reCAPTCHA eingebunden – der Türsteher, der Daten mitnimmt

Ein Spamschutz, der von einem fremden Server geladen wird, überträgt beim bloßen Aufruf Daten – und wertet zusätzlich das Verhalten des Besuchers aus, um Mensch von Maschine zu unterscheiden.

Das doppelte Problem

Erstens die Verbindung: Das Skript wird beim Seitenaufbau geladen, also bevor eingewilligt werden konnte. Zweitens der Zweck: Zur Unterscheidung von Mensch und Maschine wird das Verhalten ausgewertet – Mausbewegungen, Tippverhalten, Merkmale des Geräts. Das ist mehr als das Setzen einer Kennung, und es muss in der Datenschutzerklärung stehen.

Hinzu kommt die Barrierefreiheit: Bilderrätsel („Wählen Sie alle Ampeln") sind für blinde Nutzer unlösbar, und auch die Tonalternative scheitert oft.

Die Alternativen, von einfach nach aufwendig

1. Honigtopf-Feld. Ein Formularfeld, das per CSS versteckt ist. Menschen sehen es nicht und lassen es leer; einfache Maschinen füllen alles aus. Ist es ausgefüllt, wird verworfen. Kostet nichts, überträgt nichts, hilft gegen die große Mehrheit.
2. Zeitmessung. Ein Formular, das nach 0,4 Sekunden abgeschickt wird, hat kein Mensch ausgefüllt.
3. Einfache Rechenfrage („Was ist drei plus vier?"). Barrierefrei, wenn sie als Text gestellt wird – nicht als Bild.
4. Selbst gehosteter Rätselschutz für Formulare, die tatsächlich stark angegriffen werden.

<!-- Honigtopf: für Menschen unsichtbar -->
<div style="position:absolute;left:-9999px" aria-hidden="true">
  <label>Bitte leer lassen<input type="text" name="webseite" tabindex="-1"></label>
</div>

// Serverseitig:
if (!empty($_POST['webseite'])) exit; // Maschine, wortlos verwerfen

Häufige Fragen

Ist reCAPTCHA in Europa verboten?

Nicht verboten, aber es setzt eine Einwilligung voraus, weil beim Aufruf Daten an einen Drittanbieter übertragen und Verhaltensmerkmale ausgewertet werden.

Was ist ein Honigtopf-Feld?

Ein für Menschen unsichtbares Formularfeld. Bleibt es leer, war ein Mensch am Werk; ist es ausgefüllt, war es eine Maschine.

Weitere Befunde aus dem Bereich DSGVO

← Alle Befunde im Überblick