle OWASP-Top-10-2025-Kategorien ab. Die Prüfung auf Payload-Ebene erfolgt noch vor der Bewertung.

Der KI-Analyzer wertet Ereignisse kontinuierlich aus. Der RAG-Kontext ist in einer kuratierten Sicherheits-Wissensdatenbank verankert. Aus echten Beobachtungen entstehen automatisch Bedrohungen und Regeln.

Vorgefertigter Threat-Intel-Kontext (Mini-CAG). Bot-Signaturen, Angriffsmuster und OWASP-Beispiele sind bereits an Bord – neue Websites sind ab dem ersten Seitenaufruf geschützt.

Die Security-Knowledge-Sammlung von Shield kommt mit kuratierten Dokumenten (OWASP Top 10, Bot-Erkennung, Incident Response). Admins können eigene Unternehmens-Playbooks, Post-mortem-Berichte oder domänenspezifische Threat-Intel hochladen. Jeder Upload durchläuft eine mehrschichtige Prüfung. Saubere Dokumente landen zunächst mit trust_state='pending', bis ein Admin sie explizit auf 'active' setzt. Nur aktive Dokumente gelangen in den RAG-Kontext des KI-Analyzers.

Anonymisiertes Teilen von Mustern – IPs auf /24 gekürzt, PII entfernt, Reifegrad-Stufung (experimental → candidate → confirmed). Ein bei einem Mandanten bestätigter Angreifer wird innerhalb von Minuten für alle zur bekannten Bedrohung.

Der MutationObserver des Widgets erfasst beim Start alle <script>-Tags in einem Snapshot. Jedes nachträglich injizierte Skript wird als script_integrity_violation-Telemetrie gemeldet – mit src, external/same-origin, Inhaltslänge und stabilem Hash. Pro Seitenaufruf gedeckelt. Mandanten-Allowlist für vertrauenswürdige CDNs.

Redis-Zähler pro SHA-256(account_id). Jeder Fehlversuch über dem Limit erhöht den Risiko-Score deutlich. Ein verteilter Angriff, der viele Versuche über Tausende IPs streut, landet trotzdem im selben Konto-Bucket – der Versuch auf victim@corp.com löst eine Challenge aus, egal von welcher IP er kam. Bei einem erfolgreichen Login wird der Zähler zurückgesetzt.

GET /shield/password/breach-range/{prefix} – der Client berechnet SHA-1(password) lokal im Browser und sendet nur das 5-stellige Hex-Präfix; Shield leitet an api.pwnedpasswords.com weiter und streamt die Liste aus Suffix und Anzahl zurück. Den Abgleich mit dem eigenen Suffix nimmt der Client lokal vor. Der Server sieht weder den Klartext NOCH den vollständigen Hash.

Prüfung der A/AAAA- und MX-Records bei der Anmeldung. Fail-open bei Timeout. Kurzlebiger Cache pro Domain, damit schnelle Anmeldewellen von derselben Wegwerf-Domain das DNS nicht erneut belasten.

Über 25 geschützte Marken (Google, Microsoft, Apple, PayPal, Stripe, Meta, LinkedIn, Revolut, SK-/CZ-Banken und -Versicherer). Dreistufiger Detektor: 1) normalisierter exakter Abgleich über eine Homoglyphen-Map, 2) Levenshtein-Distanz für lange Markennamen, 3) Marken-Teilzeichenkette plus dekoratives Suffix (secure/login/support/verify/auth/signin/account/official/help).

Velocity-Zähler pro IP und pro Gerät. Voraussetzung eines kürzlichen Logins: kein erfolgreicher Login von diesem Gerät in jüngster Zeit → deutliches Risikosignal. Sitzungskontinuität: password_change zählt nun zu den SENSIBLEN Ereignissen, sodass eine vollständige Fingerprint-Abweichung sofort blockiert. Die klassische Kette „Angreifer kapert Sitzung → ändert Passwort → sperrt Nutzer aus" muss alle drei Gates überstehen.

E-Mail (HTML), Slack, Discord, generische JSON-Webhooks. Wöchentlicher Sicherheitsbericht mit Statistiken, Top-Bedrohungen und Blockrate. Schweregrad-Gate pro Webhook (low / medium / high / critical).

Jede Regeländerung, jede Bearbeitung der Website-Konfiguration, jede manuelle Blockade und jede KI-Entscheidung wird mit Akteur, Zeitstempel und Vorher-/Nachher-Diff festgehalten. Hash-verkettet, signiert und als prüfbereites Evidence-Bundle exportierbar.

