Made in Germany · DSGVO-konform · Kein Tracking

Bot Defense.
Made in Germany.

Die CAPTCHA-Alternative ohne Tracking, ohne Cookies, ohne Datenübertragung in Drittländer. Proof of Work + Verhaltensanalyse — betrieben auf unseren Servern in Deutschland.

DSGVO Art. 25 Kein Tracking Keine Cookies <200ms Latenz <13 KB Widget Hosting DE

So funktioniert's

Drei Schritte. Null Friction.

Echte Menschen merken nichts. Bots scheitern an mehreren Schichten gleichzeitig.

01

Widget + Adaptive Policy

Das V2-Widget (15 KB) holt eine adaptive Challenge-Policy vom Server — Schwierigkeit, Challenge-Typ und Profil werden per Site und Formular gesteuert.

02

PoW + Verhaltensanalyse

SHA-256 oder Memory-Hard PoW im WebWorker. Parallel: Mausentropie, Tipp-Rhythmus, Scroll-Verhalten werden passiv erfasst — nur Scores, keine Rohdaten.

03

Adaptive Risk Engine

Kontextabhängige Bewertung: Login strenger als Kontaktformular. IP-Archiv, Kampagnenerkennung, Confidence Score. Antwort in unter 50ms.

Mehrschichtige Sicherheit

5 Schutzschichten. Kein Single Point of Failure.

Layer 1: Proof of Work

SHA-256 oder Memory-Hard Argon2 (GPU-resistent) — jeder Client muss Rechenarbeit leisten. Schwierigkeit wird dynamisch per Site-Profil und Under-Attack-Level gesteuert. Nonces EdDSA-signiert, Single-Use.

Layer 2: Behavioral & Environment Fingerprint

Maus-Entropie, Tipp-Rhythmus, Scroll/Touch/Focus, Canvas-Timing, WebGL-Renderer, requestAnimationFrame-Cadence, OfflineAudioContext, Storage-APIs — entlarvt selbst getarnte Headless-Browser (Puppeteer Stealth, Playwright). Privacy by Design, nur Scores.

Layer 3: Adaptive Risk Engine

Kontextabhängige Bewertung: Login wird strenger bewertet als ein Kontaktformular. Site-Profile, Form-Policies, Confidence Score und Reason Codes. IP-Reputation, ASN, User-Agent, Env-Fingerprint — alles gewichtet nach Profil.

Layer 4: Threat Intelligence

Umfangreiches IP-Archiv risikoreicher Adressen, täglich mehrfach aktualisiert. Automatische Kampagnenerkennung bei koordinierten Angriffen. Auto-Learning aus blockierten Mustern mit Score-Decay.

Layer 5: Under-Attack-Mode

4-stufiger Under-Attack-Mode (Level 0–3). Automatische Eskalation basierend auf Block-Rate. Memory-Hard PoW und Interaction Step-Up bei erhöhtem Risiko. HMAC-signierte Access-Cookies pro Level.

Drei Modi

Passend für jedes Formular

Vom unsichtbaren Schutz bis zur klassischen Checkbox — du entscheidest, wie viel deine Nutzer sehen.

Interactive

Empfohlen

Widget sichtbar, Checkbox setzt sich automatisch wenn genug menschliche Interaktion erkannt wird (Tippen, Maus, Scrollen). Kein Klick nötig. Fallback: Nutzer kann auch manuell klicken.

data-captchacore="interactive"

Visible

Checkbox muss manuell geklickt werden. Wie reCAPTCHA, aber auf deinem Server. Löst PoW beim Klick aus. Gut für Formulare mit hoher Sicherheitsanforderung.

data-captchacore="visible"

Invisible

Kein UI. PoW löst komplett im Hintergrund. Ideal für Login-Formulare oder Seiten, wo das Widget stören würde. Blockiert Submit bis Token bereit.

data-captchacore="invisible"

Features

Gebaut für Datenschutz & Performance

Hosting in Deutschland

Betrieben auf unseren eigenen Servern in Deutschland. Keine Datenübertragung in Drittländer. Auf Wunsch auch Self-Hosting auf deinem eigenen Server möglich.

