Der Unterschied
Kein Häkchen-Bingo, sondern die Angaben, auf die es bei einer Entscheidung ankommt: wo verarbeitet wird, was der Besucher zu sehen bekommt und wem die Infrastruktur gehört. Alles aus der öffentlichen Dokumentation der Anbieter, mit Stand und Quelle.
Die Entscheidung
Alle vier hier verglichenen Dienste halten Bots auf. Der Unterschied liegt darin, was sie dabei von Ihren Besuchern verlangen und wem diese Daten begegnen.
01
Verlässt die IP-Adresse Ihrer Besucher die EU, brauchen Sie eine Rechtsgrundlage für den Drittlandtransfer und im Zweifel eine Einwilligung. Das ist der Punkt, an dem ein CAPTCHA in Ihrem Cookie-Banner landet.
02
Bilderrätsel kosten Conversion und sperren Menschen mit Sehbehinderung aus. Ein Verfahren, das im Normalfall gar keine Interaktion braucht, hat diesen Nachteil nicht.
03
Ein Dienst, der selbst bei einem Hyperscaler mietet, kann nur weitergeben, was sein Vorlieferant zusagt. Wer die Maschinen besitzt, kann verbindlich sagen, wo Daten liegen.
Die Fakten
Statt Haken und Kreuzen stehen hier die tatsächlichen Werte. Wo uns keine belastbare öffentliche Angabe vorliegt, steht „k. A." — geraten wird nicht.
| Angabe | CaptchaCore | reCAPTCHA | hCaptcha | FriendlyCaptcha |
|---|---|---|---|---|
| Datenschutz & Recht | ||||
| Sitz des Anbieters | Deutschland | USA / Irland | USA | Deutschland |
| Ort der Verarbeitung | Deutschland | unter anderem USA | unter anderem USA | Europäische Union |
| Übermittlung in Drittländer | keine bei der Verifikation | ja | ja | keine |
| Cookies durch das Widget | keine | ja | ja | keine |
| Einwilligung in der Praxis | nach unserer Einschätzung nicht nötig | in der Regel nötig | in der Regel nötig | nach Anbieterangabe nicht nötig |
| Abschluss des AV-Vertrags | elektronisch im Kundenkonto | Online-Zusatzbedingungen | Online-Zusatzbedingungen | als Vertragsdokument |
| Was Ihre Besucher erleben | ||||
| Bilderrätsel möglich | nein | ja | ja | nein |
| Interaktion im Normalfall | keine | Klick bis Bilderrätsel | Klick bis Bilderrätsel | keine |
| Widget-Größe (gzip) | 16 KB | ~450 KB | ~65 KB | k. A. |
| Eigenes Branding im Widget | ja | nein | nein | teilweise |
| Technik & Betrieb | ||||
| Proof of Work | ja, SHA-256 und Argon2 | nein | nein | ja |
| Verhaltens- und Umgebungssignale | ja, als Kennzahlen und Hash | ja | ja | k. A. |
| Schutzmodus für die ganze Website | ja, vierstufig | nein | nein | nein |
| Begründung der Entscheidung | Reason Codes in der Antwort | Score ohne Begründung | Score ohne Begründung | k. A. |
| Betrieb auf eigener Infrastruktur | auf Anfrage möglich | nicht vorgesehen | nicht vorgesehen | k. A. |
| Preismodell | privat kostenlos, gewerblich Netto-Pakete | kostenlos mit Limits, Enterprise kostenpflichtig | kostenlos mit Limits, Enterprise kostenpflichtig | kostenpflichtige Pakete |
Zu den Angaben
Zu unserer eigenen Zeile: Challenge, Risk Engine und Datenbank laufen ausnahmslos in Deutschland. Bindet ein Kunde für die Widget-Datei den globalen statt den europäischen Endpunkt ein, wird diese Datei weltweit ausgeliefert — das betrifft nur das Laden des Skripts, nicht die Verifikation.
Stand: September 2026. Die Angaben zu anderen Anbietern stammen aus deren öffentlicher Dokumentation und Datenschutzhinweisen, nicht aus eigenen Messungen. „Einwilligung in der Praxis" ist eine Einschätzung und ersetzt keine Rechtsberatung — die Bewertung für Ihre Website trifft am Ende Ihr Datenschutzbeauftragter. Ist eine Angabe veraltet oder falsch, sagen Sie uns Bescheid, wir korrigieren sie.
