Recaptcha
Was ist Recaptcha?
Recaptcha ist ein Sicherheitsdienst von Google, der automatisierte Zugriffe durch Bots von menschlichen Eingaben unterscheiden soll. Websites setzen Recaptcha vor allem bei Formularen, Logins und Bestellprozessen ein. Je nach Variante löst der Nutzer eine Aufgabe oder das System bewertet sein Verhalten anhand eines Risikowerts zwischen 0,0 und 1,0.
Wie funktioniert Recaptcha?
Recaptcha, in der Markenschreibweise reCAPTCHA, analysiert Signale einer Interaktion und entscheidet daraus, wie wahrscheinlich ein menschlicher Nutzer oder ein automatisiertes Programm hinter einer Anfrage steht. CAPTCHA steht für „Completely Automated Public Turing test to tell Computers and Humans Apart“. Der Schutz wird häufig bei Kontaktformularen, Registrierungen, Kommentaren, Logins und Bezahlvorgängen eingebunden.
Die sichtbare Prüfung im Browser ist nur ein Teil des Verfahrens. Nach einer erfolgreichen Analyse erstellt Recaptcha ein Token, das die Website an ihren Server übermittelt. Der Server muss dieses Token über die Prüfschnittstelle validieren. Recaptcha-Tokens sind nur kurze Zeit gültig und dürfen jeweils einmal geprüft werden. Ohne serverseitige Validierung kann ein Bot die sichtbare Formularoberfläche umgehen und Anfragen direkt an den Endpunkt senden.
So läuft eine Prüfung ab
Recaptcha auswählen: Stand 2026
Die Varianten von Recaptcha unterscheiden sich vor allem darin, ob der Nutzer eine sichtbare Aufgabe lösen muss oder ob die Risikobewertung im Hintergrund erfolgt. Die passende Auswahl hängt vom Angriffsrisiko, vom Formularwert und von der gewünschten Nutzererfahrung ab.
| Variante | Funktionsweise | Typischer Einsatz |
|---|---|---|
| Recaptcha v2 mit Checkbox | Der Nutzer bestätigt „Ich bin kein Roboter“ und erhält bei Bedarf eine Bildaufgabe. | Kontaktformulare, Registrierungen und Kommentare |
| Unsichtbares Recaptcha v2 | Die Prüfung startet durch eine Aktion wie das Absenden eines Formulars. Bei erhöhtem Risiko erscheint eine Aufgabe. | Formulare mit möglichst geringer sichtbarer Hürde |
| Recaptcha v3 | Das System vergibt ohne sichtbare Aufgabe einen Score zwischen 0,0 und 1,0. | Risikobasierte Prüfungen über mehrere Aktionen hinweg |
| Recaptcha Enterprise | Die Risikobewertung wird um Verwaltungs-, Analyse- und Sicherheitsfunktionen für größere Anwendungen ergänzt. | Komplexe Plattformen und geschäftskritische Prozesse |
Den Score von Recaptcha v3 einordnen
Ein hoher Recaptcha-v3-Score spricht für eine wahrscheinlich legitime Interaktion, während ein niedriger Wert auf ein erhöhtes Automatisierungsrisiko hinweist. Der Score ist keine eindeutige Aussage über Mensch oder Bot. Ein fester Grenzwert für jede Website wäre deshalb fachlich falsch. Ein B2B-Kontaktformular mit wenigen Anfragen benötigt eine andere Bewertung als ein Onlineshop mit hohem Bestellvolumen.
Der Webserver sollte neben dem Score auch die erwartete Aktion und die zugehörige Domain prüfen. Eine Anfrage für die Aktion „login“ darf beispielsweise nicht als gültige Prüfung für „checkout“ übernommen werden. Sinnvoll ist ein gestuftes Verfahren: Unauffällige Anfragen werden angenommen, mittlere Risiken erhalten eine zusätzliche Prüfung und klare Bot-Signale werden blockiert oder begrenzt.
Recaptcha und SEO
Recaptcha ist kein direkter Ranking-Faktor. Auswirkungen auf SEO entstehen, wenn das Skript die Ladezeit erhöht, Inhalte verdeckt oder den Zugriff auf indexierbare Seiten beschränkt. Googlebot füllt reguläre Kontaktformulare nicht aus. Eine Prüfung vor dem Formularversand ist daher meist unkritischer als eine vorgeschaltete Sperre für eine komplette Landingpage.
JavaScript von Drittanbietern kann zusätzliche Netzwerkverbindungen, Rechenzeit und Datenübertragungen verursachen. Lade Recaptcha deshalb möglichst nur auf Seiten und bei Aktionen, die den Schutz tatsächlich benötigen. Ein global eingebundenes Skript auf jeder URL erzeugt auch auf Ratgeberseiten oder Kategorieseiten Aufwand, obwohl dort möglicherweise kein schutzbedürftiges Formular vorhanden ist.
Messbar ist der Einfluss durch einen Vorher-nachher-Vergleich von Ladezeit, Core Web Vitals, Formularabschlussrate, Fehlerrate, Spamquote und falsch blockierten Einsendungen. Prüfe außerdem mobil und mit langsamer Verbindung, weil zusätzliche Skripte dort stärker auffallen können. Einen ersten technischen Überblick liefert der kostenlose Ladezeiten-Check.
