RexOS Shield Sicherheit
Angriffe enden an der Tür, lange bevor sie den Server erreichen.
Jede Anfrage an diese Website durchläuft 12 Schutzschichten, vom Netzwerkrand bis zum Code, der sie beantwortet. Echte Spieler und Suchmaschinen merken davon nichts.
- Rund um die Uhr überwacht
- OWASP Top 10 abgedeckt
- Nur HTTPS, mit HSTS
- Zwei-Schritt-Anmeldung
- Angreifer werden mit Beweisen gemeldet
Was Shield diese Woche gestoppt hat
Von Shield selbst auf dieser Seite gezählt. Verifizierte Suchmaschinen und echte Besucher sind nicht enthalten.
- 7,011So
- 8,291Mo
- 7,842Di
- 8,359Mi
- 10,260Do
- 12,986Fr
- 1,193Heute
Heute, nach Typ
- SEO-Scraper
- 980
- Von der Firewall gestoppte Angriffe
- 181
- Schädliche Bots und gefälschte Browser
- 25
- Gefälschte Anfragen schon am Rand
- 5
- Gesperrte Wiederholungstäter
- 1
- Fehlgeschlagene Menschenprüfungen
- 1
2,988 verifizierte Besuche von Such- und KI-Crawlern heute zugelassen
Diesen Monat gemeldet, nach Kategorie
- Port Scan110
- Web App Attack110
- Exploited Host54
- Bad Web Bot37
So wird eine Anfrage geprüft
Jeder Besuch durchläuft diesen Weg in wenigen Millisekunden. Eine Anfrage, die einen Schritt nicht besteht, kommt nicht weiter.
- Edge
Gefälschte und fehlerhafte Anfragen werden verworfen.
- Reputation
Bekannte schädliche Netzwerke werden abgewiesen.
- Browserprüfung
Der Browser muss zu seinem Gerät und Netzwerk passen.
- Firewall
Header, Formulare und API-Inhalte werden entpackt und geprüft.
- Limits
Floods und Passwort-Rateversuche werden gebremst.
- Anwendung
Die Seite wird nur mit sicheren Abfragen erstellt.
- Leak-Prüfung
Die Antwort wird geprüft, bevor sie den Server verlässt.
Alle sieben bestanden: Die Seite wird ausgeliefert. Suchmaschinen und KI-Crawler werden in Schritt 3 verifiziert und nie ausgebremst.
Was es stoppt
Die Angriffe, die wir am häufigsten sehen, und was mit jedem passiert.
| Bedrohung | So sieht es aus | Was Shield macht |
|---|---|---|
| SQL-Injection | Datenbankbefehle, versteckt in einem Formular, Link oder API-Aufruf. | Entpackt, erkannt und blockiert, bevor eine Abfrage läuft. |
| Cross-Site-Scripting | Skriptcode, eingeschleust in eine Bewertung, ein Profil oder einen Link. | Schon beim Eingang blockiert, und jede Seite maskiert ihre Ausgabe. |
| Remote-Codeausführung | Shell-Befehle oder Code, die der Server ausführen soll. | In jeder Eingabe erkannt und an der Firewall blockiert. |
| Suche nach geheimen Dateien | Anfragen nach .env-Dateien, Backups, wp-config und Admin-Tools. | Sofort blockiert. Wiederholte Scanner werden gesperrt und gemeldet. |
| Passwort-Raten | Tausende Logins von wechselnden Adressen. | Gedrosselt, dann gesperrt. Zwei-Faktor-Login stoppt gestohlene Passwörter. |
| Scraper und falsche Bots | Ein Bot, der sich als Googlebot oder normaler Browser ausgibt. | Anhand von Netzwerk und Gerät geprüft. Fälschungen werden gestoppt. |
| Tor- und Proxy-Missbrauch | Angriffe hinter Tor, VPNs und gemieteten Servern. | Zuerst eine Menschenprüfung. Die meisten automatisierten Tools geben dort auf. |
| Anwendungs-Floods | Eine Welle schwerer Anfragen, die die Seite ausbremsen soll. | Ratenlimits pro Adresse, dann eine automatische Sperre. |
| Spam und Betrug | Gefälschte Bewertungen, Ticket-Spam und missbrauchte Bestellungen oder Belohnungen. | Beim Absenden geprüft. Betrügerische Bestellungen werden markiert und gemeldet. |
Versteckte Angriffe werden zuerst entpackt
Angreifer tarnen ihren Code, damit einfache Filter ihn übersehen. Shield entschlüsselt jede Schicht, bevor es entscheidet. Diese drei sind echte Tests aus unserer letzten Prüfung.