Im Einzelnen
Ein Vergleich, in dem der Wettbewerb nur schlecht aussieht, ist keiner. Deshalb hier für jeden Anbieter zuerst die Stärke und dann der Punkt, der für einen Betreiber in Deutschland zur Reibung wird.
Stärke
Die Erkennungsleistung ist stark, weil Google Signale aus einem riesigen Teil des Webs zusammenführt. Die Integration ist überall dokumentiert, jedes CMS kennt sie, und in der kostenlosen Stufe deckt sie kleine Websites vollständig ab.
Wo es für Sie reibt
Genau diese Stärke ist das Problem: Die Erkennung funktioniert, weil Nutzer über Websites hinweg wiedererkannt werden. Für europäische Betreiber bedeutet das Drittlandtransfer, Cookies und in aller Regel eine Einwilligung — plus Bilderrätsel für die Besucher, die als verdächtig gelten.
Stärke
Als Antwort auf reCAPTCHA entstanden, mit vergleichbarer Integration und einem Geschäftsmodell, das nicht auf Werbung beruht. Wer weg von Google will, findet hier den kürzesten Umzugsweg.
Wo es für Sie reibt
Der Anbieter sitzt weiterhin in den USA, das Widget setzt Cookies, und die Bilderrätsel bleiben. Am rechtlichen Grundproblem für europäische Websites ändert der Wechsel wenig.
Stärke
Deutscher Anbieter, Verarbeitung in der EU, Proof of Work statt Bilderrätsel, kein Cookie. Von allen hier verglichenen Diensten ist das der Ansatz, der unserem am nächsten kommt — und ein Beleg dafür, dass es ohne US-Infrastruktur geht.
Wo es für Sie reibt
Die Unterschiede liegen im Detail: Wir betreiben die Hardware selbst statt sie zu mieten, liefern Reason Codes statt nur eines Scores, schützen auf Wunsch die gesamte Website statt einzelner Formulare, erlauben eigenes Branding im Widget und lassen den AV-Vertrag direkt im Konto abschließen. Für private Websites bleiben wir dauerhaft kostenlos.
Ehrlich bleiben
Proof of Work und Verhaltensanalyse setzen JavaScript voraus. Wenn ein relevanter Teil Ihrer Nutzer ohne JavaScript unterwegs ist, brauchen Sie einen serverseitigen Schutz, etwa eine Honeypot-Lösung oder eine Prüfung auf Ebene der Firewall.
Wer sein CAPTCHA zusammen mit CDN, WAF und DNS bei einem einzigen Anbieter bündeln möchte, ist bei einer Plattform besser aufgehoben, die all das aus einer Hand liefert. Wir machen eine Sache.
Wenn Ihr Konzern die Auftragsverarbeitung ausschließlich nach US-Recht regelt und ein deutscher Vertragspartner Mehraufwand bedeutet, ist ein US-Anbieter für Sie schlicht der kürzere Weg.
Der Wechsel
Ein Wechsel des CAPTCHAs ist kein Projekt, sondern ein Nachmittag. Sie brauchen keine Ausfallzeit und können beides parallel laufen lassen, bis Sie zufrieden sind.
01
Im Konto eine Site mit Ihrer Domain anlegen und den Schlüssel kopieren. Das dauert eine Minute und kostet in der Testphase nichts.
02
Bei WordPress, WoltLab, Symfony oder Laravel übernimmt das ein Plugin beziehungsweise ein Paket. Sonst zwei Zeilen im Formular und eine Zeile serverseitig zur Prüfung.
03
Erst wenn die Verifikationen sauber durchlaufen, fliegen das alte Skript und der zugehörige Absatz aus der Datenschutzerklärung. Einen fertigen Textbaustein für den neuen liefern wir mit.
Die Live-Demo zeigt die Prüfung aus Besuchersicht, inklusive simuliertem Bot-Angriff. Danach wissen Sie, worüber diese Tabelle eigentlich spricht.
Für private Websites dauerhaft kostenlos · Verarbeitung in Deutschland · AV-Vertrag im Konto