CAPTCHA vs. reCAPTCHA: Das Prinzip und Googles Version

Was ist der Unterschied zwischen CAPTCHA und reCAPTCHA?

CAPTCHA ist das allgemeine Prinzip: ein automatischer Test, der Menschen und Bots unterscheidet, bevor ein Formular durchgeht. reCAPTCHA ist ein CAPTCHA-Produkt von Google und gehört inzwischen zu Google Cloud Fraud Defense. Jedes reCAPTCHA ist ein CAPTCHA, aber die meisten CAPTCHAs sind kein reCAPTCHA.

Die beiden werden oft verwechselt, weil reCAPTCHA das CAPTCHA ist, durch das sich die meisten schon geklickt haben. Die Frage CAPTCHA vs. reCAPTCHA ist ungefähr wie die Frage Suchmaschine vs. Google: Das eine ist die Kategorie, das andere das Produkt eines Unternehmens darin.

Der Begriff CAPTCHA umfasst jede Art von Challenge: verzerrten Text, Bildraster, Audio, einfache Rechenaufgaben, Checkboxen und unsichtbare Prüfungen im Hintergrund. Wenn du erst die Grundlagen lesen willst, erklärt Was ist ein CAPTCHA?, wie Challenge und Antwort funktionieren.

Was reCAPTCHA heute ist

Google hat reCAPTCHA 2009 gekauft. Die erste Version zeigte verzerrte Wörter. Version 2 kam 2014 mit der Checkbox “Ich bin kein Roboter” und den Bildrastern mit Ampeln und Zebrastreifen. Version 3 von 2018 verzichtet ganz auf eine sichtbare Aufgabe und liefert für jede Anfrage einen Score. Die Unterschiede der beiden aktuellen Versionen stehen in reCAPTCHA v2 oder v3.

Die letzten zwei Jahre haben weniger am Aussehen von reCAPTCHA geändert als an seinem Betrieb:

• Klassische Keys wurden zwischen Ende 2025 und Anfang 2026 in Google-Cloud-Projekte verschoben. Nutzung und Abrechnung liegen jetzt in Google Cloud.
• Das Freikontingent liegt bei 10.000 Assessments im Monat, gezählt pro Organisation über alle Websites. Darüber kostet der Premium-Tarif 8 US-Dollar pauschal bis 100.000 Assessments und 1 US-Dollar pro 1.000 darüber hinaus. Die vollständige Aufstellung steht unter reCAPTCHA Preise.
• Seit dem 2. April 2026 verarbeitet Google reCAPTCHA-Daten als Auftragsverarbeiter nach dem Cloud Data Processing Addendum, und der Websitebetreiber ist alleiniger Verantwortlicher.
• Am 22. April 2026 wurde reCAPTCHA Teil einer Produktfamilie namens Google Cloud Fraud Defense.

TrustCaptcha vs. reCAPTCHA

Beide stoppen automatisierten Missbrauch von Formularen. Sie unterscheiden sich darin, wie sie Besucher behandeln, was mit den Daten passiert und wie viel der Einstellungen du selbst in der Hand hast.

Sicherheit

Bots erkennen und abwehren

reCAPTCHA erkennt. Version 3 bewertet jede Anfrage anhand von Signalen, die Google nicht veröffentlicht, und Version 2 entscheidet selbst, ob ein Besucher ein Bildraster bekommt. Seit Oktober 2025 bietet Google außerdem Policy-based-Challenge-Keys an, die eine Challenge zeigen, wenn der Score unter einen von dir gesetzten Schwellenwert fällt, und im Juli 2026 kam eine QR-Code-Challenge dazu, die Google als KI-resistent beschreibt. Was der Score nicht tut: einen Angriff bremsen. Ein Bot, der einen guten Score bekommt, zahlt dafür nichts.

TrustCaptcha erkennt und bremst Angriffe. Jede Anfrage bekommt ein Proof-of-Work-Rätsel, das der Browser im Hintergrund löst, und viele Crawler, Skripte und einfache Bots schaffen es gar nicht. Für den Rest bestimmt der Bot-Score, wie schwer das Rätsel wird. Ein normaler Besucher braucht einen Moment Rechenzeit, eine verdächtige Anfrage deutlich mehr, und du kannst die Schwierigkeit für Muster, denen du misstraust, bis auf das Fünffache erhöhen. Ein eingebauter Honeypot mit mehreren versteckten Fallenfeldern fängt zusätzlich Formular-Spam ab. Der Score kombiniert statische und dynamische Signale, ein Angreifer fängt also nicht bei null an, nur weil er die IP-Adresse wechselt, Gerätedaten austauscht oder Cookies löscht.

