CAPTCHA-Alternativen barrierefrei: Sicherheit ohne Rätsel-Bilder

Klassische CAPTCHAs mit verzerrten Buchstaben oder „Wähle alle Bilder mit einer Ampel" sind für viele Menschen eine echte Hürde – nicht nur für blinde Nutzer, sondern auch bei Sehbehinderung, motorischen Einschränkungen oder kognitiven Beeinträchtigungen.

Spam- und Bot-Schutz lässt sich inzwischen auf viele Arten umsetzen, die deutlich seltener eine sichtbare Aufgabe stellen. Dieser Beitrag ordnet die gängigen Alternativen ein und zeigt, worauf es bei der Auswahl ankommt.

Wer ein Kontaktformular, ein Login oder einen Newsletter-Eintrag vor automatisiertem Missbrauch schützen will, muss deshalb nicht zwangsläufig zur sichtbaren Rätselaufgabe greifen, sondern kann aus mehreren unauffälligen Verfahren wählen oder sie kombinieren.

Warum klassische Bild- und Text-CAPTCHAs scheitern

Verzerrte Buchstaben sind für Screenreader grundsätzlich unlesbar, weil sie als Bild ausgeliefert werden. Audio-Alternativen, die viele Anbieter ergänzend anbieten, sind oft so stark verrauscht, dass sie kaum verständlicher sind als das Bild selbst.

Bildraster-Aufgaben wie „Wähle alle Felder mit einer Ampel" setzen intaktes Sehen und ein gewisses Zeitfenster voraus. Wer eine motorische Einschränkung hat und die Maus nur eingeschränkt steuern kann, braucht für dieselbe Aufgabe deutlich länger als vorgesehen.

Kommt eine ablaufende Zeitbegrenzung hinzu, scheitert die Aufgabe unabhängig vom eigentlichen Wissen, ob eine Anfrage von einem Menschen stammt – die Hürde trifft dann Menschen stärker als die Bots, die sie eigentlich abwehren soll.

Auch Menschen mit kognitiven Einschränkungen tun sich mit mehrdeutigen Bildaufgaben schwer, etwa wenn unklar bleibt, ob ein angeschnittenes Fahrzeug am Bildrand noch als „Fahrzeug" zählt. Diese Unschärfe ist kein Rand­problem, sondern betrifft die Aufgabe selbst.

Verhaltensbasierte Prüfung im Hintergrund

Viele moderne Schutzverfahren bewerten Mausbewegung, Tippverhalten oder Interaktionsmuster im Hintergrund und zeigen nur bei auffälligem Verhalten überhaupt eine sichtbare Zusatzaufgabe. Für die meisten Formularausfüllenden bleibt das Formular dadurch komplett aufgabenfrei.

Der Vorteil für die Barrierefreiheit liegt darin, dass die überwiegende Mehrheit der Nutzer nie mit einer visuellen oder zeitkritischen Aufgabe konfrontiert wird. Wichtig bleibt trotzdem ein zugänglicher Fallback für die seltenen Fälle, in denen doch eine Prüfung erscheint.

Solche Systeme laufen meist als Drittanbieter-Skript im Hintergrund, was datenschutzrechtlich gesondert zu prüfen ist – etwa im Zusammenspiel mit den Hinweisen zu BFSG und DSGVO.

Ein Nachteil dieser Verfahren ist die Abhängigkeit von einem externen Anbieter, dessen Bewertungslogik für Unternehmen selbst kaum einsehbar ist. Fällt der Dienst aus oder stuft er einen legitimen Nutzer fälschlich als verdächtig ein, braucht es einen alternativen Weg, das Formular trotzdem abzuschicken.

Honeypot-Felder und einfache technische Hürden

Ein Honeypot ist ein für Menschen unsichtbares Formularfeld, das nur automatisierte Skripte ausfüllen. Wird das Feld befüllt, gilt die Anfrage als Bot-Anfrage und wird verworfen – ganz ohne sichtbare Aufgabe für echte Nutzer.

Diese Technik lässt sich mit einer serverseitigen Zeitmessung kombinieren: Formulare, die innerhalb weniger Sekunden nach dem Laden abgeschickt werden, stammen erfahrungsgemäß häufiger von automatisierten Skripten als von Menschen, die das Formular tatsächlich lesen.

Beide Verfahren sind einfach umzusetzen und benötigen keinerlei Interaktion durch den Nutzer, wodurch sie für Barrierefreiheit die unauffälligste Lösung darstellen. Alleine reichen sie bei starkem Spam-Aufkommen allerdings oft nicht aus.

