CAPTCHAs: Wie du Formulare schützt, ohne Menschen auszuschließen

Das Wichtigste in Kürze

• CAPTCHAs können Menschen ausschließen: Bilderrätsel, verzerrter Text und Audioaufgaben sind für Menschen mit bestimmten Behinderungen oft nicht lösbar.

• Unsichtbare Prüfungen sind nicht automatisch barrierefrei: Wer Screenreader oder andere Hilfsmittel nutzt, verhält sich anders als erwartet und wird womöglich fälschlich als Bot eingestuft.

• Es gibt Alternativen: Honeypot-Felder, serverseitige Spamfilter und moderne Verfahren schützen Formulare, ohne zusätzliche Rätsel zu verlangen.

• Der gesamte Ablauf zählt: Ist eine Sicherheitsabfrage nicht barrierefrei, braucht es einen anderen Weg. Sonst macht ein einziges CAPTCHA eine ansonsten zugängliche Webseite unbenutzbar.

Wenn der Spamschutz zur Barriere wird

Die Kontraste passen, alles lässt sich mit der Tastatur bedienen, und der Screenreader liest alle Inhalte problemlos vor: Auf der Webseite, auf der man gerade den Antrag auf eine behördliche Bescheinigung ausgefüllt, den Arzttermin fast gebucht oder den Wocheneinkauf zusammengestellt hat, stimmt eigentlich alles. Dann fehlt nur noch der Klick auf „Absenden“, und plötzlich versperrt einem ein CAPTCHA den Weg: Man soll verzerrte Buchstaben abtippen, Fahrräder auf unscharfen Fotos markieren oder ein Puzzleteil in eine Lücke schieben.

Was für die meisten Menschen ein nerviger Extraschritt ist, wird für Menschen mit Behinderung oft zu einer Hürde, an der das ganze Vorhaben scheitert, obwohl der Rest der Seite gut zugänglich war. Wer die Aufgabe wegen fehlender Barrierefreiheit nicht lösen kann, muss entweder auf fremde Hilfe zurückgreifen oder den Vorgang abbrechen. Damit geht an einer Stelle, an der es um nichts weiter als einen Spamschutz geht, ein Stück Selbstständigkeit verloren.

Was sind CAPTCHAs und warum gibt es sie?

CAPTCHA steht für „Completely Automated Public Turing test to tell Computers and Humans Apart“ und wurde entwickelt, um Menschen von Computern und Bots unterscheiden zu können. Eingesetzt werden CAPTCHAs vor allem, um Formulare vor Spam, Fake-Accounts und automatisierten Angriffen zu schützen. In der Praxis führt dieser Ansatz allerdings zu einem Zielkonflikt: Um Bots auszusperren, werden Barrieren errichtet, die nicht nur Bots ausschließen, sondern teilweise auch echte Menschen.

Welche CAPTCHA-Varianten gibt es und wen schließen sie aus?

CAPTCHAs gibt es in mehreren Formen, die sich im Laufe der Jahre an die technische Entwicklung der Bots angepasst haben. Fast alle gängigen Varianten schließen dabei allerdings auch bestimmte Nutzergruppen aus, und zwar aus ganz unterschiedlichen Gründen. Betroffen sind nicht nur Menschen mit einer dauerhaften Behinderung, sondern auch viele ältere Menschen, bei denen Sehkraft, Feinmotorik oder Konzentration nachlassen, und Menschen mit vorübergehenden Einschränkungen, etwa mit einem gebrochenen Arm oder während einer Migräne.

Verzerrter Text

Der verzerrte Text ist die klassische Variante und stammt aus einer Zeit, in der Computer verzerrte Schrift noch schlechter lesen konnten als Menschen. Heute ist es umgekehrt: Eine Studie, die 2023 auf der Konferenz USENIX Security vorgestellt wurde, ließ 1.400 Menschen CAPTCHAs lösen. Bei verzerrtem Text lagen sie in 50 bis 84 % der Fälle richtig und brauchten 9 bis 15 Sekunden, während Bots aus der Forschung rund 99,8 % in unter einer Sekunde schaffen.

Für blinde Menschen ist die Grafik ohne Textalternative nicht lesbar, für sehbehinderte Menschen bleibt bei starker Verzerrung und geringem Kontrast kaum etwas erkennbar, und für Menschen mit Legasthenie ist das Abtippen sinnfreier Zeichenfolgen zusätzlich eine Hürde.

