F5 Client-Side Defense vs. Proteside: Mitigationslisten oder automatische Blockierung im Moment der Zahlung?

Von Laís Peixoto

Growth Marketer, Proteside

Veröffentlicht 15. Oktober 2026

F5 Distributed Cloud Client-Side Defense inventarisiert die Skripte Ihrer Anwendung und warnt bei verdächtigen Domains und dem Auslesen sensibler Felder, mit Gegenmaßnahmen, die Ihr Team über Listen in der F5-Konsole definiert. Proteside prüft im Browser des Käufers, ob QR-Code, Kontodaten, Wallet-Adresse und Kartenfelder dem entsprechen, was der Händler ausgestellt hat, und blockiert einen Austausch automatisch.

Nebeneinander

Wie es sich selbst beschreibt: Ein Dienst innerhalb von F5 Distributed Cloud Services, der die auf einer Webanwendung laufenden Skripte auflistet und beim Auslesen sensibler Daten warnt, mit vom Nutzer definierten Gegenmaßnahmen.
Hauptsitz: Seattle, Vereinigte Staaten (F5, Inc.).
Wie es auf die Website kommt: Skript, das von einem HTTP-Load-Balancer von F5 Distributed Cloud eingefügt oder manuell über CMS, CDN, Load Balancer oder BIG-IP platziert wird; die Verwaltung liegt in der Distributed-Cloud-Konsole.
Was es auf der Zahlungsseite prüft: Erst-, Dritt- und Viertanbieter-Skripte, Auslesen von Formularfeldern, Ziel-Domains, neue Skripte, Verhaltensänderungen und Header-Änderungen.
PCI DSS: Das öffentliche Material nennt PCI DSS und Telemetrie für Audit-Trails. Ein benannter QSA-Bericht und eine erklärte Mitgliedschaft im PCI SSC sind nicht aufgeführt.

Wie es sich selbst beschreibt: Cybersicherheitsebene für den Moment der Zahlung: Integrität dessen, was der Käufer sieht, kopiert und bestätigt.
Hauptsitz: São Paulo, Brasilien. In Betrieb seit 2026.
Wie es auf die Website kommt: Eine Codezeile auf der Zahlungsseite oder eine Integration in die Vorlage der Plattform oder des Zahlungsanbieters. Kein Proxy, keine Änderung an DNS oder CDN.
Was es auf der Zahlungsseite prüft: Drittskripte, Kartenformular, Pix-QR-Code und -Schlüssel, Zahlungszeile des Boleto (brasilianischer Zahlschein), Krypto-Wallet-Adresse und die QR-Codes von acht Echtzeitzahlungssystemen, abgeglichen mit dem, was der Händler ausgestellt hat.
PCI DSS: Nachweis für die PCI-DSS-Anforderungen 6.4.3 und 11.6.1, mit exportierbarem Bericht für den QSA.

Kriterium für Kriterium

Die Bewertungen beruhen auf der öffentlichen Dokumentation des jeweiligen Anbieters. Fahren Sie mit der Maus über eine Bewertung oder tippen Sie darauf, um die Legende zu lesen.

