Alternativen zu Source Defense für den Schutz der Zahlungsseite (2026)

Proteside erfasst, was auf jeder Zahlungsseite legitim ist (die Daten jeder Zahlungsaufforderung, die Formularfelder, die freigegebenen Skripte), und prüft fortlaufend im Browser des Zahlers, was angezeigt wird, was kopiert wird und wohin die Daten gehen. Erkennt es eine Abweichung, stoppt es die Aktion, bevor die Zahlung bestätigt wird, und protokolliert den Versuch.

Das Skript-Inventar und die Änderungshistorie bilden den Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1. Die Installation ist eine Codezeile auf jeder E-Commerce-Plattform oder eine einzige Integration für Plattformen und Zahlungsanbieter, mit Dashboard, API und Benachrichtigungen.

Feroot stellt die Konformität in den Mittelpunkt seines Angebots: PaymentGuard deckt die Anforderungen 6.4.3 und 11.6.1 mit Skript-Inventar, Begründungen, Integritätsprüfungen und einem Nachweisbericht für den QSA ab. Die öffentliche Dokumentation nennt Integrationen mit Alarmierungs- und Betriebstools sowie die Abdeckung von iOS- und Android-Apps neben Websites.

Der Punkt, auf den jeder achten sollte, der außerhalb von Karten bezahlt wird, ist der Umfang: Das öffentliche Material spricht von Skripten und Kartendaten, ohne QR-Codes, Zahlungsschlüssel, Boleto (brasilianischer Zahlschein) oder Krypto-Wallets zu erwähnen. Für diese Zahlungsarten liegt der Austausch des Empfängers außerhalb dessen, was das Tool laut Beschreibung prüft.

c/side bezeichnet sich selbst als Client-Side-Security-Plattform. Das öffentliche Material beschreibt ein Inventar mit der Inhaltshistorie jedes Skripts, einen Anbieter-Graphen, Benachrichtigungen, Dashboards für die Anforderungen 6.4.3 und 11.6.1 und einen Endpunkt zum Empfang von CSP-Berichten.

Die öffentliche Seite zu Krypto nennt den Austausch einer in die Zwischenablage kopierten Wallet-Adresse, was dem Problem, das Proteside löst, nahekommt. Pix, Boleto (brasilianischer Zahlschein) und die QR-Codes von Echtzeitzahlungssystemen wie UPI oder PromptPay kommen in der von uns herangezogenen öffentlichen Dokumentation nicht vor.

Reflectiz beschreibt seinen eigenen Ansatz als agentenlos: Ein Browser in einer Sandbox simuliert die Nutzerreise, inventarisiert Skripte (auch innerhalb von iframes), überwacht Header für Anforderung 11.6.1 und exportiert Nachweise für den QSA. Die Plattform deckt außerdem Datenschutz und offensive Tests ab.

Das Material des Anbieters selbst erklärt die Blockierung als Skript, das auf der Seite inaktiv bleibt, bis es in der Oberfläche ausgelöst wird, und dann eine Domain per CSP ausschließt. Das ist eine Designentscheidung: erst Erkennung, dann menschliches Eingreifen. Betrugsversuche, die nur einem bestimmten Käufer angezeigt werden, werden von simulierten Besuchen nicht beobachtet.

SecurityMetrics ist ein PCI-Prüfunternehmen (QSA, ASV), und Shopping Cart Monitor fügt sich in sein Portal ein: Skript-Inventar mit Begründung, Erkennung von Inhalts- und Header-Änderungen, Benachrichtigungen und ein exportierbares Protokoll für den Prüfer, ohne Installation auf der Website.

Das öffentliche Material ist offen in Bezug auf die Grenze: Das Tool wurde zur Erkennung gebaut, sagt der Anbieter, und es arbeitet mit Momentaufnahmen in Intervallen. Für Teams, die den Betrug blockieren müssen, während der Kunde noch auf der Seite ist, funktioniert der Ansatz als Ergänzung zu einer Blockierung in echten Sitzungen.

Die Funktion, bis März 2026 Page Shield genannt und jetzt Client-Side Security, ist für Domains verfügbar, die über Cloudflare geproxyt werden. Die Dokumentation beschreibt die Überwachung von Skripten, Verbindungen und Cookies, die Erkennung schädlicher Skripte und Codeänderungen sowie Content-Security-Regeln, die alles außerhalb der Erlaubnisliste blockieren können.

Die Dokumentation selbst erklärt den Mechanismus: Der Report-Only-Header geht mit einer Stichprobe der Antworten hinaus, sodass ein neues Skript Zeit brauchen kann, bis es erscheint. Die Anforderungen 6.4.3 und 11.6.1 werden in der erweiterten Stufe abgedeckt. Pix, Boleto (brasilianischer Zahlschein) und Echtzeitzahlungssysteme kommen im Material nicht vor.