Cloudflare Turnstile Alternativen 2026: 4 im Vergleich

Was ist die beste Alternative zu Cloudflare Turnstile?

Das hängt davon ab, warum du von Turnstile weg willst. Geht es um Datenschutz, nimm ein CAPTCHA von einem EU-Unternehmen, das Daten in der EU verarbeitet und keine Cookies setzt: TrustCaptcha macht das in jedem Tarif, Friendly Captcha ab dem Advanced-Tarif. Willst du vor allem einen Risiko-Score und arbeitest ohnehin mit Google Cloud, passt reCAPTCHA. Zählt nur der Preis, ist der kostenlose Turnstile-Tarif kaum zu unterbieten, und vielleicht brauchst du gar keine Alternative.

Die Tabelle vergleicht Turnstile mit den vier Optionen, die die meisten Teams in die engere Wahl nehmen.

Preise für reCAPTCHA und hCaptcha in US-Dollar, für Friendly Captcha und TrustCaptcha in Euro pro Monat. Die Preise von TrustCaptcha verstehen sich ohne Mehrwertsteuer.

Was Cloudflare Turnstile gut macht

Turnstile ist Cloudflares Ersatz für Rätsel-CAPTCHAs, und zwar ein guter. Besucher bekommen nie Bilder oder Text zum Entziffern. Im Hintergrund laufen kleine JavaScript-Prüfungen, darunter Proof-of-Work, Proof-of-Space und Abfragen von Browser-APIs, und aus den Ergebnissen entscheidet Turnstile, ob ein Besucher menschlich wirkt.

Du hast drei Modi zur Wahl. Im Managed-Modus entscheidet Turnstile pro Besucher, ob eine Prüfung ohne Interaktion reicht oder eine Checkbox erscheint. Der Non-Interactive-Modus verlangt nie eine Aktion vom Besucher, und der unsichtbare Modus zeigt überhaupt kein Widget.

Zwei verbreitete Annahmen über Turnstile stimmen nicht. Du musst deine Website nicht über Cloudflare laufen lassen: Turnstile funktioniert auf jeder Website und braucht keinen anderen Cloudflare-Dienst. Und Barrierefreiheit ist keine Schwachstelle, denn laut Cloudflare erfüllt Turnstile WCAG 2.2 AA.

Warum Teams eine Turnstile-Alternative suchen

Die meisten Teams, die von Turnstile wechseln, haben einen von vier Gründen:

• Datenschutz. Cloudflare ist ein US-Unternehmen, Übermittlungen dorthin brauchen eine rechtliche Prüfung, und Cloudflare nutzt die Signale zur Verbesserung von Turnstile als eigener Verantwortlicher.
• Der Cookie-Hinweis. Cloudflare dokumentiert nicht eindeutig, welche Cookies das Widget auf deinen Seiten setzt, falls überhaupt.
• Kontrolle. Im Managed-Modus entscheidet Cloudflare, wer die Checkbox sieht, und du kannst nicht nachvollziehen, warum ein bestimmter Besucher sie bekommen hat.
• Tarifgrenzen. Der kostenlose Tarif endet bei 20 Widgets und 10 Hostnamen pro Widget, speichert Analysen 7 Tage lang, und nur Enterprise entfernt das Cloudflare-Branding.

Nichts davon macht Turnstile zu einem schlechten Produkt. Es bleibt aber ein Produkt eines US-Anbieters mit festen Grenzen im kostenlosen Tarif, und für manche Teams gibt genau das den Ausschlag.

Cloudflare Turnstile: Preise und Tarife

Turnstile hat zwei Tarife. Der kostenlose Tarif begrenzt die Zahl der Challenges nicht, was ungewöhnlich ist: reCAPTCHA ist nur bis 10.000 Prüfungen im Monat kostenlos. Die Grenzen liegen stattdessen bei der Einrichtung.