	F5 Client-Side Defense	Proteside
Was auf dem Bildschirm des Zahlers geprüft wird
Inventar und Freigabe der Skripte auf der ZahlungsseiteDie Grundlage von Anforderung 6.4.3: wissen, was auf der Seite läuft, und jedes Skript freigeben.	In der öffentlichen Dokumentation beschrieben	In der öffentlichen Dokumentation beschrieben
Ins Formular eingegebene KartendatenVerhindern, dass ein Skript Nummer, Ablaufdatum und Prüfziffer kopiert.	Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)1	In der öffentlichen Dokumentation beschrieben
Pix-QR-Code und Pix-Code zum Kopieren und Einfügen (Brasilien)Der häufigste Checkout-Betrug in Brasilien: Der angezeigte QR-Code führt auf ein anderes Konto.	Nicht in den öffentlichen Informationen gefunden	In der öffentlichen Dokumentation beschrieben
Zahlungszeile des Boleto (brasilianischer Zahlschein)Eine ausgetauschte Zeile zahlt denselben Betrag an einen anderen Empfänger.	Nicht in den öffentlichen Informationen gefunden	In der öffentlichen Dokumentation beschrieben
QR-Codes von Echtzeitzahlungssystemen weltweit (UPI, PayNow, DuitNow, PromptPay, QR Ph, FPS, CoDi, Transferencias 3.0)Derselbe Austausch wie bei Pix, über acht Echtzeitzahlungssysteme hinweg.	Nicht in den öffentlichen Informationen gefunden	In der öffentlichen Dokumentation beschrieben
Stablecoin- und Krypto-Wallet-Adresse, auch beim KopierenEine auf dem Bildschirm oder in der Zwischenablage ausgetauschte Wallet-Adresse ist unumkehrbar.	Nicht in den öffentlichen Informationen gefunden	In der öffentlichen Dokumentation beschrieben
Gleicht das Angezeigte mit dem ab, was der Händler ausgestellt hat, und blockiert den Austausch vor der BestätigungDie Prüfung, die Zahlungsintegrität ausmacht: Empfänger und Betrag identisch mit dem Ausgestellten.	Nicht in den öffentlichen Informationen gefunden	In der öffentlichen Dokumentation beschrieben
Wie es schützt
Blockiert nicht freigegebene Skripte im Browser des KäufersEine nachträgliche Erkennung bringt die kopierten Daten nicht zurück.	Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)2	In der öffentlichen Dokumentation beschrieben
Beobachtet echte KäufersitzungenGezielte Betrugsversuche tauchen in simulierten Besuchen nicht auf.	In der öffentlichen Dokumentation beschrieben	In der öffentlichen Dokumentation beschrieben
Funktioniert ohne Änderung von CDN, DNS oder ProxyLässt sich mit einer Codezeile in jede Plattform einfügen.	Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)3	In der öffentlichen Dokumentation beschrieben
PCI-DSS-Konformität
Nachweis für PCI-DSS-Anforderung 6.4.3Inventar, Freigabe und Integrität der Skripte.	In der öffentlichen Dokumentation beschrieben	In der öffentlichen Dokumentation beschrieben
Nachweis für PCI-DSS-Anforderung 11.6.1Nicht autorisierte Änderungen an der Seite und ihren Headern.	In der öffentlichen Dokumentation beschrieben	In der öffentlichen Dokumentation beschrieben
Exportierbarer Bericht für den Prüfer (QSA)Der Nachweis muss das Dashboard verlassen und in die Prüfung gelangen.	Nicht in den öffentlichen Informationen gefunden	In der öffentlichen Dokumentation beschrieben

In der öffentlichen Dokumentation beschrieben
Mit Einschränkung beschrieben (optional, stichprobenartig, erfordert menschliches Eingreifen oder nur in einer Produktstufe)
Nicht in den öffentlichen Informationen gefunden
Der Anbieter gibt an, dies nicht zu tun

Anmerkungen zu den Bewertungen

1Ins Formular eingegebene Kartendaten: Die Dokumentation beschreibt Benachrichtigungen beim Auslesen sensibler Felder und eine vom Nutzer ausgelöste Blockierung des Auslesens von Formularfeldern; der Schutz hängt von den Listen ab, die Ihr Team definiert.
2Blockiert nicht freigegebene Skripte im Browser des Käufers: Die Gegenmaßnahme funktioniert über Domain-Listen: Die Mitigate List blockiert eine ganze Domain für jedes Skript, und die Dokumentation von F5 gibt an, dass das Ablehnen eines Skripts rein informativ ist, ohne Blockierung.
3Funktioniert ohne Änderung von CDN, DNS oder Proxy: Die manuelle Einfügung des Skripts über CMS, CDN oder BIG-IP ist für Anwendungen außerhalb von F5 dokumentiert, aber die Verwaltung erfordert die Konsole und ein Abonnement von F5 Distributed Cloud.

