reCAPTCHA v2 Bildaufgaben – Ampeln identifizieren, Fahrzeuge anklicken – hatten eine simple Prämisse: Maschinen sollen scheitern, Menschen sollen durchkommen. Diese Prämisse gilt nicht mehr. Kommerzielle Solver-Dienste lösen Bildaufgaben für Bruchteile eines Cents pro Anfrage, mit Erfolgsquoten um 90 % und mehr. Was als Schutzwall konzipiert war, ist zum reinen Kostenfaktor für Bot-Betreiber geworden – und zum Ärgernis für echte Nutzer, die dreimal Ampeln anklicken müssen, bevor das Formular abschickt.

Dass reCAPTCHA v2 in der Tabelle weiter unten trotzdem eine solide Bewertung beim Spamschutz bekommt, ist kein Widerspruch: Die Schutzwirkung stammt nicht aus der Bildaufgabe, sondern aus Googles Risikoanalyse, die schon vor dem Klick auf die Checkbox läuft – Mausbewegung, Browser-Fingerabdruck, IP-Reputation, Google-Cookies. Die Bilder erscheinen überhaupt nur, wenn diese Analyse unsicher ist. Genau das ist der Punkt: Was schützt, ist der unsichtbare Teil. Der sichtbare Teil kostet Nutzer Zeit und Barrierefreiheit – und hält die Bots am wenigsten auf.

Verhaltensbasierte Systeme wie reCAPTCHA v3 umgehen das Problem anders: Sie schauen unsichtbar zu, wie jemand auf der Seite navigiert, und vergeben einen Score. Liegt er zu niedrig, kommt die Anfrage nicht durch. Das klingt elegant, hat aber einen strukturellen Haken: Der Score-Schwellenwert muss laufend kalibriert werden. Zu streng, und echte Nutzer landen im Spam-Filter. Zu locker, und gut trainierte Bots kommen durch. Diese Kalibrierung ist kein einmaliges Setup – sie ist Dauerbetrieb.

Das Ergebnis: Keins der populären CAPTCHA-Systeme löst das Problem vollständig. Sie verlagern es bestenfalls. Und weil gleichzeitig Datenschutz und Barrierefreiheit ins Spiel kommen, ist die Auswahl des richtigen Verfahrens heute eine echte Abwägungsfrage.

Spamschutz allein wäre lösbar. Die Herausforderung besteht darin, drei Anforderungen gleichzeitig zu erfüllen, die sich strukturell widersprechen:

Datenschutz und Rechtslage: Sobald ein CAPTCHA-Dienst auf US-Servern läuft, werden Verhaltensdaten, IP-Adressen und teils Cookies dorthin übertragen. reCAPTCHA v2 und v3 gelten nach aktueller Aufsichtspraxis als einwilligungspflichtig. Das bedeutet in der Praxis: Cookie-Einwilligung vor dem Kontaktformular – ein technisches Detail mit spürbarer Wirkung auf die Conversion-Rate. Cloudflare Turnstile ist technisch eleganter, aber ebenfalls ein US-Anbieter mit nicht vollständig offengelegter Signalerhebung. „DSGVO-konform ab Werk“ gilt für keinen der großen Dienste automatisch.

Barrierefreiheit: Seit 28. Juni 2025 gilt in Österreich das Barrierefreiheitsgesetz (BaFG), in Deutschland das Barrierefreiheitsstärkungsgesetz (BFSG) – beide setzen den European Accessibility Act um und nehmen private Anbieter in die Pflicht. Öffentliche Stellen fallen nicht darunter; für sie gilt schon länger das Web-Zugänglichkeits-Gesetz (WZG) beziehungsweise die BITV 2.0 mit WCAG-Pflicht. Bildaufgaben sind die klassische Barriere: Blinde Nutzer können sie nicht lösen, kognitiv eingeschränkte Nutzer scheitern unter Zeitdruck. Der Accessibility-Cookie von hCaptcha ist ein Workaround – er erfordert eine separate Anmeldung bei hCaptcha und hängt daran, dass dieses Cookie im Browser erhalten bleibt: Wer Cookies beim Schließen löscht oder den Tracking-Schutz streng einstellt, steht beim nächsten Formular wieder vor der Bildaufgabe. Was die gesetzlichen Anforderungen für Website-Betreiber konkret bedeuten, erklärt unser Beitrag zum österreichischen Barrierefreiheitsgesetz (BaFG).

Schutzwirkung: Je sichtbarer das CAPTCHA, desto lösbarer für KI-Dienste. Je unsichtbarer, desto mehr Verhaltensdaten werden erhoben – und desto teurer oder abhängiger der Ansatz. Honeypot plus Timing ist gratis und datenschutzseitig unbedenklich, fängt aber nur einfache Massenbots. Ein Verfahren, das alle drei Achsen gleichzeitig auf 10 bringt, existiert nicht.

Zum 2. April 2026 hat Google die rechtliche Einordnung von reCAPTCHA geändert: Statt als eigenständiger Verantwortlicher tritt Google nun als Auftragsverarbeiter auf. Das klingt nach einer Verbesserung – ändert aber nichts an der Datenübertragung in die USA und nichts an der Einwilligungspflicht. Wer reCAPTCHA ohne ausdrückliche Einwilligung einsetzt, riskiert weiterhin Beanstandungen. Das österreichische Bundesverwaltungsgericht hat am 13. September 2024 (GZ W298 2274626-1/8E) festgehalten, dass reCAPTCHA technisch nicht notwendig ist und ohne ausdrückliche Einwilligung gegen die DSGVO verstößt – ausgelöst von einer Beschwerde bei der Datenschutzbehörde. Die französische CNIL kam auf anderem Weg zum selben Ergebnis: Sie sanktionierte den E-Scooter-Anbieter Cityscoot im März 2023 mit insgesamt 125.000 Euro – einer von mehreren Verstößen war, dass reCAPTCHA ohne Einwilligung und ohne ausreichende Information auf Endgeräte zugriff (Art. 82 des französischen Datenschutzgesetzes). Die Einordnung ist also keine österreichische Einzelmeinung.