• Kostenlos: unbegrenzte Challenges, bis zu 20 Widgets, 10 Hostnamen pro Widget und Analysen für 7 Tage.
• Enterprise, Preis auf Anfrage: unbegrenzte Widgets, bis zu 200 Hostnamen pro Widget, Widgets für beliebige Hostnamen, Ephemeral IDs, Analysen für 30 Tage und die Option, das Cloudflare-Branding zu entfernen.

Für eine einzelne Unternehmenswebsite oder einen Shop reicht der kostenlose Tarif meist aus. Agenturen, die viele Kundenwebsites betreuen, stoßen früher an die Grenzen bei Widgets und Hostnamen.

Ist Cloudflare Turnstile DSGVO-konform?

Das hängt von deinem Einsatz ab, und Cloudflare überlässt die offenen Punkte dir. Cloudflare, Inc. sitzt in San Francisco und übermittelt Daten aus der EU in die USA auf Basis des EU-U.S. Data Privacy Framework.

Das Turnstile Privacy Addendum nennt die Signale: die IP-Adresse des Besuchers, den TLS-Fingerprint, den User-Agent sowie den Sitekey mit seiner Herkunft. Cloudflare verarbeitet sie als dein Auftragsverarbeiter, um deine Website zu schützen. Zusätzlich nutzt Cloudflare sie, um Turnstile zu verbessern, und dafür ist es selbst Verantwortlicher und nicht dein Auftragsverarbeiter. Cloudflare stuft die Signale als unbedingt erforderlich ein und sagt, dass Turnstile keine Daten für Ad-Retargeting sammelt.

Wer Turnstile einsetzt, muss es in der Datenschutzerklärung nennen. Nach Art. 13 DSGVO gehört dazu: wer die Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, ob Daten in Länder außerhalb der EU gehen und wie lange sie gespeichert werden. Eine Textvorlage geben wir bewusst nicht, denn der Wortlaut hängt von deiner Einbindung ab. Dieser Abschnitt ist keine Rechtsberatung; kläre die Formulierung und die Frage der Einwilligung mit deinem Datenschutzbeauftragten.

Willst du nicht vom Data Privacy Framework abhängen, nimmt dir ein CAPTCHA mit EU-Hosting die Frage der Übermittlung ganz ab. Genau dafür steht ein DSGVO-konformes CAPTCHA.

Die Alternativen im Detail

TrustCaptcha: unsichtbares CAPTCHA aus der EU

TrustCaptcha ist ein unsichtbares CAPTCHA der Trustcaptcha GmbH aus München. Es prüft Besucher mit Proof-of-Work und Bot-Scoring: Der Browser löst eine kleine Rechenaufgabe, und deren Schwierigkeit steigt mit dem Risiko der Anfrage, ein verdächtiger Bot zahlt also mehr als ein normaler Besucher. Es gibt kein Rätsel und keine Checkbox. TrustCaptcha setzt keine Cookies, verarbeitet Daten in EU-Rechenzentren und enthält für jeden Kunden einen Auftragsverarbeitungsvertrag (AVV).

Es passt zu Unternehmen in der EU, die die Fragen zu Übermittlung und Cookies von vornherein gelöst haben wollen. Die Tarife starten bei 8 € im Monat für 1.000 Verifizierungen; Bot-Erkennung und Risiko-Scoring gibt es ab dem Solo-Tarif für 36 € im Monat. Nicht-kommerzielle Websites nutzen TrustCaptcha kostenlos mit 500 Verifizierungen im Monat. Worauf du achten solltest: Anders als bei Turnstile gibt es für kommerzielle Websites keinen kostenlosen Tarif, nur die 14-tägige Testphase.

Friendly Captcha

Die Friendly Captcha GmbH sitzt in Wörthsee und ist der engste Mitbewerber von TrustCaptcha. Auch Friendly Captcha nutzt Proof-of-Work, setzt keine Cookies und hasht IP-Adressen. Nach eigenen Angaben ist Friendly Captcha vom TÜV nach WCAG 2.2 AA zertifiziert.

