Unsichtbares CAPTCHA: Was es ist und wie es funktioniert

Was ist ein unsichtbares CAPTCHA?

Ein unsichtbares CAPTCHA ist eine Bot-Prüfung, die im Hintergrund läuft, statt den Besucher ein Rätsel lösen oder eine Checkbox anklicken zu lassen. Es wertet Signale aus dem Browser, einen Bot-Score oder das Ergebnis einer kleinen Rechenaufgabe aus, und dein Server entscheidet, ob die Anfrage durchgeht.

“Unsichtbar” beschreibt, was der Besucher erlebt. Technisch gibt es weiterhin eine Challenge, eine Antwort und eine Serverprüfung wie bei jedem CAPTCHA; wenn du diese Grundlagen zuerst willst, lies Was ist ein CAPTCHA. Der Unterschied ist, wer die Arbeit macht. Bei einem klassischen CAPTCHA ist es der Besucher: Er tippt Zeichen ab, klickt Kacheln an, setzt ein Häkchen. Bei einem unsichtbaren ist es der Browser, während der Besucher das Formular ausfüllt.

Manche Produkte zeigen gar nichts. Andere behalten ein kleines Widget oder Badge auf der Seite, das anzeigt, dass eine Prüfung läuft, obwohl niemand etwas tun muss.

Wie funktioniert ein unsichtbares CAPTCHA?

Die meisten unsichtbaren CAPTCHAs durchlaufen dieselben fünf Schritte:

1. Ein Skript lädt mit der Seite oder dem Formular und startet die Prüfung von selbst.
2. Im Hintergrund sammelt es Signale aus dem Browser, löst ein Proof-of-Work-Rätsel oder beides.
3. Das Ergebnis wird in ein signiertes Token verpackt und an das Formular gehängt.
4. Beim Absenden fragt dein Server den Anbieter, ob das Token echt ist, und bekommt ein Bestanden oder Nicht bestanden, einen Bot-Score oder beides zurück.
5. Deine Anwendung lässt die Anfrage durch, verlangt eine weitere Prüfung oder blockiert sie.

Die Sicherheit entsteht in den Schritten 4 und 5. Eine Prüfung, die nur im Browser läuft, umgeht ein Bot, indem er das Formular direkt abschickt.

Was die Prüfung im Hintergrund auswertet

Score-basierte Systeme lesen Signale, die Menschen von Automatisierung unterscheiden:

• Browser und Gerät: ob die Umgebung stimmig ist und ob sie Spuren von Automatisierungswerkzeugen zeigt;
• Verhalten auf der Seite: Timing, Tippen, wie das Formular ausgefüllt wurde;
• die Sitzung: wiederholte Versuche, ungewöhnliche Navigation, wie oft Formulare abgeschickt werden;
• das Netzwerk: die IP-Adresse und was über sie bekannt ist.

Kein einzelnes Signal beweist etwas. Aus der Kombination entsteht ein Bot-Score, und dein Server entscheidet, was damit passiert. Die Methoden dahinter erklärt unser Leitfaden zur Bot-Erkennung.

Proof-of-Work: ein Preis für jede Anfrage

Proof-of-Work-CAPTCHAs gehen einen anderen Weg. Der Browser löst eine kleine kryptografische Rechenaufgabe, bevor das Formular abgeschickt wird. Für einen Besucher ist das ein Moment Rechenzeit. Für einen Bot, der zehntausend Anfragen schicken will, sind es zehntausend Aufgaben, und der Angriff lohnt sich nicht mehr. Manche Produkte, darunter TrustCaptcha, verbinden beides: Der Bot-Score bestimmt, wie schwer die Aufgabe wird.

Klassisches vs unsichtbares CAPTCHA

Ein klassisches CAPTCHA verlangt vom Besucher einen Beweis: verzerrten Text abtippen, Bildkacheln wählen oder eine Checkbox anklicken. Ein unsichtbares CAPTCHA prüft im Hintergrund und verlangt nichts oder greift nur dann auf eine Aufgabe zurück, wenn es unsicher ist. In beiden Fällen kommt die Sicherheit daher, dass dein Server ein Token prüft. Der Unterschied liegt darin, wer die Kosten trägt: der Besucher oder der Bot.

Wenn du dich entscheiden musst, ist unsere Haltung klar: Ein Besucher sollte nur dann eine Aufgabe sehen, wenn die Prüfung im Hintergrund nicht entscheiden kann, und auf den meisten Formularen sollte das selten vorkommen.

reCAPTCHA unsichtbar: v2 unsichtbar und v3

Google bietet zwei Wege, reCAPTCHA ohne Checkbox zu betreiben, und sie verhalten sich unterschiedlich.

reCAPTCHA v2 unsichtbar

v2 unsichtbar entfernt die Checkbox “Ich bin kein Roboter”. Die Prüfung läuft, wenn der Besucher auf Absenden klickt oder dein Code sie aufruft, und stattdessen erscheint ein kleines reCAPTCHA-Badge in der Ecke der Seite. Im HTML schaltest du das mit data-size="invisible" ein; renderst du das Widget per JavaScript, lautet die Option size: 'invisible'. Falls du nach mode: 'invisible' gesucht hast: Googles API nennt diese Einstellung size, nicht mode.