Zum 2. April 2026 hat Google außerdem kommerziell nachgeschärft: Der kostenlose Rahmen sank von einer Million auf 10.000 Assessments pro Monat, und jede Nutzung setzt seither ein Google-Cloud-Konto mit hinterlegter Zahlungsmethode voraus. Für ein einzelnes Kontaktformular bleibt das in der Praxis gratis – bei Website-Suche, Login oder mehreren Formularen ist die Schwelle schneller erreicht, als es klingt. Wer reCAPTCHA bisher als „kostet ja nichts“ eingeplant hat, sollte diese Rechnung neu aufmachen.

Unabhängig von den Kosten gilt für alle, die reCAPTCHA behalten wollen: Auftragsverarbeitungsvertrag mit Google abschließen, die Datenschutzerklärung auf die neue Rolle umstellen, das Widget erst nach erteilter Einwilligung nachladen – und die Cookie-Banner-Konfiguration prüfen, damit es nicht schon beim Seitenaufruf startet. Wer neu anfängt, hat die Wahl ohnehin nicht mehr frei: Neue Classic-Keys lassen sich seit 2024 nicht mehr anlegen, bestehende Keys wurden inzwischen automatisiert nach Google Cloud migriert.

Für öffentliche Stellen kommt der Druck nicht aus dem BaFG oder BFSG, sondern aus dem Web-Zugänglichkeits-Gesetz (WZG) beziehungsweise der BITV 2.0. Wer Barrierefreiheitsprüfungen unterliegt, kann keine Bildaufgaben im Formular anbieten, ohne einen barrierefreien Fallback zu bauen – was den Aufwand erheblich erhöht und sichtbare CAPTCHAs für diesen Bereich faktisch unbrauchbar macht. Cloudflare Turnstile und Friendly Captcha gelten als deutlich zugänglicher als Bildaufgaben; Cloudflare gibt für Turnstile WCAG-Konformität an, ein unabhängiges Audit liegt aber nicht vor – für prüfpflichtige Stellen bleibt ein eigener Test nötig.

Die datenschutzrechtliche Einordnung von CAPTCHA-Diensten hängt außerdem am Gesamtkontext – ob Cookies gesetzt werden, ob Daten mit anderen Diensten desselben Anbieters verknüpft werden, ob ein Auftragsverarbeitungsvertrag besteht. Wer die DSGVO-Grundlagen für Website-Betreiber auffrischen will, findet einen Überblick in unserem DSGVO-Ratgeber.

Drei typische Konstellationen, drei unterschiedliche Antworten:

Bester Gesamtkompromiss: Cloudflare Turnstile. Gratis ohne Request-Limit (bis 20 Widgets, 7 Tage Analytics inklusive), im Regelfall ohne Nutzerinteraktion, netzwerkgestützt stark im Erkennen von Bot-Traffic – und deutlich barrierefreier als reCAPTCHA. Bezahlt wird mit einem US-Anbieter und einer Signalerhebung, deren Umfang und Speicherdauer Cloudflare nicht vollständig offenlegt. „DSGVO-konform“ gilt nicht automatisch; eine Datenschutz-Prüfung inklusive Auftragsverarbeitungsvertrag bleibt nötig.

Bester Rechtsschutz: ALTCHA self-hosted. Open Source, kein Drittanbieter, keine personenbezogenen Daten; der Anbieter gibt WCAG 2.2 Level AA an. Ob ein Formular am Ende BaFG- beziehungsweise EAA-konform ist, entscheidet sich am Gesamtangebot, nicht am Widget. Die Schutzwirkung stoppt Massenbots zuverlässig, nicht aber gezielte Angriffe. Sinnvollerweise kombiniert mit einem Honeypot-Layer und serverseitigem Rate-Limit – beides kostet keinen Lizenz-Euro. Der Aufwand liegt in der Integrationsarbeit, nicht in laufenden Kosten.

Für öffentliche Stellen (WZG/BITV) und stark regulierte Branchen: Barrierefreiheit wiegt schwerer als bei einem reinen BaFG-/BFSG-Mindestniveau. Friendly Captcha (deutscher Anbieter, keine Cookies, IP-Adressen nur gehasht) oder ALTCHA self-hosted sind die belastbaren Optionen – beim ersten Weg hängt das garantierte EU-Hosting allerdings am dedizierten EU-Endpoint ab 200 €/Monat, darunter liefert der Anbieter über ein globales Netz aus. Cloudflare Turnstile ist deutlich zugänglicher als eine Bildaufgabe, als US-Anbieter ohne veröffentlichtes Barrierefreiheits-Audit für stark regulierte Bereiche aber schwieriger zu begründen.

Honeypot-Layer schadet in keiner Kombination. Er ist datenschutzneutral, kostenlos und fängt den Großteil einfacher Bot-Masse ohne jede Nutzerinteraktion ab – sofern das versteckte Feld sauber ausgezeichnet ist: aria-hidden=„true“ zusammen mit tabindex=„-1“ und autocomplete=„off“, dazu ein Label, das erklärt, dass das Feld leer bleiben soll – für den Fall, dass ein Hilfsmittel es doch vorliest. aria-hidden allein auf einem weiterhin fokussierbaren Feld ist selbst ein WCAG-Verstoß.