Was gebaut ist – und was nicht

Skriza Shield – Bot-Schutz

Der reifste Teil. Ersetzt Google reCAPTCHA und ist auf fremden Seiten einbindbar.

• Proof-of-Work-Prüfung

  läuft

  Speicherharte Rechenaufgabe im Browser statt Bilderrätsel. IP-Adressen nur als HMAC-Hash, nie im Klartext.

  Nachprüfbar: 13 Module mit eigenen Tests, 8 API-Routen, öffentlich unter captcha.skriza.com erreichbar

• Risiko-Engine

  läuft

  Bewertet Signale, IP-Reputation und Bedrohungslisten und entscheidet: unsichtbar durchlassen, herausfordern oder blocken.

  Nachprüfbar: Schwellenwerte pro Kunden-Site einstellbar (0–4), Entscheidungen werden protokolliert

• Barrierefreie Alternative

  läuft

  Wer die Dreh-Aufgabe nicht sehen oder bedienen kann, löst stattdessen eine reine Rechenaufgabe.

  Nachprüfbar: Tastaturbedienbar; nicht-visueller Pfad ohne Audio-Rätsel

• Einbindung durch Dritte

  läuft

  Widget plus serverseitige Prüfung, Turnstile-kompatibler Schnittstellenzuschnitt.

  Nachprüfbar: 5 SDKs im Repository: Go, PHP, Python, React, Vue

Plattform

• Feed-Sortierung

  läuft

  Öffentlicher Feed nach offengelegten Prinzipien: Antworten zählen mehr als Likes, Aufrufe zählen null.

  Nachprüfbar: Prinzipien und Reihenfolge der Gewichte unter /ranking; Schwellen der Missbrauchsabwehr bewusst nicht veröffentlicht

• Melden und Moderation

  teilweise

  Meldung mit Grund, Warteschlange für die Prüfung, Entfernen oder Verwerfen – und der Melder hört zurück. Jede Maßnahme wird protokolliert.

  Nachprüfbar: Meldeweg, Warteschlange und Rückmeldung laufen (DSA Art. 16). Wer von einer Maßnahme betroffen ist, wird benachrichtigt – mit Grund, mit der Angabe automatisierter Mittel und mit der Grundlage (Art. 17). Fristen für Beweise und Protokolle laufen täglich ab. Es fehlt ein Widerspruchsverfahren (Art. 20), für Kleinstunternehmen allerdings nach Art. 19 DSA nicht verpflichtend

• DSGVO-Selbstbedienung

  läuft

  Datenexport als JSON und endgültige Kontolöschung, beides direkt in den Einstellungen.

  Nachprüfbar: Löschung entfernt Konto samt Beiträgen und Nachrichten, kein Deaktivierungs-Flag

• Nachrichten, Räume, Medien

  läuft

  Direktnachrichten in Echtzeit, Live-Audio und -Video, Bild- und Video-Upload mit Transkodierung.

  Nachprüfbar: 11 Hintergrund-Jobs, selbst betriebenes LiveKit und S3-kompatibler Speicher. Senden darf nur, wessen Token es erlaubt – serverseitig durchgesetzt, nicht in der Oberfläche

• Moderation im laufenden Raum

  läuft

  Senderecht entziehen, jemanden entfernen, eine Sendung beenden – während sie läuft.

  Nachprüfbar: Entzug des Senderechts trennt die Verbindung nicht, sondern beendet nur das Senden; Chat-Nachrichten werden ausgeblendet statt gelöscht, damit ein Widerspruch noch etwas zu prüfen hat

• Profilbilder mit Inhaltsprüfung

  läuft

  Bild hochladen oder das von Google übernehmen, beides über eine automatische Prüfung auf pornografische Inhalte.

  Nachprüfbar: Metadaten inklusive GPS werden beim Neukodieren entfernt; beanstandete und ungeprüfte Bilder gehen an einen Menschen, wobei beide Fälle getrennt ausgewiesen werden. Google-Bilder werden kopiert statt eingebettet, damit kein Seitenaufruf an Google gemeldet wird

• Entwicklerplattform

  läuft

  Projekte und Unterprojekte, je eigene Schlüssel für Login, Shield und Pulse, Nutzungsmessung.

  Nachprüfbar: Schlüssel authentifizieren gegen einen echten Endpunkt und sind an ein Produkt gebunden – ein Shield-Schlüssel kommt an keinen Pulse-Endpunkt. Aufrufe werden stündlich gezählt

Was noch nicht trägt

Hier stehen die Dinge, die anderswo leicht nach „fertig“ klingen. Sie sind es nicht.

• Eigene Messung statt Google Analytics

  läuft

  Eigene Reichweitenmessung ohne Klartext-IP, auf eigenen Servern.

  Nachprüfbar: Seit Juli 2026 abgeschlossen: Google Analytics und Cloudflare Zaraz sind abgeschaltet, gemessen wird mit Skriza Pulse auf eigenen Servern. Im Netzwerk-Tab dieser Seite geht kein Request an einen fremden Host

• Eigene Empfehlungs- und Moderationsmodelle

  im Aufbau

  Modelle im eigenen Haus statt fertiger Modelle von außerhalb Europas.

  Nachprüfbar: Das regelbasierte Ranking läuft. Ein gelerntes Modell gibt es nicht

• Erkennung abgesprochener Bewertungen

  teilweise

  Konten, die sich gegenseitig hochziehen, verlieren an Gewicht – gemessen an Ausgeglichenheit und Konzentration des Austauschs.

  Nachprüfbar: Läuft für Paare und für geschlossene Kreise aus mehreren Konten, erheblicher Abzug; wie tief wir dabei gehen, veröffentlichen wir nicht. Absprachen, die sich nie zu einem Kreis schließen, erkennen wir nicht

• Verifizierte Institutionen

  geplant

  Hochschulen und Behörden weisen sich nach; Nachweise werden kryptografisch prüfbar.

  Nachprüfbar: Nicht implementiert. Konten werden derzeit von Hand geprüft

• Altersnachweis und Elternkontrollen

  geplant

  Voraussetzung dafür, Minderjährige überhaupt zuzulassen.

  Nachprüfbar: Nicht implementiert. Deshalb ist die Plattform geschlossen

• Eigene Auslieferung statt Cloudflare

  geplant

  Angriffsschutz und Auslieferung auf europäischen Knoten.

  Nachprüfbar: Derzeit liegt ein US-CDN vor der Seite; steht in der Datenschutzerklärung