Made in Germany · Keine Cookies · Kein Tracking

Bot Defense.
Made in Germany.

Die CAPTCHA-Alternative ohne Tracking, ohne Cookies und ohne Bilderrätsel. Proof of Work und Verhaltensanalyse, verarbeitet auf unseren eigenen Servern in Deutschland.

Live Demo Dokumentation

Für private Websites dauerhaft kostenlos. Preise für gewerbliche Nutzung · Vergleich mit reCAPTCHA

Vorschau · so erscheint das Widget in Ihren Formularen

Proof-of-Work im Hintergrund

API-Antwortzeit messe …

Cookies gesetzt 0

Übertragen nur Kennzahlen

Score-Details in der Demo ansehen →

DSGVO Art. 25 Kein Tracking Keine Cookies Verify unter 50 ms 16 KB Widget Server in Deutschland

Quickstart

In 5 Minuten live — auf Ihrer Plattform

1 In WordPress unter Plugins → Installieren nach „CaptchaCore" suchen — oder das Plugin im Kundenbereich herunterladen
2 Unter Einstellungen → CaptchaCore Site-Key & Secret eintragen
3 Fertig — Login, Registrierung, Kommentare, Elementor & Formidable sind geschützt

Direkt loslegen Im WordPress-Verzeichnis öffnen Kostenlosen Site-Key holen →

composer + .env

# composer.json: Repository https://captchacore.eu/packages
composer require captchacore/laravel
# .env
CAPTCHACORE_URL=https://api.captchacore.eu
CAPTCHACORE_SITE_KEY=cc_pub_…
CAPTCHACORE_SECRET_KEY=cc_sec_…
# Formular + Route
<x-captchacore::widget form-type="contact" />
Route::post('/kontakt', …)->middleware('captchacore:contact');

config/packages/captchacore.yaml

# composer.json: Repository https://captchacore.eu/packages
composer require captchacore/captchacore-bundle
# config/bundles.php
CaptchaCore\SymfonyBundle\CaptchaCoreBundle::class => ['all' => true],
# .env: CAPTCHACORE_URL=https://api.captchacore.eu
# config/packages/captchacore.yaml
captchacore:
    service_url: '%env(CAPTCHACORE_URL)%'
    site_key: '%env(CAPTCHACORE_SITE_KEY)%'
    secret_key: '%env(CAPTCHACORE_SECRET_KEY)%'

index.html

<!-- vor </body> -->
<script src="https://src-eu.captchacore.eu/widget/captchacore-v2.min.js"
        data-service-url="https://api.captchacore.eu"
        data-site-key="cc_pub_…" defer></script>
<!-- im Formular -->
<div data-captchacore-widget></div>
<!-- Server: Token prüfen (X-CaptchaCore-Key = Secret) -->
POST https://api.captchacore.eu/api/v2/verify

So funktioniert's

Drei Schritte. Null Friction.

Echte Menschen merken nichts. Bots scheitern an mehreren Schichten gleichzeitig.

01

Widget + Adaptive Policy

Das V2-Widget (16 KB) holt eine adaptive Challenge-Policy vom Server — Schwierigkeit, Challenge-Typ und Profil werden per Site und Formular gesteuert.

02

PoW + Verhaltensanalyse

SHA-256-PoW im WebWorker. Parallel: Mausentropie, Tipp-Rhythmus, Scroll-Verhalten werden passiv erfasst — nur Scores, keine Rohdaten.

03

Adaptive Risk Engine

Kontextabhängige Bewertung: Login strenger als Kontaktformular. IP-Archiv, Kampagnenerkennung, Confidence Score. Antwort in unter 50 ms.

Was zwischen Seitenaufruf und Absenden wirklich passiert, steht Station für Station auf der Seite So funktioniert CaptchaCore.

