Schritt für Schritt

So funktioniert CaptchaCore.

Adaptive Risk Engine, Proof of Work, Verhaltensanalyse und Threat Intelligence arbeiten zusammen — unsichtbar für Menschen, unlösbar für Bots.

Live · echter SHA-256 in Ihrem Browser

nonce—

versuche0

hash—

zeit—

Sie kommen aus dem Widget?

Kurz erklärt: was gerade passiert ist

Eine Website, die Sie besucht haben, prüft mit CaptchaCore, ob eine Anfrage von einem Menschen oder von einem Bot kommt. Sie mussten dafür keine Ampeln anklicken und keine Zeichen entziffern — die Prüfung lief im Hintergrund.

Datenschutz-Center öffnen

Keine Cookies0 Cookies

Die Prüfung setzt kein Cookie und kein Werbe-Pixel und speichert nichts im Browser. Nichts wird über Websites hinweg zusammengeführt.

Keine Rohdatennur Kennzahlen

Mausbewegung und Tipp-Rhythmus werden im Browser zu Kennzahlen verdichtet. Der Server erhält nur diese Werte, nie die Bewegungen selbst.

Server in DeutschlandDE

Verarbeitung ausschließlich auf Servern in Deutschland, IP-Adressen werden gekürzt gespeichert. Keine Übermittlung in die USA.

Eine Verifikation, vier Stationen

Was zwischen Seitenaufruf und Absenden passiert

Station anklicken — rechts sehen Sie, was das Widget und der Server in diesem Moment tatsächlich austauschen.

Widget ↔ Server● 1/4

GET /api/v2/challenge · 41 ms

Adaptive Policy empfangen

profil: login pow: sha-256 · 4 nonce: EdDSA-signiert ttl: 300 s

Das 16-KB-Widget lädt — noch ist nichts passiert, kein Cookie gesetzt.

Der Ablauf

7 Schritte in unter 300ms

0116 KB

Seite lädt

Das V2-Widget (16 KB gzip) wird asynchron geladen — blockiert weder Rendering noch Interaktion. Kein Framework, keine Dependencies.

02adaptiv

Challenge-Policy

Der Server sendet eine adaptive Policy: Challenge-Typ, Schwierigkeit, Site-Profil, UAM-Level — kryptographisch signiert mit EdDSA.

03~200ms

Proof of Work

Der Browser löst eine SHA-256-Rechenaufgabe im WebWorker — der UI-Thread bleibt frei, der Nutzer merkt nichts. Die Schwierigkeit passt sich an.

04parallel

Verhalten & Umgebungsmerkmale

Mausentropie, Tipp-Rhythmus, Touch-Events plus Canvas-Timing, Software-Rendering, rAF-Cadence, Storage-APIs — entlarvt auch getarnte Headless-Browser. Nur verdichtete Kennzahlen, keine Rohdaten.

05EdDSA

Token + Bindings

PoW-Lösung + Behavioral Scores + signierte Bindings (Origin, Site, Form-Typ) werden zum V2-Token zusammengefügt. Kein Cross-Site-Replay möglich.

06<50ms

Adaptive Risk Engine

Profilbasierte Bewertung: Login strenger als Kontaktformular. Umfangreiches IP-Archiv (täglich mehrfach aktualisiert), Kampagnenerkennung, Confidence Score, Reason Codes.

07Score 0-100

Entscheidung

allow, challenge, step_up oder block — abhängig von Site-Profil und Form-Policy. 4-stufiger Under-Attack-Mode eskaliert automatisch.

Schicht 1

Proof of Work

Jeder Browser muss eine Rechenaufgabe lösen, bevor das Formular abgesendet werden kann. Für einen einzelnen Menschen unmerklich (~200ms), für Bot-Fluten mit tausenden Anfragen pro Sekunde unbezahlbar.

WebWorker — blockiert nie den UI-Thread

SHA-256, bei erhöhtem Risiko mit höherer Schwierigkeit

Schwierigkeit dynamisch per Site-Profil + Under-Attack-Level

Nonce: Single-Use, EdDSA-signiert, kein Replay möglich

Proof of Work — SHA-256Schwierigkeit

Ø Versuche

—

1 Mensch

—

1 Mio. Bot-Requests

—

Millisekunden für einen Browser — teuer für eine Bot-Farm mit Millionen Requests.

Was der Browser lädt (gzip)

Widget

16 KB

Rechen-Worker

1,3 KB

Cookies

0

Schicht 2

Verhaltensanalyse

Während der Nutzer das Formular ausfüllt, sammelt das Widget passiv Verhaltens-Metriken. Keine Rohdaten verlassen den Browser — nur aggregierte Scores.

