Kurz gesagt
Google reCAPTCHA schickt Daten Ihrer Besucher an Google und braucht in der Regel eine Einwilligung im Cookie-Banner, bevor es laden darf. Es gibt Alternativen, die ohne Drittanbieter auskommen: Bei einem Proof-of-Work-Captcha löst der Browser eine kleine Rechenaufgabe, die für einen Menschen unsichtbar ist und für Bots in großer Zahl teuer wird. Ohne Bilderrätsel, ohne Cookies, ohne Datenweitergabe.
Das Problem mit reCAPTCHA
reCAPTCHA ist bequem, weil es kostenlos ist und überall funktioniert. Es lädt aber Skripte von Google, wertet das Verhalten Ihrer Besucher aus und überträgt dabei Daten an Google. Nach überwiegender Auffassung der Datenschutzbehörden braucht das eine Einwilligung, bevor das Captcha geladen wird. Damit steht es im Cookie-Banner, und wer ablehnt, kann Ihr Kontaktformular im Zweifel nicht absenden.
Dazu kommt die Bedienung: Ampeln, Zebrastreifen und Hydranten anklicken ist mühsam, auf dem Handy erst recht, und für Menschen mit Sehbehinderung oft eine echte Hürde.
Wie ein Captcha ohne Bilder funktioniert
Ein Proof-of-Work-Captcha dreht das Prinzip um. Statt zu fragen „Bist du ein Mensch?“, verlangt es eine kleine Rechenleistung. Der Server stellt eine Aufgabe, der Browser rechnet im Hintergrund eine knappe Sekunde, schickt das Ergebnis zurück, fertig. Für einen einzelnen Besucher ist das unsichtbar. Für einen Bot, der tausende Formulare abschicken will, wird es teuer.
- Keine Daten an Dritte: Aufgabe und Prüfung laufen auf Ihrem eigenen Server.
- Keine Cookies: Für die Prüfung muss nichts im Browser gespeichert werden.
- Keine Bilderrätsel: Barrierearm, auch für Screenreader-Nutzer.
- Offener Code: Verbreitete Lösungen wie ALTCHA sind Open Source und lassen sich selbst betreiben.
Was es nicht leistet
Ein entschlossener Angreifer mit viel Rechenleistung kann auch Rechenaufgaben lösen. Proof-of-Work macht Spam und automatisierte Angriffe vor allem unwirtschaftlich. Deshalb gehört es zu einem Paket: Blocklisten, Mengenbegrenzung und eine Prüfung echter Suchmaschinen-Bots, wie in Bots auf der Website beschrieben.
Captcha im Formular oder vor der Website
- Im Formular: Das Captcha schützt genau dieses eine Formular. Gut gegen Formular-Spam.
- Vor der Website: Verdächtige Besucher bekommen die Prüfung, bevor sie die Seite sehen. Gut gegen Scanner, Login-Rater und Lastspitzen. Normale Besucher sehen nichts.
Unser Shield Web nutzt die zweite Variante mit ALTCHA: Nur wer sich auffällig verhält, bekommt eine kurze Prüfung, die der Browser selbst löst. Ohne Google, ohne Cookies. Ein Cookie-Banner wird dafür nicht nötig, ob Ihre Seite aus anderen Gründen einen braucht, klärt Cookie-Banner: Wann ist er Pflicht?.
Häufige Fragen
- Ist ein Proof-of-Work-Captcha barrierefrei?
- Es kommt ohne Bilderrätsel aus und muss nicht gelesen oder angeklickt werden. Für Screenreader-Nutzer ist es deshalb deutlich zugänglicher als ein klassisches Bilder-Captcha.
- Braucht ein Captcha ohne Google einen Cookie-Banner?
- Wenn es ohne Cookies und ohne Drittanbieter arbeitet, in der Regel nicht. Ob Ihre Seite aus anderen Gründen eine Einwilligung braucht, hängt von den übrigen eingesetzten Diensten ab.
- Hält ein Proof-of-Work-Captcha alle Bots auf?
- Nein. Es macht automatisierten Spam teuer und unwirtschaftlich. Zusammen mit Blocklisten und Mengenbegrenzung fängt es den Großteil ab.