Mehrschichtige Sicherheit

5 Schutzschichten. Kein Single Point of Failure.

Mensch — passiert alle SchichtenBots — bleiben hängen

Schematische Darstellung — jede Schicht ist einzeln konfigurierbar

L1 · Schicht 1 von 5

Layer 1: Proof of Work

SHA-256 — jeder Client muss Rechenarbeit leisten. Die Schwierigkeit richtet sich nach Site-Profil und Under-Attack-Level und wird serverseitig erzwungen. Nonces EdDSA-signiert, Single-Use.

Die technischen und organisatorischen Maßnahmen hinter diesen Schichten stehen auf der Seite Sicherheit.

Drei Modi

Passend für jedes Formular

Vom unsichtbaren Schutz bis zur klassischen Checkbox — Sie entscheiden, wie viel Ihre Nutzer sehen.

Interactive

Visible

Checkbox muss manuell geklickt werden. Wie bei den bekannten Anbietern, aber ohne deren Datenabfluss. Löst die Rechenaufgabe beim Klick aus. Gut für Formulare mit hoher Sicherheitsanforderung.

data-captchacore="visible"

kein UI · Token im Hintergrund …

Invisible

Kein UI. PoW löst komplett im Hintergrund. Ideal für Login-Formulare oder Seiten, wo das Widget stören würde. Blockiert Submit bis Token bereit.

data-captchacore="invisible"

Features

Gebaut für Datenschutz & Performance

Hosting in Deutschland

Verifikation, Risk Engine und Datenbank laufen auf unseren eigenen Servern in Deutschland. Auf Wunsch betreiben Sie CaptchaCore auch vollständig auf eigener Infrastruktur.

Privacy by Design

Keine Cookies, kein Tracking, keine Rohdaten. Rolling-Salt IP-Hashing (6h Rotation), getrennte Betriebs-/Sicherheitslogs mit strikten Aufbewahrungsfristen.

Sub-200ms Verifikation

Die Risk Engine antwortet in unter 50 ms, die Rechenaufgabe ist nach rund 200 ms gelöst. Das Widget wiegt 16 KB gzip und blockiert dank WebWorker nie die Oberfläche.

Proof of Work (SHA-256)

Hashcash-Prinzip. Schwierigkeit 2–5 konfigurierbar. Nonce Single-Use via Redis mit TTL. WebWorker löst im Hintergrund.

Verhalten & Umgebungsmerkmale

Maus, Tipp-Rhythmus, Touch, Paste, Canvas-Timing, Software-Rendering, rAF-Cadence, Storage-APIs. Erkennt auch getarnte Headless-Browser. Verdichtete Kennzahlen, keine Rohdaten, keine Wiedererkennung.

Under-Attack-Mode

4-stufiger Under-Attack-Mode. Automatische Eskalation und De-Eskalation. Ab Stufe 2 Klick-Prüfung, ohne Cookies.

Auto-Learning

Threat Intelligence lernt stündlich aus blockierten Mustern. IP-Ranges, UA-Patterns und Verhaltens-Anomalien werden automatisch erkannt.

Widget anpassbar

Erscheinungsbild hell, dunkel oder automatisch, dazu Akzentfarbe, Beschriftung, eigenes Branding und Größe — pro Site einstellbar.

Admin-Dashboard

Auswertungen, Verifikations-Logs, Bedrohungslage, Site-Verwaltung, Schlüsselrotation, Benutzerverwaltung und lückenloser Audit-Trail.

Vergleich

CaptchaCore in drei Zahlen

Die drei Angaben, die im Datenschutzhinweis und in der Ladezeit landen. Alles Weitere steht nachprüfbar auf der Vergleichsseite.

Ort der Verarbeitung Deutschland

Jede Prüfung läuft auf eigenen Servern in Deutschland — ohne Drittlandtransfer.

Widget-Größe (gzip) 16 KB

Eine Datei ohne Framework — und nur auf Seiten, die ein Formular haben.

Bilderrätsel keine

Die Prüfung läuft im Hintergrund; bei Verdacht genügt ein kurzer Zusatzschritt statt eines Rätsels.