Bilderrätsel und Kachelraster

Bei diesen Aufgaben sollen Ampeln, Busse, Zebrastreifen oder Brücken auf Fotos erkannt werden. Sie wurden unter anderem entwickelt, weil Bots verzerrten Text zunehmend lesen konnten, und sind vor allem durch Googles reCAPTCHA v2 bekannt geworden. Der Dienst gilt als der verbreitetste seiner Art, zeigt zuerst die Checkbox „Ich bin kein Roboter“ und die Bilder oft nur noch bei verdächtigen Besuchen.

Blinde Menschen können solche Rätsel nicht lösen, weil die Bilder bewusst keine Textalternative haben – sie würde den Bots die Lösung verraten. Für sehbehinderte Menschen und bei eingeschränkter Feinmotorik sind unscharfe Motive und winzige Kacheln ein Problem, und selbst ohne Einschränkung bleibt oft unklar, ob bei einer Ampel auch der Mast zählt oder nur das Gehäuse.

Audioaufgaben

Audio-CAPTCHAs lesen Zahlen oder Wörter vor, die anschließend eingetippt werden müssen. Sie wurden als Alternative für Menschen eingeführt, die das Bild nicht erkennen können, und gelten deshalb oft als barrierefreie Lösung für blinde Menschen. Für Menschen mit einer Hörbehinderung oder Gehörlosigkeit sind sie dagegen unbrauchbar, und für taubblinde Menschen fallen damit beide Varianten weg. Zudem werden die Tonspuren absichtlich mit Störgeräuschen oder Musik hinterlegt, um automatische Spracherkennung zu erschweren, sodass sie auch für viele hörende Menschen schwer verständlich sind.

Schieberegler und Puzzle

Hier muss ein Teil per Schieberegler oder Drag-and-Drop genau in eine Lücke gezogen werden. Das setzt eine feine Hand-Auge-Koordination voraus und ist mit alternativen Eingabegeräten, Augensteuerung oder bei Tremor kaum machbar. Auch mit Tastatur oder Screenreader lassen sich solche Aufgaben oft nicht bedienen, und wer die Form und Position der Lücke nicht erkennt, kann sie nicht lösen.

Rechenaufgaben

Einfache Rechenaufgaben wie „Was ist 7 + 4?“ bestehen aus Text und lassen sich deshalb leichter zugänglich umsetzen als Bilderrätsel. Für Menschen mit Dyskalkulie oder kognitiven Beeinträchtigungen bleiben sie trotzdem eine Hürde, und Menschen mit Konzentrations- oder Lernschwierigkeiten können durch die zusätzliche Aufgabe aus dem Konzept kommen. Bots lösen sie dagegen mühelos, sodass sie als Schutz kaum etwas leisten, die Hürde für Menschen aber bleibt.

Hintergrundprüfungen

Hintergrundprüfungen laufen unsichtbar ab und bewerten, wie sich ein Besuch verhält, etwa anhand von Mausbewegungen, Verweildauer oder Geräteinformationen. Die meisten Menschen merken davon nichts, was sie auf den ersten Blick zur barrierefreisten Lösung macht. Zum Problem wird es, wenn jemand fälschlich als Bot eingestuft wird, weil das Nutzungsverhalten vom Üblichen abweicht – etwa bei der Bedienung mit Hilfsmitteln, nur mit der Tastatur oder wenn jemand mehr Zeit braucht. Dann muss doch wieder eine sichtbare Aufgabe gelöst werden oder man kommt gar nicht weiter, und ohne zugänglichen Ausweg steht man am gleichen Punkt wie bei den klassischen Varianten.

Was das Problem zusätzlich verschärft

Unabhängig von der Variante gibt es Umstände, die eine ohnehin schwierige Aufgabe unlösbar machen. Dazu gehören Zeitlimits ohne Verlängerungsoption, bei denen die Eingabe abbricht, bevor jemand mit Hilfsmitteln oder eingeschränkter Motorik fertig werden kann, und Formulare, die keinen alternativen Weg anbieten, etwa eine Telefonnummer oder eine direkte E-Mail-Adresse für den Fall, dass die Sicherheitsabfrage scheitert.

Auch Barrierefreiheits-Cookies, wie sie zum Beispiel hCaptcha anbietet, helfen nur bedingt. Wer visuelle Aufgaben überspringen möchte, muss sich dafür mit seiner E-Mail-Adresse bei einem Drittanbieter registrieren. Zudem funktioniert das Cookie unter Umständen nicht mehr, wenn der Browser Drittanbieter-Cookies blockiert oder man das Gerät wechselt.