Die Tarife starten bei 9 € im Monat für eine Domain und 1.000 Anfragen, für nicht-kommerzielle Websites mit wenig Traffic gibt es einen kostenlosen Tarif. Worauf du achten solltest: Standardmäßig gehen Anfragen an einen globalen Endpunkt, der auch von außerhalb der EU bedient werden kann. Der reine EU-Endpunkt mit Hosting in Deutschland setzt den Advanced-Tarif (200 € im Monat) oder Enterprise voraus. Den direkten Vergleich findest du unter TrustCaptcha vs. Friendly Captcha.

Google reCAPTCHA

reCAPTCHA gehört inzwischen zu Google Cloud Fraud Defense. Seit dem 2. April 2026 handelt Google als Auftragsverarbeiter nach seinem Cloud Data Processing Addendum, und Websitebetreiber sind alleinige Verantwortliche; auf dieser Grundlage bezeichnet Google das Produkt als DSGVO-konform. Ein notwendiges Cookie (_GRECAPTCHA) bleibt, und weil die Daten an Google gehen, brauchen Übermittlungen eine rechtliche Prüfung.

Die ersten 10.000 Prüfungen im Monat sind pro Organisation kostenlos. Von 10.001 bis 100.000 fällt eine Pauschale von 8 US-Dollar im Monat an, darüber 1 US-Dollar pro 1.000 Prüfungen. v2 zeigt eine Checkbox und, wenn es unsicher ist, Bildraster; v3 liefert einen Score von 0,0 bis 1,0 und zeigt nie eine Challenge. reCAPTCHA passt zu Teams, die schon mit Google Cloud arbeiten. Alle anderen finden mehr Optionen in unserem Überblick über reCAPTCHA Alternativen.

hCaptcha

hCaptcha wird von Intuition Machines, Inc. betrieben, einem US-Unternehmen. Im kostenlosen Basic-Tarif bekommen Besucher Bild-Challenges. Der 99,9-%-Passivmodus beginnt mit Pro für 99 US-Dollar im Monat bei jährlicher Zahlung (139 US-Dollar bei monatlicher), inklusive 100.000 Prüfungen, danach 0,99 US-Dollar pro 1.000. Enterprise bringt einen vollständig passiven Modus und Risiko-Scores.

Laut hCaptcha werden die meisten Daten auf regionalen Servern verarbeitet und Analysedaten in der EU gespeichert. Daten können aber in jedem Land verarbeitet werden, in dem hCaptcha Standorte hat, auch in den USA, auf Basis des Data Privacy Framework und von Standardvertragsklauseln. Die Cookies sind als unbedingt erforderlich eingestuft. hCaptcha passt zu Teams, die im kostenlosen Tarif eine sichtbare Challenge in Kauf nehmen oder für Pro zahlen. Weitere Optionen findest du unter hCaptcha-Alternativen.

Von Turnstile wechseln

Der Wechsel besteht auf den meisten Websites aus drei Schritten. Entferne das Turnstile-Skript, den Widget-Container und den Code, der das Turnstile-Token ausliest. Füge das TrustCaptcha-Widget mit deinem Sitekey in das Formular ein. Ersetze dann die Prüfung auf dem Server durch den Validierungsaufruf von TrustCaptcha. Die Anleitung für den Umstieg von Turnstile in der TrustCaptcha-Dokumentation (auf Englisch) zeigt jeden Schritt mit Code.

Teste es zuerst an einem Formular, etwa dem Kontaktformular, und vergleiche die Einsendungen vorher und nachher.

TrustCaptcha testen

Jeder TrustCaptcha-Tarif startet mit einer 14-tägigen kostenlosen Testphase. Starte deine kostenlose Testphase und lass TrustCaptcha an einem Formular neben Turnstile laufen, um zu sehen, wie es mit deinem eigenen Traffic umgeht.