Scores, Schwellenwerte und Regeln

Die beiden Scores laufen in entgegengesetzte Richtungen. reCAPTCHA v3 liefert einen Wert von 0,0 bis 1,0, wobei 1,0 sehr wahrscheinlich eine echte Interaktion ist und 0,0 sehr wahrscheinlich ein Bot. Googles v3-Dokumentation nennt 0,5 als Standard-Schwellenwert. Der kostenlose Essentials-Tarif liefert nur vier Score-Stufen (0,1, 0,3, 0,7 und 0,9), Premium und Enterprise liefern elf. Du kannst Anfragen mit Aktionsnamen wie login oder signup kennzeichnen. Premium ergänzt eine Policy Engine mit höchstens drei Regeln, Enterprise die vollständige Policy Engine. Alles jenseits des Schwellenwerts ist Sache deines eigenen Codes.

Der Bot-Score von TrustCaptcha funktioniert umgekehrt: Niedriger heißt vertrauenswürdiger. Jedes Ergebnis erklärt, warum eine Anfrage ihren Score bekommen hat, und empfiehlt eine Aktion. Dein Server kann die Anfrage durchlassen, eine zusätzliche Authentifizierung verlangen, die Sitzung markieren oder sie blockieren. Sicherheitsregeln kommen zum Score dazu. Du kannst IP-Allow- und Blocklisten führen, Geoblocking im Allow- oder Blocklist-Modus nutzen und Regeln schreiben, die IP-Adresse, Land, Sprache, Zeitzone, Browser, Betriebssystem und Gerätetyp kombinieren, mit “match any”, “match all” oder “match none”. Regeln können einen Namen und ein Ablaufdatum tragen, was bei befristeten Aktionen hilft, und mit Bypass-Keys bestehen automatisierte Tests mit einem Bot-Score von 0.

Token-Prüfung auf dem Server

Bei beiden Produkten erzeugt der Browser nur ein Token. Die Entscheidung trifft dein Server. Bei reCAPTCHA schickt dein Backend das Token an Googles CreateAssessment-API oder an den älteren siteverify-Endpunkt, und jedes Token lässt sich nur einmal bewerten.

Ein Detail von reCAPTCHA solltest du in deiner eigenen Einbindung testen. Überschreitet deine Organisation die kostenlosen 10.000 Assessments im Monat ohne Abrechnungskonto, gibt siteverify laut Google trotzdem ein Bestanden zurück: success mit einem Score von 0,9 und nur einer zusätzlichen Fehlermeldung. CreateAssessment antwortet dagegen mit HTTP 429. Ein Backend, das nur das success-Feld und den Score auswertet, lässt nach Erreichen des Limits jede Anfrage durch, auch die von Bots.

TrustCaptcha-Tokens gelten genau einmal und nur für eine begrenzte Zeit. Dein Backend bestätigt jedes Token über die TrustCaptcha-API mit deinem geheimen API-Key, ein Besucher kann eine erfolgreiche Prüfung also weder fälschen noch das CAPTCHA im Browser abschalten. Gültigkeitsdauer und Prüfverhalten der Tokens lassen sich anpassen, und getrennte Umgebungen mit eigenen Keys halten Staging und Produktion auseinander.

Kurz gesagt: reCAPTCHA liefert dir einen Score und überlässt die Reaktion deinem Code. TrustCaptcha macht zusätzlich jede Anfrage für den Angreifer teuer und gibt dir Regeln und einen erklärten Score, mit denen du arbeiten kannst.

Datenschutz und DSGVO

Welche Daten verarbeitet werden

Google veröffentlicht nicht, welche Signale reCAPTCHA erfasst. Seit dem 2. April 2026 verarbeitet Google reCAPTCHA-Daten als Auftragsverarbeiter nach dem Cloud Data Processing Addendum, und laut den Nutzungsbedingungen werden die Daten nur genutzt, um den Dienst bereitzustellen und zu betreiben, nicht für personalisierte Werbung. reCAPTCHA setzt das Cookie _GRECAPTCHA, das Google als notwendig bezeichnet, und weil die Daten an Google gehen, brauchen Übermittlungen eine rechtliche Prüfung.

