Warum Turnier-Anti-Cheat im User-Modus bleiben kann
Ein Kernel-Treiber sieht mehr. Er schließt jedoch auch ältere PCs aus und verlangt von jedem Spieler, einem Rootkit zu vertrauen. Der User-Modus als Standard, ergänzt durch Kernel als Option für einzelne Events, ist der Ansatz, der diesen Kompromiss überlebt.
Kernel-Anti-Cheat existiert, weil ein im User-Modus laufendes Programm nicht jedes andere Programm auf dem Rechner sehen kann. Ein beim Systemstart geladener Treiber kann das. Dieser Vorteil ist real. Der Preis allerdings auch. Eine Kernel-Komponente erfordert einen signierten Treiber, eine neuere Windows-Sicherheitskonfiguration und einen Spieler, der bereit ist, einem Turnier-Client dieselben Privilegien wie dem Betriebssystem zu geben. Das Windows-11-Datum von FACEIT ist dieser Preis, der nun im Kalender steht.
Die gegenteilige Behauptung, ein Client im User-Modus „fange mehr Cheats ab“, stellen wir nicht. Das tut er nicht. Wer einem Veranstalter erzählt, eine Taskleisten-Anwendung sehe mehr als ein Kernel-Treiber, verkauft einen Slogan. Die nützliche Frage lautet anders: Welche Prüfungen erfordern überhaupt keinen Ring 0, und welche Events rechtfertigen die Rechner, die man ausschließt, wenn man den Treiber einschaltet.
Drei Prüfungen benötigen keinen Kernel-Treiber.
Serverseitige Demo- und Replay-Überprüfungen lesen das Match aus, das der Server ohnehin aufgezeichnet hat. Eine Behauptung des Clients ist nicht der Beweis. Die Demo ist es.
Das Verhalten während der Session – Eingabe-Timing, Bewegung, der Verlauf einer Runde – kann nach dem Match anhand von Telemetriedaten bewertet werden, die der Server akzeptiert hat. Das ist ein statistischer Fall, kein Screenshot des Speichers eines anderen Prozesses.
Menschen oder ein Modell, das einen Menschen unterstützt, können sich das ansehen, was die Regeln einem Offiziellen ohnehin zu prüfen erlauben: die Demo, den Spielbericht, das Disput-Paket. Die meisten Integritätsfälle bei Tier-2-Events betreffen Wetten, Account-Sharing und Spielabsprachen (Match-Fixing) und keinen neuen Kernel-Aimbot. Die Beweismittel in diesen Fällen sind Dokumente und Account-Verknüpfungen, die ein Treiber nicht liefert.
Der Desktop-Client von TournamentSuite läuft aus diesem Grund standardmäßig im User-Modus. Eine Kernel-Komponente ist als Option vorhanden, die ein Veranstalter für ein spezifisches Projekt aktivieren kann – nicht als Preis für die Installation der App. Die Registrierung erfolgt über ein kurzlebiges Token, der Traffic ist verschlüsselt, und der Upload von Beweismitteln ist von der Vertrauensstellung des Spieler-PCs getrennt. Die Produktseite ist unter anti-cheat zu finden.
Was nicht ausgeliefert wird und auch nicht impliziert werden sollte, ist eine veröffentlichte Falsch-Positiv-Rate. Wir werden keine drucken, bevor sie bei echten Events gemessen wurde und die Methodik im selben Dokument wie die Zahl steht. Ein Transparenzbericht mit einer leeren Rate ist schlimmer als gar kein Bericht.
Die Fallbearbeitung – Benachrichtigung, provisorische Suspendierung, Anhörung, veröffentlichte Sanktion – ist ein Workflow, den ein Veranstalter den Spielern ohnehin schuldet. Die Software kann das Paket speichern. Sie ersetzt nicht den Offiziellen, der die Entscheidung unterzeichnet. Der User-Modus ist der Standard, weil die Alternative am 14. Oktober einen großen Teil der PCs ausschließt. Der Kernel bleibt verfügbar, wenn ein Finale diesen Ausschluss wert ist. Der Veranstalter entscheidet. Die Plattform sollte das nicht für ihn tun.
Zurück zum Blog