Last updated: 04.10.2026
CaptchaCore — SpeedIT Solutions
Sicherheits-Center
Sicherheit, nachprüfbar.
Wie CaptchaCore Daten schützt, Angriffe abwehrt und verfügbar bleibt — mit den Werten, die im Dienst tatsächlich eingestellt sind.
Wir orientieren uns an deutschen und europäischen IT-Sicherheitsstandards. Eine Zertifizierung besteht nicht; was hier steht, können Sie zum Teil direkt im Browser nachprüfen.
This page is legally binding only in its German version.
Under-Attack-Mode
Vier Stufen, automatisch eskaliert
Automatische Eskalation und De-Eskalation nach der aktuellen Bedrohungslage. Ab Stufe 2 zeigt das Widget eine Klick-Prüfung; Cookies setzt der Under-Attack-Mode nicht.
L0Normalbetrieb
- Standard-PoW und Verhaltensanalyse
Auslöser
Kein Angriff erkannt
Cookies
keine
L1Erhöht
- PoW-Schwierigkeit +1
Auslöser
Ab 50 % Blockrate in 5 Minuten (mind. 10 Anfragen)
Cookies
keine
L2Hohe Alarmstufe
- PoW-Schwierigkeit +2
- Klick-Prüfung im Widget bei verdächtigen Anfragen
Auslöser
Ab 70 % Blockrate in 5 Minuten (mind. 10 Anfragen) oder 10 Minuten auf Stufe 1
Cookies
keine
L3Maximale Abwehr
- PoW-Schwierigkeit +2
- Klick-Prüfung im Widget für alle Anfragen
Auslöser
Ab 85 % Blockrate in 5 Minuten (mind. 10 Anfragen) oder 15 Minuten auf Stufe 2
Cookies
keine
Maßnahmen
Technisch und organisatorisch
Verschlüsselung
TLS 1.2/1.3 für jede Verbindung zwischen Browser, Widget und API
HSTS mit einem Jahr Laufzeit, includeSubDomains und Preload
Ed25519-Signaturen binden Challenges an Site und Herkunft; manipulierte oder fremd wiederverwendete Tokens werden abgewiesen
IP-Adressen in der Datenbank nur gekürzt und als SHA-256-Hash mit zufälligem Salt, der alle 6 Stunden wechselt und nur im Cache liegt
Proof of Work & Nonces
Nonces aus
random_bytes(32), also 256 Bit ZufallEinmal verwendbar: nach der Prüfung atomar gelöscht, ohne Zeitfenster für Race Conditions
Gültig für 5 Minuten, danach verworfen
SHA-256, im Angriffsfall mit höherer Schwierigkeit — die ausgegebene Stufe wird beim Verify erzwungen
API-Schlüssel
Secret Keys liegen nur als SHA-256-Hash in der Datenbank
Anzeige genau einmal beim Erstellen, keine Wiederherstellung
Rotation mit 24 Stunden Übergangszeit, in der der alte Schlüssel noch gilt
Eigenes Schlüsselpaar (Public + Secret) für jede Site
Adaptive Risk Engine
Vier Schutzprofile von „Low Friction“ bis „High Security“
Formular-Richtlinien: ein Login wird strenger bewertet als ein Kontaktformular
Confidence-Wert 0,0–1,0 zeigt, wie viele Signale die Entscheidung tragen
Reason Codes begründen jede Entscheidung maschinenlesbar
IP-Reputation
Listen risikoreicher IP-Adressen und Netze (IPv4 + IPv6), täglich aktualisiert
Kampagnenerkennung für koordinierte Angriffswellen anhand gemeinsamer Muster
Stündliches Nachlernen aus blockierten Anfragen; gelernte Muster verlieren automatisch an Gewicht und werden spätestens nach 30 Tagen ohne neue Auffälligkeit gelöscht
Hosting
Eigene Server in Deutschland (SpeedIT Solutions), keine US-Cloud
Zugang nur per SSH-Schlüssel, kein Passwort-Login
Firewall: nur HTTPS (443) offen, Port 80 leitet auf HTTPS um
Tägliches Datenbank-Backup, 14 Tage lokal aufbewahrt; Wiederherstellung wöchentlich automatisch geprüft
Webserver-Protokolle enthalten nur die gekürzte IP und werden nach 14 Tagen gelöscht
Rate Limiting
Challenge: höchstens 300 Anfragen pro Minute und IP-Adresse
Verify: höchstens 600 Anfragen pro Minute und Site-Schlüssel — so sperrt sich Ihr eigener Server bei viel Verkehr nicht aus
Zusätzliche Begrenzung auf Webserver-Ebene
Schutz der Kundenkonten
Login: nach 5 Fehlversuchen 15 Minuten Pause, gezählt pro Konto und pro IP-Adresse
Zwei-Faktor-Anmeldung per Authenticator-App oder Passkey
Höchstens 5 Code-Versuche pro Anmeldesitzung
Anmeldung mit Passkeys (WebAuthn) ohne Passwort möglich
Security Headers
Content-Security-PolicyNonce-basiert, keine Inline-Handler
Strict-Transport-SecurityHSTS mit Preload
X-Frame-OptionsSchutz vor Clickjacking
X-Content-Type-Optionskein MIME-Sniffing
Referrer-Policystrict-origin-when-cross-origin
Permissions-PolicyStandort, Kamera, Mikrofon aus
Verfügbarkeit
Fail-Open
Standard
Ist der Dienst gestört, lassen die Integrationen Formulare durch und protokollieren das. Auf Wunsch blockieren sie stattdessen.
