Dynamische Websites forensisch genau sichern (Compliance)

Warum dynamische Seiten den üblichen Screenshot aushebeln

Eine moderne Webseite ist selten ein festes Dokument. JavaScript setzt den Inhalt erst nach dem Laden zusammen, Abschnitte erscheinen erst beim Scrollen, Preise und Banner hängen vom Land, von der Cookie-Wahl oder der Testgruppe ab, und ein Cookie-Banner verdeckt womöglich genau die Aussage, um die es geht. Zwei Personen, die dieselbe URL in derselben Minute öffnen, können unterschiedliche Seiten sehen.

Für einen Compliance-Nachweis zählt das doppelt. Ein Screenshot zeigt eine Darstellung und nichts darüber, wie sie entstanden ist, und lässt sich daher leicht bestreiten. Und wenn der Nachweis nicht sagt, welche Version der Seite er zeigt, können Sie nicht belegen, dass es die Version ist, die Kunde, Anleger oder Aufsicht gesehen haben.

Clientseitiges Rendering: Das zuerst ausgelieferte HTML ist fast leer, Skripte bauen den Inhalt auf, typisch für Single-Page-Applications (SPA).
Lazy Loading und Endlos-Scrollen: Bilder, Bewertungen oder Hinweise laden erst, wenn sie ins Bild kommen.
Einwilligungen und Overlays: Cookie-Wände, Altersabfragen, Chat-Fenster und fixierte Banner verdecken Teile der Seite.
Varianten: A/B-Tests, Personalisierung, Geo-Targeting und Login-Status liefern unterschiedlichen Besuchern unterschiedliche Inhalte.
Zeitlich begrenzte Inhalte: Countdown-Angebote, Blitzpreise und wechselnde Banner ändern sich stündlich.

Was Aufsichtsbehörden später sehen wollen

Mehrere Regeln legen die Beweislast auf das Unternehmen, das den Inhalt veröffentlicht hat. Keine schreibt ein Werkzeug vor, aber alle setzen voraus, dass Sie später zeigen können, was tatsächlich veröffentlicht war.

Finanzwerbung im Vereinigten Königreich: Nach FCA COBS 4.11.1R muss ein Unternehmen jede Finanzwerbung, die es verbreitet oder billigt, angemessen aufzeichnen und aufbewahren, etwa fünf Jahre bei MiFID-Geschäft, drei Jahre in anderen Fällen und unbefristet bei Pensionsübertragungen.
Werbung im Vereinigten Königreich: Regel 3.7 des CAP Code verlangt, dass Werbetreibende vor der Veröffentlichung Belege für objektive Aussagen haben; die ASA kann unbelegte Aussagen als irreführend werten.
Unlautere Geschäftspraktiken in der EU: Art. 12 der Richtlinie 2005/29/EG erlaubt Gerichten und Behörden, vom Gewerbetreibenden Beweise für die Richtigkeit von Tatsachenbehauptungen zu verlangen und sie als unrichtig anzusehen, wenn Beweise fehlen oder nicht ausreichen.
Preisermäßigungen in der EU: Art. 6a der Richtlinie 98/6/EG, eingefügt durch die Richtlinie (EU) 2019/2161, verlangt, dass der bei einer Ermäßigung angegebene frühere Preis der niedrigste Preis aus mindestens 30 Tagen vor der Ermäßigung ist.

Das ist keine Rechtsberatung für Ihren Fall; nationale Regeln und Branchenaufsichten ergänzen eigene Anforderungen. Der gemeinsame Nenner ist einfach: Wenn Sie die Seite nicht so belegen können, wie sie war, tragen Sie das Risiko.

Was forensische Genauigkeit bei einer Webseite bedeutet

Forensische Genauigkeit ist kein schönerer Screenshot. Gemeint ist ein Nachweis, der zeigt, was die Seite ausgeliefert hat, wie gesichert wurde und dass sich seitdem nichts geändert hat. ISO/IEC 27037 und die Leitlinien des Europarats zu elektronischen Beweismitteln betonen Integrität, Metadaten und die Dokumentation der Erhebung; unsere Methodik ist in Anlehnung an ISO/IEC 27037 gestaltet. In der Praxis enthält eine belastbare Sicherung einer dynamischen Seite:

Die gerenderte Seite als ganzseitigen Screenshot sowie ein Video des Ladevorgangs.
Den Quelltext: rohes HTML und einen MHTML-Snapshot dessen, was der Browser tatsächlich erhalten hat.
Ein Netzwerkprotokoll (HAR) aller Anfragen und Antworten, mit maskierten Cookie-Werten und Authorization-Headern.
Serverkontext: die TLS-Zertifikatskette, DNS-Antworten mehrerer Resolver und die Registrierungsdaten der Domain.
Die Bedingungen der Sicherung: Zeit, Viewport, getroffene Einwilligungsentscheidungen und etwaige visuelle Eingriffe, etwa ein ausgeblendetes fixiertes Banner.
Einen SHA-256-Hashwert jedes Artefakts, gebunden an einen qualifizierten elektronischen Zeitstempel, sodass jede spätere Änderung erkennbar ist.