Unsichtbar heißt hier: keine Checkbox. Es heißt nicht: keine Aufgabe. Ist die Risikoanalyse unsicher, bekommt der Besucher trotzdem ein Bildraster, genau wie bei der Checkbox-Version, und dein Server erhält ein Token, das gültig ist oder nicht.

reCAPTCHA v3

Score-Schlüssel von reCAPTCHA v3 zeigen nie eine Aufgabe. Das Skript läuft im Hintergrund auf den Seiten und Aktionen, die du benennst, und dein Server bekommt einen Score von 0,0 (sehr wahrscheinlich ein Bot) bis 1,0 (sehr wahrscheinlich in Ordnung). Was mit einem niedrigen Score passiert, entscheidest du. Google nennt 0,5 als Standard-Schwellenwert und schlägt darunter eine zusätzliche Prüfung vor, etwa einen zweiten Faktor oder eine E-Mail-Bestätigung. Wenn Google unter deinem Schwellenwert doch eine Aufgabe zeigen soll, gibt es dafür Policy-basierte Challenge-Schlüssel; sie sind seit dem 28. Oktober 2025 allgemein verfügbar.

Beide Varianten setzen das Cookie _GRECAPTCHA und werden als Assessments abgerechnet, die ersten 10.000 im Monat sind pro Organisation kostenlos. Den vollständigen Vergleich findest du unter reCAPTCHA v2 oder v3, und was die Zahl von v3 bedeutet, erklärt unser Leitfaden zum reCAPTCHA-Score.

Welche CAPTCHA-Anbieter haben eine unsichtbare Option?

Die meisten, aber zu unterschiedlichen Bedingungen: In manchen Tarifen bekommt der Besucher weiterhin eine Aufgabe, und manche unsichtbaren Modi kosten extra.

Mit zwei Fragen lässt sich diese Liste schnell sortieren. Sieht der Besucher jemals eine Aufgabe, und in welchem Tarif? Und wohin gehen die Daten? Unser Vergleich bestes CAPTCHA wägt die Optionen nach Reibung, Datenschutz und Preis ab. Wenn du Formulare ganz ohne CAPTCHA schützen willst, behandelt die Übersicht der CAPTCHA-Alternativen Honeypots, Rate Limits und den Rest.

Sind unsichtbare CAPTCHAs wirklich unsichtbar?

Oft nicht ganz. Viele unsichtbare Produkte haben eine Rückfallebene: Ist die Prüfung unsicher, bekommt der Besucher doch eine Checkbox oder ein Bildraster. Das trifft meist dieselben Menschen: VPN-Nutzer, Firmennetze, abgesicherte Browser, Menschen mit Skriptblockern oder assistiven Technologien.

Zwei Zahlen zeigen, wie unsichtbar ein Produkt auf deiner Website ist. Die Challenge-Rate ist der Anteil der Besucher, die überhaupt eine Aufgabe sehen. Die Falsch-Positiv-Rate ist der Anteil echter Besucher, die ausgebremst oder blockiert werden. Frag den Anbieter nach beiden Werten oder miss sie in einer Testphase.

Manche Produkte bleiben außerdem als Widget oder Badge sichtbar, auch wenn niemand etwas tun muss. Das ist eine Designentscheidung. Ein sichtbares Widget zeigt dem Besucher, dass eine Prüfung läuft, und viele Website-Betreiber wollen das genau so.

Unsichtbar heißt nicht datensparsam

Eine Prüfung im Hintergrund braucht Daten, und ein unsichtbares CAPTCHA kann mehr erheben als ein Rätsel, einfach weil der Besucher es nie sieht. Bevor du dich für eines entscheidest, sieh dir vier Dinge an: welche Signale es erhebt, ob es Cookies setzt, wo die Daten verarbeitet werden und welchen Vertrag du mit dem Anbieter schließt.

Eine cookie-freie Prüfung, verarbeitet in der EU und abgedeckt durch einen Auftragsverarbeitungsvertrag, vermeidet die üblichen Fragen; genau das macht ein DSGVO-konformes CAPTCHA aus. Dieser Abschnitt ist keine Rechtsberatung. Was davon für deine Einbindung gilt, klärst du mit deinem Datenschutzbeauftragten.

TrustCaptcha: ein unsichtbares CAPTCHA aus der EU

TrustCaptcha prüft Besucher im Hintergrund mit Proof-of-Work und Bot-Scoring. Der Besucher muss nichts lösen und nichts anklicken, denn das Widget startet von selbst. Der Browser löst ein Proof-of-Work, dessen Schwierigkeit mit dem Risiko der Anfrage steigt, ein verdächtiger Bot zahlt also mehr als ein normaler Besucher. Bot-Erkennung und Risikobewertung gibt es ab dem Solo-Tarif; der Hobby-Tarif arbeitet nur mit Proof-of-Work.

Standardmäßig bleibt das Widget als kleines Feld sichtbar, das anzeigt, dass die Prüfung läuft. Wenn du gar kein sichtbares Widget willst, macht das Add-on Captcha Branding es vollständig unsichtbar und entfernt unser Branding.

TrustCaptcha setzt keine Cookies, verarbeitet Daten in EU-Rechenzentren, und jeder Kunde bekommt einen Auftragsverarbeitungsvertrag (AVV).

TrustCaptcha testen

Jeder Tarif startet mit einer 14-tägigen kostenlosen Testphase, und nicht-kommerzielle Websites nutzen TrustCaptcha kostenlos. Starte deine kostenlose Testphase und schütze deine Formulare ohne Rätsel.