Ist deine Paywall hoch genug?

Neulich hat mich einer gefragt, ob ich ihm nicht einen kleinen Trick wüsste: Er habe ein kleines Informationsbedürfnis, das er gerne mithilfe des Webs stillen würde. Es gäbe bloss ein marginales Problem: Die Informationen, auf die er es abgesehen habe, seien hinter einer Paywall zu finden.

Darf ich an dieser Stelle meiner Verwunderung über gewisse Menschen Ausdruck verleihen? Ich habe zwar genügend Lebenserfahrung, um zu wissen, dass manche Leute auch gerne mal eine Frage stellen, ohne eine halbe Sekunde nachgedacht zu haben. Aber das fand ich trotzdem dumm und dreist von dieser Person: Sie weiss nämlich genau, dass ich mein Geld damit verdiene, Artikel zu schreiben, die gegen Geld zu lesen sind und deswegen hinter Paywalls stecken.

Eine halbe Stunde später habe ich mich gefragt, ob nicht vielleicht ich der Depp bin: Denn ich habe mich dabei erwischt, wie ich ernsthaft über die Frage nachgedacht habe. Ja, es hat mich tatsächlich interessiert: Gibt es eine Methode, hinter eine Paywall zu gelangen?

Schlechte Dinge aus guten Gründen tun?

Nicht nur das: Eine weitere halbe Stunde später überkam mich ein fast unwiderstehlicher Blogging-Impuls. Mir war nämlich ein Gedanke gekommen, wie ich es anstellen würde, um eine Paywall zu knacken. Eine Idee, bei der es sünd und schad wäre, sie nicht öffentlich zu diskutieren. Ich fand mich dabei wieder, wie ich mir überlegte, wie ich ein solcher Blogpost vor mir und der Welt rechtfertigen könnte!

Erst habe in Betracht gezogen, das mit einem Informationsauftrag zu begründen, der über moralischen Bedenken¹ steht. Dann schwirrte der White-Hat-Hacker durch den Kopf. Das ist einer, der zu den Guten gehört, aber dennoch fragwürdige Dinge tut. Sinn und Zweck ist es, Sicherheitslücken aufzuspüren, noch bevor diese von den Bösen ausgenutzt werden können. Wenn ich darüber schreiben würde, wie Medienhäuser die Umgehung ihrer Paywalls verhindern können, dann wäre das ohne Zweifel eine edle Tat, die alles entschuldigen würde.

Jetzt blogge ich darüber, weil ich festgestellt habe, dass meine Idee nicht so grossartig ist, dass andere sie nicht auch schon gehabt hätten. Sie ist offensichtlich genug, dass sie nur in ganz wenigen Fällen funktioniert. Eine einzige Bezahlschranke habe ich gefunden, die ich auf diese Weise knacken konnte. Aber bei den allermeisten bin ich abgeblitzt.

Der Don Quijote der Bezahlschrankenverteidigung?

Ebendarum überbringe ich euch diesen Blogpost nicht als strahlender White-Hat-Hacker und auch nicht als Don Quijote der Bezahlschrankenverteidigung, sondern aus der Erkenntnis heraus, dass das Web auch nicht mehr die Spielwiese ist, die es einmal war.

Aber jetzt wollt ihr natürlich wissen, was meine grossartige Idee war. Die basiert darauf, dass solche Bezahlschranken nicht komplett undurchdringlich sind. Sie soll Leute abhalten, die nicht bezahlen wollen. Gleichzeitig haben die Medienhäuser ein Interesse, dass gewisse Bots weiterhin durchkommen. Denn ob Paywall oder nicht: Es ist wichtig, dass die Inhalte über Suchmaschinen gefunden werden, damit Google, Bing und Co. ihre Nutzerinnen und Nutzer auch auf Bezahlinhalte aufmerksam machen können.

Damit liegt der Trick auf der Hand: Wir geben uns als Googlebot aus und tun so, als würden wir die Website nicht lesen, sondern für die Suche indizieren wollen – und voilà, schon werden wir durchgelassen. Sich als Googlebot zu identifizieren, ist keine schwierige Sache. Das lässt sich via User-Agent vortäuschen. Ich habe seinerzeit beschrieben, wie es geht und was es für Auswirkungen hat.

Die sind auch nicht ganz blöd

Wenn wir dazu recherchieren, dann finden wir heraus, dass dieser Trick schon 2016 herumgereicht wurde und damals offenbar gut funktioniert hat. Es gibt sogar eine Website, die auf diesem Trick basiert. Sie heisst 12ft.io, wobei der Name wie folgt erklärt wird: «Zeige mir eine Zehn-Fuss-Mauer, und ich zeige dir eine Zwölf-Fuss-Leiter.»

Nun, wie angedeutet: Heute sind die allermeisten Paywalls offensichtlich 14 Fuss hoch, sodass sich diese Leiter als zu kurz erweist.

Denn klar: Wenn die Medienhäuser in den letzten sieben Jahren keine Massnahmen gegen diesen simplen Trick entwickelt hätten, wären sie selbst schuld – und auch die Suchmaschinenbetreiber haben ein Interesse, dass Nutzer nicht einfach so tun können, als seien sie ein Googlebot².

Wer sich für die technischen Details interessiert: Hier gibt es eine Übersicht der Varianten, wo nebst dieser eben besprochenen User-Agent Paywall auch die (allerdings ebenfalls leicht auszutricksende) JavaScript Paywall und die Structured Data Paywall aufgeführt ist. Soweit ich die Sache beurteilen kann, kommt inzwischen letztere am häufigsten zum Einsatz. Die Structured Data Paywall ist kompatibel zu den Suchmaschinen und wird von Google empfohlen.

Die vierte Variante heisst Content-Locked Paywall. Das ist die sicherste, weil die nur für angemeldete Nutzerinnen und Nutzer zu überwinden ist.

Beitrag: Das reicht (Spiros Kakos, Pexels-Lizenz).