Der Unterschied
Der Vergleich, den Sie nachprüfen können.
Kein Häkchen-Bingo, sondern die Angaben, auf die es bei einer Entscheidung ankommt: wo verarbeitet wird, was der Besucher zu sehen bekommt und wem die Infrastruktur gehört. Alles aus der öffentlichen Dokumentation der Anbieter, mit Stand und Quelle.
Die Entscheidung
Drei Fragen trennen die Anbieter
Alle vier hier verglichenen Dienste halten Bots auf. Der Unterschied liegt darin, was sie dabei von Ihren Besuchern verlangen und wem diese Daten begegnen.
Wo werden die Daten verarbeitet?
Verlässt die IP-Adresse Ihrer Besucher die EU, ist das ein Drittlandtransfer. Wie Sie ihn datenschutzrechtlich einordnen, klären Sie mit Ihrer Datenschutzberatung — eine rechtliche Einschätzung geben wir nicht ab.
Was sieht der Besucher?
Bilderrätsel kosten Conversion und sperren Menschen mit Sehbehinderung aus. Ein Verfahren, das im Normalfall gar keine Interaktion braucht, hat diesen Nachteil nicht.
Wem gehört die Infrastruktur?
Wer die Server selbst betreibt, kann genau sagen, wo Daten liegen. Bei gemieteter Infrastruktur hängt diese Zusage auch am Vorlieferanten.
Die Fakten
Vier Anbieter, 10 belegte Angaben
Statt Haken und Kreuzen stehen hier die tatsächlichen Werte, jeweils mit öffentlicher Quelle. Wo uns keine belastbare Angabe vorliegt, steht „k. A." — geraten wird nicht.
| Angabe | CaptchaCore | reCAPTCHA | hCaptcha | FriendlyCaptcha |
|---|---|---|---|---|
| Anbieter und Datenverarbeitung | ||||
| Sitz des Anbieters | Deutschland (SpeedIT Solutions UG) | USA (Google LLC); im EWR Google Ireland Limited | USA (Intuition Machines, Inc.) | Deutschland (Friendly Captcha GmbH) |
| Ort der Verarbeitung | Deutschland | laut Google auf Servern weltweit | laut Datenschutzhinweis in den USA | laut Anbieter EU, USA und Asien; nur EU in höheren Tarifen |
| Übermittlung in Drittländer | keine bei der Verifikation | möglich (weltweite Server) | ja, auf Basis von Standardvertragsklauseln | je nach Tarif |
| Cookies durch das Widget | keine | ja, _GRECAPTCHA für die Risikoanalyse | ja, technische Cookies (u. a. Lastverteilung, Sitzung) | laut Anbieter keine |
| Vertrag zur Auftragsverarbeitung | elektronisch im Kundenkonto | k. A. | Data Processing Addendum zu den Nutzungsbedingungen | k. A. |
| Was Ihre Besucher erleben | ||||
| Bilderrätsel möglich | nein | ja, je nach Version | ja | nein |
| Interaktion im Normalfall | keine | je nach Version keine (v3) bis Klick (v2) | Klick; passiver Modus in kostenpflichtigen Tarifen | keine |
| Technik und Preis | ||||
| Proof of Work | ja, SHA-256 | k. A. | k. A. | ja |
| Begründung der Entscheidung | Reason Codes in jeder Antwort | Begründungscodes mit hinterlegtem Abrechnungskonto | Score-Begründungen in Enterprise | Risikosignale in Dashboard und API |
| Preismodell | privat kostenlos, gewerblich Netto-Pakete | bis 10.000 Prüfungen im Monat kostenlos, darüber kostenpflichtig | kostenlose Basisstufe, Pro und Enterprise kostenpflichtig | kostenlos für nicht-kommerzielle Nutzung, sonst ab 9 € im Monat |
Zu den Angaben
Zu unserer eigenen Zeile: Challenge, Risk Engine und Datenbank laufen ausnahmslos in Deutschland. Bindet ein Kunde für die Widget-Datei den globalen statt den europäischen Endpunkt ein, wird diese Datei weltweit ausgeliefert — das betrifft nur das Laden des Skripts, nicht die Verifikation.
Stand: September 2026. Die Angaben zu anderen Anbietern stammen aus deren öffentlicher Dokumentation, nicht aus eigenen Messungen. Wir geben keine rechtliche Einschätzung ab — ob ein Dienst für Ihre Website eine Einwilligung erfordert, bewerten Sie mit Ihrer Datenschutzberatung. Ist eine Angabe veraltet oder falsch, sagen Sie uns Bescheid, wir korrigieren sie.