HMAC-SHA256-Token werden serverseitig aus dem websiteeigenen Geheimnis erzeugt und über /shield/events zurückgegeben. Das Widget hält das Signing-Geheimnis zu keinem Zeitpunkt – ein geleakter site_key lässt sich nicht zum Fälschen gültiger Token nutzen.

PostgreSQL Row-Level Security wird auf allen shield_*-Tabellen erzwungen. Jede Anfrage läuft unter einer mandantengebundenen Rolle – eine Umgehung auf Anwendungsebene ist selbst bei einem Fehler in der API ausgeschlossen.

Verfolgt Versuche pro Karten-BIN über rollende Fenster. Burst-Muster, die zu Card-Testing passen, lösen eine progressive Challenge oder Blockade aus. Die Schwellenwerte sind pro Mandant einstellbar, die Standardwerte konservativ gewählt.

Taucht derselbe vom PSP gelieferte Karten-Fingerprint in kurzer Zeit über mehrere Geräte, Sitzungen oder Mandanten auf, werden die Versuche korreliert und als koordinierter Angriff bewertet. Die rohe PAN verlässt nie Ihren PSP.

Mandantengebundene Baseline der Verteilung nach Issuer-Land. Eine plötzliche Konzentration von Versuchen gegen Issuer aus wenigen Ländern – deutlich über der Baseline – weist auf wahrscheinlichen Carding-Verkehr hin.

Bündelt mehrere Signale – breite BIN-Streuung, gleiches Gerät oder gleiche Sitzung, hohe Fehlerquote – zu einem benannten Carding-Urteil. Bestätigt PSP-Feedback nach der Abbuchung das Muster, wird der Schweregrad der Entscheidung hochgestuft.

Langsam aufgebaute Angriffe rutschen nicht mehr durch. Shield betrachtet den gesamten Gesprächsverlauf statt nur eine Nachricht nach der anderen. Ein Angreifer, der sich viele Runden lang harmlos unterhält und erst dann zur Datenextraktion oder zum Credential-Phishing umschwenkt, wird in dem Moment erkannt, in dem das Muster sichtbar wird.

Bevor Ihr Agent ein Tool ausführt, fragt Shield: Passt die tatsächliche Absicht des Nutzers zum Aufruf dieses Tools? Die Bitte, ein Dokument zusammenzufassen, sollte keinen Datenbank-Export auslösen. Ein Chat zur Reisebuchung sollte kein Zahlungs-Tool aufrufen. Bei Abweichungen wird der Aufruf zur Prüfung gestoppt.

Kompromittierte Agenten und neugierige LLMs scannen vor dem Handeln typischerweise erst die Umgebung – sie listen Verzeichnisse auf, lesen Konfigurationspfade und enumerieren Umgebungsvariablen. Shield markiert dieses Erkundungsmuster früh, noch bevor Daten die Box verlassen.

Eine einzelne Konversation kann niemals unbemerkt Ihr gesamtes monatliches KI-Budget aufbrauchen. Shield erzwingt pro Sitzung eine Obergrenze für Tokens, Tool-Aufrufe und verstrichene Zeit. Ist das Limit erreicht, wird die Sitzung pausiert oder beendet und der Betreiber benachrichtigt.

Shield lernt, wie das Normalverhalten jedes Nutzers aussieht – typische Uhrzeiten, typische Aktionen, typisches Tempo – und markiert unauffällig den Tag, an dem dieses Muster bricht. Eine angemeldete Sitzung, die sich plötzlich völlig anders verhält als der echte Nutzer, wird als mögliche Übernahme behandelt.

Köder-Datensätze, -Dateien und -Zugangsdaten werden an Stellen platziert, an denen nur ein Angreifer überhaupt suchen würde. Echte Nutzer bekommen sie nie zu Gesicht. Sobald eines berührt, abgerufen oder verwendet wird, hat Shield ein hochkonfidentes Einbruchssignal mit praktisch null Fehlalarmen.

Angreifer verstecken bösartige Payloads in verschachtelten Kodierungen – base64, hex, Prozent-Kodierung, Unicode-Escapes –, um simple String-Filter zu umgehen. Shield packt diese Schichten vor der Bewertung aus, sodass der eigentliche Angriff an denselben Schutzmechanismen geprüft wird wie eine Klartext-Variante.

Bevor ein Update einer Regel, eines Modells oder eines Scorers ausgeliefert wird, läuft es gegen einen stetig wachsenden Korpus realer Angriffsszenarien. Schwächt ein Release versehentlich die Erkennung eines bekannten Bedrohungsmusters, wird die Änderung bereits in der CI gestoppt – nicht erst, nachdem ein Kunde kompromittiert wurde.