DSGVO-konform

Keine Cookies, kein Tracking, keine Rohdaten. Rolling-Salt IP-Hashing (6h Rotation), getrennte Betriebs-/Sicherheitslogs mit strikten Aufbewahrungsfristen.

Sub-200ms Verifikation

Risk Engine antwortet in unter 50ms. PoW-Lösung in 200ms. Widget-Bundle nur 15 KB gzip. Kein UI-Blocking dank WebWorker.

Proof of Work (SHA-256)

Hashcash-Prinzip. Schwierigkeit 2–6 konfigurierbar. Nonce Single-Use via Redis mit TTL. WebWorker löst im Hintergrund.

Behavioral & Env-Fingerprint

Maus, Tipp-Rhythmus, Touch, Paste, Canvas-Timing, WebGL-Renderer, rAF-Cadence, Storage-APIs. Erkennt auch getarnte Headless-Browser. Aggregiert, keine Rohdaten.

Under-Attack-Mode

4-stufiger Under-Attack-Mode. Automatische Eskalation und De-Eskalation. Level-spezifische Access-Cookies.

Auto-Learning

Threat Intelligence lernt stündlich aus blockierten Mustern. IP-Ranges, UA-Patterns und Verhaltens-Anomalien werden automatisch erkannt.

Widget anpassbar

Theme (Light/Dark/Auto), Akzentfarbe, Label, Branding, Größe — alles pro Site konfigurierbar im Admin-Panel.

Admin-Dashboard

Analytics, Verifikations-Logs, Threat-Metriken, Site-Verwaltung, API-Key-Rotation, User-Management, Audit-Trail. Filament 5.

Integration

In 5 Minuten eingebunden

WordPress-Plugin, Laravel-Paket, Symfony-Bundle oder einfach per Script-Tag — CaptchaCore passt sich deinem Stack an.

<!-- 1. Script einbinden -->
<script src="https://src-eu.captchacore.eu/widget/captchacore-v2.min.js"
        data-service-url="https://api.captchacore.eu"
        data-site-key="cc_pub_dein_key"
        async defer></script>

<!-- 2. Formular mit data-captchacore Attribut -->
<form data-captchacore="interactive" method="post">
    <div data-captchacore-widget></div>
    <button type="submit">Absenden</button>
</form>

<!-- 3. Server-seitig Token verifizieren -->
POST https://api.captchacore.eu/api/v2/verify
Header: X-CaptchaCore-Key: cc_sec_dein_secret
Body:   { "token": "...", "form_type": "contact" }
// 1. Repository in composer.json eintragen
"repositories": [{"type":"composer", "url":"https://captchacore.eu/packages"}]

// 2. Paket installieren
composer require captchacore/laravel

// 3. .env konfigurieren
CAPTCHACORE_URL=https://captchacore.eu
CAPTCHACORE_SITE_KEY=cc_pub_dein_key
CAPTCHACORE_SECRET_KEY=cc_sec_dein_secret

// 3. Blade-Component im Formular
<x-captchacore::widget />

// 4. Middleware auf Route
Route::post('/register', RegisterController::class)
    ->middleware('captchacore:register');
// 1. Repository in composer.json eintragen
"repositories": [{"type":"composer", "url":"https://captchacore.eu/packages"}]

// 2. Bundle installieren
composer require captchacore/captchacore-bundle

// 3. .env konfigurieren
CAPTCHACORE_URL=https://api.captchacore.eu
CAPTCHACORE_SITE_KEY=cc_pub_dein_key
CAPTCHACORE_SECRET_KEY=cc_sec_dein_secret

// 4. FormType im Formular — oder Attribute / Validator / Twig
$builder->add('captcha', CaptchaCoreType::class, [
    'form_type' => 'contact',
]);

// Alternativ: #[RequiresCaptcha] auf der Controller-Action
#[RequiresCaptcha(formType: 'contact')]
public function submit(Request $request): Response { /* ... */ }
// 1. Plugin hochladen unter Plugins > Installieren

// 2. Unter Einstellungen > CaptchaCore konfigurieren:
Service-URL:  https://captchacore.eu
Site Key:     cc_pub_dein_key
Secret Key:   cc_sec_dein_secret

// 3. Formulare aktivieren (Checkboxen):
 Login      Registrierung
 Kommentare   Passwort vergessen
 Formidable Forms

// Kein Code nötig. Fertig.