Quellen (9)
- Google · Datenschutzerklärung (Server, EWR-Verantwortlicher)
- reCAPTCHA · FAQ (Cookie _GRECAPTCHA)
- reCAPTCHA · Bewertung auswerten (Begründungscodes)
- reCAPTCHA · Tarifvergleich (Preise)
- hCaptcha · Datenschutzhinweis (Anbieter, Cookies, Verarbeitung, DPA)
- hCaptcha · Preise (Tarife, passiver Modus)
- hCaptcha · Enterprise-Überblick (Score-Begründungen)
- FriendlyCaptcha · Startseite (Rechenzentren, Cookies, Tarife, Risikosignale)
- FriendlyCaptcha · Impressum (Firma, Sitz)
Im Einzelnen
Was die anderen gut machen
Ein Vergleich, in dem der Wettbewerb nur schlecht aussieht, ist keiner. Deshalb für jeden Anbieter zuerst die Stärke und dann, worauf Sie achten sollten — beides mit den Angaben aus der Tabelle.
Google reCAPTCHA
Der Marktführer
Stärke
Weit verbreitet und überall dokumentiert: Nahezu jedes CMS unterstützt es. Bis 10.000 Prüfungen im Monat ist es kostenlos, und mit hinterlegtem Abrechnungskonto nennt die Antwort Begründungscodes.
Worauf Sie achten sollten
Google verarbeitet laut eigener Datenschutzerklärung auf Servern weltweit und setzt für die Risikoanalyse das Cookie _GRECAPTCHA. Je nach Version sehen verdächtige Besucher ein Bilderrätsel.
hCaptcha
Die Alternative mit Bezahlmodell
Stärke
Die Integration ähnelt reCAPTCHA, der Umstieg ist entsprechend kurz. Es gibt eine kostenlose Basisstufe, einen passiven Modus in den kostenpflichtigen Tarifen und Score-Begründungen in Enterprise.
Worauf Sie achten sollten
Der Anbieter sitzt in den USA und verarbeitet laut Datenschutzhinweis dort, auf Basis von Standardvertragsklauseln. Das Widget setzt technische Cookies, und bei Verdacht erscheinen Bilderrätsel.
FriendlyCaptcha
Der nächste Verwandte
Stärke
Deutscher Anbieter, Proof of Work statt Bilderrätsel, laut Anbieter keine Cookies, kostenlos für nicht-kommerzielle Nutzung und Risikosignale in Dashboard und API. Von allen hier verglichenen Diensten ist das der Ansatz, der unserem am nächsten kommt.
Worauf Sie achten sollten
Laut Anbieter stehen die Rechenzentren in der EU, den USA und Asien; ausschließlich in der EU wird erst in höheren Tarifen verarbeitet. Bei uns läuft die Verifikation in jedem Paket in Deutschland, und der Vertrag zur Auftragsverarbeitung lässt sich direkt im Konto abschließen.
Ehrlich bleiben
Wann ein anderer Anbieter besser passt
Sie brauchen JavaScript-freien Betrieb
Proof of Work und Verhaltensanalyse setzen JavaScript voraus. Wenn ein relevanter Teil Ihrer Nutzer ohne JavaScript unterwegs ist, brauchen Sie einen serverseitigen Schutz, etwa eine Honeypot-Lösung oder eine Prüfung auf Ebene der Firewall.
Sie wollen genau ein Konto für alles
Wer sein CAPTCHA zusammen mit CDN, WAF und DNS bei einem einzigen Anbieter bündeln möchte, ist bei einer Plattform besser aufgehoben, die all das aus einer Hand liefert. Wir machen eine Sache.
Sie stehen unter US-Vertragsrecht
Wenn Ihr Konzern die Auftragsverarbeitung ausschließlich nach US-Recht regelt und ein deutscher Vertragspartner Mehraufwand bedeutet, ist ein US-Anbieter für Sie schlicht der kürzere Weg.
Der Wechsel
Umstieg in drei Schritten
Ein Wechsel des CAPTCHAs ist kein Projekt, sondern ein Nachmittag. Sie brauchen keine Ausfallzeit und können beides parallel laufen lassen, bis Sie zufrieden sind.
Site anlegen
Im Konto eine Site mit Ihrer Domain anlegen und den Schlüssel kopieren. Das dauert eine Minute und kostet in der Testphase nichts.
Formulare umstellen
Bei WordPress, WoltLab, Symfony oder Laravel übernimmt das ein Plugin beziehungsweise ein Paket. Sonst zwei Zeilen im Formular und eine Zeile serverseitig zur Prüfung.
Alten Dienst entfernen
Erst wenn die Verifikationen sauber durchlaufen, fliegen das alte Skript und der zugehörige Absatz aus der Datenschutzerklärung. Einen fertigen Textbaustein für den neuen liefern wir mit.
Am besten selbst vergleichen
Die Live-Demo zeigt die Prüfung aus Besuchersicht, inklusive simuliertem Bot-Angriff. Danach wissen Sie, worüber diese Tabelle eigentlich spricht.
Für private Websites dauerhaft kostenlos · Verarbeitung in Deutschland · AV-Vertrag im Konto