Kurs-Video-Piraterie 2026 stoppen — Ein praktischer Leitfaden
Jeder Kursanbieter findet seine Inhalte irgendwann auf Telegram, Discord oder einer Klon-Seite wieder. Der Reflex: alles dichtmachen. Die Realität ist nuancierter — die meiste Piraterie lässt sich mit drei oder vier Reibungsschichten verhindern, der Rest ist Theater.
Das hier ist das realistische Playbook. Schlangenöl überspringen, auf das konzentrieren, was wirklich etwas bewegt.
Bedrohungsmodell verstehen
Bevor du Geld in Schutz steckst, benenne deinen Angreifer:
- Der Gelegenheits-Sharer. Ein Studierender, der ein Video herunterlädt und an einen Freund schickt. Mit Abstand am häufigsten.
- Der Massenuploader. Lädt deine ganze Bibliothek herunter und lädt sie auf eine Piraterie-Seite oder einen Telegram-Kanal hoch.
- Der Wettbewerber-Scraper. Selten, gibt es aber in High-Ticket-Nischen (Trading, Immobilien-Coaching).
- Der hartnäckige Ripper. Hat HDMI-Capture-Hardware, mehrere Geräte, Automatisierung. Wirst du nicht aufhalten — nur uninteressant machen.
Die ersten beiden sind 95 % deines Problems. Sie sind auch am günstigsten abzuschrecken.
Schicht 1: Video-Segmente verschlüsseln (Pflicht)
Reine MP4-Dateien auf einem öffentlichen CDN sind einen yt-dlp-Aufruf weit weg von der Festplatte des Angreifers. Mindestlatte 2026: AES-128-verschlüsselte HLS-Segmente, deren Schlüssel separat zur Wiedergabezeit ausgeliefert werden.
AES-128-Videoverschlüsselung zerlegt jedes Video in ~6-Sekunden-Segmente, jedes mit einem 128-Bit-Schlüssel verschlüsselt. Der Player holt den Schlüssel per HTTPS, entschlüsselt im Speicher und reicht die Daten an das <video>-Element weiter. Ohne Schlüssel sind die Segmente Datenmüll.
Mit AVCaption ist das standardmäßig aktiv. Wenn du selbst mit FFmpeg arbeitest: -hls_key_info_file und -hls_enc 1. Cloudflare Stream und Mux verschlüsseln automatisch.
Besser: Multi-Key-HLS. Schlüssel alle N Segmente rotieren (~60 Sekunden). Eine abgegriffene Schlüssel-URL gibt nur eine Minute Video frei, nicht das Ganze. AVCaption nutzt das standardmäßig; die meisten anderen Plattformen nur Single-Key-HLS.
Schicht 2: Wiedergabe-URLs signieren
Verschlüsselte Segmente sind ohne Schlüssel nutzlos — die Schlüssel-URL selbst ist aber nur eine URL. Statisch und öffentlich? Einmal greifen, ewig nutzen.
Die Lösung sind signierte URLs: Der Player fragt die Schlüssel-URL mit kurzlebigem Token (5–15 Minuten) ab, gebunden an Viewer-IP, Embed-Referrer oder User-Session. Der Server prüft das Token, bevor er den Schlüssel ausliefert.
Das beendet das “Einmal scrapen, ewig rippen”-Spiel. Echtzeit-Capture stoppt es nicht — aber Massen-Extraktion wird deutlich teurer.
Schicht 3: Domain-Whitelisting
Selbst bei verschlüsselter, signierter Wiedergabe kann ein Angreifer dein Embed in eine eigene Seite iframen. Domain-Whitelisting prüft Referer- und Origin-Header gegen eine Allowlist. Wenn dein Video auf student-portal.example.com läuft, bekommen nur Anfragen von dieser Origin den Schlüssel.
Eine weiche Prüfung (Referer ist mit Tools fälschbar), aber sie stoppt die faulen 80 % — die Reseller, die deinen iframe einfach kopieren, ohne Header umzuschreiben.
AVCaption hat Domain-Whitelisting pro Video im Dashboard. Die meisten Enterprise-Hosts auch. Falls deiner es nicht hat: rote Flagge.