Wichtig bei der Umsetzung des Honeypot-Feldes: Es muss so ausgeblendet werden, dass Screenreader es ebenfalls überspringen, etwa über eine reine visuelle Ausblendung statt eines für assistive Technologien unsichtbaren Attributs, das versehentlich auch das Feld selbst unbrauchbar macht.

Checkbox-Verfahren mit Risikobewertung

Eine einzelne Checkbox nach dem Muster „Ich bin kein Roboter" wirkt einfach, arbeitet im Hintergrund aber meist mit einer Risikobewertung des Anbieters. Nur bei unklarem Ergebnis folgt eine zusätzliche Aufgabe.

Für die Bedienung selbst ist wichtig, dass sich die Checkbox über die Tastatur erreichen und mit der Leertaste aktivieren lässt und dass ein sichtbarer Fokusrahmen erkennen lässt, welches Element gerade aktiv ist.

Erscheint doch eine Zusatzaufgabe, sollte immer eine Audio-Alternative zur Bildaufgabe vorhanden sein, und beide Varianten sollten ausreichend Zeit zum Lösen einräumen, statt nach wenigen Sekunden automatisch abzulaufen.

Ein aussagekräftiger, für Screenreader vorlesbarer Ladezustand während der Prüfung – etwa „Sicherheitsprüfung läuft" statt einer stummen Wartezeit – verhindert zusätzlich, dass Nutzer den Vorgang für abgebrochen halten und das Formular vorzeitig erneut abschicken.

Formularvalidierung als zusätzliche Schutzebene

Plausibilitätsprüfungen wie ein serverseitiger Abgleich von E-Mail-Format, Pflichtfeldern und ungewöhnlichen Eingabemustern filtern einen Teil des automatisierten Spams bereits ohne jede sichtbare Nutzerinteraktion heraus.

Eine Kombination aus mehreren unauffälligen Verfahren – Honeypot, Zeitmessung, Verhaltensbewertung – schützt in der Regel zuverlässiger als ein einzelnes sichtbares CAPTCHA und belastet gleichzeitig keinen einzigen echten Nutzer mit einer zusätzlichen Aufgabe.

Eine serverseitige Rate-Begrenzung, die zu viele Formularabsendungen von derselben Quelle innerhalb kurzer Zeit blockiert, ergänzt diese Kombination sinnvoll, ohne dass einzelne Nutzer davon überhaupt etwas bemerken.

Wenn eine sichtbare Prüfung unvermeidbar bleibt

Manche Formulare, etwa mit besonders hohem Missbrauchsrisiko, kommen ohne eine zusätzliche sichtbare Prüfung nicht aus. In diesem Fall sollte immer mindestens eine textbasierte oder Audio-Alternative zur reinen Bildaufgabe bereitstehen.

Wichtig ist außerdem eine großzügige Zeitbegrenzung mit der Möglichkeit, eine neue Aufgabe anzufordern, falls die erste nicht gelöst werden kann, statt das Formular nach Ablauf der Zeit kommentarlos zurückzusetzen.

Bereits eingegebene Formulardaten sollten dabei erhalten bleiben, auch wenn die Sicherheitsprüfung fehlschlägt. Ein Formular, das nach einer nicht gelösten Aufgabe sämtliche Eingaben verwirft, kostet Nutzer zusätzliche Zeit und erhöht die Wahrscheinlichkeit eines Abbruchs.

Auswahlkriterien für Unternehmen

Bei der Wahl eines Anbieters lohnt sich ein Blick darauf, ob explizit eine barrierefreie Betriebsart dokumentiert ist, wie viele sichtbare Aufgaben im Alltag tatsächlich auftreten und wie transparent der Anbieter mit den erhobenen Daten umgeht.

Ein kurzer Test mit aktiviertem Screenreader und reiner Tastaturbedienung vor der Einführung zeigt zuverlässiger als jede Produktbeschreibung, ob sich das gewählte Verfahren im eigenen Kontaktformular tatsächlich bedienen lässt.

Ein automatisierter Scan ersetzt diesen manuellen Test nicht vollständig, liefert aber einen ersten Hinweis, ob das eingebundene Skript grundlegende Zugänglichkeitsprobleme verursacht.

Sinnvoll ist außerdem, den gewählten Schutzmechanismus nicht isoliert zu betrachten, sondern als Teil des gesamten Formularerlebnisses zu testen – von der ersten Eingabe bis zur Bestätigungsmeldung nach dem Absenden.

Hinweis: Dieser Beitrag bietet allgemeine technische Orientierung zu Bot-Schutzverfahren und ersetzt keine individuelle Sicherheits- oder Rechtsberatung.

Häufig gestellte Fragen