Ein CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) ist ein Test, der menschliche Besucher von automatisierten Programmen unterscheiden soll. Er sitzt meist in Formularen, bei Anmeldungen oder Kommentarfunktionen.
Ziel ist der Schutz vor Spam, Massenanfragen und automatisiertem Ausprobieren von Zugangsdaten. Moderne Verfahren arbeiten zunehmend unsichtbar im Hintergrund, statt Besuchern ein Rätsel zu stellen.
Ein CAPTCHA ist keine Sicherheitsgarantie. Laut W3C sind viele verbreitete Verfahren nicht mehr besonders wirksam, und sie schließen Menschen mit Behinderungen oft aus.
Formulare sind offene Türen: Jedes Kontaktformular, jede Registrierung und jede Kommentarspalte lässt sich per Skript automatisch befüllen. Die Folgen reichen von nervigem Spam bis zu überlasteten Servern oder missbrauchten Anmeldungen.
Ein CAPTCHA bremst solche Zugriffe, bevor sie Ihr System erreichen. Das betrifft vor allem Crawler und Skripte, die keine echten Interessenten sind. Es ist aber nur eine Schicht von mehreren, denn auch die serverseitige Prüfung der Eingaben bleibt nötig.
Der Besucher löst eine Aufgabe oder wird im Hintergrund bewertet, und der Server prüft anschließend das Ergebnis, bevor er das Formular annimmt. Typische Varianten:
Ein Unternehmen erhält über sein Kontaktformular täglich unerwünschte Nachrichten. Zuerst kommen ein verstecktes Feld und eine Zeitprüfung zum Einsatz, die echte Besucher nicht bemerken. Reicht das nicht, wird ein unsichtbares CAPTCHA eines Anbieters ergänzt.
Das Ergebnis hängt vom Einzelfall ab. Entscheidend ist, die Spam-Quote vorher und nachher zu beobachten und zu prüfen, ob echte Anfragen weiterhin ankommen.
Bevor Sie ein CAPTCHA einbauen, lohnt sich eine kurze Reihenfolge:
Ein CAPTCHA verlangt eine Aktion oder bewertet Verhalten. Ein Honeypot ist ein verstecktes Formularfeld, das nur Programme ausfüllen. Rate Limiting begrenzt, wie oft eine Adresse in kurzer Zeit Anfragen senden darf. Die Verfahren lassen sich kombinieren.
Auch beim Login ist die Abgrenzung wichtig: Ein CAPTCHA schützt vor automatisierten Zugriffen, ersetzt aber weder sichere Passwörter noch eine Zwei-Faktor-Anmeldung. Für Anmeldungen fordern die WCAG 2.2 (Stufe AA), dass kognitive Tests wie das Abtippen verzerrter Zeichen nicht ohne Alternative nötig sind.
Gerade bei Drittanbietern lohnt der genaue Blick. Die wichtigsten Stolperfallen:
Die Abkürzung steht für Completely Automated Public Turing test to tell Computers and Humans Apart, also einen automatischen Test zur Unterscheidung von Menschen und Computern.
Nein. Es gibt keine allgemeine Pflicht. Ob es sinnvoll ist, hängt vom Spam-Aufkommen und vom Risiko des jeweiligen Formulars ab.
Ja, zum Beispiel Honeypot-Felder, Zeitprüfungen, Rate Limiting und serverseitige Validierung. Diese lassen sich oft ohne sichtbare Hürde umsetzen.
Das hängt vom Verfahren und Anbieter ab. Prüfen Sie Datenübertragung, Rechtsgrundlage und Einwilligung, bevor Sie es einbinden.
Ein CAPTCHA kann Formulare entlasten, ist aber weder Allheilmittel noch kostenlos im Nutzererlebnis. Beginnen Sie mit leisen Maßnahmen, und setzen Sie sichtbare Hürden nur ein, wenn sie nötig sind und niemanden ausschließen.
Expertengeprüft von Robert Hartl zuletzt am 13.10.2026.
Dieser Beitrag (Was ist ein CAPTCHA? ᐅ Definition, Bedeutung) wurde redaktionell erstellt und vor Veröffentlichung fachlich geprüft. Inhalte wurden bei Bedarf korrigiert, ergänzt und aktualisiert. Bei der Erstellung einzelner Formulierungen kann KI-Unterstützung zum Einsatz gekommen sein. Die inhaltliche Verantwortung liegt bei den genannten Personen.
Mit dem Aufruf des Videos erklären Sie sich einverstanden, dass Ihre Daten an YouTube übermittelt werden und Sie die Datenschutzerklärung akzeptieren.