Alle Angaben im Vergleich, mit Quellen

Datenschutz

Privacy by Design. Nicht als Nachgedanke.

Keine fremden Dienste im Widget

Das Widget spricht ausschließlich mit unserer API in Deutschland. Kein Google, kein Werbenetzwerk, kein Tracker. Die Skriptdatei selbst kommt vom europäischen CDN.

IP-Anonymisierung

Vor dem Speichern entfällt das letzte Oktett bei IPv4 und die letzten 80 Bit bei IPv6; dazu kommt ein Hash mit Salt, der alle 6 Stunden wechselt. Die Kürzung ist immer aktiv.

Feste Löschfristen

IP-bezogene Felder werden nach 30 Tagen geleert, die Statistik ohne Personenbezug bleibt je nach Paket 7 bis 365 Tage. Automatische Bereinigung per Cron.

Keine Rohdaten

Mausbewegungen, Tastaturanschläge und Touch-Ereignisse werden im Browser zu Kennzahlen verdichtet. Nur diese Kennzahlen verlassen das Gerät, keine Rohdaten.

Keine Cookies

Auch im Under-Attack-Mode nicht. Das Widget speichert zudem nichts im Browser — kein localStorage, kein sessionStorage, keine IndexedDB.

DSGVO Art. 25

Datenminimierung als technischer Standard. Nicht als Feature-Toggle, sondern als Architekturentscheidung.

Welche Daten zu welchem Zweck verarbeitet werden, steht im Datenschutz-Center. Den Auftragsverarbeitungsvertrag schließen Sie als Kunde elektronisch im Konto ab.

Technische Details

Die harten Zahlen

Was der Besucher lädt

Widget (V2)16 KB gzip

Worker für SHA-2561,2 KB gzip

Externe Abhängigkeitenkeine

Cookies0

Schriften vom Fremdserverkeine

Verfahren und Laufzeiten

RechenaufgabeSHA-256, Schwierigkeit nach Risiko

Lösungsdauer (Stufe 4)~200 ms im Median

Antwort der Risk Engineunter 50 ms

Signatur der TokenEdDSA (Ed25519)

Nonceeinmalig, 5 Minuten gültig

Token5 Minuten, erneuert sich selbst

Aktuelle Antwortzeiten und den Zustand aller Komponenten zeigt der öffentliche Systemstatus.

Globale Infrastruktur

Widget-Auslieferung über Edge-Netzwerk

Die Widget-Datei liefert ein europäisches CDN aus. Standard ist der EU-Endpunkt; den weltweiten Endpunkt aktivieren Sie nur, wenn Sie ihn brauchen.

24EU-Länder

src-eu.captchacore.eu

Die Widget-Datei wird ausschließlich über CDN-Standorte in Mitgliedstaaten der EU ausgeliefert. Dabei findet keine Übermittlung in Drittländer statt.

DSGVO · kein Drittlandtransfer

EU-Länder

DeutschlandÖsterreichBulgarienDänemarkFinnlandFrankreichGriechenlandIrlandItalienKroatienLettlandLitauenLuxemburgNiederlandePolenPortugalRumänienSchwedenSlowakeiSlowenienSpanienTschechienUngarnZypern

Wichtig für Ihre Datenschutzerklärung: Die Verifikation läuft immer in Deutschland, nur die Auslieferung der Skriptdatei kann weltweit erfolgen. Was das genau bedeutet.

Bereit für Bot Defense ohne Kompromisse?

Probieren Sie die Prüfung in der Live-Demo aus, sehen Sie sich die Preise an oder lesen Sie in der Dokumentation nach, wie die Integration aussieht.

Live Demo testen Preise ansehen Dokumentation lesen

Für private Websites dauerhaft kostenlos · Verarbeitung in Deutschland · AV-Vertrag im Konto

Bot Defense.Made in Germany.