Schritt für Schritt: eine dynamische Seite sichern

Legen Sie die benötigte Version fest: Land, Sprache, Gerät, eingeloggt oder nicht, und den Zeitpunkt, auf den es ankommt, etwa Kampagnenstart, Beschwerde oder Preisänderung.
Beginnen Sie in einem sauberen Zustand, damit alte Cookies oder eine frühere Testzuordnung nicht bestimmen, was Sie sehen, und notieren Sie das.
Entscheiden Sie, wie Sie mit dem Cookie-Banner umgehen, und halten Sie die Wahl fest; Ablehnen kann Inhalte ausblenden, Zustimmen die Seite verändern.
Sorgen Sie dafür, dass die relevanten Teile geladen sind: bis zum Footer scrollen, Akkordeons mit Risikohinweisen oder Bedingungen öffnen, auf Preise und Bewertungen warten.
Sichern Sie und prüfen Sie das Ergebnis: Sind Aussage, Hinweis und Preis im Screenshot lesbar und im HTML vorhanden?
Schreiben Sie eine kurze Notiz: wer, wann, warum und welche Version. Wird die Sicherung je bestritten, wird daraus Ihre Erklärung.

Prüfen Sie das Paket unabhängig, bevor Sie sich darauf verlassen, zum Beispiel offline mit dem Open-Source-Werkzeug gpa-verify, das Hashwerte und qualifizierten Zeitstempel prüft, ohne dass Sie uns vertrauen müssen.

Die Methode nach Seitentyp wählen

Keine Methode passt für jede Seite. GetProofAnchor bietet vier, und die ehrliche Wahl hängt davon ab, was die Seite tut:

Öffentliche Marketing-, Preis- und AGB-Seiten: Serversicherung per URL. Unsere Infrastruktur ruft die Seite ab, behandelt Cookie-Wände mit einer protokollierten Regelschicht (das strikte Profil nutzt keine KI) und vermerkt jeden Eingriff in den versiegelten Metadaten.
Single-Page-Applications und Seiten hinter einem Login: die Browser-Erweiterung. Sie erfasst die Seite in Ihrem eigenen Browser, der Server versiegelt sie beim Eingang; der Zeitstempel beweist also Eingangszeit und Integrität, nicht eine unabhängige Beobachtung. Die Serversicherung lehnt Seiten hinter Logins und SPAs ab und verweist auf die Erweiterung.
Mehrstufige Abläufe wie Produktseite, Konfigurator, Warenkorb und Bestätigung sowie Videos: Forensic Browser, eine Windows-Desktop-App, die eine ganze Sitzung in ein versiegeltes Paket mit einem qualifizierten Zeitstempel legt, als PDF, das in Adobe Acrobat Reader validiert, oder als ZIP. Ab 290 EUR pro Jahr zzgl. MwSt. (350,90 EUR inkl. MwSt.).
Keine Zeit oder kein Personal: Assisted Capture. Ein Operator sichert die URLs für Sie; Rush deckt bis zu 5 URLs mit garantierten 60 Minuten für 249 EUR zzgl. MwSt. ab (301,29 EUR inkl. MwSt.).

Von der Einzelsicherung zur Beweisserie: geplantes Monitoring

Eine einzelne Sicherung beweist einen Moment. Compliance-Fragen betreffen aber meist Zeiträume: Stand der Risikohinweis das ganze Quartal auf der Seite, wann änderte sich der Preis, wie lange war die Aussage online? Das Website-Monitoring sichert eine öffentliche Seite täglich oder wöchentlich zu einer von Ihnen gewählten Uhrzeit. Jede Prüfung ist ein vollständiger versiegelter Nachweis mit qualifiziertem eIDAS-Zeitstempel, und Sie erhalten eine E-Mail, wenn sich der Inhalt vom vorherigen Lauf unterscheidet.

Business, 99 EUR pro Monat zzgl. MwSt. (119,79 EUR inkl. MwSt.): 10 Monitore, 400 Nachweise je 30 Tage, 10 Nutzer.
Monitoring 50, 399 EUR pro Monat zzgl. MwSt. (482,79 EUR inkl. MwSt.): 50 Monitore, 1.800 Nachweise je 30 Tage.
Monitoring 100, 599 EUR pro Monat zzgl. MwSt. (724,79 EUR inkl. MwSt.): 100 Monitore, 3.500 Nachweise je 30 Tage.
Jede Prüfung verbraucht einen Nachweis: Ein täglicher Monitor braucht etwa 30 Nachweise im Monat, ein wöchentlicher etwa 4 bis 5.

Grenzen, die Sie kennen sollten: Monitoring funktioniert nur bei öffentlich zugänglichen Seiten, Websites mit hartem Bot-Schutz können es blockieren, und zwischen zwei Läufen wird nichts aufgezeichnet, sodass eine Änderung, die innerhalb eines Tages auftaucht und wieder verschwindet, entgehen kann. Für Seiten hinter einem Login nutzen Sie die Erweiterung, eine Sicherung nach der anderen.

