Wie erkennt Anti-Cheat Cheats? Jede Ebene erklärt

Jeder Anti-Cheat beantwortet dieselbe Frage: Lässt dieser Spieler etwas laufen, das er nicht laufen lassen sollte? Keiner beantwortet sie mit einer einzigen Prüfung. Sie stapeln mehrere Ebenen, und jede erwischt, was die anderen übersehen.

Die Ebenen auf einen Blick

Signaturen: Suche nach bekannten Cheats

Die älteste Methode ist immer noch eine der wirksamsten. Wenn ein Anti-Cheat-Team einen Cheat in die Finger bekommt, hält es markante Teile davon fest: Datei-Hashes, Byte-Muster im Code, die Namen seiner Fenster oder Treiber. Von da an wird jeder PC markiert, auf dem dieses Muster auftaucht.

Deshalb sterben öffentliche Cheats so schnell. Tausende Leute laden dieselbe Datei herunter, und der Anti-Cheat braucht nur eine Kopie, um sie alle zu erwischen. Private Builds, die ihre Signatur ändern, sind auf diesem Weg viel schwerer zu erwischen. Elocarry Builds sind polymorph, ihre Signatur ändert sich also bei jedem Start.

Integrität: Prüfung des Spiels selbst

Der Anti-Cheat weiß, wie Code und Speicher des Spiels aussehen sollten. Er prüft auf:

• Code im Prozess des Spiels, den das Spiel nicht selbst geladen hat
• Änderungen an den Funktionen des Spiels, etwa umgeleitete Aufrufe
• unerwartete Threads und Speicherbereiche
• veränderte Spieldateien

Diese Prüfungen zielen auf interne Cheats, die im Prozess des Spiels leben.

Systemprüfungen: Was sonst noch läuft

Auch Cheats, die außerhalb des Spiels bleiben, müssen es berühren. Anti-Cheats suchen nach Programmen mit Zugriff auf den Speicher des Spiels, nach Treibern, die nicht geladen sein sollten, nach Debuggern und Speicher-Tools und nach Fenstern über dem Spiel, die keine bekannten Overlays sind. Viele Anti-Cheats starten gar nicht erst, wenn bekannte Tools zur Speicherbearbeitung laufen.

Auf dieser Ebene zählt Kernel-Level-Anti-Cheat. Als Treiber hat der Anti-Cheat den Blick auf das ganze System statt nur auf das Spiel.

Hardware- und Boot-Prüfungen

Moderne Anti-Cheats prüfen außerdem, wie der PC selbst eingerichtet ist:

• Boot-Sicherheit. Ob Secure Boot aktiv ist und der PC normal gestartet ist. Ohne Secure Boot startet Battlefield 6 nicht.
• TPM. Das TPM kann nachweisen, wie der PC gebootet hat. FACEIT und Javelin verlangen TPM 2.0, ebenso Vanguard unter Windows 11.
• Geräte. Hardware, die den Spielspeicher direkt auslesen könnte, die Grundlage von DMA-Cheats, und Speicherschutz-Einstellungen, die das blockieren.
• Hardware-Kennungen. Die Seriennummern hinter einer HWID, mit denen ein Spiel einen PC wiedererkennt, der schon einmal gebannt wurde.

Server- und Statistikprüfungen

Manches Cheating zeigt sich auf dem PC überhaupt nicht, sondern nur im Match. Der Spielserver sieht alles, was du tust: Bewegungsgeschwindigkeit, Positionen, Schüsse und Treffer. Er kann Aktionen markieren, die unmöglich sind, etwa schnellere Bewegung, als das Spiel erlaubt, und Muster, die nur unwahrscheinlich sind, etwa Reaktionszeiten oder Headshot-Quoten weit jenseits menschlicher Spieler.

Valve lässt seit Jahren Machine Learning über Counter-Strike-Gameplay laufen, um Aimbot-Muster zu erkennen, und VAC Live in Counter-Strike 2 kann ein Match abbrechen, wenn es einen Cheater erkennt. Diese Ebene ist der Grund, warum es Einstellungen wie Glättung und Reaktionsverzögerung gibt: Sie halten das Verhalten im Spiel im menschlichen Bereich.

Reports und Replays

Und schließlich die anderen Spieler. Reports fließen in Prüfsysteme ein, und in Spielen mit Replays kann sich ein Mensch oder ein automatisches System ansehen, was du gemacht hast. Spieler durch Wände zu tracken oder zwischen Köpfen hin und her zu snappen, ist in Aufnahmen leicht zu erkennen, auch wenn kein Scan etwas gefunden hat. Marvel Rivals und Counter-Strike 2 setzen beide stark auf diese Ebene.

Warum Bans später kommen

Erkennung und Ban sind zwei getrennte Ereignisse. Viele Anti-Cheats speichern Erkennungen und handeln erst später, oft in einer Banwelle, in der Accounts, die über Tage oder Wochen markiert wurden, auf einen Schlag gebannt werden. Valve hat VAC-Bans genau aus diesem Grund verzögert angelegt: Ein sofortiger Ban würde dem Entwickler des Cheats verraten, was erwischt wurde.

Was unentdeckt wirklich bedeutet

„Unentdeckt“ heißt, dass aktuell keine Erkennung bekannt ist. Das ist eine Aussage über heute, kein Versprechen. Anti-Cheats werden ständig aktualisiert, und ein Build bleibt nur unentdeckt, wenn er sich genauso schnell verändert wie sie und pausiert wird, sobald irgendetwas nicht stimmt.

Genau so betreiben wir unsere Builds. Jeder ist polymorph, jeder wird neu gebaut, wenn sein Spiel oder sein Anti-Cheat gepatcht wird, und jede Statusänderung wird live veröffentlicht. Prüf die Statusseite, bevor du ins Spiel gehst, und wenn ein Build markiert ist, warte auf grünes Licht. Keine Methode ist je garantiert, und wer etwas anderes behauptet, ist nicht ehrlich zu dir.