Captcha
CAPTCHAs, wie wir sie kennen, sind vor 26 Jahren auf den Bildschirmen aufgetaucht. Seitdem haben sie sich zwar stark weiterentwickelt, der Grundgedanke bleibt jedoch unverändert: Der Nutzer erhält eine kleine Aufgabe, die ein Mensch in zwei Sekunden lösen kann, an der ein Computer aber scheitert.
Angefangen hat alles mit verzerrten Buchstaben, Rechenaufgaben und kurzen Audioclips. Dann kam die Ära der Hydranten, Ampeln und Motorräder, die scheinbar unendlich dauern sollte. Jetzt zeigt sich jedoch: Moderne LLMs lösen diese visuellen Rätsel viel schneller und zuverlässiger, als ein Mensch es jemals könnte.
Wir schauen uns an, was sich bei diesen Tests geändert hat und was die Frage „Bist du ein Mensch?“ für deine Sicherheit bedeutet.
Das Ende der Hydrantenbilder
2007 führte Google reCAPTCHA ein. Acht Jahre kam ein Test hinzu, bei dem die Nutzer je nach Fragestellung bestimmte Bilder auswählen mussten. Auf diese Weise wurden Millionen von Internetnutzern ungewollt zu Experten für die Identifizierung von Ampeln, Fahrrädern, Dächern, Brücken und Hydranten. Natürlich haben KI-Bots längst gelernt, diese Rätsel zu lösen.
Aus diesem Grund testet Google seit Juni 2026 eine brandneue Methode, mit der zwischen Mensch und Roboter unterschieden wird. Anstelle der üblichen Bilder werden einige Nutzer jetzt aufgefordert, ein kurzes Video mit Handgesten aufzunehmen. Algorithmen analysieren das Filmmaterial und verfolgen unter anderem „21 Koordinaten der Fingerknöchel“. Anhand der Handbewegungen erkennt das System, ob ein echter Mensch oder ein Bot am Werk ist. Für diese neue CAPTCHA-Methode muss jedoch Zugriff auf die Kamera gewährt werden. Da schrillen die Alarmglocken bei allen, die sich um Sicherheit und Datenschutz sorgen. Darüber hinaus wollen Sicherheitsforscher bereits eine Lücke in Googles experimentellem Handgesten-CAPTCHA entdeckt haben. Offenbar lässt es sich mit dem Foto einer Hand täuschen.
Google garantiert, dass diese Videos nicht mit der Identität eines Nutzers verknüpft werden und keinerlei Audiodaten aufgezeichnet werden. Außerdem werden laut Sicherheitsrichtlinie alle Daten sofort nach der Überprüfung gelöscht. Ob du Google vertraust, liegt wie immer ganz bei dir. Dieses Thema beleuchtet unser Artikel Ein Selfie mit deinem Personalausweis – ist das sicher? Dort geht es am Beispiel von Passfotos um die Risiken der biometrischen Verifizierung.
Welche Alternativen zu reCAPTCHA gibt es?
Während Googles reCAPTCHA im Kampf gegen Bots nach wie vor führend ist, zwingt die KI die Welt zum Umdenken. Traditionelle CAPTCHAs werden wohl bald der Vergangenheit angehören. Im Folgenden erzählen wir kurz über alternative Sicherheitsdienste und -methoden, mit denen Bots blockiert werden können.
Systeme zur Verhaltensanalyse
Eine der fortschrittlichsten Methoden, um eine Website vor aufdringlichen Bots zu schützen, ist die Verhaltensanalyse. Dabei werden Daten über jeden einzelnen Besucher automatisch ausgewertet: Das System überwacht Mausbewegungen, Klickmuster und digitale Fingerabdrücke, um menschliches Verhalten zu erkennen. Doch auch das ist kein Allheilmittel gegen Bots. Ihre Schöpfer bringen ihnen nämlich bei, natürliche Verhaltensmuster nachzuahmen, wodurch traditionelle Abwehrmethoden hinfällig werden.
Für Nutzer ist diese Nachricht durchaus beunruhigend, insbesondere, wenn es um Privatsphäre geht. Wer möchte schon, dass beliebige Websites Gerätedaten sammeln und das Benutzerverhalten verfolgen. Von vollständiger Überwachung kann dennoch nicht die Rede sein, denn die meisten dieser Systeme versuchen nicht, etwas über einen konkreten Nutzer herauszufinden. Und die Entwickler versprechen, dass sie die Daten nicht speichern und nicht für Marketingzwecke verwenden. Der Hauptzweck ist die Frage, ob ein Mensch oder ein Roboter gerade die Seite besucht.