Schicht 4: Dynamische Watermarks pro Zuschauer
Das hebelstärkste Anti-Piraterie-Feature, das du einsetzen kannst — und es wird zu wenig genutzt.
Ein dynamisches Watermark brennt eine Kennung des Zuschauers (E-Mail, User-ID, letzte 4 Telefonziffern) bei der Wiedergabe halbtransparent und wandernd ins Video. Taucht eine Kopie irgendwo auf, weißt du genau, wer geleakt hat.
Zwei Effekte:
- Abschreckung vor dem Leak. Sobald Studierende wissen, dass ihre E-Mail in jedem Leak auftaucht, bricht das Sharing ein. Die Rechnung verschiebt sich von “wer würde das merken?” zu “definitiv ich”.
- Recourse nach dem Leak. Du identifizierst den Leaker, sperrst ihn und kannst — bei passenden ToS — Chargebacks oder rechtliche Schritte einleiten.
Watermarks verhindern keinen Bildschirmmitschnitt. Sie machen ihn persönlich riskant.
Schicht 5: Rate-Limiting und Missbrauchssignale
Setze sinnvolle Rate-Limits pro IP und User auf den Schlüssel-Endpunkt. Ein normaler Zuschauer holt ein paar Schlüssel pro Minute (einer pro ~60-Sekunden-Batch). Ein Ripper, der alles ziehen will, lädt hunderte pro Minute. Klares Signal — blocken, loggen, alarmieren.
Kombinieren mit Anomalie-Erkennung: Derselbe User holt in 10 Minuten Schlüssel von 12 IPs? Vermutlich Credential-Sharing. Automatisch markieren und prüfen.
Was NICHT lohnt
Ein paar Dinge sehen aus wie Sicherheit, sind aber keine:
- “Video speichern unter” deaktivieren. Kosmetik. Moderne Player verhindern das ohnehin für HLS-Streams.
- Tastenkürzel deaktivieren. Nervt legitime Nutzer, hilft nichts gegen Rip-Tools.
- URLs verschleiern. Sorgt für Verwirrung, nicht für Sicherheit. DevTools öffnen reicht.
- DMCA-Whack-a-Mole. Sinnvoll bei sehr wertvollen Inhalten, aber zermürbend. Watermarks skalieren besser — Leaker schrecken sich selbst ab.
Ein realistischer Stack für 2026
Für einen typischen bezahlten Kurs oder eine Membership-Site lohnt sich:
- AES-128 Multi-Key HLS — Segmente verschlüsseln.
- Signierte Wiedergabe-URLs mit 5–15 Min TTL — Scrape-und-Rip-Schleife brechen.
- Domain-Whitelist — Iframe-Re-Hosting durch faule Reseller stoppen.
- Dynamisches Watermark pro Zuschauer — Leaks vorab abschrecken, Leaker bei Bedarf identifizieren.
- Rate-Limit + Anomalie-Alerts — automatisierte Ripper schnell erkennen.
Widevine-DRM brauchst du nicht, sofern dein Vertrag es nicht verlangt. Siehe: AES-128 vs DRM für Online-Kurse.
Wo AVCaption reinpasst
AVCaption liefert die Schichten 1–4 standardmäßig im Premium-Tier, Schicht 5 ist auf der Roadmap. Multi-Key AES-128 HLS, signierte Embed-Tokens, Domain-Whitelist pro Video und dynamische Watermarks sind Dashboard-Schalter. Preis: pauschal 100 $/Monat pro 5 TB — die Bandbreitenrechnung wächst nicht mit erfolgreichen Launches.
Wir sind nicht die einzige gute Wahl. Bunny Stream ist günstiger, wenn du klein bist und keine Watermarks brauchst. VdoCipher ist richtig, wenn du eine Widevine-DRM-Pflicht hast. Cloudflare Stream passt, wenn du ohnehin auf Cloudflare bist.
Fazit
Du baust keinen unrippbaren Kurs. Du baust einen Kurs, der teuer genug zu rippen ist, dass es niemand macht. Das ist die realistische Siegbedingung.
Probiere AVCaption kostenlos auf dashboard.avcaption.com/register — verschlüsseltes Streaming, signierte URLs und Domain-Whitelisting sind im Free-Tier. Watermarks gibt es im Enterprise.