Prüfe die betroffene Seite direkt:
Auswirkungen auf Conversions
Recaptcha schützt Leads und Benutzerkonten, kann zugleich aber eine zusätzliche Hürde im Conversion-Prozess bilden. Sichtbare Bildaufgaben verlängern den Abschluss und können auf kleinen Displays, bei eingeschränktem Sehvermögen oder bei fehlerhaften Skripten zum Abbruch führen. Bei wertvollen Aktionen sollte der Schutz deshalb zum tatsächlichen Risiko passen.
Eine gute Usability-Optimierung betrachtet Recaptcha gemeinsam mit Feldanzahl, Fehlermeldungen, mobiler Bedienung und Ladezeit. Die reine Zahl der abgewehrten Anfragen reicht zur Bewertung nicht aus. Aussagekräftig wird das Setup erst durch das Verhältnis von bestätigtem Spam zu legitimen Formularabbrüchen.
Recaptcha richtig implementieren
Eine belastbare Implementierung kombiniert die Browserprüfung mit einer serverseitigen Entscheidung. Der geheime Schlüssel gehört ausschließlich auf den Server und darf weder im HTML noch im öffentlich ausgelieferten JavaScript stehen. Der öffentliche Websiteschlüssel ist dagegen für die Einbindung im Browser vorgesehen.
Recaptcha übermittelt bei der Nutzung Daten an Google. Welche Einwilligungs-, Informations- und Konfigurationspflichten daraus entstehen, hängt vom konkreten Setup und vom rechtlichen Anwendungsfall ab. Unternehmen sollten die Einbindung deshalb technisch und rechtlich prüfen lassen, statt allein auf die Standardeinstellung eines Plugins zu vertrauen.
Unterschied zu CAPTCHA und Honeypot
Der Unterschied zwischen CAPTCHA und Recaptcha liegt in der Einordnung: CAPTCHA bezeichnet die allgemeine Methode zur Unterscheidung von Menschen und automatisierten Programmen, während Recaptcha ein konkreter Dienst von Google ist. Ein CAPTCHA kann auch als Rechenaufgabe, Texterkennung oder Prüfung eines anderen Anbieters umgesetzt werden.
Ein Honeypot verwendet dagegen ein zusätzliches Formularfeld, das für normale Nutzer verborgen bleibt. Viele einfache Bots füllen dieses Feld aus und lassen sich dadurch erkennen. Honeypots erzeugen kaum sichtbare Reibung, reichen gegen angepasste Bots jedoch oft nicht allein aus. Für sensible Formulare bietet sich eine Kombination aus Honeypot, Zeitprüfung, Rate Limit und risikobasierter Analyse an.
Bei neuen Formularen sollten Schutz, Barrierearmut und Ladeverhalten gemeinsam geplant werden. Die Webdesign-Angebote für technisch saubere Websites berücksichtigen solche Anforderungen bereits bei der Konzeption.
Häufige Fragen zu Recaptcha
Ist Recaptcha kostenlos?
Die Standardvarianten können innerhalb der jeweils geltenden Nutzungsbedingungen und Kontingente kostenlos eingesetzt werden. Für erweiterte Anforderungen und größere Nutzungsmengen bietet Google Recaptcha Enterprise mit einem eigenen Abrechnungsmodell an.
Warum erscheint bei Recaptcha eine Bildaufgabe?
Eine Bildaufgabe erscheint, wenn die automatische Analyse keine ausreichend sichere Zuordnung treffen kann oder das Verhalten als auffällig bewertet. Die zusätzliche Aufgabe liefert ein weiteres Signal zur Unterscheidung zwischen Nutzer und Bot.
Warum funktioniert Recaptcha manchmal nicht?
Häufige Ursachen sind blockiertes JavaScript, Browser-Erweiterungen, Netzwerkfilter, ein abgelaufenes Token, eine falsche Domainkonfiguration oder Konflikte mit dem Consent-Management. Die Browserkonsole und die serverseitige Antwort der Prüfschnittstelle helfen bei der Fehlersuche.
Kann Recaptcha vollständig vor Spam schützen?
Recaptcha kann automatisierte Anfragen deutlich begrenzen, bietet aber keinen vollständigen Schutz. Angepasste Bots, manuell ausgeführte Angriffe und fehlerhafte Grenzwerte erfordern zusätzliche Maßnahmen wie Rate Limits, serverseitige Filter und eine laufende Auswertung.
Ist Recaptcha auf jeder Seite notwendig?
Recaptcha sollte auf schutzbedürftige Aktionen wie Formularversand, Login oder Registrierung begrenzt werden. Eine globale Einbindung auf Seiten ohne entsprechende Funktion kann zusätzliche Ladezeit und Datenübertragungen verursachen.
Welche Alternativen gibt es zu Recaptcha?
Mögliche Alternativen sind Honeypot-Felder, Rechenaufgaben, zeitbasierte Prüfungen, Rate Limits, Web Application Firewalls und andere CAPTCHA-Dienste. Die Auswahl richtet sich nach Angriffsdruck, Barrierearmut, Datenschutzanforderungen und technischem Aufwand.
Wenn Formulare, Ladezeit und technische SEO gemeinsam geprüft werden sollen, bietet ein unverbindlicher Potenzialcheck eine klare Bestandsaufnahme.
Sie haben noch Fragen?
