CAPTCHA-UX: So setzt du es richtig ein

Wie du Reibung bei der Bot-Verifizierung reduzierst

Bot-Verifizierung erzeugt Reibung, sobald sie Besucher etwas tun lässt: eine Box anklicken, Kacheln auswählen, Buchstaben abtippen, es noch einmal versuchen. Um das zu reduzieren, verlegst du die Prüfung in den Hintergrund, startest sie, während Besucher noch das Formular ausfüllen, und verlangst Zusatzschritte nur von den wenigen Anfragen, die automatisiert wirken. Was sichtbar bleibt, sollte aussehen wie ein Teil deiner Website.

In der Praxis läuft das auf sechs Änderungen hinaus:

1. Rätsel weglassen. Ein unsichtbares CAPTCHA prüft den Browser mit Proof-of-Work und Verhaltenssignalen, statt Besuchern eine Aufgabe zu stellen.
2. Früh starten. Beginne die Prüfung, sobald Besucher mit dem Formular interagieren. Bis sie auf Absenden klicken, ist sie fertig, und niemand wartet auf einen Ladekreis.
3. Nach Risiko prüfen. Mit einem Bot-Score kann dein Server klare Fälle annehmen, offensichtliche Bots blockieren und nur dazwischen einen Zusatzschritt verlangen, etwa eine E-Mail-Bestätigung.
4. Stille Schichten ergänzen. Ein Honeypot-CAPTCHA und Rate Limits fangen einfache Bots ab, ohne dass Besucher etwas davon sehen.
5. Barrierefrei bleiben. Setz kein Zeitlimit, gib dem Widget Screenreader-Texte und zeig einen Status, der sagt, was gerade passiert. Jede sichtbare Ausweichlösung muss mit Tastatur und Screenreader funktionieren.
6. Zur Website passen. Zeig das Widget in der Sprache deiner Besucher und in deinem Theme, und gib ihm denselben Ton wie dem Rest des Formulars.

Die ersten beiden Punkte beseitigen schon allein den Großteil der Reibung. Der Rest entscheidet, wie sich die Prüfung in Grenzfällen verhält: bei verdächtigem Traffic, bei Assistenztechnologien und bei Besuchern, die deine Website in einer anderen Sprache lesen.

Was ein Rätsel-CAPTCHA deine Besucher kostet

CAPTCHAs halten Bots von Registrierungs-, Login-, Kontakt- und Checkout-Formularen fern und stoppen viel automatisierten Traffic. Die klassische Variante macht das, indem sie eine Aufgabe zwischen Besucher und Absende-Button stellt.

Zähl die Schritte. Bei einem Checkbox-CAPTCHA, das auf ein Bildraster zurückfällt, füllen Besucher das Formular aus, klicken die Box an, lösen das Raster, liegen manchmal falsch und fangen von vorn an, und erst dann senden sie ab. Bei einer unsichtbaren Prüfung füllen sie das Formular aus und senden ab: zwei Schritte statt fünf. Jeder zusätzliche Schritt ist ein Moment, in dem jemand aufgibt, und auf dem Smartphone sind die Kacheln so klein, dass Fehler wahrscheinlich werden.

Menschen lösen Rätsel auch öfter falsch, als man denkt. In einer Stanford-Studie von 2010 waren sich drei Personen, die dasselbe Text-CAPTCHA sahen, nur in 71 % der Fälle über die Lösung einig. Maschinelles Lernen liest verzerrten Text dagegen gut, und CAPTCHA-Farmen bezahlen Menschen dafür, alles zu lösen, was ein Mensch lösen kann. Am Ende bremst die sichtbare Aufgabe eher die Besucher, die du haben willst, als die Bots, die du loswerden willst.

Merkmale einer guten CAPTCHA-UX

Ein nutzerfreundliches CAPTCHA macht fünf Dinge richtig:

• Wenig oder keine Interaktion: Die Prüfung sollte sich nicht wie Arbeit anfühlen. Im besten Fall müssen Besucher gar nichts tun.
• Barrierefreiheit: Ein barrierefreies CAPTCHA funktioniert für Menschen, die Screenreader, Tastatur oder andere Assistenztechnologien nutzen, und für Menschen mit Sehbehinderung oder kognitiven Einschränkungen. Aufgaben, die Sehen oder Hören voraussetzen, scheiden damit aus, Zeitlimits ebenso.
• Tempo: Die Prüfung darf die Seite nicht verlangsamen und Besucher nicht am Absende-Button warten lassen.
• Stimmiges Design: Das Widget sollte zu Optik, Sprache und Tonalität deiner Website passen und auf jeder Bildschirmgröße funktionieren.
• Sicherheit: Das alles hilft nichts, wenn Bots durchkommen. Die Prüfung muss automatisierte Anfragen weiterhin teuer machen und die erkennen, die automatisiert wirken.

Rätsel-CAPTCHAs zwingen dich, zwischen dem ersten und dem letzten Punkt abzuwägen. Prüfungen im Hintergrund nicht. Deshalb arbeitet TrustCaptcha so.