Jede Sicherheitsentscheidung und jede Konfigurationsänderung wird in eine manipulationssichere Kette geschrieben. Bearbeitungen und Löschungen lassen sich mathematisch nachweisen. Prüfer, Regulierungsbehörden und Incident Responder erhalten eine vertrauenswürdige Zeitleiste – selbst im Worst Case, in dem ein Angreifer an Admin-Zugangsdaten gelangt.

Wenn etwas passiert, wollen Sie keine Stunden mit dem Sammeln von Logs verbringen. Ein Klick erzeugt ein verschlüsseltes, mit Zeitstempel versehenes Bundle des relevanten Mandantenzustands – Ereignisse, Regeln, Entscheidungen, jüngster Datenverkehr – und ist bereit zur Übergabe an Ihr Sicherheitsteam, Ihren Anwalt oder Ihre Regulierungsbehörde.

Shield bindet Sie nicht an einen einzigen KI-Anbieter. Bringen Sie Ihren eigenen OpenAI-, Anthropic- oder Google-Schlüssel mit, verweisen Sie auf eine dedizierte Ollama-Instanz oder betreiben Sie alles vollständig lokal. Legen Sie harte Kostenlimits und Routing-Regeln fest. Ihre Daten fließen nur zu Anbietern, die Sie ausdrücklich freigeben.

Für Ihre risikoreichsten Aktionen kann Shield eine hardware-verankerte Geste verlangen: Touch ID, Windows Hello oder einen Hardware-Sicherheitsschlüssel. Das sind Nachweise physischer Präsenz, die ein LLM-gestützter Agent oder ein entfernter Angreifer nicht erbringen kann – egal, wie raffiniert der Prompt ist.

Für regulierte, klassifizierte oder abgeschottete Umgebungen wird Shield als Self-hosted-Paket mit signierten Release-Artefakten und einem vollständig offline durchführbaren Installationspfad ausgeliefert. Nichts muss mit dem öffentlichen Internet kommunizieren – und dennoch erhalten Sie Regel-, Modell- und Intel-Updates nach Ihrem eigenen Zeitplan.

Shield kann Formular-, Nachrichten- und Dokumentübermittlungen markieren, die eher maschinengeneriert als menschlich getippt wirken. In Kombination mit Verhaltens- und Timing-Signalen gibt das Betreibern bei Bewerbungsformularen, Lebensläufen, Support-Tickets und Bewertungen eine klare Antwort auf die Frage „Ist das echt?".

Das Widget erstellt beim Start einen Snapshot von fetch, XHR, navigator und userAgent und prüft regelmäßig nach. Schaltet eine Browser-Erweiterung, ein injiziertes Skript oder ein Drittanbieter-Tag navigator.webdriver um, umhüllt es fetch, ersetzt es XHR oder verändert es navigator-Deskriptoren, meldet Shield die Manipulation und kann die Ausstellung eines Tokens verweigern. Die attributweise Nachverfolgung von Änderungen an form.action / Hidden-Inputs ist auf der Roadmap, derzeit aber noch nicht aktiv.

Jede Anfrage wird in O(1) gegen über 48.000 häufig aktualisierte Echtzeit-Bedrohungsindikatoren abgeglichen. Kein Aufwand für den Kunden – plattformfinanziert. Bei einem Treffer steigt der Score.

Abfrage von Premium-Reputationsdiensten nur bei verdächtigen Ereignissen. Pro Mandant Fernet-verschlüsselte Schlüssel; keine plattformweit geteilten Schlüssel, und die Abfragen laufen über Ihr Kontingent.

Alle zehn OWASP-Kategorien von 2025 werden abgedeckt – A01 Zugriffskontrolle, A02 Fehlkonfiguration, A03 Supply Chain, A04 Kryptografie, A05 Injection, A06 Design, A07 Authentifizierung, A08 Integrität, A09 Logging, A10 Exception Handling. Der Musterbestand stammt aus OWASP CRS v4, nuclei-Templates und PayloadsAllTheThings.

Identifiziert Bots von OpenAI, Anthropic, Google-Extended, Perplexity, ByteDance, CommonCrawl, Meta, Apple, Cohere, Mistral, AllenAI, You.com und weiteren. Pro Anbieter wählt der Mandant block / monitor / allow.

log4j-JNDI-Gadgets (${jndi:ldap://...}), LDAP-Injection, XML External Entity, NoSQL-Operator-Injection im MongoDB-Stil – alle werden beim Ingest über /shield/events blockiert, bevor sie Ihr Backend erreichen.

Schreibgeschützte, nach Kategorie gruppierte Ansicht aller 278 Muster, die Shield bei jeder Anfrage ausführt. Kunden sehen genau, was sie schützt – keine Marketing-Behauptungen, die man erst überprüfen müsste.