Alternativen zu Akamai Client-Side Protection für die Zahlungsseite (2026)

Proteside erfasst, was auf jeder Zahlungsseite legitim ist (die Daten jeder Zahlungsaufforderung, die Formularfelder, die freigegebenen Skripte), und prüft fortlaufend im Browser des Zahlers, was angezeigt wird, was kopiert wird und wohin die Daten gehen. Erkennt es eine Abweichung, stoppt es die Aktion, bevor die Zahlung bestätigt wird, und protokolliert den Versuch.

Das Skript-Inventar und die Änderungshistorie bilden den Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1. Die Installation ist eine Codezeile auf jeder E-Commerce-Plattform oder eine einzige Integration für Plattformen und Zahlungsanbieter, mit Dashboard, API und Benachrichtigungen.

Die Funktion, bis März 2026 Page Shield genannt und jetzt Client-Side Security, ist für Domains verfügbar, die über Cloudflare geproxyt werden. Die Dokumentation beschreibt die Überwachung von Skripten, Verbindungen und Cookies, die Erkennung schädlicher Skripte und Codeänderungen sowie Content-Security-Regeln, die alles außerhalb der Erlaubnisliste blockieren können.

Die Dokumentation selbst erklärt den Mechanismus: Der Report-Only-Header geht mit einer Stichprobe der Antworten hinaus, sodass ein neues Skript Zeit brauchen kann, bis es erscheint. Die Anforderungen 6.4.3 und 11.6.1 werden in der erweiterten Stufe abgedeckt. Pix, Boleto (brasilianischer Zahlschein) und Echtzeitzahlungssysteme kommen im Material nicht vor.

Imperva (Thales) beschreibt Client-Side Protection als Bestandteil seines Anwendungsschutzes: fortlaufende Diensteerkennung, KI-gestützte Skriptanalyse, Blockierung mit einem Klick, Überwachung von Header-Änderungen, wöchentliche Zusammenfassungen der Änderungen an der Zahlungsseite und exportierbare Berichte für den Prüfer, mit Terraform-Unterstützung.

Der Mechanismus ist eine serverseitig definierte Content-Security-Richtlinie nach einem Zero-Trust-Modell: Was nicht freigegeben ist, wird nicht geladen. Die öffentliche Dokumentation beschreibt die Bereitstellung über Imperva Cloud Application Security; der Umfang sind Skripte und Kartendaten.

Feroot stellt die Konformität in den Mittelpunkt seines Angebots: PaymentGuard deckt die Anforderungen 6.4.3 und 11.6.1 mit Skript-Inventar, Begründungen, Integritätsprüfungen und einem Nachweisbericht für den QSA ab. Die öffentliche Dokumentation nennt Integrationen mit Alarmierungs- und Betriebstools sowie die Abdeckung von iOS- und Android-Apps neben Websites.

Der Punkt, auf den jeder achten sollte, der außerhalb von Karten bezahlt wird, ist der Umfang: Das öffentliche Material spricht von Skripten und Kartendaten, ohne QR-Codes, Zahlungsschlüssel, Boleto (brasilianischer Zahlschein) oder Krypto-Wallets zu erwähnen. Für diese Zahlungsarten liegt der Austausch des Empfängers außerhalb dessen, was das Tool laut Beschreibung prüft.

c/side bezeichnet sich selbst als Client-Side-Security-Plattform. Das öffentliche Material beschreibt ein Inventar mit der Inhaltshistorie jedes Skripts, einen Anbieter-Graphen, Benachrichtigungen, Dashboards für die Anforderungen 6.4.3 und 11.6.1 und einen Endpunkt zum Empfang von CSP-Berichten.

Die öffentliche Seite zu Krypto nennt den Austausch einer in die Zwischenablage kopierten Wallet-Adresse, was dem Problem, das Proteside löst, nahekommt. Pix, Boleto (brasilianischer Zahlschein) und die QR-Codes von Echtzeitzahlungssystemen wie UPI oder PromptPay kommen in der von uns herangezogenen öffentlichen Dokumentation nicht vor.

Reflectiz beschreibt seinen eigenen Ansatz als agentenlos: Ein Browser in einer Sandbox simuliert die Nutzerreise, inventarisiert Skripte (auch innerhalb von iframes), überwacht Header für Anforderung 11.6.1 und exportiert Nachweise für den QSA. Die Plattform deckt außerdem Datenschutz und offensive Tests ab.

Das Material des Anbieters selbst erklärt die Blockierung als Skript, das auf der Seite inaktiv bleibt, bis es in der Oberfläche ausgelöst wird, und dann eine Domain per CSP ausschließt. Das ist eine Designentscheidung: erst Erkennung, dann menschliches Eingreifen. Betrugsversuche, die nur einem bestimmten Käufer angezeigt werden, werden von simulierten Besuchen nicht beobachtet.