Wie die Datenschutzmaskierung bei Session Replay Sie DSGVO- und CCPA-konform hält

Richtig umgesetzt ist die Datenschutzmaskierung bei Session Replay das, was ein konformes Aufzeichnungstool von einem Datenschutzrisiko unterscheidet, und sie ist das Erste, wonach ein umsichtiger Käufer fragt, bevor auch nur eine einzige Sitzung gespeichert wird.

Der Einwand ist berechtigt. Eine Wiedergabe rekonstruiert, was eine reale Person gesehen und getippt hat. Ohne Kontrollen kann das eine E-Mail-Adresse, eine Kartennummer, eine Wohnanschrift oder eine Gesundheitsangabe umfassen. DSGVO und CCPA verbieten Session Replay nicht, aber sie behandeln diese Rekonstruktion als personenbezogene Daten, was bedeutet, dass sie minimiert, gesichert, nur für begrenzte Zeit aufbewahrt und in vielen Fällen durch eine Einwilligung gedeckt sein muss.

Die gute Nachricht ist, dass das gesamte Risiko in sich zusammenfällt, wenn Sie es auf der richtigen Ebene handhaben. Wenn der sensible Wert den Browser des Besuchers nie verlässt, gibt es auf Ihren Servern nichts, was geleakt, per Vorladung angefordert oder zu lange aufbewahrt werden könnte.

Maskieren Sie vor der Erfassung, nicht danach

Es gibt zwei grundlegend verschiedene Momente, in denen Maskierung stattfinden kann, und nur einer davon schützt den Nutzer tatsächlich.

Maskierung vor der Erfassung läuft im Browser des Besuchers. Der Rekorder durchläuft die Seite, ersetzt sensiblen Text und Eingabewerte durch Platzhalterzeichen, und nur die maskierte Version wird serialisiert und gesendet. Der Rohwert wird nie übertragen. PostHog dokumentiert das direkt: Seine Datenschutzkontrollen laufen "im Browser oder in der mobilen App", sodass "maskierte Daten niemals über das Netzwerk gesendet werden". Microsoft Clarity nennt dasselbe Prinzip, nämlich dass es "niemals etwas erfasst, was maskiert oder über die Leitung gesendet wird".

Maskierung nach der Erfassung zeichnet die echten Werte auf, überträgt sie an einen Server und verwischt oder schwärzt sie zum Zeitpunkt der Wiedergabe. Die unmaskierten Daten haben das Netzwerk dennoch überquert und sind dennoch in einer Datenbank gelandet. Wenn dieser Speicher kompromittiert wird, bewirkt eine Schwärzungsregel im Player nichts.

Für ein Compliance-Gespräch ist der Unterschied das ganze Argument. Bei der Datenminimierung nach Artikel 5 DSGVO geht es darum, die Daten nicht zu erheben, nicht darum, sie später zu verbergen.

	Maskierung vor der Erfassung	Maskierung nach der Erfassung
Wo die Maskierung läuft	Browser des Besuchers	Server oder Player des Anbieters
Verlassen personenbezogene Rohdaten das Gerät	Nein	Ja
Was ein Datenleck offenlegt	Nur Platzhalter	Echte Werte
Passt zur Datenminimierung	Ja	Schwach
Nachträgliche Regeländerungen	Nicht nötig	Nötig, kann aber vergangene Daten nicht korrigieren

Die vier Kontrollen, die Sie tatsächlich absichern

Eingabeschwärzung standardmäßig

Jedes ernsthafte Tool maskiert Formulareingaben von Haus aus, denn dort befinden sich Passwörter, Kartennummern und E-Mail-Adressen. In PostHog werden alle Eingaben standardmäßig maskiert und Passwortfelder werden unabhängig von der Konfiguration immer maskiert. In Clarity werden Eingabefelder und Dropdowns in jedem Modus maskiert, einschließlich des freizügigsten. Behandeln Sie jedes Tool, das mit standardmäßig sichtbaren Eingaben ausgeliefert wird, als Warnsignal.

Element- und Textmaskierung

Sensible Daten erscheinen auch außerhalb von Formularfeldern: eine Bestellbestätigung, ein Kontostand, ein Patientenname in einer Überschrift. Diese maskieren Sie mit CSS-Selektoren oder einem Datenattribut am Element, das auf dessen untergeordnete Elemente vererbt wird. PostHog verwendet Klassen wie ph-no-capture; Clarity verwendet data-clarity-mask. Die sicherste Haltung für eine hochsensible Anwendung ist, alles zu maskieren und selektiv nur die Elemente zu entmaskieren, die Sie als unbedenklich bestätigt haben.

Seiten- und Routenausschluss

Manche Bildschirme sollten überhaupt nie aufgezeichnet werden, etwa ein Checkout-Schritt, ein Formular für Bankdaten oder ein von einem Drittanbieter gerenderter Authentifizierungsbildschirm. Das Stoppen und Starten des Rekorders rund um diese Routen entfernt den gesamten Bildschirm aus der Erfassung, anstatt zu versuchen, ihn Feld für Feld zu maskieren.

Aufbewahrungsgrenzen

Konforme Aufbewahrung bedeutet, dass Aufzeichnungen nach einem festgelegten Zeitplan ablaufen, statt für immer zu bestehen. Eine kürzere Aufbewahrung verringert sowohl Ihre Angriffsfläche bei einem Datenleck als auch Ihre Pflichten, wenn ein Nutzer sein Löschrecht ausübt. Legen Sie sie auf das kürzeste Fenster fest, das Ihre Produktfragen noch beantwortet.

