Bot-Score erklärt: CAPTCHA- und reCAPTCHA-Scores verstehen

Was ist ein Bot-Score?

Ein Bot-Score ist eine Zahl, die ein CAPTCHA oder ein Dienst zur Bot-Erkennung an eine Anfrage hängt. Sie sagt, wie wahrscheinlich ein Bot die Anfrage geschickt hat. Statt bestanden oder nicht bestanden bekommst du eine Skala, und dein Server entscheidet, was jeder Bereich bedeutet: Anfrage durchlassen, erneut prüfen oder blockieren.

Die Zahl taucht unter mehreren Namen auf: Bot-Score, CAPTCHA-Score, Risiko-Score, reCAPTCHA-Score. Gemeint ist dasselbe. Der Dienst sieht sich die Anfrage und den Browser dahinter an, vergleicht das mit dem typischen Verhalten von Menschen und Bots und verdichtet das Ergebnis zu einer Zahl. Die Skala unterscheidet sich je nach Anbieter, und die Richtung auch. Genau dort beginnt die meiste Verwirrung.

Ein Score schützt nur, wenn dein Server ihn auswertet. Eine Prüfung, die im Browser bleibt, umgeht ein Bot einfach, indem er das Formular direkt abschickt. Wenn du zuerst die Grundlagen willst: Was ist ein CAPTCHA erklärt Challenge, Token und Serverprüfung.

reCAPTCHA-v3-Score: Was 0,0 bis 1,0 bedeutet

reCAPTCHA v3 liefert bei jeder Prüfung einen Score von 0,0 bis 1,0. 1,0 bedeutet, dass die Interaktion sehr wahrscheinlich in Ordnung ist, 0,0, dass sehr wahrscheinlich ein Bot dahintersteckt. Google nennt 0,5 als Standard-Schwellenwert, standardmäßig ist also eine Anfrage unter 0,5 die verdächtige.

Du lädst das v3-Skript auf deinen Seiten und gibst jeder Aktion, die bewertet werden soll, einen Namen, etwa login oder checkout. Für jede Aktion bekommt der Browser ein Token, dein Server schickt es an Google und erhält den Score und den Namen der Aktion zurück. Prüfe beides: Ein guter Score für die falsche Aktion sagt wenig.

Wie fein die Skala ist, hängt vom Tarif ab. Im kostenlosen Essentials-Tarif nimmt der Score nur vier Werte an: 0,1, 0,3, 0,7 und 0,9. Die kostenpflichtigen Tarife liefern elf Stufen, von 0,0 bis 1,0 in Schritten von 0,1. Bei vier Werten verhalten sich ein Schwellenwert von 0,5 und einer von 0,6 genau gleich. Feine Regeln brauchen also einen bezahlten Tarif.

Zwei weitere Details überraschen viele. Erstens: v3 zeigt nie eine Aufgabe. Ein Score-Schlüssel meldet nur, ein niedriger Score hält also von sich aus nichts auf. Dein Code entscheidet, was passiert, und Google schlägt einen zweiten Faktor oder eine E-Mail-Bestätigung vor. Wenn Google unter einem Schwellenwert doch eine Aufgabe zeigen soll, gibt es dafür Policy-basierte Challenge-Schlüssel; sie sind seit dem 28. Oktober 2025 allgemein verfügbar.

Zweitens: Über dem kostenlosen Kontingent lässt v3 alles durch (Fail-open). Wenn du ohne eingerichtete Abrechnung über die kostenlosen 10.000 Assessments im Monat kommst, meldet die Prüfung weiterhin Erfolg mit einem Score von 0,9, und dein Formular nimmt jede Anfrage als menschlich an. Wenn plötzlich jede Anfrage 0,9 bekommt, such in deinen Logs nach dieser Fehlermeldung, bevor du der Zahl traust.

Wie v3 sich von der Checkbox-Version unterscheidet und wann welche passt, steht im Vergleich reCAPTCHA v2 oder v3.

Was ist ein guter reCAPTCHA-Score?

