und wenn der Kunde JS deaktiviert hat?

Dann eben serverseitig (PHP,...) - wenn man JS nicht vertraut, sollte man auch iFrames über Domaingrenzen hinweg nicht vertrauen...
Wer das Service nützen will, muss eben JS aktivieren. :hammer:

iFrames sind aber vom Administrator nicht so oft deaktiviert wie JS.
Wenn das ein Service für Geschäftsleute werden soll, die oftmals an Computern arbeiten der von Admins administriert wird, dann können die nicht eben mal so JS andrehn...

Wobei ich ja nicht verstehe was z.B. gegen eine PHP Lösung spricht - ich find ja weder die JS noch die IFRAME Lösung sonderlich "schön" ;) Oder der Kunde holt sich nur ein XML von dir ab mit dem er dann machen kann was er will (was natürlich etwas Programmierkentnis auf Seiten des Kunden verlangt)

lg