TrustCaptcha nennt die Kategorien, die es verarbeiten kann: Verbindungs- und Anfragedaten wie IP-Adresse, Zeitstempel und Header, Geräte- und Browsermerkmale, Interaktionssignale wie Klickmuster und Mausbewegungen sowie Wiederholungsindikatoren, die Angriffsmuster erkennen lassen, etwa viele gestartete Prüfungen in kurzer Zeit. TrustCaptcha setzt keine Cookies und verarbeitet die Daten in EU-Rechenzentren.

Privacy by Design und Datenminimierung

TrustCaptcha nutzt die Daten für einen einzigen Zweck, den Schutz vor Bots, und nicht für Werbezielgruppen oder zweckfremde Analysen. Es muss nur dort laufen, wo Schutz nötig ist (Login, Registrierung, Passwort-Reset, Kontaktformular und Checkout), statt auf jeder Seite. Verifizierungsdaten werden standardmäßig 48 Stunden aufbewahrt, einstellbar bis zu sieben Tage, und danach gelöscht oder anonymisiert.

Googles Zweckbindung ist ein echter Fortschritt gegenüber den Jahren, in denen reCAPTCHA unter Googles eigener Datenschutzerklärung lief. Was Googles reCAPTCHA-Seiten weiterhin nicht beschreiben, ist die andere Hälfte der Datenminimierung: welche Signale erfasst werden.

Transparenz

Gegenüber deinen Besuchern musst du das eingesetzte CAPTCHA in der Datenschutzerklärung nennen. Nach Art. 13 DSGVO gehört dazu: wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, ob Daten in Länder außerhalb der EU gehen und wie lange sie gespeichert werden. Bei einem Dienst wie reCAPTCHA, dessen Daten an Google gehen, ist die Frage der Übermittlung die schwierigste. Dieser Abschnitt ist keine Rechtsberatung; kläre die Formulierung mit deinem Datenschutzbeauftragten.

Gegenüber dir als Betreiber zeigen beide Produkte Ergebnisse. Google stellt Assessments und Nutzung in deinem Google-Cloud-Projekt bereit. TrustCaptcha zeigt jede Verifizierung in einer Ergebnistabelle mit Zeitstempel, Herkunft, IP-Adresse, Gerät, Dauer, Bot-Score und Status, erklärt, warum eine Anfrage bestanden hat oder nicht, und führt ein Audit-Log über Änderungen an Keys, Regeln und Verträgen. Den Auftragsverarbeitungsvertrag schließt du online ab.

Die offenen Fragen rund um Google behandelt Ist reCAPTCHA DSGVO-konform?, und was für TrustCaptcha in die Datenschutzerklärung gehört, steht im TrustCaptcha DSGVO-Leitfaden.

Kurz gesagt: Googles Rolle als Auftragsverarbeiter deckt Googles Seite des Vertrags ab, das Cookie und die Prüfung der Datenübermittlung bleiben aber bei dir. TrustCaptcha dokumentiert, was es verarbeitet, hält die Daten in der EU und setzt keine Cookies.

Nutzererlebnis und Barrierefreiheit

Bedienung

reCAPTCHA v3 zeigt Besuchern nichts. v2 zeigt die Checkbox und, wenn Google unsicher ist, ein Bildraster, mit einer Audio-Challenge als Ausweg für alle, die die Bilder nicht sehen können. Bildraster sind auf dem Smartphone mühsam, und mehrdeutige Bilder brauchen oft mehr als einen Versuch. Jeder zusätzliche Schritt in der Registrierung oder im Checkout kann Besucher kosten.

TrustCaptcha hat in keiner Einstellung eine Aufgabe. Das Widget startet von selbst, sobald der Besucher anfängt, das Formular auszufüllen, hat kein Zeitlimit und ist meist fertig, bevor der Besucher den Absenden-Button erreicht. Es passt sich an Smartphones, Tablets und schmale Layouts an.

Barrierefreiheit

Seit dem 28. Juni 2025 gilt der European Accessibility Act für viele Verbraucherdienste in der EU, in Deutschland umgesetzt durch das Barrierefreiheitsstärkungsgesetz (BFSG), und CAPTCHAs gehören zu den häufigsten Hürden in Online-Formularen. Bild- und Audio-Challenges setzen Sehen oder Hören voraus, und Rätsel in modalen Overlays können den Tastaturfokus unterbrechen und Screenreader verwirren. reCAPTCHA v3 vermeidet die Aufgabe, aber das Bildraster von v2 braucht eine funktionierende Alternative für alle, die es nicht nutzen können.