Alles über dem Standard-Schwellenwert von 0,5 gilt als wahrscheinlich menschlich, und 0,9 ist der beste Wert, den der kostenlose Tarif liefert. Darüber hinaus hängt “gut” von deinem Traffic ab. Googles eigene Cloud-Dokumentation empfiehlt, v3 zuerst ohne Blockieren laufen zu lassen, die Scores deiner echten Besucher anzusehen und den Schwellenwert dann pro Aktion zu setzen. Diesem Rat schließen wir uns an. Ein Schwellenwert aus einem Forumsbeitrag wurde für die Besucher eines anderen gesetzt.

Der Bot-Score von TrustCaptcha: 0 heißt Mensch

Der Bot-Score von TrustCaptcha zählt andersherum. 0 bedeutet, dass die Anfrage sehr wahrscheinlich von einem Menschen kommt, 1, dass sie sehr wahrscheinlich von einem Bot kommt. Hier ist der niedrige Wert der gute.

Der empfohlene Start-Schwellenwert liegt ebenfalls bei 0,5, und genau deshalb verwechselt man die beiden leicht. Bei reCAPTCHA ist eine Anfrage unter 0,5 verdächtig, bei TrustCaptcha eine Anfrage über 0,5. Wenn du vom einen zum anderen wechselst, dreh den Vergleich in deinem Code um, nicht nur die Zahl.

Der Score ist nicht das Einzige, was dein Server zurückbekommt. Jedes Ergebnis sagt auch, ob die Verifizierung bestanden wurde, und das ist das harte Ja oder Nein: Es lautet zum Beispiel Nein, wenn eine deiner Sicherheitsregeln die Anfrage blockiert. Eine typische Prüfung lautet: “Verifizierung nicht bestanden oder Bot-Score über 0,5: Anfrage als automatisiert behandeln.” Das Ergebnis erklärt außerdem, warum die Anfrage ihren Score bekommen hat, und empfiehlt eine Aktion.

Bot-Erkennung und Risikobewertung gibt es ab dem Solo-Tarif; der Hobby-Tarif arbeitet nur mit Proof-of-Work. Für automatisierte Tests bestehen Bypass-Keys (ab dem Team-Tarif) immer mit einem Bot-Score von 0, damit deine Testsuite nicht an deinen eigenen Schwellenwerten hängen bleibt.

Wie ein Bot-Score berechnet wird

Kein Anbieter veröffentlicht sein vollständiges Rezept, und das aus gutem Grund: Eine veröffentlichte Signalliste ist eine Checkliste für alle, die Bots bauen. Die Eingaben lassen sich aber in Gruppen einteilen:

• Browser und Gerät: ob die Umgebung stimmig ist und ob sie Spuren von Automatisierungswerkzeugen zeigt.
• Verhalten auf der Seite: Timing, Tippen, wie das Formular ausgefüllt wurde.
• Netzwerk: die IP-Adresse und was über sie bekannt ist.
• Anfragemuster: wie oft Anfragen kommen, wie schnell und von wie vielen Orten gleichzeitig.

Kein einzelnes Signal beweist etwas. Wer über ein VPN surft, wirkt im Netzwerk ungewöhnlich, und wer ein Passwort einfügt, tippt anders als alle anderen. Der Score entsteht aus der Kombination, deshalb ist er eine Wahrscheinlichkeit und kein Urteil.

Google veröffentlicht die vollständige Liste der Signale hinter reCAPTCHA nicht. Das Widget von TrustCaptcha schickt statische Daten und Verhaltensinformationen an unsere Server, die daraus den Bot-Score berechnen. Wie man automatisierten Traffic allgemein erkennt, noch bevor er ein Formular erreicht, erklärt unser Leitfaden zur Bot-Erkennung.

Vom Score zur Entscheidung: zulassen, prüfen oder blockieren

Ein Score nützt erst, wenn du eine Aktion daran knüpfst. Die einfachste Variante hat einen Schwellenwert: Auf der einen Seite geht die Anfrage durch, auf der anderen wird sie abgelehnt. Die meisten Websites fahren besser mit zwei Schwellenwerten und einem Bereich dazwischen.