Wo F5 Client-Side Defense herausragt

Viertanbieter-Skripte im Inventar
Die Script List deckt ab, was Drittskripte ihrerseits laden, und jede Freigabe wird mit einer schriftlichen Begründung erfasst.
Reichweite über F5-gehostete Anwendungen hinaus
Die Dokumentation beschreibt die manuelle Einfügung des Skripts über CMS, CDN, Load Balancer oder BIG-IP für Anwendungen, die nicht über Distributed Cloud laufen.
Verhaltens- und Header-Benachrichtigungen
Über verdächtige Domains und Feldauslesungen hinaus markiert der Dienst ein Skript, das sein Verhalten ändert, und eine Seite, deren Header sich ändern.
Eine Konsole für Teams, die bereits auf F5 sind
Kunden, die eine Anwendung hinter einem Distributed-Cloud-Load-Balancer betreiben, schalten den Dienst dort ein, wo sie diese Anwendung bereits verwalten, ohne Codeänderung.

Was Proteside prüft, das im öffentlichen Material von F5 nicht erwähnt wird

Ein Einzelhändler in Bangkok zeigt im Checkout einen PromptPay-QR-Code über 2.400 Baht. Der Käufer öffnet eine Banking-App, scannt und zahlt. Hat eine Browser-Erweiterung oder ein kompromittiertes Plugin diesen QR-Code gegen einen ausgetauscht, der an ein anderes Konto gebunden ist, gleicher Betrag, landet das Geld anderswo, und der Shop erfährt davon erst, wenn die Bestellung nie abgewickelt wird. Es wurde keine Kartennummer ausgelesen; der Empfänger hat sich geändert.

Client-Side Defense beobachtet Skripte und das Auslesen von Formularfeldern, und die Dokumentation von F5 deckt dieses Feld sorgfältig ab. Für einen PromptPay-, UPI-, PayNow- oder DuitNow-QR-Code, die Zeile eines brasilianischen Zahlscheins, einen Pix-Schlüssel oder eine USDT-Wallet-Adresse beschreibt das öffentliche Material keine Prüfung dessen, was die Seite anzeigt. Proteside erfasst, was Ihr Server ausgestellt hat (QR-Code, Kontodaten, Adresse, Betrag), und vergleicht es mit dem, was der Käufer sieht und kopiert, in jeder Sitzung. Weichen sie voneinander ab, wird die Bestätigung blockiert, und der Versuch wird zu einer Benachrichtigung und einem Nachweis.

Bei F5 laufen die Gegenmaßnahmen über Listen, die Ihr Team pflegt: Die Mitigate List blockiert eine Domain für jedes Skript, die Allow List gibt eine frei, und die Dokumentation selbst gibt an, dass das Ablehnen eines Skripts in der Oberfläche rein informativ ist. Proteside blockiert nicht freigegebene Skripte und Empfängeraustausche in jeder Sitzung ohne manuellen Schritt, und sein Inventar und seine Änderungshistorie erzeugen die Nachweise für die Anforderungen 6.4.3 und 11.6.1.

Wie beide in Ihren Betrieb gelangen

F5 Client-Side Defense

Aktiviert auf einem HTTP-Load-Balancer von F5 Distributed Cloud mit JavaScript-Einfügung, oder manuell über CMS, CDN, Load Balancer oder BIG-IP eingefügt.
Die Dokumentation verlangt, dass das Skript synchron und als erstes auf der Seite lädt, und begrenzt den Dienst auf 100 Domains je Namespace.
Vom Nutzer definierte Gegenmaßnahmen über Listen in der Konsole; laut Dokumentation entfernt das Deaktivieren des Dienstes in der Konsole ein manuell eingefügtes Skript nicht.

Proteside

Eine Codezeile auf der Zahlungsseite, auf jeder Plattform, ohne Edge-Konsole und ohne CDN-Abonnement.
Eine Prüfung in jeder Kaufsitzung: Skripte, Kartenfelder und Zahlungsdaten verglichen mit dem, was Ihr Server ausgestellt hat.
Automatische Blockierung vor der Bestätigung, mit Dashboard, API und Benachrichtigungen per E-Mail, Slack, Teams und Webhook.