Vergleich

CaptchaCore vs. Marktstandard

CaptchaCore reCAPTCHA hCaptcha Friendly
Hosting in Deutschland
DSGVO ohne Aufwand teilw.
Kein Tracking
Kein Cookie
Keine US-Datenübertragung
Proof of Work
Behavioral Analysis
Threat Intelligence
Under-Attack-Mode
Admin-Dashboard
Widget anpassbar teilw.
Self-Hosting auf Anfrage

Datenschutz

Privacy by Design. Nicht als Nachgedanke.

Keine Third-Party-Requests

Das Widget kommuniziert ausschlie&szlig;lich mit unseren Servern in Deutschland. Kein Google, kein US-Dienst, kein externes CDN.

IP-Anonymisierung

Letztes Oktett (IPv4) bzw. letzte 64 Bit (IPv6) werden vor dem Speichern entfernt. Konfigurierbar.

Konfigurierbare Log-Retention

Standard: 30 Tage. Automatische Bereinigung per Cron. Kann auf 7 Tage oder 90 Tage gesetzt werden.

Keine Rohdaten

Mausbewegungen, Tastaturanschläge und Touch-Events werden lokal aggregiert. Nur Scores und Hashes verlassen den Browser.

Keine persistenten Cookies

Nur im Under-Attack-Mode: kurzlebiges HMAC-signiertes Cookie (30 Min). Sonst: keine Cookies.

DSGVO Art. 25

Datenminimierung als technischer Standard. Nicht als Feature-Toggle, sondern als Architekturentscheidung.

Technische Details

Unter der Haube

Stack

BackendLaravel 13 + PHP 8.4
AdminFilament 5
WidgetVanilla JS (0 Dependencies)
Cache/QueueRedis
DatenbankMySQL 8+ / MariaDB 11+
PoW AlgoSHA-256 (Hashcash)

Performance

V2 Widget15 KB gzip
PoW Worker1.3 KB gzip
Memory-Hard Worker0.5 KB gzip
PoW Lösung (d=4)~200ms median
Verify Latenz<50ms
Token-SigningEdDSA (Ed25519)
Nonce TTL5 Minuten (Redis)
Token Expiry5 Min (auto-renew)

Globale Infrastruktur

Widget-Auslieferung über Edge-Netzwerk

Das CaptchaCore-Widget wird über das EU-CDN ausgeliefert — wahlweise EU-only (DSGVO) oder weltweit.

Edge-Netzwerk

EU-CDN-Provider mit Sitz in der EU

114 PoPs
EU-only (Standard) DSGVO 35 PoPs
src-eu.captchacore.eu — Keine Drittlandübertragung
Global (optional) 114 PoPs
src.captchacore.eu — Weltweite Latenz-Optimierung

EU-only (Standard)

DSGVO

Widget wird ausschließlich über europäische Server ausgeliefert. Keine Datenübertragung in Drittländer.

src-eu.captchacore.eu

24+ Edge-Standorte in Europa:

Deutschland (Primary), Österreich, Schweiz, Niederlande, Belgien, Frankreich, Großbritannien, Irland, Spanien, Portugal, Italien, Schweden, Norwegen, Dänemark, Finnland, Polen, Tschechien, Rumänien, Bulgarien, Griechenland, Kroatien, Serbien, Slowenien, Ungarn

Global (optional)

Alle EU-Standorte plus zusätzliche Edge-Server weltweit für minimale Latenz bei internationalem Publikum.

src.captchacore.eu

100+ Edge-Standorte weltweit:

Europa: Alle 24+ EU-Standorte

Nordamerika: New York, Washington, Chicago, Dallas, Los Angeles, Seattle, Miami, Atlanta, Toronto, Montreal

Südamerika: São Paulo, Buenos Aires, Bogotá, Lima, Santiago

Asien-Pazifik: Singapur, Hongkong, Tokio, Seoul, Mumbai, Delhi, Manila, Osaka, Jakarta

Ozeanien & Naher Osten: Sydney, Melbourne, Auckland, Dubai, Doha, Istanbul

Bereit für Bot Defense
ohne Kompromisse?

Teste CaptchaCore jetzt live oder lies die Dokumentation für die Integration in dein Projekt.