Ist Captcha-Lösen legal? Was das Gesetz wirklich sagt

Weder US-, britisches noch EU-Recht benennt Captcha-Lösen als Straftat. Es gibt kein Gesetz dagegen, keinen Fall, der sich daran entscheidet, und keine Aufsichtsbehörde, die die Handlung selbst als Unrecht behandelt. Wenn also jemand fragt, ob Captcha-Lösen legal ist, lautet die ehrliche Antwort: Die Frage betrifft eigentlich etwas anderes, nämlich was Sie mit dem Zugriff gemacht haben, welchem Vertrag Sie zuerst zugestimmt haben, und welche Daten Sie entnommen haben. Dieser Beitrag zeigt, wo die Grenze tatsächlich verläuft, anhand der Fälle, die sie gezogen haben. Er ist von Entwicklern geschrieben, nicht von Anwälten, und ist keine Rechtsberatung.

Die kurze Antwort, und warum sie kurz ist

Ein Captcha ist ein Test, kein Schloss. Es fragt, ob der Besucher ein Mensch ist, und lässt jeden durch, der besteht. Es authentifiziert niemanden, es gewährt keine Berechtigungen, und es schützt kein Geheimnis. Wer eines besteht, bekommt genau das, was jeder anonyme Besucher ohnehin schon hatte.

Diese Unterscheidung ist der Grund, warum die Frage der Rechtmäßigkeit immer wieder in andere Fragen zerfällt. Das Umgehen einer technischen Maßnahme, die ein urheberrechtlich geschütztes Werk schützt, ist an vielen Orten eine eigenständige Straftat. Ein Captcha ist das nicht. In ein Konto einzudringen, das nicht Ihres ist, ist fast überall eine Straftat. Ein Captcha ist auch kein Login. Nimmt man beides weg, bleibt gewöhnliches automatisiertes Browsen übrig, das legal, üblich ist und die Art und Weise, wie der Großteil des Webs indexiert wird.

Nutzungsbedingungen sind ein Vertrag, kein Strafgesetz

Die meisten Websites verbieten automatisierten Zugriff irgendwo in ihren Bedingungen. Dieses Versprechen zu brechen ist ein Vertragsproblem. Es bringt Ihnen eine Sperre ein, und die Website kann Sie deswegen verklagen. Es macht Sie dadurch allein aber noch nicht zum Straftäter, und zwei Entscheidungen in den USA haben das zunehmend deutlich gemacht.

Van Buren v. United States, entschieden im Jahr 2021, legte den Computer Fraud and Abuse Act eng aus. Autorisierten Zugriff zu überschreiten bedeutet, in Teile eines Systems vorzudringen, die für Sie gesperrt sind, nicht den Missbrauch von Informationen, die Sie ohnehin schon einsehen durften. Gegen eine Richtlinie zur Datennutzung zu verstoßen ist nicht dasselbe wie Hacking.

hiQ Labs v. LinkedIn ging im Ninth Circuit in dieselbe Richtung: Das Gericht entschied, dass das Scrapen von Daten, die eine Website der ganzen Welt zugänglich macht, kaum als Zugriff ohne Autorisierung gilt, weil nie etwas eingeschränkt war. Dieser Fall ist zugleich die warnende Hälfte der Geschichte: hiQ gewann beim Argument der Computerkriminalität, verlor später wegen Vertragsbruch und einigte sich schließlich unter einer einstweiligen Verfügung. Das Scrapen war kein Verbrechen. Die Vereinbarung, die es brach, hatte trotzdem Biss.

Der eigentlich entscheidende Test ist also nicht, ob eine Challenge im Weg stand. Er lautet, ob der Inhalt öffentlich war und ob Sie vor der Entnahme einer Vereinbarung zugestimmt hatten. Unsere eigenen Nutzungsbedingungen sagen dasselbe aus der anderen Perspektive: Das Tool ist für die rechtmäßige Nutzung lizenziert, und die Verantwortung für die Zielseite liegt bei der Person, die sie automatisiert.

Die Grenze, die zählt: öffentliche Seite oder geschütztes Konto

Eine Frage trennt fast jeden unbedenklichen Fall von jedem riskanten. Steht das Captcha vor etwas, das jeder sehen kann, oder vor einem Konto?

