Was ist ein Captcha und wie funktioniert es? Jeder Typ erklärt

Ein CAPTCHA ist ein Test, mit dem eine Website eine Person von einem Skript unterscheidet. Wenn Sie schon einmal auf “Ich bin kein Roboter” geklickt, verzerrte Buchstaben von einem Bild abgetippt oder jedes Feld mit einer Ampel darauf ausgewählt haben, haben Sie einen absolviert. Viele davon sehen Sie nie, weil die modernen im Hintergrund entscheiden und nur dann eingreifen, wenn etwas verdächtig aussieht.

Was ist ein Captcha also in der Praxis? Hier erfahren Sie, wofür das Akronym steht, welche sechs Typen Ihnen tatsächlich begegnen und wie jeder von ihnen seine Entscheidung trifft.

Wofür CAPTCHA steht

CAPTCHA ist die Abkürzung für Completely Automated Public Turing test to tell Computers and Humans Apart. Langer Name, einfache Idee: Zeigen Sie eine Aufgabe, die Menschen leicht und Software schwer fällt.

Die “für Software schwierige” Hälfte ist der Teil, der ständig in Bewegung bleibt. Verzerrte Text-Rätsel waren im Jahr 2003 für eine Maschine tatsächlich schwierig. Die Zeichenerkennung holte auf, also wechselten die Tests zu Bildern, dann zum Verhalten, dann zur stillen Bewertung, ohne überhaupt etwas anzuzeigen. Jede Generation existiert, weil die vorherige nicht mehr funktionierte.

Die sechs Typen, denen Sie tatsächlich begegnen

Fast jedes Captcha im Web ist eines davon.

1. Text-Captcha

Verzerrte Buchstaben und Ziffern in einem Bild. Sie tippen ab, was Sie sehen. Es ist das ursprüngliche Format und es verschwindet allmählich, weil die Zeichenerkennung damit inzwischen gut zurechtkommt. In älteren Foren, veralteten Behördenportalen und internen Tools werden Sie ihm dennoch begegnen. Eines davon programmatisch auszulesen, ist genau das, was ein Bild-Captcha-Löser tut es.

2. Bildauswahl

Ein Raster aus Fotos und eine Anweisung: Wählen Sie die Busse, die Zebrastreifen, die Fahrräder. Das ist das Format, das sich die meisten Menschen vorstellen, wenn sie das Wort hören. Meist handelt es sich um eine Eskalation von reCAPTCHA, weil an der Anfrage bereits etwas automatisiert aussah.

3. Checkbox

Das Kontrollkästchen “Ich bin kein Roboter”. Der Klick selbst beweist fast nichts. Entscheidend ist alles, was rundherum gemessen wird: wie der Cursor ankam, wie der Browser aussieht, was diese IP in letzter Zeit getan hat. Bestehen Sie, sind Sie durch. Scheitern Sie, erhalten Sie das Bildraster.

4. Invisible

Dieselbe Mechanik, kein Kontrollkästchen. Die Verifizierung wird ausgelöst, wenn die Seite geladen oder das Formular abgesendet wird. Die meisten Besucher sehen nie etwas, und eine Challenge erscheint nur, wenn die Signale schwach sind.

5. Score-basiert

Zu keinem Zeitpunkt ein Rätsel. Das System liefert eine Zahl zurück, die schätzt, wie menschlich die Interaktion wirkte, und die Website entscheidet, was damit geschieht: zulassen, herausfordern oder blockieren. Für Besucher ist das angenehmer und für denjenigen, der es implementiert, deutlich mehr Arbeit, denn die Website besitzt nun die Schwellenwert-Logik.

6. Cloudflare Turnstile

Cloudflares Alternative, entwickelt, um mit so wenig sichtbarer Interaktion wie möglich zu verifizieren. Es erscheint als kleines Widget innerhalb eines Formulars oder als ganzseitiges Interstitial, während eine Herausforderung läuft. Unsere Seite über Cloudflare Turnstile behandelt, wie sich diese beiden Modi in der Praxis unterscheiden.

Live-Versionen all dieser können Sie ausprobieren auf unserer Captcha-Demoseiten.

Wie ein Captcha entscheidet

Auf der Seite ist ein CAPTCHA normalerweise ein Container-Element und ein Skript:

<!-- A reCAPTCHA v2 checkbox: one div, one script. -->
<div class="g-recaptcha" data-sitekey="YOUR_SITEKEY"></div>

<script src="https://www.google.com/recaptcha/api.js"
        async defer></script>

<!-- On success the widget writes a token into a hidden field
     called g-recaptcha-response, which posts with the form. -->

Das sichtbare Rätsel ist, wenn es überhaupt eines gibt, der kleinste Teil. Dahinter wägt der Anbieter Signale ab, mit denen Sie niemals direkt interagieren:

• Mausbewegung, Scrollen und Tipprhythmus
• Browser- und Geräteeigenschaften
• wie viele Anfragen von dieser IP gekommen sind und was sie getan haben
• Cookies und bisheriger Verlauf beim Anbieter
• Timing, etwa ein Formular, das schneller abgesendet wird, als ein Mensch es lesen könnte

Dann wird das Ergebnis übertragen als ein token. Das Widget übergibt Ihrem Browser eine kurzlebige Zeichenkette, das Formular sendet sie ab, und das Backend der Website tauscht dieses Token mit dem Anbieter aus, um herauszufinden, ob Sie bestanden haben. Nichts wird in Ihrem Browser entschieden, weshalb das Bearbeiten der Seite Sie nie durchkommen lässt.