%2527%20UNION%2F**%2FSELECT%20password%20FROM%20usersbedeutet' union select password from usersBlockiert: SQL-Injection&lt;svg onload=alert(1)&gt;bedeutet<svg onload=alert(1)>Blockiert: Cross-Site-Scripting／ｅｔｃ／ｐａｓｓｗｄbedeutet/etc/passwdBlockiert: Zugriff auf Systemdateien
Jede Schicht, eine Aufgabe
Jede Schicht deckt einen anderen Weg hinein ab. Zusammen schützen sie die Website, den Launcher und jedes Konto.
Edge-Filterung
Bösartige und gefälschte Anfragen werden am Rand abgewiesen, bevor die Anwendung läuft.
Bedrohungsdaten
Datenverkehr aus bekannten bösartigen Netzwerken wird mit laufend aktualisierten Bedrohungslisten blockiert.
Bot-Management
Eine Mehrsignal-Prüfung auf Desktop und Mobilgeräten kontrolliert, ob jeder Browser zu seinem Gerät und Netzwerk passt. Suchmaschinen- und KI-Crawler werden verifiziert, Betrüger gestoppt.
Proxy- und Anonymitätskontrolle
Besucher über Tor-, VPN- und Hosting-Netzwerke oder Browser, die einen gemieteten Proxy verraten, müssen eine Menschen-Prüfung bestehen, bevor sie die Website sehen.
Web Application Firewall
Jede Anfrage, einschließlich Header und API-Inhalten, wird auf Injection, Cross-Site-Scripting und andere OWASP-Top-10-Angriffe geprüft. Kodierte und verschleierte Angriffe werden zuerst entpackt, sodass Umgehungstricks scheitern.
Scan- und Anomalieerkennung
Suchen nach Admin-Tools, geheimen Dateien, Backups und bekannten Exploits werden sofort blockiert. Köder entlarven Crawler, die die Regeln ignorieren.
Kontoschutz
Brute-Force- und Credential-Stuffing-Versuche werden gebremst und gesperrt. Die Zwei-Schritt-Anmeldung schützt Konten auf der Website und im Launcher und ist für das Team Pflicht.
Schutz vor Datenlecks
Ausgehende Antworten werden geprüft, damit Geheimnisse und interne Details den Server nie verlassen.
Server-Härtung
Sensible Dateien sind aus dem Web nicht erreichbar, und hochgeladene Inhalte können auf dem Server nie ausgeführt werden.
Schutz vor Spam und Betrug
Bewertungen, Tickets und Einträge werden auf Spam und automatisierte Einsendungen geprüft. Bestellungen und Belohnungen werden kontrolliert, damit sie nicht missbraucht werden können.
Flood-Schutz und Überwachung
Floods auf Anwendungsebene lösen automatisch eine Sperre aus. Jedes Sicherheitsereignis wird detailliert protokolliert und dem Team in Echtzeit zugestellt.
Missbrauchsmeldung
Bestätigte Angreifer, Spammer und betrügerische Bestellungen werden mit Kategorie und Beweisen an globale Missbrauchsdatenbanken gemeldet.
Gute Bots rein, falsche Bots raus
Suchmaschinen und KI-Assistenten werden erst durchgelassen, wenn wir bestätigt haben, dass sie von ihrem echten Betreiber kommen. Jeder kann den Namen eines Bots kopieren, aber niemand sein Netzwerk.
- Googlebot
- Googlebot smartphone
- Google-InspectionTool
- Googlebot-Image
- Bingbot
- Applebot
- DuckDuckBot
- GPTBot
- OAI-SearchBot
- ChatGPT-User
- ClaudeBot
- Claude-User
- PerplexityBot
- MistralAI-User
Ein „Googlebot“ von einem gemieteten Server wird blockiert.
Mit echten Angriffen getestet
Das sind die Ergebnisse unserer letzten vollständigen Prüfung.
Geprüft am
- 1,260
- Angriffs-Payloads an 7 verschiedene Einstiegspunkte gesendet. Alle wurden blockiert.
- 0
- Fehlblockierungen bei 631 normalen Bewertungen, Kommentaren und Nachrichten.
- 14
- Suchmaschinen- und KI-Crawler getestet. Alle kamen durch, gefälschte nicht.
So sieht eine Missbrauchsmeldung aus
Wenn ein Angreifer bestätigt ist, gehen die Beweise an AbuseIPDB und Spamhaus, damit auch andere Seiten ihn blockieren können. Dieses Beispiel nutzt eine Dokumentationsadresse.
IP 203.0.113.47 · Web App Attack, SQL Injection, Hacking Blocked 14 requests in 3 minutes by RexOS Shield (web application firewall) GET /search?q=1%27%20UNION%20SELECT%20password%20FROM%20users-- GET /.env · GET /wp-config.php.bak · GET /admin/phpinfo.php User agent: python-requests/2.31 · Network: hosting provider
So bleiben Konten und Daten sicher
Der Schutz endet nicht an der Firewall. Diese Regeln sind direkt in die Seite eingebaut.
Passwörter
Nur als starke Einweg-Hashes gespeichert. Niemand kann sie lesen, auch wir nicht.
