Warum eine Schicht nicht reicht
Die meisten FiveM-Anticheats stützen sich auf eine Erkennungsschicht: entweder einen clientseitigen Stack, der auf injizierte DLLs, gehookte APIs und bekannte Menü-Signaturen achtet, oder einen serverseitigen Stack, der Events validiert und unmögliche Zustandsübergänge im Spiel ablehnt. Jede Schicht hat einen bekannten Schwachpunkt. Ein reines Client-AC versagt in dem Moment, in dem ein Cheat seinen Loader vor Signaturprüfungen versteckt. Ein reines Server-AC versagt in dem Moment, in dem ein Cheat die legale Event-Oberfläche respektiert, aber clientseitige Hacks nutzt (Silent Aim, ESP, Wallhacks), die nie ein Server-Event auslösen. Zweischichtige Erkennung heißt: Die Schicht, die den Cheat sieht, erwischt ihn, und die Schicht, die ihn nicht sieht, liefert trotzdem ein Verhaltenssignal, das Admins prüfen können.
Was die Client-Schicht überwacht
Auf der Client-Seite überwacht Raven injizierte Module, gehookte Engine-Funktionen, den Zustand der NUI-DevTools, die Integrität der eigenen Resource-Dateien und die Präsenz bekannter Cheat-Loader zur Laufzeit. Signaturen für die aktivsten Mod-Menü-Familien (Eulen, Redengine, HamMafia, Susano, TZ, TZX, Skript, Phaze, Lumia) werden in einem Takt von 1-7 Tagen aktuell gehalten (siehe /changelog). Löst eine bekannte Signatur aus, werden Beweise gesichert (Screenshot + Detection-Trace) und ins Cloud-Panel hochgeladen. Löst die Signatur nicht aus, wohl aber Anomalien, sinkt der Trust Score des Spielers und er taucht auf der Live-Map zur Prüfung durch Admins auf.
Was die Server-Schicht überwacht
Auf der Server-Seite fährt Raven eine Event-Validierung über jedes Server-Event, das der Spieler auslöst. Event-Namen, die nie von einem Client kommen dürften, werden direkt blockiert. Event-Payloads, die plausible Grenzen überschreiten (Item-Mengen, Geldbeträge, Fahrzeug-Spawns pro Minute), werden abgelehnt und protokolliert. Event-Abfolgen, die bekannten Exploit-Mustern entsprechen, etwa die verkettete Event-Folge von Redengine-Varianten, werden auf Musterebene blockiert. Die serverseitige Erkennung läuft auch dann, wenn jede Client-Prüfung umgangen wurde, und genau deshalb ist serverseitige Abdeckung nicht verhandelbar.
Wie die beiden Schichten zusammenspielen
Ein Heartbeat-Loop verbindet die Schichten. Der Client meldet dem Server regelmäßig einen signierten Hash seines kritischen Laufzeitzustands. Bleibt der Heartbeat aus, behandelt der Server den Client als manipuliert und wendet die konfigurierte Reaktion an (Warnung, Kick oder Auto-Ban). Kommt der Heartbeat weiter, passt sein Payload aber nicht mehr zu den erwarteten Werten, protokolliert der Server die Abweichung und speist sie in das Trust-Score-Modell ein. So oder so hat der Server einen durchgehenden Blick darauf, ob die Client-Schicht noch funktioniert, und ein Cheat, der die Client-Schicht abschaltet, wird sofort von der Server-Seite aus sichtbar.
Warum das für „bypass-resistent“ zählt
Kein Anticheat ist bypass-sicher. Ein einschichtiges AC zu umgehen heißt, einen Stack zu knacken. Das zweischichtige Raven zu umgehen heißt, zwei Stacks gleichzeitig zu knacken, dazu den Heartbeat und das Trust-Score-Modell, das Verhaltensauffälligkeiten sichtbar macht. Die Kosten für einen erfolgreichen, unentdeckten Bypass sind deutlich höher, und der Patch kommt schneller, weil die Schicht, die den Cheat bemerkt hat, ihre Aufzeichnungen an das Team weitergibt, das das nächste Signatur-Update baut.