Situation	Was die Challenge schützt	Risikoprofil
Ein öffentliches Produktangebot hinter einer Anti-Bot-Prüfung	Nichts Privates, jeder kommt durch	Höchstens Vertragsrisiko
Ihre eigene Staging- oder Testumgebung	Ihr System, Ihre Erlaubnis	Keine
Ein Formular, das Ihnen gehört, ausgeführt von einem End-to-End-Test	Wieder Ihr System	Keine
Login, Paywall oder ein Mitgliederbereich, für den Sie kein Konto haben	Eine Authentifizierungsgrenze	Potenziell strafbar
Massenhafte Kontoerstellung oder Credential Stuffing	Identität und die Daten anderer Menschen	An den meisten Orten strafbar
Event-Tickets schneller kaufen, als die Warteschlange erlaubt	Ein Bundesgesetz in den USA	Ausdrücklich rechtswidrig

Diese letzte Zeile ist es wert, genannt zu werden. The Better Online Ticket Sales Act of 2016 macht es in den USA rechtswidrig, eine Sicherheitsmaßnahme oder ein Zugangskontrollsystem auf der Website eines Ticketverkäufers zu umgehen, um mehr Tickets zu kaufen, als die Regeln erlauben. Es ist das Gesetz, das einem Gesetz gegen das Aushebeln einer Bot-Prüfung am nächsten kommt, es ist absichtlich eng gefasst, und es gilt für den Ticketverkauf, nicht für die Technik.

Außerhalb der Vereinigten Staaten

Die Struktur ist ähnlich, nur das Vokabular ändert sich. Der britische Computer Misuse Act 1990 dreht sich um unbefugten Zugriff auf einen Computer, was wiederum auf Konten verweist statt auf Challenges. EU-Mitgliedstaaten setzen die Richtlinie über Angriffe auf Informationssysteme mit demselben Grundgedanken um. Nirgends taucht das Captcha als der entscheidende Tatbestand auf.

Was tatsächlich über alle Rechtsordnungen hinweg gilt, ist der Datenschutz. Enthalten die gesammelten Seiten personenbezogene Daten, gilt die DSGVO für das Gesammelte, ganz gleich, wie Sie es erreicht haben, und keine Anti-Bot-Prüfung hat je darüber entschieden, ob das rechtmäßig oder rechtswidrig war. Datenbankrechte in der EU und im Vereinigten Königreich werfen eine zweite, eigenständige Frage auf: die Entnahme wesentlicher Teile einer strukturierten Sammlung. Beide verdienen mehr Aufmerksamkeit als die Challenge, die davor steht.

Die Anwendungen, über die niemand streitet

Ein Großteil des Captcha-Lösens ist unumstritten, und das macht den größten Teil dessen aus, was unsere Nutzer tun:

• Das Testen eigener Formulare, denn eine End-to-End-Testsuite, die nicht an der eigenen Anmeldeseite vorbeikommt, ist eine Suite mit einer Lücke
• Das Monitoring einer selbst betriebenen Website, bei dem eine synthetische Prüfung denselben Weg durchlaufen muss wie ein Kunde
• Barrierefreiheit, wo eine Bild- oder Audio-Challenge eher eine Hürde als ein Test ist, und sie im eigenen Namen zu lösen ist der Workaround, den das Format erzwingt, kein Schlupfloch
• Autorisierte Sicherheitsarbeit, bei der ein Scope-Dokument bereits festlegt, welche Systeme Sie erreichen dürfen
• Forschung und Archivierung öffentlichen Materials, zu welchen Bedingungen auch immer der Herausgeber sie festlegt

Dieser Punkt zur Barrierefreiheit ist keine Legende. Das W3C hat das Problem über zwei Jahrzehnte an Überarbeitungen hinweg dokumentiert in seiner Arbeitsgruppennotiz zur Unzugänglichkeit von Captchas, und Audio-Alternativen haben die Lücke nie für alle geschlossen.

Das sind auch die Fälle, in denen ein unbegrenzter Solver eher die Technik verändert als die Rechtslage: Eine Testsuite mit Wiederholungen ist nur sinnvoll, wenn ein Retry kostenlos ist. Die praktischen Abwägungen zwischen den Ansätzen finden Sie in unserem Vergleich von Captcha-Löser-Diensten.

Wo der lokale Betrieb Ihre Position wirklich verändert

Das ist der Teil, der eine Compliance-Frage ist und keine strafrechtliche, und er wird oft übersprungen.