Einwilligung, IP-Adressen und Cookies

Ob Sie ein ausdrückliches Opt-in benötigen, hängt von der Rechtsordnung und davon ab, was Sie speichern. Zwei Designentscheidungen verringern den Aufwand erheblich:

• Keine Cookies. Ein Rekorder, der keine identifizierenden Cookies setzt, umgeht den klassischen ePrivacy-Einwilligungsauslöser für nicht wesentliche Cookies.
• Keine gespeicherten IP-Adressen. IP-Adressen sind nach der DSGVO personenbezogene Daten. Ein Tool, das sie bei der Aufnahme verwirft, anstatt sie zu speichern, entfernt einen der häufigsten Rohidentifikatoren aus Ihrer Datenbank.

Selbst wenn beides gegeben ist, behandeln Sie die Einwilligung als Rechtsfrage für Ihr Team, nicht als Häkchen, das ein Anbieter für Sie setzen kann. Was ein Anbieter tun kann, ist, den konformen Weg zur Standardeinstellung zu machen, sodass die Einwilligung weniger sensibles Terrain abdecken muss.

Auftragsverarbeiter und wo die Daten liegen

Maskierung schützt den Inhalt einer Aufzeichnung. Sie beantwortet nicht, wo diese Aufzeichnung gespeichert wird oder wer sonst darauf zugreifen kann. Bevor Sie sich festlegen, bestätigen Sie drei Dinge: die Liste der Auftragsverarbeiter, die der Anbieter nutzt, die Region, in der die Sitzungsdaten gehostet werden, und ob ein Auftragsverarbeitungsvertrag verfügbar ist. Eine datenschutzorientierte Replay-Geschichte fällt in sich zusammen, wenn die Daten stillschweigend an ein Dutzend nicht offengelegter Drittparteien fließen.

Wie Flowsery das angeht

Flowsery ist datenschutzorientiert statt datenschutzoptional aufgebaut. Die Maskierung ist standardmäßig aktiviert, sodass sensibler Text und Eingaben im Browser ersetzt werden, bevor irgendetwas serialisiert wird. Flowsery ist cookiefrei und speichert keine IP-Adressen der Besucher, wodurch zwei der häufigsten Identifikatoren entfernt werden, bevor sie überhaupt einen Server erreichen. Sie behalten die granulare Kontrolle, um bestimmte Elemente und Routen auszuschließen und zu begrenzen, wie lange Aufzeichnungen aufbewahrt werden.

Das Ergebnis ist eine Wiedergabe, die Sie in einer Sicherheitsprüfung verteidigen können: Der sensible Wert bleibt auf dem Gerät des Besuchers, und was Sie speichern, ist bereits minimiert.

Häufig gestellte Fragen

Ist Session Replay DSGVO-konform?

Es kann sein. Die DSGVO verbietet Session Replay nicht, behandelt die Aufzeichnung aber als personenbezogene Daten. Sie bleiben konform, indem Sie minimieren, was Sie erfassen, personenbezogene Daten maskieren, bevor sie den Browser verlassen, die Aufbewahrung begrenzen, den Zugriff sichern und eine Einwilligung einholen, wo Ihre Rechtsordnung es verlangt.

Genügt Maskierung nach der Erfassung für CCPA und DSGVO?

Sie ist schwächer. Wenn echte Werte die Server des Anbieters erreichen und erst bei der Wiedergabe verborgen werden, wurden die Rohdaten dennoch erhoben und gespeichert, was die Datenminimierung untergräbt und diese Daten bei einem Datenleck ungeschützt lässt. Die Maskierung vor der Erfassung ist die stärkere Position.

Was wird automatisch maskiert?

In datenschutzorientierten Tools werden Formulareingaben standardmäßig maskiert und Passwortfelder immer. Freitext, Überschriften und Bilder, die personenbezogene Daten enthalten können, werden über CSS-Selektoren, ein Datenattribut oder eine globale Einstellung "alles maskieren" maskiert.

Brauche ich trotzdem ein Einwilligungsbanner?

Das hängt von Ihrer Rechtsordnung und davon ab, was Sie speichern. Ein cookiefreier Rekorder, der keine IP-Adressen aufbewahrt, verringert die Auslöser, aber die Einwilligung ist eine rechtliche Beurteilung. Klären Sie Ihre Pflichten mit Ihrer eigenen Rechtsberatung oder Ihrem Datenschutzteam.

Kann ich Maskierungsregeln nachträglich ändern?

Nein. Die Maskierung wird zum Zeitpunkt der Erfassung angewendet, sodass eine Regeländerung nur neue Aufzeichnungen betrifft. Alles bereits Erfasste behält die Maskierung, die damals galt, was ein weiterer Grund ist, streng zu beginnen und bewusst zu lockern.

Zeichnen Sie Sitzungen auf, ohne personenbezogene Daten aufzuzeichnen, mit Flowsery - Maskierung standardmäßig aktiviert, cookiefrei und ohne gespeicherte IP-Adressen.

Quellen: PostHog Datenschutzkontrollen für Session Replay und Microsoft Clarity Maskierung von Inhalten. Geprüft am 24. Juli 2026.