Was sagen die WCAG und das Gesetz zu CAPTCHAs?

Die Web Content Accessibility Guidelines (WCAG) verbieten CAPTCHAs nicht, stellen aber klare Anforderungen:

• 1.1.1 Nicht-Text-Inhalt (Stufe A): Ein CAPTCHA braucht eine Textalternative, die seinen Zweck beschreibt. Außerdem müssen alternative Formen für unterschiedliche Sinne zur Verfügung stehen, zum Beispiel eine visuelle und eine akustische Variante.

• 3.3.8 Barrierefreie Authentifizierung (Minimum) (Stufe AA): Neu in WCAG 2.2. Bei einer Anmeldung darf kein kognitiver Funktionstest wie ein Rätsel oder das Abtippen von Zeichen verlangt werden, wenn es keine Alternative oder Hilfe gibt. Das Erkennen von Objekten, etwa „Wähle alle Ampeln aus“, ist auf dieser Stufe noch als Ausnahme erlaubt.

• 3.3.9 Barrierefreie Authentifizierung (erweitert) (Stufe AAA): Hier entfällt die Ausnahme für die Objekterkennung.

• 2.5.7 Ziehbewegungen (Stufe AA): Ebenfalls neu in WCAG 2.2. Was gezogen werden muss, etwa bei einem Schieberegler-CAPTCHA, muss sich auch mit einzelnen Klicks oder Tipps bedienen lassen.

• 2.2.1 Zeitbegrenzungen anpassbar (Stufe A): Zeitlimits müssen sich abschalten, anpassen oder verlängern lassen.

• 2.1.1 Tastatur (Stufe A): Die gesamte Aufgabe muss mit der Tastatur bedienbar sein.

Seit dem 28. Juni 2025 gilt in Deutschland das Barrierefreiheitsstärkungsgesetz (BFSG), das den European Accessibility Act (EAA) umsetzt, etwa für Onlineshops, Bankdienstleistungen und Buchungsprozesse. Technische Grundlage ist die europäische Norm EN 301 549, deren aktuelle Fassung V3.2.1 auf WCAG 2.1 Stufe AA verweist. Die neue Fassung V4.1.1, die im September 2026 erschienen ist, übernimmt WCAG 2.2 und damit auch 3.3.8 und 2.5.7. Rechtlich maßgeblich wird sie, sobald die EU-Kommission sie im Amtsblatt der EU veröffentlicht. Wer Formulare jetzt plant, sollte sich deshalb schon an WCAG 2.2 orientieren.

Gibt es Spamschutz ohne CAPTCHA?

Trotz aller Kritik ist es verständlich, dass Betreiber ihre Formulare schützen wollen, gerade im Zeitalter von KI, in dem sich mit Bots immer einfacher Missbrauch betreiben lässt. Wenn aber nahezu alle gängigen CAPTCHA-Varianten für irgendeine Nutzergruppe ein Problem darstellen, stellt sich die Frage, ob es einen Schutz gibt, der ohne diese Hürden auskommt. Auch das W3C empfiehlt in seiner Note zur Unzugänglichkeit von CAPTCHAs, Verfahren ohne Interaktion zu bevorzugen. Es gibt Alternativen, die Besuchenden meist deutlich weniger Aufwand abverlangen, aber auch sie sind nicht automatisch barrierefrei und müssen sauber umgesetzt werden.

Honeypot-Felder

Bei einem Honeypot wird dem Formular ein zusätzliches Feld hinzugefügt, das Besuchende nicht sehen. Bots füllen stur alle Felder aus, die sie im Quellcode finden, und verraten sich dadurch selbst, weil ein Mensch dieses Feld nie ausfüllen würde. Barrierefrei ist das aber nur, wenn das Feld für alle versteckt ist: Wird es lediglich optisch ausgeblendet, können Tastaturnutzende es erreichen oder Screenreader es vorlesen, sodass echte Nutzende es ausfüllen und fälschlich als Bot aussortiert werden könnten.

So lässt sich das Feld richtig verstecken:

• Am einfachsten: mit display: none oder dem Attribut hidden. Dann ist das Feld optisch, für Screenreader und für die Tastatur ausgeblendet.

