Kostenlos starten.
Nur für Volumen zahlen.

Ihre Website fragt Maskbreak bei Registrierung, Login oder Checkout nach einem Besucher. Maskbreak antwortet, ob sich dieser Besucher hinter einem VPN, Proxy, Tor oder Cloud-Server versteckt — der Dienst wird genannt, wenn er bekannt ist — und ob der Browser ein Bot oder eine Fälschung ist, und gibt dann allow, review oder block zurück. Ein VPN allein ergibt review; Proxys, Tor, Bots und manipulierte Browser ergeben block. Ihr Code entscheidet, was mit dieser Antwort geschieht.

Ja. Bei einem Live-Besuch erkennt Maskbreak VPN-, Proxy-, Tor- und Rechenzentrumsverbindungen und nennt den Dienst (zum Beispiel Proton VPN oder Bright Data), wenn er bekannt ist. Eine normale Heim- oder Mobilfunkverbindung erhöht den Risiko-Score nicht.

Ja, mit weniger Prüfungen. Eine Adressabfrage (GET /v1/lookup/{ip} oder das MCP-Tool lookup_ip) prüft jede öffentliche IP-Adresse von Ihrem eigenen Server oder Ihren Skripten aus. Sie zeigt, ob die Adresse ein Tor-Exit ist (block) und ob sie in einem veröffentlichten Adressbereich eines Cloud-Anbieters liegt, mit Nennung des Anbieters (review). Ob eine Adresse zu einem VPN oder einem Proxy gehört, zeigt sie nicht: Diese Antwort liefert die Prüfung bei einem Live-Besuch, mit Nennung des Dienstes, wenn er bekannt ist; dafür muss unser Skript auf Ihrer Seite laufen. Für eine Adresse, die auf keiner der beiden Listen steht, lautet die Antwort known: false; das heißt nicht, dass sie sicher ist. Mehr dazu auf der Seite zur IP-Reputations-API.

Ein Live-Aufruf von /v1/evaluate ist eine Prüfung. Adressabfragen (/v1/lookup und das MCP-Tool lookup_ip) prüfen die Tor-Exit-Liste und die veröffentlichten Adressbereiche der Cloud-Anbieter und haben ein eigenes Kontingent, das Zehnfache der Prüfungen. Aufrufe mit dem Testschlüssel, die die echte Pipeline durchlaufen, zählen ebenfalls; die festen test_*-Tokens und der öffentliche Schlüssel sk_test_sandbox zählen nie. Das Laden des Browser-Skripts auf Ihren Seiten zählt nicht, nur die Aufrufe Ihres Backends.

Über dem Stundenlimit erhalten Sie HTTP 429 mit einem Retry-After-Header, bis die Stunde vorbei ist. Über dem Monatskontingent erhalten Sie HTTP 429 mit dem Code monthly_quota_exceeded bis zum 1. des nächsten Monats (UTC) oder bis zu einem Upgrade, das sofort gilt. Wir schreiben Ihnen bei 80 % und wenn das Kontingent aufgebraucht ist. Es gibt keine Nachberechnung.

Ja, jederzeit unter Einstellungen → Tarif und Abrechnung. Ein Upgrade gilt sofort, und Stripe berechnet die anteilige Differenz. Nach einer Kündigung bleibt der Tarif bis zum Ende des bezahlten Zeitraums; danach wechselt das Konto in den kostenlosen Tarif.

Auf der sicheren Checkout-Seite von Stripe, per Karte, Apple Pay, Google Pay oder Link. Bezahlte Tarife werden über Managed Payments von Stripe verkauft: Stripe, angezeigt als Link, ist der Verkäufer (Merchant of Record), berechnet die für Sie geltende Mehrwert- oder Umsatzsteuer und schickt Belege und Rechnungen per E-Mail (sie liegen auch im Abrechnungsportal unter Einstellungen). Die Preise sind in Euro festgelegt, zzgl. Steuern; jährliche Zahlung kostet zehn Monate. Enterprise kann per Rechnung bezahlt werden.

Bis zum 30. November 2026 nichts: Ihr Konto behält das Kontingent, mit dem es angelegt wurde, 1.000 Prüfungen pro Stunde und kein Monatslimit. Ab dem 1. Dezember gilt der kostenlose Tarif (10.000 Prüfungen im Monat, bis zu 1.000 pro Stunde), sofern Sie keinen bezahlten Tarif wählen. In den Einstellungen sehen Sie Ihr aktuelles Kontingent.

Nein. Jeder Tarif hat jedes Signal, dieselbe Entscheidungs-Engine, Geräteanalyse, Webhooks, die SDKs und den MCP-Server. Die Tarife unterscheiden sich nur im Volumen.

Dann ist es Enterprise, ab 990 € im Monat: ein Kontingent und ein Stundenlimit passend zu Ihrem Traffic, ein gegengezeichneter AVV und Abrechnung per Rechnung. Schreiben Sie uns, was Sie ungefähr schützen und welches Volumen Sie erwarten.

Für Organisationen im öffentlichen Interesse, ja. Krankenhäuser und Gesundheitssysteme, öffentliche Gesundheit und medizinische Forschung, Behörden jeder Ebene, Wahlbehörden, Notfall- und Krisendienste, Universitäten und eingetragene gemeinnützige Organisationen gegen Missbrauch können auf der Seite des Programms für öffentliches Interesse beantragen, dass Stunden- und Monatslimit für ihren Schlüssel kostenlos wegfallen. Institutionelle E-Mail-Domains werden bevorzugt bearbeitet, die Antwort dauert einen Werktag. Alle anderen nutzen die Tarife oben.

Ja — Self-Service. Unser AVV richtet sich nach Artikel 28 der UK-DSGVO / EU-DSGVO, enthält die geltenden Klauseln für internationale Übermittlungen und die aktuelle Liste der Unterauftragsverarbeiter mit ihren Regionen und ist unter maskbreak.com/dpa veröffentlicht, wo er mit der Annahme ohne Unterschrift bindend wird. Ein PDF gibt es für Lieferantenakten, eine gegengezeichnete Kopie über support@maskbreak.com. Unsere Cookie-Richtlinie beschreibt separat die Anbieter, die die öffentliche Website nutzt.

Keine. Maskbreak steht vor dem Audit für SOC 2 Typ II. Wir besitzen derzeit keine SOC-2-, ISO-27001-, HIPAA-BAA- oder PCI-DSS-Bescheinigung und behaupten auch nichts anderes. Prüfer und Prüfungsumfang veröffentlichen wir, sobald ein Auftrag unterschrieben ist.

Die Anwendungsinfrastruktur läuft auf Railway, die primäre Datenbank ist Turso (verwaltetes libSQL), beide in den USA (US East); unsere Erkennungsanbieter sitzen in den USA, verschlüsselte Backups liegen in der EU (Stockholm). Kartenzahlungen wickelt Stripe ab, das die Kartendaten speichert; Maskbreak sieht sie nie. Eine reine EU-Verarbeitung ist derzeit nicht verfügbar; Übermittlungen regelt Abschnitt 10 des AVV. Die vollständige Liste der Unterauftragsverarbeiter — mit Region, datiertem Änderungsprotokoll und 30 Tagen Vorankündigung — steht unter /sub-processors.

Schreiben Sie an support@maskbreak.com mit dem Betreffpräfix [SECURITY]. Umfang, Reaktionsziele und Safe-Harbour-Bedingungen sind unter /responsible-disclosure dokumentiert.