Maus-Entropie

Shannon, 8 Sektoren

Tipp-Rhythmus

Inter-Key-Intervalle

Scroll/Touch

Events, Geschwindigkeit

Focus-Wechsel

Tab-Reihenfolge

Getippte Zeichen

vs. eingefügte

Time-on-Page

Dauer bis Submit

Behavioral Signals — Live

Maus hier bewegen — die Entropie steigt

0

Entropie

0

Rhythmus

0

Events

Risk Engine — Sentinel50 /100 Risk Score

0 — allow30 — challenge60 — block — 100

Noch keine Signalechallenge

Schicht 3

Adaptive Risk Engine

Serverseitig bewertet die Risk Engine alle Signale kontextabhängig — Login wird strenger bewertet als ein Kontaktformular. Site-Profile und Form-Policies steuern die Schwellen individuell.

PoW Behavior Canvas WebGL rAF IP-Archiv User-Agent Env ASN Geo Rate Threat-Intel Kampagnen Profil Confidence

allow

Menschlich, durchlassen — mit Confidence Score und Reason Codes

challenge / step_up

Verdächtig — zusätzliche Interaktions-Prüfung oder erhöhter PoW

block

Bot erkannt — blockieren

Erkennung

Mensch vs. Bot

Echte Menschen erzeugen natürliche Verhaltensmuster. Bots verraten sich durch fehlende oder künstliche Signale.

Mensch

allow

Natürliches Tipp-Muster erkannt

Maus-Entropie2.7 (natürlich)

Tipp-Rhythmus0.68 (variabel)

Time-on-Page12.4s

Env: webdriverfalse

Risk Score4 — allow

Bot (Headless Chrome)

block

Instant-Fill erkannt — kein Tipp-Muster

Maus-Entropie0.0 (keine)

Tipp-Rhythmus0.0 (instant)

Time-on-Page0.2s

Env: webdrivertrue

Risk Score87 — block

Performance

Der gesamte Prozess in <300ms

Widget laden 0ms

16 KB async/defer, kein Blocking

Policy laden ~10ms

Adaptive Challenge-Policy vom Server

PoW lösen ~200ms

SHA-256 im WebWorker

Behavior sammeln parallel

Läuft gleichzeitig zum PoW

Token + Bindings 0ms

EdDSA-signierte Bindings, instant

Risk Engine <50ms

Adaptive Bewertung + IP-Archiv + Threat Intel

0100 ms200 ms300 ms

Der Nutzen

Was das für Ihre Website bedeutet

Technik ist Mittel zum Zweck. Am Ende zählt, dass Ihre Formulare ankommen, Ihre Rechtsabteilung ruhig schläft und niemand ein Bilderrätsel lösen muss.

01

Keine Bilderrätsel, keine Abbrüche

Klassische CAPTCHAs kosten Conversion: Nutzer scheitern an Ampeln und Fahrrädern, Menschen mit Sehbehinderung noch häufiger. CaptchaCore prüft passiv im Hintergrund. Nur bei echtem Verdacht kommt überhaupt eine Interaktion.

Kein Bild-, Text- oder Audio-Rätsel im Normalfall

Bedienbar per Tastatur, Screenreader-tauglich

Der Nutzer klickt maximal eine Checkbox

02

DSGVO ohne Beipackzettel

Keine Übermittlung in die USA, keine Einwilligung im Cookie-Banner, kein Third-Party-Request aus dem Widget. Den Auftragsverarbeitungsvertrag schließen Sie im Kundenkonto elektronisch ab, inklusive PDF für Ihre Akte.

Verarbeitung ausschließlich in Deutschland

AV-Vertrag nach Art. 28 DSGVO per Klick

IP-Adressen gekürzt, feste Löschfristen

03

Angriffe kosten den Angreifer, nicht Sie

Proof of Work dreht die Ökonomie um: Eine einzelne Anfrage ist unmerklich, eine Million Anfragen wird teuer. Bei einer Angriffswelle eskaliert der Under-Attack-Mode automatisch in vier Stufen.

Schwierigkeit steigt mit dem Angriffsdruck

Kampagnenerkennung über Sites hinweg

Mehrfach täglich aktualisiertes IP-Archiv

04

In Minuten integriert

Fertige Plugins für WordPress, WoltLab und Symfony, ein Composer-Paket für Laravel und eine schlanke REST-API für alles andere. Zwei Zeilen Code im Formular, eine Zeile serverseitig zur Prüfung.