TrustCaptcha hat kein Rätsel, keine Audio-Aufgabe und keinen Timer. Das Widget bringt ARIA-Labels und Screenreader-Texte mit, die du überschreiben oder übersetzen kannst, und lässt Fokusreihenfolge und Tab-Navigation intakt. TrustCaptcha ist darauf ausgelegt, WCAG 2.2 und den European Accessibility Act zu erfüllen, sodass Menschen mit Screenreader oder reiner Tastaturbedienung genauso durch das Formular kommen wie alle anderen.

Kurz gesagt: Bei reCAPTCHA v3 sehen Besucher nichts, bei v2 bekommen manche ein Rätsel. Bei TrustCaptcha bekommt niemand eins.

Integration und Anpassung

Das stärkste praktische Argument für reCAPTCHA ist die Verbreitung: Die meisten Formular-Plugins und Content-Management-Systeme unterstützen es direkt, und Google bietet Mobile-SDKs für iOS und Android.

TrustCaptcha hat Server-Bibliotheken für PHP, Python, Go, Rust, Ruby und .NET, Anleitungen für Frontend-Frameworks wie React, Vue, Angular und Svelte sowie Plugins für WordPress, Craft CMS, TYPO3, Shopware 6, Magento 2, JTL-Shop, Keycloak und Webflow. Das WordPress-Plugin deckt Logins, Kommentare, den WooCommerce-Checkout und Formular-Plugins wie Contact Form 7, Elementor Forms, Gravity Forms, Ninja Forms und WPForms ab.

Das Widget lässt sich im Detail gestalten: Text-, Hintergrund- und Rahmenfarben, Rahmenbreite und Eckenradius, helles oder dunkles Design oder die Systemeinstellung des Besuchers, 37+ Sprachen mit automatischer Erkennung sowie eigene Texte und Übersetzungen. Ein Widget ohne TrustCaptcha-Branding und ein vollständig unsichtbares Widget gibt es mit dem Add-on Captcha Branding.

Abhängigkeit von Google Cloud

reCAPTCHA läuft inzwischen vollständig in Google Cloud. Google gibt seit 2024 keine klassischen Keys mehr aus und hat die bestehenden zwischen Ende 2025 und Anfang 2026 in Google-Cloud-Projekte verschoben; Keys ohne Projekt haben den API-Zugriff verloren. Nutzung, Einstellungen und Abrechnung laufen über dieses Projekt, und alles über den kostenlosen 10.000 Assessments im Monat braucht ein Google-Cloud-Abrechnungskonto. Support ist ein eigener Google-Cloud-Tarif, von mindestens 29 US-Dollar im Monat für Standard Support bis 15.000 US-Dollar für Premium Support. Seit dem 22. April 2026 gehört das Produkt zu Google Cloud Fraud Defense, und der Enterprise-Tarif ist ein Abonnement mit mindestens 12 Monaten Laufzeit.

Für Teams, die ohnehin auf Google Cloud arbeiten, ist das bequem: eine Konsole, eine Rechnung, ein Vertrag. Alle anderen richten dafür eine Google-Cloud-Organisation mit Abrechnung und Vertragsbedingungen ein, für etwas, das am Ende ein Formularschutz ist.

TrustCaptcha ist ein eigenständiger Dienst mit eigenem Dashboard, monatlichen Tarifen und einem Auftragsverarbeitungsvertrag, den du online abschließt. E-Mail-Support nach bestem Bemühen ist ab dem Team-Tarif enthalten, Support-Add-ons ergänzen garantierte Reaktionszeiten.

Wann reCAPTCHA die richtige Wahl ist

reCAPTCHA ist eine vernünftige Wahl, wenn deine Website ohnehin auf Google Cloud läuft, im Freikontingent von 10.000 Assessments bleibt und dein Datenschutzbeauftragter mit dem Cookie und der Datenübermittlung an Google leben kann.

Trifft eines davon nicht zu, stellt unser Vergleich der reCAPTCHA Alternativen sieben Optionen vor, von Cloudflare Turnstile bis zu Open-Source-CAPTCHAs, die du selbst hostest.

TrustCaptcha: ein CAPTCHA ohne Aufgabe

TrustCaptcha prüft Besucher im Hintergrund mit Proof-of-Work und Bot-Scoring, Besucher müssen also nichts lösen und nichts anklicken. Es setzt keine Cookies, verarbeitet Daten in EU-Rechenzentren und enthält für jeden Kunden einen Auftragsverarbeitungsvertrag (AVV).

TrustCaptcha testen

Jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase, und nicht-kommerzielle Websites nutzen TrustCaptcha kostenlos. Starte deine kostenlose Testphase und sieh dir an, wie deine Formulare ohne Rätsel davor funktionieren.