Zeitlimit
3 s
Jede Anfrage der Integrationen an CaptchaCore bricht nach spätestens dieser Zeit ab — Ihr Formular hängt nie.
Health-Checks
60 s
Alle Komponenten werden automatisch geprüft; das Ergebnis ist öffentlich auf der Statusseite einsehbar.
Backups
täglich
Datenbank-Sicherung jede Nacht, 14 Tage aufbewahrt; einmal pro Woche wird eine Sicherung zur Probe wiederhergestellt.
Datenfluss im Detail
Was geht wohin?
CaptchaCore trennt strikt zwischen der Auslieferung der Widget-Datei und der Prüfung. Nur die Widget-Datei kommt über das CDN — alle sicherheitsrelevanten Daten bleiben auf unseren Servern in Deutschland.
Browser
Besucher Ihrer Website
2 CDN
nur die Widget-Datei
1 Ihr Server
Formular-Backend
CaptchaCore
Server in Deutschland
Weg
CDN → Browser
Verarbeitung
Nur Auslieferung einer statischen, für alle identischen Datei. Keine Konfiguration, keine Schlüssel, keine Nutzerdaten.
Browser
Besucher Ihrer Website
1 CDN
nur die Widget-Datei
Ihr Server
Formular-Backend
CaptchaCore
Server in Deutschland
2 Weg
Browser ↔ CaptchaCore in Deutschland
Verarbeitung
Direkt, ohne CDN. Die Nonce ist 5 Minuten gültig und nur einmal verwendbar.
Browser
Besucher Ihrer Website
1 CDN
nur die Widget-Datei
Ihr Server
Formular-Backend
2 CaptchaCore
Server in Deutschland
3 Weg
Browser → CaptchaCore (Vorprüfung) · Browser → Ihr Server → CaptchaCore (Verify)
Verarbeitung
Das Token enthält die PoW-Lösung, verdichtete Verhaltenskennzahlen (keine Rohdaten), den User-Agent und technische Umgebungsmerkmale. Die Vorprüfung schickt es direkt aus dem Browser an CaptchaCore, die abschließende Prüfung kommt von Ihrem Server. Kein CDN.
Browser
Besucher Ihrer Website
CDN
nur die Widget-Datei
Ihr Server
Formular-Backend
2 CaptchaCore
Server in Deutschland
1 Weg
CaptchaCore → Ihr Server
Verarbeitung
Risk Score und Entscheidung werden in Deutschland berechnet und gespeichert.
Browser
Besucher Ihrer Website
CDN
nur die Widget-Datei
Ihr Server
Formular-Backend
CaptchaCore
Server in Deutschland
1 Weg
Nur CaptchaCore in Deutschland
Verarbeitung
Vollständig nur zur Prüfung verarbeitet (Reputation und GeoIP lokal, Rate-Limits); gespeichert nur gekürzt und als Hash mit Salt. Die Prüfung läuft nie über das CDN. Nach 30 Tagen werden auch gekürzte IP und Hash entfernt.
Browser
Besucher Ihrer Website
CDN
nur die Widget-Datei
Ihr Server
Formular-Backend
CaptchaCore
Server in Deutschland
Weg
keine
Verarbeitung
Keine — weder im Normalbetrieb noch im Under-Attack-Mode. Das Widget speichert auch nichts im Browser.
CDN-Infrastruktur
Europäischer Anbieter, nur für die Widget-Datei
Die Widget-Datei wird über das Edge-Netzwerk von bunny.net ausgeliefert, einem Anbieter mit Sitz in Slowenien. Sie wählen pro Einbindung den Endpunkt.
Standard
src-eu.captchacore.eu
Auslieferung ausschließlich über CDN-Standorte in Mitgliedstaaten der EU — keine Übermittlung in Drittländer.
Deutschland · Österreich · Bulgarien · Dänemark · Finnland · Frankreich · Griechenland · Irland · Italien · Kroatien · Lettland · Litauen · Luxemburg · Niederlande · Polen · Portugal · Rumänien · Schweden · Slowakei · Slowenien · Spanien · Tschechien · Ungarn · Zypern
optional
src.captchacore.eu
Alle 119 Standorte des Anbieters weltweit (laut bunny.net/network) für Websites mit internationalem Publikum; die Übermittlung ist über Standardvertragsklauseln abgesichert.
Nur statische Dateien: keine API-Kommunikation, keine dynamischen Daten, keine Cookies
DDoS-Schutz an allen Edge-Standorten
TLS 1.2/1.3 auf allen Edge-Servern
SHA-256-Prüfsumme bei jedem Deploy, abweichende Dateien werden nicht ausgeliefert
Kurzer Cache (5 Minuten, must-revalidate), damit Updates schnell ankommen
Sicherheitslücke gefunden?
Bitte melden Sie sie verantwortungsvoll. Wir nehmen jede Meldung ernst und antworten innerhalb von 48 Stunden.