Turnstile und hCaptcha
Ein weiterer wichtiger Rivale von reCAPTCHA ist Cloudflare Turnstile. Die Überprüfung erfolgt im Hintergrund oder durch minimale Benutzeraktionen. Dabei musst du dabei entweder gar nichts tun oder du klickst einfach auf das Kontrollkästchen „Ich bin kein Roboter“. Das größte Risiko für Nutzer ist hier Social Engineering. Auf Phishing-Websites werden häufig legitim aussehende CAPTCHAs verwendet. Solche bösartigen Seiten verleihen Nutzern ein falsches Sicherheitsgefühl und können Sicherheitsscanner täuschen.
Dann gibt es noch hCaptcha, einen Dienst, der sich stark auf Sicherheit konzentriert und (im Gegensatz zu reCAPTCHA und Turnstile) keinem Technologieriesen gehört.
Passkeys
Im Großen und Ganzen folgen alle bisher erwähnten Methoden und Dienste dem gleichen Muster: Sie sammeln Daten, speichern sie manchmal und verwenden sie teilweise auch für andere Zwecke. Die Neuerung besteht jetzt darin, dass du weniger tun musst. Du musst nicht mehr nach Hydranten suchen oder mit der Hand in die Kameras winken. Allerdings kannst du noch einen Schritt weiter gehen und komplett auf CAPTCHAs verzichten. Vorausgesetzt, die Website unterstützt Passkeys.
Dann meldest du dich nicht mit einem Passwort an, sondern verwendest kryptografische Schlüssel, die durch Biometrik aktiviert werden. Oder du nutzt eine PIN, bei der eine zusätzliche Überprüfung, dass du ein Mensch bist, in der Regel überflüssig ist. Was Passkeys sind, wo sie funktionieren und wie diese Technologie eingesetzt wird, erfährst du in unserem Beitrag Passkeys 2025: Ratgeber zur passwortlosen Anmeldung. Wenn du deine Passkeys speichern möchtest, damit sie auf allen deinen Geräten reibungslos funktionieren, ist unser Passwort-Manager goldrichtig für dich.
Leider funktionieren Passkeys nicht in Situationen, in denen du anonym bleiben und surfen möchtest, ohne ein Benutzerkonto zu erstellen. CAPTCHAs lassen sich also nicht vollständig ersetzen. Trotzdem bringen Passkeys vielen Nutzern erhebliche Vorteile.
So schützt du deine Privatsphäre
Aus der Sicht des Nutzers macht es fast keinen Unterschied, auf welche Weise sich eine Website vor Bots schützt. Vermutlich wirst du eine Seite nicht verlassen, nur weil sie reCAPTCHA oder Verhaltensanalyse verwendet. Zudem weißt du bei Systemen, die im Hintergrund laufen, nicht einmal, welche Daten über dich und dein Gerät erfasst werden. Das muss jedoch nicht heißen, dass deine Privatsphäre bedroht ist.
Unsere Apps Kaspersky Standard, Kaspersky Plus und Kaspersky Premium für Windows und macOS bieten einen Schutz vor Datensammlung. Diese Funktion verhindert in Echtzeit die Überwachung deiner Online-Aktivitäten durch Drittanbieter-Websites. Für den Datenschutz auf Mobilgeräten kannst du dich auf Datenschutz für soziale Netzwerke verlassen (Android, iOS). Darüber hinaus gibt es für Android-Geräte ab Version 9 die Funktion Spy-Checker, die in bestimmten Regionen verfügbar ist. Dieses Tool erkennt Stalkerware, sucht nach verborgenen Zählpixeln und überprüft App-Berechtigungen, die zur Spionage dienen können.
Und falls eine Phishing-Website echte CAPTCHAs verwendet, um legitim zu wirken, gibt es zum Glück unseren Passwort-Manager. Er verhindert, Kaspersky Password Manager dass dein Benutzername und dein Passwort auf solchen Seiten automatisch ausgefüllt werden. Das kannst du noch tun, um deine Daten zu schützen:
- Gib deine Daten nicht auf einer Website ein, nur weil sie durch ein CAPTCHA geschützt ist. Schon lange gibt es Phishing-Seiten, die echte reCAPTCHAs, hCaptchas und Turnstiles nutzen, um falsches Vertrauen aufzubauen.
- Richte Passkeys ein, wann immer es möglich ist! Sie funktionieren nicht auf Phishing-Websites und verringern das Risiko, dass deine Daten und Verhaltensmuster erfasst werden.
Es gibt noch andere Technologie, die wohl bald Geschichte sein werden:
Tipps