Wann welches zu wählen ist

F5 Client-Side Defense ist sinnvoll, wenn

Ihre Anwendung läuft bereits hinter einem Load Balancer von F5 Distributed Cloud und das Team will ein Skript-Inventar, ohne Code anzufassen.
Sie betreiben BIG-IP oder andere F5-Infrastruktur und ziehen es vor, die Anwendungssicherheit aus einer einzigen Konsole zu bedienen.
Ihr Sicherheitsteam will jede Gegenmaßnahme per Domain-Liste entscheiden, mit erfassten Freigaben und Begründungen.

Proteside ist sinnvoll, wenn

Ihr Checkout akzeptiert UPI, PromptPay, PayNow, DuitNow, FPS, Pix, brasilianische Zahlscheine oder Stablecoins, und das Risiko ist ein ausgetauschter Empfänger.
Sie brauchen die Blockierung in jeder Sitzung, vor der Bestätigung, ohne dass jemand zuerst eine Liste freigibt.
Ihr Betrieb läuft nicht auf F5 und Sie wollen Schutz plus Nachweise für die Anforderungen 6.4.3 und 11.6.1 aus einer Codezeile.

Beide zusammen

Ein Team mit aktiviertem Client-Side Defense auf seinem F5-Load-Balancer kann Inventar und Benachrichtigungen dort behalten und Proteside auf der Zahlungsseite hinzufügen, um die Zahlung selbst zu prüfen und einen Austausch zu blockieren. Die beiden Skripte koexistieren, und Proteside verändert nie eine legitime Zahlung.

Häufige Fragen

Deckt F5 Client-Side Defense Pix, Boleto oder QR-Codes ab?

Nicht in den im Oktober 2026 geprüften öffentlichen Informationen. Die Dokumentation von F5 beschreibt Skripte, Ziel-Domains, das Auslesen von Formularfeldern und Header; QR-Codes, Echtzeitzahlungssysteme und Boleto-Zahlungszeilen werden nicht erwähnt.

Kann ich F5 Client-Side Defense und Proteside zusammen nutzen?

Ja. Das F5-Skript kann vom Load Balancer oder manuell eingefügt bleiben, und Proteside kommt als eine Zeile auf die Zahlungsseite. Jedes führt sein eigenes Inventar; Proteside ergänzt die Empfängerprüfung und die automatische Blockierung.

Was passiert, wenn ich ein Skript in der F5-Konsole ablehne?

Laut Dokumentation von F5 ist das Ablehnen eines Skripts rein informativ und hindert es nicht am Laufen. Zum Blockieren fügt ein Nutzer die Domain zur Mitigate List hinzu, was für jedes Skript dieser Domain gilt. Bei Proteside wird ein Skript außerhalb des freigegebenen Inventars in jeder Sitzung ohne manuellen Schritt blockiert.

Muss ich auf F5 Distributed Cloud sein, um Client-Side Defense zu nutzen?

Die Dokumentation beschreibt zwei Wege: die Aktivierung auf einem HTTP-Load-Balancer von Distributed Cloud oder die manuelle Einfügung des Skripts über CMS, CDN, Load Balancer oder BIG-IP. In beiden Fällen erfolgt die Verwaltung in der Distributed-Cloud-Konsole unter einem Dienstabonnement.

Erzeugt F5 Client-Side Defense einen Bericht für den QSA?

Das öffentliche Material nennt PCI DSS und Telemetrie für Audit-Trails; ein benannter QSA-Bericht ist in den geprüften Informationen nicht aufgeführt. Proteside exportiert das Skript-Inventar und die Änderungshistorie für die Prüfung der Anforderungen 6.4.3 und 11.6.1.

Weitere Vergleiche

Sehen Sie, wie Proteside Ihren Checkout prüft

Vierzehn Tage kostenlos, eine Codezeile, jede Zahlungsart auf Ihrer Seite.

Kostenlos testen