CAPTCHA.

CAPTCHA steht für «Completely Automated Public Turing test to tell Computers and Humans Apart». Die ersten Versionen zeigten verzerrte Buchstaben, später kamen Bilderaufgaben wie «Wählen Sie alle Felder mit Ampeln». Weil Bots solche Aufgaben inzwischen gut lösen und Menschen sie als lästig empfinden, arbeiten moderne Verfahren meist unsichtbar: Sie werten Signale wie Mausbewegungen, Browsermerkmale und Verhalten aus und zeigen nur bei Verdacht eine Aufgabe.

Der Nutzen ist klar: Kontaktformulare, Registrierungen und Kommentarfelder ohne Schutz werden von Bots mit Spam geflutet, Login-Formulare mit automatisierten Passwortversuchen angegriffen. Ein CAPTCHA reduziert diesen Lärm und schützt Systeme vor Missbrauch, etwa wenn ein Formular automatisierte E-Mails auslöst.

Die Nachteile werden oft unterschätzt. Bilderaufgaben sind für Menschen mit Sehbehinderung schwer oder gar nicht lösbar und widersprechen damit den Zielen der Barrierefreiheit. Dienste wie Google reCAPTCHA übertragen Daten der Besucher an den Anbieter, was nach dem Datenschutzgesetz in der Datenschutzerklärung offengelegt werden muss. Und jedes zusätzliche Skript kostet Ladezeit. Jede abgebrochene Anfrage wegen eines unlösbaren Rätsels ist ein verlorener Kunde.

Deshalb lohnt sich ein gestaffelter Ansatz. Für viele KMU-Formulare genügen unsichtbare Massnahmen: ein Honeypot-Feld, das nur Bots ausfüllen, eine minimale Ausfüllzeit, eine serverseitige Prüfung von Eingaben und eine Begrenzung der Anfragen pro IP-Adresse. Erst wenn das nicht reicht, kommt ein datensparsames, unsichtbares CAPTCHA dazu.