CAPTCHA: Menschen von Robotern unterscheiden

Kurz: Ein CAPTCHA ist eine kleine Aufgabe oder ein unsichtbarer Test, der automatisierte Programme von echten Menschen unterscheiden soll, etwa bei Anmeldung und Kommentaren.

Genauer: Websites werden von Bots (Programmen) mit Massenanmeldungen, Spam und Passwort-Rateversuchen überflutet. Ein CAPTCHA („Completely Automated Public Turing test to tell Computers and Humans Apart“) soll solchen Missbrauch bremsen. Es ist eine Art umgekehrter Turing-Test: Der Rechner prüft, ob ein Mensch antwortet.

Im Detail

Arten

• Verzerrter Text: abgelesene Buchstaben (früher verbreitet, heute von KI leicht gelöst).
• Bilderauswahl: „Wähle alle Ampeln aus.“
• Kontrollkästchen mit Verhaltensanalyse („Ich bin kein Roboter“): Maus- und Gerätedaten entscheiden.
• Unsichtbare Verfahren: reCAPTCHA v3, hCaptcha, Cloudflare Turnstile, die im Hintergrund eine Risikobewertung berechnen.
• Proof of Work: Der Browser muss kurz rechnen, was Massenabfragen verteuert (zum Beispiel Altcha, Anubis).
• Honeypot-Felder: für Menschen unsichtbare Formularfelder, die nur Bots ausfüllen.

Warum sie problematisch sind

Barrierefreiheit: Bilderrätsel schließen Menschen mit Sehbehinderung oder kognitiven Einschränkungen aus, Audio-Alternativen sind oft schlecht. Datenschutz: Dienste wie reCAPTCHA übertragen Daten an Drittanbieter, was eine Einwilligung nötig machen kann. Aufwand: Nutzer werden genervt, Konversionen sinken. Sicherheit: KI-Modelle und Klickfarmen lösen viele Aufgaben besser als Menschen.

Bessere Alternativen

Ein Zusammenspiel mehrerer Maßnahmen: Rate Limiting (zu viele Anfragen von einer Adresse bremsen), Honeypot, Verifizierung per E-Mail oder Zwei-Faktor, Passkeys, Prüfung von Risikosignalen im Hintergrund und datenschutzfreundliche Anbieter. CAPTCHAs sollten nur bei Verdacht erscheinen, nicht für alle.

Praxis-Hinweise

Prüfe die Antwort immer auf dem Server, nicht nur im Browser. Biete eine zugängliche Alternative an. Dokumentiere in der Datenschutzerklärung, welcher Dienst eingesetzt wird. Bots entwickeln sich ständig weiter; kein Verfahren hält sie dauerhaft auf.

Siehe auch: Rate Limiting, Honeypot, Einwilligung nach DSGVO, WCAG und Farbkontrast