• Wenn das Feld stattdessen außerhalb des sichtbaren Bereichs liegt: tabindex="-1" setzen, damit es per Tastatur nicht erreichbar ist, aria-hidden="true", damit Screenreader es ignorieren, und autocomplete="off", damit der Browser es nicht automatisch ausfüllt. Eine Beschriftung wie „Dieses Feld bitte leer lassen“ hilft, falls doch jemand dorthin gelangt.

Serverseitige Spamfilter und Rate Limiting

Hier prüft der Server selbst, ob eine Eingabe plausibel ist, zum Beispiel anhand typischer Spam-Muster oder der Ausfüllgeschwindigkeit, und er begrenzt, wie oft dieselbe IP-Adresse in kurzer Zeit Anfragen senden darf. Für Besuchende läuft das unsichtbar ab. Allerdings dürfen die Regeln keine Menschen aussperren, die ein Formular langsamer ausfüllen, etwa mit Screenreader, Sprachsteuerung oder motorischen Einschränkungen, oder die sich ihre IP-Adresse mit vielen anderen teilen, zum Beispiel in einem Büro oder einer Pflegeeinrichtung.

Moderne Dienste ohne Rätsel

Dienste wie Friendly Captcha, reCAPTCHA v3 oder Cloudflare Turnstile kommen weitgehend ohne sichtbare Aufgaben aus, funktionieren aber unterschiedlich:

• Friendly Captcha: Der Anbieter aus Deutschland lässt den Browser im Hintergrund eine kleine Rechenaufgabe lösen, die für einzelne Besuchende kaum ins Gewicht fällt, bei massenhaften automatisierten Anfragen aber aufwendig wird. Laut Anbieter fließen zusätzlich Risikosignale ein.

• reCAPTCHA v3: zeigt nie eine Aufgabe, sondern liefert für jede Anfrage einen Score. Was bei einem niedrigen Wert passiert, entscheidet die Webseite selbst – und genau dieser nächste Schritt muss dann barrierefrei sein.

• Cloudflare Turnstile: bietet drei Modi. Im Modus „Managed“ wird nur dann ein Häkchen in einer Checkbox verlangt, wenn eine zusätzliche Prüfung nötig ist, Rätsel gibt es keine.

Bei allen externen Diensten sollte geprüft werden, was passiert, wenn die Prüfung scheitert, ob es dann einen zugänglichen Weg gibt und welche Daten an den Anbieter übermittelt werden (DSGVO). Wirbt ein Anbieter mit Barrierefreiheit, lohnt sich ein eigener Test im eigenen Formular.

Passkeys, Zwei-Faktor-Authentifizierung und Magic Links

Bei Logins machen Passkeys, Zwei-Faktor-Authentifizierung oder Anmeldelinks per E-Mail jede Rätselaufgabe überflüssig, weil dafür etwas nötig ist, das ein Bot nicht einfach nachmachen kann, etwa der Zugriff auf ein Postfach oder ein registriertes Gerät. Das hilft auch bei WCAG 3.3.8, weil weder ein Passwort gemerkt noch ein Rätsel gelöst werden muss. Wichtig ist, mehrere Wege anzubieten: Ein Code, der nur vorgelesen wird, schließt zum Beispiel gehörlose Menschen aus.

Wie Eye-Able unterstützen kann

Viele Barrieren in Formularen lassen sich automatisch finden, etwa fehlende Beschriftungen oder zu geringe Kontraste. Mit Eye-Able Audit & Report kannst du deine Formulare auf solche Fehler prüfen und sie an der Quelle beheben. Worauf es bei Formularen sonst noch ankommt, zeigt unser Leitfaden zu barrierefreien Formularen.

Ob sich ein CAPTCHA tatsächlich lösen lässt, zeigt sich allerdings nur im manuellen Test: mit der Tastatur, mit dem Screenreader und mit einem Blick darauf, was passiert, wenn die Prüfung scheitert.

Fazit

Das beste CAPTCHA ist gar kein CAPTCHA. Denn egal, welche Variante man wählt, schließt sie meistens irgendeine Nutzergruppe aus und wird schwierig, sobald jemand in irgendeiner Weise eingeschränkt ist. Selbst Menschen ohne Einschränkungen kennen das Gefühl, bei der dritten Ampelaufgabe nicht mehr sicher zu sein, ob das Ergebnis überhaupt stimmt.