Warum Websites CAPTCHA verwenden

Weil automatisierter Missbrauch billig und schnell ist. Ein einziges Skript kann Tausende Anfragen an ein Formular abfeuern in der Zeit, die eine Person braucht, um es einmal auszufüllen. Ohne vorgeschaltete Prüfung trifft es kleine Websites genauso leicht wie große.

Die üblichen Ziele:

• Spam über Kontakt- und Kommentarformulare
• gefälschte Kontoregistrierung
• Credential Stuffing gegen Login-Seiten
• Scraping von Inhalten, Preisen oder Angeboten
• Missbrauch von kostenlosen Tests, Gutscheinen und Werbegeschenken
• Checkout und Bestandshortung

Ein CAPTCHA macht all das nicht unmöglich. Es macht es teuer genug, dass die meisten opportunistischen Versuche woanders hingehen.

Warum sie Menschen frustrieren

Weil die Kosten auf alle zurückfallen, nicht nur auf die Bots. Häufige Beschwerden, alle berechtigt:

• das Raster, das immer wieder neu lädt, egal worauf Sie klicken
• Text zu verzerrt zum Lesen
• Challenges, die auf jeder Seite auslösen, nicht nur auf riskanten
• False Positives bei VPNs, gemeinsam genutzten Büro-IPs und Privacy-Browsern
• Screenreader und motorische Einschränkungen schlecht behandelt

Das ist der eigentliche Kompromiss. Erhöhen Sie den Schutz, und Sie blockieren mehr Missbrauch und mehr Kunden. Deshalb bewegt sich die Branche stetig hin zu unsichtbaren und bewertungsbasierten Prüfungen: derselbe Schutz, weniger davon gerichtet auf Personen, die nie das Problem waren.

Ein Captcha ist eine Ebene, nicht die gesamte Verteidigung

Moderne Anti-Bot-Stacks hören selten bei einem Captcha auf. Darum herum liegen Rate-Limiting, IP-Reputation, Browser-Fingerprinting, Geräteprüfungen, Verhaltensanalyse und Session-Überwachung.

Deshalb verhalten sich zwei Websites, die denselben Anbieter nutzen, völlig unterschiedlich. Der Anbieter liefert ein Signal. Jede Website legt ihre eigenen Schwellenwerte fest – und ihre eigene Antwort darauf, was Sie ein schwaches Signal kosten soll.

Es erklärt auch die frustrierende Asymmetrie, bei der eine Website Sie direkt durchwinkt und eine andere Ihnen über dieselbe Verbindung vier Bildraster hintereinander zeigt.

Häufig gestellte Fragen

Was ist ein Captcha, einfach erklärt?

Ein Test, den eine Website verwendet, um zu prüfen, ob ein Besucher eine Person und kein Skript ist. Es kann ein Rätsel, ein Kontrollkästchen oder eine stille Hintergrundprüfung sein, die Sie nie bemerken.

Warum verwenden Websites CAPTCHA?

Um Spam, Fake-Anmeldungen, Brute-Force-Logins, Scraping und anderen automatisierten Missbrauch einzudämmen. Es funktioniert, indem es jeden Versuch etwas kosten lässt, sodass Massenautomatisierung nicht länger günstig ist.

Was sind die wichtigsten Captcha-Typen?

Text, Bildauswahl, Checkbox, unsichtbar, Score-basiert und Cloudflare Turnstile. Die ersten beiden zeigen Ihnen ein Rätsel. Der Rest entscheidet größtenteils oder vollständig anhand von Signalen, die Sie nie sehen.

Ist CAPTCHA immer sichtbar?

Nein. Unsichtbare und Score-basierte Systeme laufen, ohne etwas anzuzeigen, und bringen nur dann eine Challenge zum Vorschein, wenn die Anfrage verdächtig wirkt. Wenn eine Website scheinbar kein Captcha hat, ist es vielleicht einfach eines, das Sie immer wieder bestehen.

Stoppt Captcha alle Bots?

Nein, und das ist auch nicht der Sinn. Es erhöht die Kosten der Automatisierung. Entschlossene Angreifer kommen durch, und genau deshalb steht es neben Rate Limiting, Fingerprinting und Reputationsprüfungen, statt sie zu ersetzen.

Zusammenfassung

Ein Captcha ist ein günstiger Filter zwischen einem Besucher und einer Aktion. Das sichtbare Rätsel ist der kleine Teil, die Signale drumherum leisten die meiste Arbeit, und das Ergebnis reist als Token, den Ihr Browser nicht fälschen kann. Sechs Formate decken fast alles ab, dem Sie begegnen werden, und der Trend geht klar zu denen, die Sie nie sehen.

Googles Implementierung ist diejenige, auf die Sie am häufigsten treffen, und sie erhält ihre eigene Erklärung in was reCAPTCHA ist und wie es funktioniert. Wenn Sie auf der anderen Seite davon stehen und Challenges innerhalb eines Crawlers oder einer Test-Suite bewältigen, siehe Captcha-Handling für Web Scraping. CapSkip selbst ist ein unbegrenzter Captcha-Löser das auf Ihrem eigenen Rechner läuft.