WordPress-Plugin mit Auto-Update

Laravel-Middleware und Blade-Komponente

REST-API mit Reason Codes für eigene Logik

Im Vergleich

CaptchaCore, reCAPTCHA und hCaptcha

Die Unterschiede, die im Datenschutzhinweis und in der Ladezeit landen.

Ausführlicher Vergleich mit FriendlyCaptcha →

Kriterium	CaptchaCore	reCAPTCHA	hCaptcha
Sitz des Anbieters	Deutschland (SpeedIT Solutions UG)	USA (Google LLC); im EWR Google Ireland Limited	USA (Intuition Machines, Inc.)
Ort der Verarbeitung	Deutschland	laut Google auf Servern weltweit	laut Datenschutzhinweis in den USA
Cookies durch das Widget	keine	ja, _GRECAPTCHA für die Risikoanalyse	ja, technische Cookies (u. a. Lastverteilung, Sitzung)
Bilderrätsel möglich	nein	ja, je nach Version	ja
Interaktion im Normalfall	keine	je nach Version keine (v3) bis Klick (v2)	Klick; passiver Modus in kostenpflichtigen Tarifen
Begründung der Entscheidung	Reason Codes in jeder Antwort	Begründungscodes mit hinterlegtem Abrechnungskonto	Score-Begründungen in Enterprise

Angaben zu Drittanbietern nach deren öffentlicher Dokumentation, Stand September 2026 — mit allen Quellen im ausführlichen Vergleich. Eine rechtliche Einschätzung geben wir nicht ab.

Häufige Fragen

Was Kunden und Besucher meistens fragen

Muss ich CaptchaCore im Cookie-Banner aufführen?

Das Widget setzt keine Cookies, auch nicht im Under-Attack-Mode, speichert nichts im Browser und lädt nichts von Dritten. Ob Sie CaptchaCore in Ihrer Einwilligungsverwaltung aufführen, entscheiden Sie mit Ihrer Datenschutzberatung. Für Ihre Datenschutzerklärung stellen wir einen fertigen Textbaustein bereit.

Was passiert, wenn ein echter Mensch fälschlich blockiert wird?

Die Risk Engine kennt vier Ausgänge, nicht zwei. Bei Unsicherheit kommt challenge oder step_up, also eine zusätzliche Prüfung, statt einer Blockade. Jede Entscheidung trägt Reason Codes, sodass Sie im Log genau sehen, welches Signal ausschlaggebend war, und die Schwellen pro Formular nachjustieren können.

Funktioniert das ohne JavaScript?

Nein, Proof of Work und Verhaltensanalyse brauchen JavaScript. Für Nutzer ohne JavaScript können Sie pro Formular festlegen, ob abgelehnt oder durchgelassen und protokolliert wird. Ausfälle des Dienstes folgen demselben Prinzip: Sie entscheiden, ob im Zweifel blockiert oder durchgelassen wird.

Wie barrierefrei ist die Prüfung?

Im Normalfall gibt es nichts zu bedienen. Wird eine Interaktion nötig, ist sie per Tastatur bedienbar und für Screenreader ausgezeichnet. Es gibt bewusst keine Bild- oder Audio-Rätsel, an denen Menschen mit Seh- oder Hörbehinderung regelmäßig scheitern.

Welche Daten sehen Sie als Betreiber von CaptchaCore?

Risk Scores, Prüfergebnisse und gesalzene Hashes, dazu die gekürzte IP-Adresse sowie die grobe Browser-, Betriebssystem- und Gerätefamilie. Keine Formularinhalte, keine Mausbewegungen, keine Tastatureingaben. IP-bezogene Angaben werden nach 30 Tagen geleert, die übrige Statistik bleibt je nach Paket 7 bis 365 Tage.

Was kostet das und wie schnell bin ich startklar?

Für private Websites gibt es eine dauerhaft kostenlose Stufe, gewerbliche Pakete starten darüber. Die Integration dauert bei WordPress wenige Minuten: Plugin installieren, Site-Key eintragen, Formulare auswählen. Rechnungen erhalten Sie auf Wunsch als E-Rechnung im ZUGFeRD-Format.

Bereit, es selbst zu sehen?

Probieren Sie die Prüfung in der Live-Demo aus, sehen Sie sich die Preise an oder lesen Sie direkt in der Dokumentation nach, wie die Integration aussieht.

Live Demo testen Preise ansehen Dokumentation

Für private Websites dauerhaft kostenlos · Verarbeitung in Deutschland · AV-Vertrag im Konto