Eine Cloud-Löse-API funktioniert, indem sie Ihre Daten empfängt. Je nach Challenge kann das die Seiten-URL, den sitekey, einen Screenshot des Formulars, den User-Agent und manchmal Session-Material bedeuten. Sie senden das an einen Dritten, meist in einem anderen Land, oft zur Ansicht durch einen menschlichen Bearbeiter. Nach der DSGVO ist das eine Auftragsverarbeitung und ziemlich wahrscheinlich eine internationale Übermittlung, und sie braucht einen Vertrag, eine Rechtsgrundlage und ein Verzeichnis. Von Menschen betriebene Löse-Farmen werfen eine zweite Frage auf, nämlich die nach den Menschen, die die Arbeit erledigen.

Ein Solver, der auf Ihrer eigenen Maschine läuft, hat nichts davon. Die Seitendaten verlassen Ihre Infrastruktur nie, es gibt also keine Übermittlung, keine Auftragsverarbeitung und nichts, das in einer Datenlandkarte offenzulegen wäre. Das gilt auch für den Server-Modus: Den Solver auf Ihr Netzwerk oder Ihre öffentliche IP auszurichten, damit ein VPS oder ein CI-Runner ihn erreichen kann, verlagert den Prozess nur auf eine andere Maschine, die Ihnen gehört, und die Verbindungseinstellungen decken beide Modi ab. Es ist weiterhin Ihre Hardware, die Daten verlassen also weiterhin nie Ihren Besitz.

Häufig gestellte Fragen

Macht es mich zum Straftäter, wenn ich die Nutzungsbedingungen einer Website breche?

Grundsätzlich nein, zumindest in den USA seit Van Buren. Es macht Sie zu einer Partei, die eine Vereinbarung gebrochen hat, was Sie eher einer Sperre oder Klage aussetzt als einer Anklage. Das ist trotzdem ein reales Risiko, und genau daran entscheiden sich die meisten Scraping-Streitigkeiten, lesen Sie die Bedingungen also, bevor Sie gegen eine Website bauen, nicht danach.

Ist es erlaubt, ein Captcha auf der eigenen Website zu lösen?

Ja, uneingeschränkt. Ihnen gehört das System, Sie legen die Regeln fest, und ein automatisierter Test, der Ihren eigenen Anmeldeprozess durchläuft, unterscheidet sich der Art nach nicht von jedem anderen Test. Gehört Ihnen das Widget, ist es meist noch einfacher, es per Feature-Flag im Staging abzuschalten. Lösen Sie es, wenn Staging die Produktion exakt spiegeln muss oder wenn der Challenge-Pfad selbst getestet wird.

Ist das Scrapen öffentlicher Daten legal, wenn eine Challenge im Weg steht?

Die Challenge ist nicht das, was darüber entscheidet. Gerichte haben geprüft, ob die Daten öffentlich waren und ob Sie Bedingungen zugestimmt haben, und eine Anti-Bot-Prüfung war in den maßgeblichen Fällen nicht der entscheidende Tatbestand. Personenbezogene Daten bringen die DSGVO gesondert ins Spiel, und Urheberrecht oder Datenbankrechte können für den Inhalt selbst gelten. Diese drei Fragen sind es, die zu beantworten sind.

Kontrollieren Sie, was Ihre Kunden lösen?

Das können wir nicht, und das ist eine direkte Folge des Designs. Der Solver läuft auf Ihrer Maschine und meldet nichts zurück, es gibt hier also keine Warteschlange von Aufgaben zu prüfen. Stattdessen setzt die Lizenz die Grenze. Unsere FAQ erklärt, was die Software wohin sendet und was nicht.

Die Kurzfassung

Kein Gesetz benennt die Handlung. Stellen Sie stattdessen drei Fragen: War der Inhalt öffentlich, haben Sie einer Vereinbarung zugestimmt, und enthält das Gesammelte personenbezogene Daten? Diese entscheiden über das Ergebnis, und eine Challenge, die im Weg steht, ändert daran nichts.

Wo die technische Entscheidung tatsächlich zählt, ist bei der Offenlegung, denn ein Cloud-Dienst ist ein Dritter, der Ihre Daten empfängt, und Ihr eigener lokaler Captcha-Löser ist es nicht. Bei Automatisierung gegen öffentliche Seiten gilt: unsere Web-Scraping-Seite behandelt die Muster und die Etikette, die Sie auf der richtigen Seite davon halten. Bei allem, wo echtes Geld oder echtes Risiko im Spiel ist, fragen Sie einen Anwalt in Ihrer Rechtsordnung. Dieser Beitrag ist eine Landkarte, keine Rechtsberatung.