Wie TrustCaptcha die Prüfung in den Hintergrund verlegt

TrustCaptcha prüft Besucher im Hintergrund. Das Widget löst eine Proof-of-Work-Aufgabe selbstständig, und ab dem Solo-Tarif berechnet TrustCaptcha zusätzlich für jede Anfrage einen Bot-Score. Dein Server validiert das Ergebnis, bevor er das Formular annimmt. Besucher sehen ein kleines Widget, das seinen Fortschritt anzeigt, oder gar nichts.

Bedienkomfort

Keine Rätsel. Es gibt keine Bildraster zum Durchsuchen und keinen verzerrten Text zum Entziffern. Das Proof-of-Work läuft im Browser der Besucher, ohne dass sie etwas eingeben.

Autostart. Das Widget startet von selbst, sobald Besucher mit dem Formular interagieren, und ist meist fertig, bevor sie auf Absenden klicken. Die Prüfung sitzt damit nicht mehr am Ende des Formulars, wo sie am meisten stört.

Ein Klick, wenn du das lieber willst. Sollen Besucher die Prüfung selbst starten, schaltest du den Autostart aus. Das Widget wartet dann auf einen einzigen Klick und erledigt den Rest ohne Aufgabe.

Anpassbarkeit

Theme und Sprache. Das Widget gibt es mit hellem und dunklem Theme, oder es folgt der Systemeinstellung der Besucher. Es spricht 37+ Sprachen und erkennt die Sprache deiner Seite automatisch.

Eigene Texte. Du kannst jedes Label, jede Statusmeldung und jeden Screenreader-Text umschreiben, damit das Widget klingt wie der Rest deiner Website.

Eigenes Design. Ab dem Team-Tarif legst du Text-, Hintergrund- und Rahmenfarben, Rahmenstärke und Eckenradius fest.

Branding. Das kostenpflichtige Add-on Captcha Branding entfernt das TrustCaptcha-Branding oder blendet das Widget vollständig aus. Außerdem kannst du im Widget einen Link deiner Wahl anzeigen, zum Beispiel zu deiner Datenschutzerklärung.

Proof-of-Work, das sich nach dem Risiko richtet

Das Proof-of-Work ist der Teil, der Zeit kostet, also entscheidet seine Schwierigkeit darüber, wie schnell sich die Prüfung anfühlt. TrustCaptcha gibt nicht allen Besuchern dieselbe Aufgabe: Je verdächtiger eine Anfrage, desto schwerer ihr Proof-of-Work. Normale Besucher sind fast sofort fertig, während ein Bot, der Tausende Anfragen schickt, für jede einzelne bezahlt.

Ab dem Solo-Tarif kannst du das selbst einstellen. Mach die Schwierigkeit insgesamt leichter oder schwerer, oder lege Regeln für bestimmten Traffic an, nach Land, Sprache, Zeitzone, Browser, Betriebssystem, Gerätetyp oder IP-Bereich, von 20 % bis 500 % des Standardwerts.

Barrierefreiheit

Screenreader-Unterstützung. Jedes Element des Widgets bringt ARIA-Labels und Screenreader-Texte mit, und du kannst alle davon ändern. Wer Assistenztechnologien nutzt, braucht keine Audio-Challenge und keinen Sondermodus.

Ein klarer Status. Das Widget zeigt, ob die Prüfung noch nicht begonnen hat, gerade läuft oder fertig ist. So muss niemand raten, ob noch etwas zu tun ist.

Kein Zeitlimit. Besucher können sich beim Ausfüllen so viel Zeit lassen, wie sie brauchen.

Keine Rätsel- oder Audio-Barriere. Visuelle Rätsel schließen Menschen mit Sehbehinderung aus, Audio-Challenges alle, die schlecht hören. Weil es nichts zu lösen gibt, umgeht TrustCaptcha beides. Seit dem 28. Juni 2025 gilt der European Accessibility Act für viele Verbraucherdienste in der EU, in Deutschland umgesetzt durch das Barrierefreiheitsstärkungsgesetz. Ein CAPTCHA, das Menschen mit Behinderung aussperrt, ist damit auch eine rechtliche Frage.

Brauchst du überhaupt ein CAPTCHA?

Nicht immer. Einem kleinen Kontaktformular mit einer Handvoll Spam-Nachrichten pro Woche reichen vielleicht ein Honeypot-Feld und ein Rate Limit. Sobald Bots Logins, Registrierungen oder den Checkout angreifen, genügen diese Schichten allein nicht mehr, denn ein Bot, der die Seite in einem echten Browser rendert, durchschaut einen Honeypot. Unsere Übersicht der CAPTCHA-Alternativen vergleicht die Methoden und zeigt, wo jede an ihre Grenzen stößt.

CAPTCHA-UX in Kürze

Gute CAPTCHA-UX heißt, dass echte Besucher die Prüfung kaum bemerken. Lass sie im Hintergrund laufen, starte sie früh, verlange Zusatzschritte nur bei verdächtigen Anfragen und sorg dafür, dass alle sie bestehen können. TrustCaptcha arbeitet so, setzt keine Cookies und verarbeitet Daten in EU-Rechenzentren. Jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase, und nicht-kommerzielle Websites nutzen TrustCaptcha kostenlos. Starte deine kostenlose Testphase.