• Eindeutig Mensch: Anfrage zulassen und nichts weiter verlangen.
• Dazwischen: einen zusätzlichen Schritt verlangen, etwa einen E-Mail-Code, einen zweiten Faktor beim Login oder ein strengeres Rate Limit für diese Sitzung.
• Eindeutig Bot: Anfrage ablehnen und protokollieren.

Wo die Schwellenwerte liegen, hängt vom Formular ab. Ein Kontaktformular kann großzügig sein, denn schlimmstenfalls kommt eine Spam-Nachricht durch. Eine Login-Seite oder ein Checkout kann das nicht, denn schlimmstenfalls wird ein Konto übernommen oder eine gestohlene Karte getestet. Nutze getrennte Schwellenwerte pro Formular statt einem für die ganze Website.

Bevor du etwas blockierst, beobachte eine Weile: Protokolliere die Scores deiner echten Besucher und sieh dir an, wo sie sich sammeln. Setze dann die Schwellenwerte und prüfe sie nach Kampagnen oder größeren Traffic-Änderungen erneut, denn auch deine normalen Besucher verändern sich.

Wo Bot-Scores an Grenzen stoßen

Ein Score legt die Entscheidung in deine Hand. Das ist seine Stärke, macht aber auch Arbeit. Drei Grenzen solltest du kennen, bevor du dich auf einen verlässt:

1. Er ist eine Wahrscheinlichkeit. Manche echten Besucher landen auf der falschen Seite. Wer im VPN, im Firmennetz oder mit einem abgesicherten Browser unterwegs ist, wirkt oft ungewöhnlich. Plane den mittleren Bereich für diese Menschen ein, nicht nur eine Sperre.
2. Er kostet den Angreifer nichts. Ein Bot mit schlechtem Score versucht es einfach noch einmal. Ein Score sagt dir, wem du misstrauen solltest; den nächsten Versuch macht er nicht teurer.
3. Ein sorgfältiger Bot kann normal aussehen. Automatisierte Browser, die sich wie Menschen verhalten und von privaten IP-Adressen kommen, erzielen bei manchen Anfragen gute Scores.

Deshalb sollte ein Score aus unserer Sicht nicht allein arbeiten. Kombiniere ihn mit etwas, das den Angreifer bei jeder Anfrage etwas kostet, etwa Proof-of-Work oder Rate Limits, und mit eigenen Regeln. Unsere Übersicht der CAPTCHA-Alternativen vergleicht diese Schichten einzeln.

TrustCaptcha: Bot-Score plus Proof-of-Work

TrustCaptcha nutzt den Bot-Score, um einen Preis festzulegen. Der Browser löst im Hintergrund ein Proof-of-Work-Rätsel, und je höher der Bot-Score, desto schwerer wird dieses Rätsel. Ein normaler Besucher zahlt einen Moment Rechenzeit, eine verdächtige Anfrage deutlich mehr, und eine Bot-Welle lohnt sich nicht mehr. Dein Server prüft das Token, bekommt Verifizierungsergebnis, Bot-Score und die Begründung zurück, und deine eigenen Sicherheitsregeln kommen obendrauf.

Der Besucher muss nichts lösen und nichts anklicken, denn das Widget startet von selbst. TrustCaptcha setzt keine Cookies, verarbeitet Daten in EU-Rechenzentren, und jeder Kunde bekommt einen Auftragsverarbeitungsvertrag (AVV).

Wenn du den Schutz ganz ohne Aufgabe für deine Besucher willst, lies, was ein unsichtbares CAPTCHA ist und wo seine Grenzen liegen.

TrustCaptcha testen

Jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase, und nicht-kommerzielle Websites nutzen TrustCaptcha kostenlos. Starte deine kostenlose Testphase und sieh dir an, wie Bot-Score und Proof-of-Work mit dem Traffic auf deinen eigenen Formularen umgehen.