Das ist die Krux an der Sache: Eine Seite kann noch so sorgfältig barrierefrei gestaltet sein – wenn der letzte Schritt nicht funktioniert, scheitert trotzdem der gesamte Vorgang, und genau das widerspricht dem Sinn von Barrierefreiheit. Lässt sich ein CAPTCHA nicht vermeiden, sollte man deshalb zumindest auf Alternativen zurückgreifen, die wenig Aufwand bedeuten und niemanden ausschließen. Muss es doch ein klassisches CAPTCHA sein, braucht es mehr als eine Option, die verschiedene Sinne abdeckt, und immer einen Alternativweg, etwa per Telefon oder E-Mail, denn für taubblinde Menschen reicht weder eine visuelle noch eine akustische Aufgabe.

Das CAPTCHA selbst muss außerdem zugänglich umgesetzt sein, denn eine Audioaufgabe hilft nichts, wenn sich das Eingabefeld nicht bedienen lässt. Alles muss mit der Tastatur funktionieren, Drag-and-Drop braucht eine Alternative mit einfachen Klicks, und Zeitlimits müssen sich verlängern lassen. Wer den Ablauf vorab mit Tastatur und Screenreader durchspielt, auch im Fehlerfall, vermeidet, dass am Ende doch jemand ausgeschlossen wird. Ein barrierefreies Web endet nicht beim Layout, sondern schließt mit ein, was nach dem Klick auf den Absende-Button passiert.

Wie barrierefrei ist deine eigene Webseite? Unser kostenloser Barrierefreiheitscheck gibt dir in weniger als 2 Minuten einen ersten Überblick.

FAQ: CAPTCHAs und Barrierefreiheit

Sind CAPTCHAs barrierefrei?

Nicht automatisch. Klassische CAPTCHAs mit Bilderrätseln, verzerrtem Text oder Audioaufgaben können Menschen mit Seh-, Hör-, motorischen oder kognitiven Beeinträchtigungen ausschließen. Auch unsichtbare Prüfungen sind nicht unbedingt barrierefrei, wenn sie Menschen fälschlich als Bot einstufen und keinen zugänglichen Ausweg bieten.

Verstoßen CAPTCHAs gegen die WCAG?

Die WCAG verbieten CAPTCHAs nicht, stellen aber Anforderungen. Erfolgskriterium 1.1.1 verlangt eine Textalternative und alternative Formen für verschiedene Sinne. In WCAG 2.2 kommt 3.3.8 hinzu: Bei Anmeldungen darf ohne Alternative kein kognitiver Test wie ein Rätsel verlangt werden, wobei die Objekterkennung auf Stufe AA noch erlaubt ist. Schieberegler-CAPTCHAs müssen außerdem 2.5.7 Ziehbewegungen erfüllen, und alle CAPTCHAs müssen per Tastatur bedienbar sein und dürfen keine starren Zeitlimits haben.

Welche Alternativen zu CAPTCHAs gibt es?

Zu den Alternativen gehören Honeypot-Felder, serverseitige Spamfilter, Rate Limiting und Dienste ohne sichtbare Rätsel wie Friendly Captcha, reCAPTCHA v3 oder Cloudflare Turnstile. Für Logins eignen sich Passkeys, Zwei-Faktor-Authentifizierung und Magic Links. Auch diese Lösungen sollten auf Barrierefreiheit getestet werden.

Ist Google reCAPTCHA barrierefrei?

Das hängt von der Version und der Umsetzung ab. reCAPTCHA v2 kann Bilderrätsel zeigen, die für Menschen mit Seh- oder motorischen Einschränkungen eine Barriere sind. Die Audioalternative schließt wiederum gehörlose und taubblinde Menschen aus. reCAPTCHA v3 zeigt nie eine Aufgabe, sondern liefert nur einen Score. Entscheidend ist, was die Webseite bei einem niedrigen Wert tut und ob es dann einen barrierefreien Weg gibt.

Wie lassen sich Formulare ohne Barrieren vor Spam schützen?

Am besten mit mehreren Schutzschichten, die möglichst keine zusätzlichen Aufgaben verlangen: serverseitige Spamfilter, Rate Limiting und korrekt versteckte Honeypot-Felder. Wichtig ist, dass die Regeln niemanden benachteiligen, der mehr Zeit braucht, und dass es immer einen zugänglichen Ausweg gibt, etwa eine Telefonnummer oder E-Mail-Adresse, falls jemand fälschlich als Bot eingestuft wird.