de
Deutsch de English en Español es Français fr
Admin
Datenschutz

reCAPTCHA-Alternative: datenschutzfreundlicher Bot-Schutz aus Deutschland

Aktualisiert am · 6 Min. Lesezeit

Viele Websitebetreiber suchen eine Alternative zu reCAPTCHA — meist, weil sie die Verarbeitung vollständig in der EU halten und ohne Einwilligungsbanner für ein Sicherheitswerkzeug auskommen möchten. Dieser Artikel zeigt, worauf es bei der Auswahl ankommt und wie der Umstieg gelingt.

Worauf es bei der Auswahl ankommt

Ein Captcha verarbeitet personenbezogene Daten — mindestens die IP-Adresse, meist auch Merkmale von Browser und Gerät. Für den Einsatz in Europa lohnt deshalb bei jedem Dienst ein Blick auf diese Punkte:

  • Verarbeitungsort: Findet die Prüfung vollständig in der EU statt, idealerweise in Deutschland — inklusive Auslieferung des Skripts? Dann entfallen Fragen zur Übermittlung in Drittländer.
  • Cookies und Endgerätezugriff: Setzt die Lösung im Normalbetrieb keine Cookies? Das erleichtert die Begründung, dass sie ohne Einwilligung laufen darf (§ 25 TDDDG). Mehr dazu im Artikel Captcha ohne Cookies.
  • Zweckbindung: Werden die Daten ausschließlich für den Bot-Schutz verwendet?
  • Datenminimierung: Werden IP-Adressen gekürzt gespeichert und nach kurzer Frist gelöscht? Bleiben Verhaltensdaten im Browser, statt als Rohdaten übertragen zu werden?
  • Auftragsverarbeitung: Gibt es einen Vertrag nach Art. 28 DSGVO, den Sie ohne Verhandlung abschließen können?

Diese Information ist keine Rechtsberatung — die Bewertung im Einzelfall liegt bei Ihnen und Ihrem Datenschutzbeauftragten.

So setzt CaptchaCore diese Punkte um

  • Verarbeitung in Deutschland auf eigenen Servern, das Widget kommt über den EU-Endpunkt.
  • Keine Cookies im Normalbetrieb und keine Inhalte fremder Dienste im Widget.
  • Nur für den Bot-Schutz: keine Werbung, keine Profile über Websites hinweg.
  • Datensparsam: Verhaltenssignale werden im Browser zu Kennzahlen verdichtet, IP-Adressen gekürzt gespeichert und nach einer einstellbaren Frist gelöscht (Standard: 30 Tage).
  • AV-Vertrag direkt im Kundenbereich abschließbar.

Schutz ohne Bilderrätsel

CaptchaCore prüft im Hintergrund, statt Menschen zu beschäftigen:

  • Proof of Work: Der Browser löst eine kleine Rechenaufgabe. Für einen einzelnen Besucher dauert das Sekundenbruchteile, für einen Bot, der Tausende Anfragen schickt, summieren sich die Kosten. Mehr im Artikel Was ist ein Proof-of-Work-Captcha?
  • Verhaltenssignale: Mausbewegung, Tipprhythmus oder Scrollverhalten unterscheiden Menschen von Skripten.
  • Serverseitige Bewertung: Eine Risk Engine kombiniert die Signale mit Merkmalen der Anfrage und entscheidet: durchlassen, zusätzlich prüfen oder abweisen.

Dazu kommt ein kleines Widget von 16 KB, das nur auf Seiten mit Formular geladen wird — mehr dazu im Artikel Captcha und Ladezeit.

Der Umstieg in der Praxis

Der Wechsel ist meist in wenigen Minuten erledigt, weil sich die Einbindung gängiger Captchas ähnelt: ein Skript im Formular, eine Prüfung des Tokens auf dem Server.

  1. Konto anlegen und eine Site mit Ihrer Domain erstellen — Sie erhalten einen Site-Key und einen geheimen Schlüssel.
  2. Das bisherige Captcha im Formular durch das CaptchaCore-Widget ersetzen. Für WordPress, WooCommerce, WoltLab Suite, Laravel und Symfony gibt es fertige Integrationen, die das übernehmen.
  3. Auf dem Server den Token gegen die CaptchaCore-API prüfen.
  4. Datenschutzerklärung und gegebenenfalls Cookie-Banner an den neuen Dienst anpassen — einen Textbaustein gibt es im Datenschutz-Center.

Für private Websites ist CaptchaCore dauerhaft kostenlos.

Häufige Fragen

Brauche ich für ein Captcha eine Einwilligung?

Das hängt davon ab, ob der Zugriff auf das Endgerät für den Schutz unbedingt erforderlich ist und wofür der Anbieter die Daten nutzt. Ein Captcha, das in der EU verarbeitet, keine Cookies setzt und die Daten ausschließlich zur Bot-Abwehr verwendet, lässt sich deutlich einfacher ohne Einwilligung begründen. Klären Sie den Einzelfall mit Ihrem Datenschutzbeauftragten.

Wie aufwendig ist der Wechsel des Captcha-Dienstes?

Meist wenige Minuten: Widget im Formular tauschen, Token-Prüfung auf dem Server anpassen. Für WordPress, WooCommerce, WoltLab Suite, Laravel und Symfony übernehmen fertige Integrationen beides.

Wie sicher ist CaptchaCore?

CaptchaCore kombiniert Proof of Work, Verhaltenssignale und eine serverseitige Risk Engine; bei Angriffen steigt die Schwierigkeit stufenweise. Entscheidend ist, dass der Token immer auf dem Server geprüft wird — das übernehmen die Integrationen automatisch.