Zwei-Schritt-Anmeldung
Auf der Seite und im Launcher, Pflicht für das Team.
Sitzungen
Cookies sind HttpOnly, secure und same-site, daher können Skripte und andere Seiten sie nicht nutzen.
Formulare
Jedes Formular enthält ein Einmal-Token, damit andere Seiten es nicht in deinem Namen absenden können.
Datenbank
Jede Abfrage ist vorbereitet, daher kann eine Eingabe nie zum Befehl werden.
Browser-Regeln
HSTS, Content Security Policy, Frame- und Referrer-Regeln auf jeder Seite.
Uploads
Bilder und Dateien können auf dem Server nie als Code ausgeführt werden.
Launcher
Open Source und öffentlich mit GitHub Actions gebaut.
So richten wir es für dich ein
Erzähl uns, was du betreibst
Deine Seite, dein Server, Shop oder Panel und die Angriffe, die du gesehen hast.
Wir analysieren deinen Traffic
Wir lernen, was für dich normal ist, damit echte Spieler nie blockiert werden.
Shield geht live
Der Schutz wird Schritt für Schritt aktiviert, mit Logs ab der ersten Minute.
Wir behalten alles im Blick
Warnungen, monatliche Berichte und Hilfe, wenn ein Angriff beginnt.
Willst du denselben Schutz für deinen Server oder deine Website?
Wir richten RexOS Shield für Minecraft-Netzwerke, Shops und Community-Seiten ein. Erzähl uns, was du betreibst, und wir melden uns mit einem Plan.
- Firewall und Bot-Schutz, abgestimmt auf deinen Traffic
- Suchmaschinen und echte Spieler werden nie blockiert
- Angreifer werden mit Beweisen gemeldet
- Detaillierte Logs und Echtzeit-Warnungen
- Hilfe, während ein Angriff läuft
Fragen
Macht der Schutz die Website langsamer?
Nein. Die meisten Prüfungen laufen, bevor die Seite erstellt wird, ein normaler Besuch ist also nicht langsamer.
Kann er Google oder echte Spieler blockieren?
Verifizierte Suchmaschinen- und KI-Crawler werden immer durchgelassen, normale Besucher kommen unbemerkt durch.
Was passiert mit Angreifern?
Sie werden blockiert und protokolliert und nach Bestätigung mit Beweisen an AbuseIPDB und Spamhaus gemeldet.
Kann ich diesen Schutz für meinen eigenen Server oder meine Website bekommen?
Ja. Wir richten RexOS Shield für Minecraft-Netzwerke, Shops und Community-Seiten ein. Kontaktiere uns und erzähl uns, was du betreibst.
Stoppt es DDoS-Angriffe?
Es stoppt Floods, die auf die Website selbst zielen, etwa Anfragewellen und Login-Floods. Sehr große Netzwerk-Floods muss das Hosting-Netzwerk abfangen, und wir helfen dir bei der Einrichtung.
Was ist der Unterschied zu einem normalen Firewall-Plugin?
Shield läuft vor der Seite, entpackt getarnte Angriffe, prüft Bots anhand ihrer echten Betreiber und teilt bestätigte Angreifer mit Missbrauchsdatenbanken.
Wie melde ich eine Sicherheitslücke?
Eröffne ein Support-Ticket und beginne den Betreff mit Security. Wir antworten schnell und nennen verantwortungsvolle Melder.
Sicherheitslücke gefunden?
Wir freuen uns über Meldungen von Forschern und Spielern und nennen verantwortungsvolle Melder namentlich.
Bitte tu das
- Öffne ein Support-Ticket und beginne den Betreff mit Security
- Füge die Schritte zum Nachstellen hinzu
- Gib uns Zeit, es zu beheben, bevor du es veröffentlichst
Bitte tu das nicht
- Auf Daten anderer zugreifen oder sie ändern
- Floods oder Lasttests durchführen
- Automatisierte Scanner mit hoher Geschwindigkeit nutzen
Wenn du das tust, wird die Aktivität protokolliert und bis zu dem Netzwerk zurückverfolgt, aus dem sie kam. Wir können sie mit den Beweisen an diesen Anbieter und an Missbrauchsdatenbanken melden; der Anbieter kann den Anschlussinhaber hinter der Adresse ermitteln. Schwere Fälle können direkt bei den zuständigen Behörden angezeigt werden, und für die rechtlichen Folgen bist du selbst verantwortlich.
Solche Angriffe sind in Deutschland strafbar. Ausspähen von Daten (§ 202a StGB) wird mit Freiheitsstrafe bis zu 3 Jahren oder Geldstrafe bestraft. Computersabotage (§ 303b StGB) mit bis zu 3 Jahren oder Geldstrafe, gegen ein Unternehmen oder eine Behörde mit bis zu 5 Jahren und in besonders schweren Fällen mit 6 Monaten bis 10 Jahren.