Was der Zeitstempel beweist und was nicht

Nach Art. 41 Abs. 2 der eIDAS-Verordnung gilt für einen qualifizierten elektronischen Zeitstempel die Vermutung der Richtigkeit des angegebenen Datums und der Uhrzeit sowie der Unversehrtheit der damit verbundenen Daten, und nach Art. 41 Abs. 3 wird er in allen EU-Mitgliedstaaten als qualifizierter Zeitstempel anerkannt. Für Ihren Nachweis heißt das: Die Artefakte lagen zum versiegelten Zeitpunkt genau so vor und sind seitdem unverändert.

Es heißt nicht, dass jeder Besucher dieselbe Seite gesehen hat, dass der Inhalt wahr ist oder dass ein Gericht oder eine Aufsicht den Nachweis akzeptieren muss. Deshalb sind die Bedingungen der Sicherung und Ihre Notiz so wichtig wie das Siegel. Kein Werkzeug garantiert, wie ein Beweismittel gewürdigt wird; ein dokumentierter, versiegelter und unabhängig prüfbarer Nachweis lässt sich aber viel schwerer abtun als ein Screenshot.

Ein praktisches Setup für Compliance-Teams

Listen Sie die Seiten mit regulierten Inhalten auf: Finanzwerbung, Produktaussagen, Preise und Rabatte, AGB, Datenschutzhinweise, Kennzeichnungen von Werbung oder KI-Inhalten.
Legen Sie je Seite eine Frequenz fest: wöchentlich bei stabilen Seiten, täglich während Kampagnen, dazu eine manuelle Sicherung bei jedem Start und jeder Änderung.
Benennen Sie eine verantwortliche Person und schreiben Sie die Versionsregeln einmal fest (Land, Gerät, Einwilligungswahl), damit Sicherungen vergleichbar bleiben.
Richten Sie die Aufbewahrung nach der strengsten Regel aus, die für Sie gilt, und bewahren Sie die Beweis-ZIPs auf, nicht nur die Berichte.
Gruppieren Sie Nachweise mit Fällen nach Kampagne, Produkt oder Mandant und exportieren Sie einen ganzen Fall als ein ZIP für Audit oder Streit.
Prüfen Sie einmal im Quartal testweise mit gpa-verify, damit Sie wissen, dass die Nachweise standhalten, wenn jemand fragt.

Häufige Fragen

Reicht ein Screenshot als Aufzeichnung einer Finanzwerbung?

Die FCA-Regel verlangt eine angemessene Aufzeichnung und schreibt kein Format vor. Ein Screenshot zeigt eine Darstellung, aber nicht den Quelltext, verdeckte Hinweise oder wie und wann er entstand. Eine versiegelte Sicherung mit HTML, Netzwerkprotokoll und Metadaten ist leichter zu belegen. Klären Sie mit Ihrer Compliance-Beratung, was Ihre Aufsicht erwartet.

Wie sichere ich eine Seite, die in einem anderen Land anders aussieht?

Legen Sie fest, welche Variante Sie brauchen, sichern Sie sie unter diesen Bedingungen, etwa mit Forensic Browser auf einem Rechner im jeweiligen Markt, und vermerken Sie das in Ihrer Notiz. Eine Serversicherung zeigt, was die Seite unserer Sicherungsinfrastruktur ausgeliefert hat.

Warum lehnt die Serversicherung manche Single-Page-Applications ab?

Manche Anwendungen rendern nur in einer echten Nutzersitzung zuverlässig. Statt eine unvollständige Seite zu versiegeln, lehnt die Serversicherung sie ab und empfiehlt die Browser-Erweiterung, die erfasst, was Ihr eigener Browser dargestellt hat, und beim Eingang versiegelt wird.

Erfasst das Monitoring jede Änderung?

Nein. Es sichert nach Zeitplan, täglich oder wöchentlich, und Änderungen, die zwischen zwei Läufen auftauchen und wieder verschwinden, werden nicht erfasst. Bei bekannten Ereignissen wie Kampagnenstart oder Preisänderung ergänzen Sie in dem Moment eine manuelle Sicherung.

Kann ich vor dem Kauf ein Beispiel sehen?

Ja. Schreiben Sie an sales@getproofanchor.com mit einer öffentlichen URL, die Sie belegen müssen, und wir sichern sie kostenlos als Beispiel, damit Sie das Beweispaket prüfen können. Die kleinste kostenpflichtige Option ist das 9-EUR-Paket mit 3 Nachweisen (10,89 EUR inkl. MwSt.).

Quellen

Für Compliance und Audit

Belegen, was veröffentlicht war — und wann es sich geändert hat

Geplante forensische Sicherungen von AGB, Preisen, Pflichtangaben und Werbeaussagen der Konkurrenz. Jeder Lauf ist ein versiegelter Nachweis mit qualifiziertem eIDAS-Zeitstempel — eine lückenlose Beweisreihe.

Lösungen für Compliance Website-Monitoring einrichten

Tarife und Preise →

Dynamische Websites sichern: forensisch genau und compliance-tauglich