CAPTCHA-Codes erklärt: Beispiele und Funktionsweise

Haben Sie sich schon mal gefragt, warum Sie auf manchen Webseiten per Klick auf ein Kontrollkästchen bestätigen müssen, dass Sie kein Roboter sind? Oder warum manchmal sogenannte CAPTCHA-Codes Bilder erscheinen, die Sie eingeben sollen? In diesem Artikel beantworten wir Ihnen diese Fragen, erklären Ihnen, was CAPTCHA bedeutet, wie die Sicherheitsüberprüfung funktioniert und welche verschiedenen CAPTCHA-Arten es gibt. Zudem erfahren Sie, wie Fake-CAPTCHA-Angriffe ablaufen und wie Sie sich mit Avira Free Security davor schützen können. 

Was ist CAPTCHA und wie funktioniert es?

CAPTCHA ist das Akronym für „Completely Automated Public Turing Test to Tell Computers and Humans Apart“, was wörtlich übersetzt „vollautomatischer öffentlicher Turing-Test zur Unterscheidung zwischen Computern und Menschen“ lautet. Ein CAPTCHA dient also der Überprüfung, ob Sie ein Mensch oder ein automatisiertes Computerprogramm (ein sogenannter Bot) sind, das eventuelle Böses im Schilde führt – wie zum Beispiel Spam verbreiten oder einen Cyber-Angriff durchführen.

Es gibt verschiedene Arten von CAPTCHA-Tests. Während in einigen Fällen nur ein Kontrollkästchen angeklickt werden muss, muss in anderen eine einfache Aufgabe gelöst werden. In diesem Fall verifiziert der Sicherheitsmechanismus die Menschlichkeit eines Nutzers durch einen sogenannten Challenge-Response-Test, bei dem der Nutzer eine Aufgabe (Challenge) lösen und das Ergebnis (Response) zurückschicken muss. 

Die Aufgaben werden vollautomatisch per Zufallsgenerator und unter Einhaltung bestimmter Regeln generiert. Anschließend wird die Antwort einem Validierungsprozess unterzogen, bei dem Algorithmen eingesetzt werden, um die Antwort zu analysieren und die Wahrscheinlichkeit zu bestimmen, dass sie von einem Menschen erzeugt wurde. Kann die Aufgabe nicht gelöst werden, wird die entsprechende Aktion in der Regel blockiert. 

CAPTCHAs sind so konzipiert, dass sie für Menschen idealerweise relativ leicht, für Bots hingegen schwierig zu lösen sind. Allerdings verändert sich dies vor allem durch den Einsatz von Künstlicher Intelligenz und maschinellem Lernen, sodass viele Aufgaben auch für Bots keine große Hürde mehr darstellen. Neben den sichtbaren CAPTCHAs gibt es auch CAPTCHAs, die unsichtbar im Hintergrund arbeiten. Im Abschnitt zu den verschiedenen CAPTCHA-Arten erfahren Sie mehr darüber.

Wofür werden CAPTCHAs verwendet?

Eine CAPTCHA-Verifizierung wird auf Webseiten eingesetzt, um zu verhindern, dass Bots diese beeinträchtigen oder ihre Funktionen unangemessen nutzen. 

CAPTCHAs sollen vor allem: 

• Die Verbreitung von Spam verhindern (z. B. in Bewertungen, Kommentaren und Beiträgen oder über Kontaktformulare) 
• Automatisierte Kontoerstellungen verhindern
• Mehrfachabstimmungen, Manipulation von Online-Umfragen und Betrug bei Gewinnspielen verhindern
• Automatisierte Bedrohungen (wie Brute-Force-Angriffe, Wörterbuchangriffe, Kontoübernahme-Angriffe und Credential-Stuffing) verhindern
• Ticketbetrug durch massenhafte Käufe von Schwarzmarkthändlern verhindern
• Web Scraping (automatisiertes Auslesen von Webseiteninhalten) verhindern

Was kann einen CAPTCHA-Test auslösen?

Während ältere und einfache CAPTCHA-Systeme die Tests bei sicherheitsrelevanten Vorgängen (wie zum Beispiel bei einer Registrierung, beim Absenden von Formularen, beim Login oder Passwort-Reset) standardmäßig anzeigen, arbeiten moderne CAPTCHA-Systeme unsichtbar im Hintergrund und setzen verschiedene Mechanismen ein, um automatisierte Zugriffe zu erkennen.  

Ein sichtbares CAPTCHA wird nur angezeigt, wenn das System eine zusätzliche Sicherheitsprüfung für erforderlich hält.

Bei risikobasierten CAPTCHA-Systemen erfolgt zunächst eine Risikobewertung auf Basis verschiedener technischer und Verhaltensparameter. Wenn der dabei berechnete Risikoscore einen definierten Schwellenwert überschreitet, kann eine Sicherheitsüberprüfung ausgelöst werden.

Folgendes kann bei diesen Systemen eine CAPTCHA-Prüfung auslösen:

• Verdächtige IP-Adresse 
• Auffälliges Interaktionsverhalten (wie unnatürlich schnelle Tastatureingaben, fehlende Mausbewegungen, häufiges Aktualisieren der Webseite oder wiederholte Anmeldeversuche)
• Nutzung eines VPNs, Proxy-Servers oder Tor-Browsers
• Ungewöhnliche Gerätekonfiguration und Browserfingerprints
• Fehlende Wiedererkennungsinformationen (wie blockierte Cookies) 
• Deaktiviertes JavaScript

CAPTCHA-Arten und Beispiele

Wie bereits erwähnt, gibt es sowohl einfache als auch moderne CAPTCHA-Arten. Klassische Varianten wie verzerrte Textbilder, bei denen Buchstaben und Zahlen erkannt werden müssen, gehören zu den grundlegenden Methoden. Moderne Lösungen analysieren das Nutzerverhalten und technische Parameter im Hintergrund oder nutzen andere Mechanismen und kommen teilweise ganz ohne sichtbare Aufgaben aus. Da Angreifer ständig neue Wege entwickeln, Schutzmechanismen zu umgehen, müssen Anbieter ihre Systeme kontinuierlich verbessern, wodurch ein permanenter Wettlauf zwischen CAPTCHA-Lösungsdiensten und CAPTCHA-Systemen entsteht.

Text-CAPTCHAs (CAPTCHA-Codes)

Textbasierte CAPTCHAs bestehen aus einer zufälligen Aneinanderreihung von Buchstaben und/oder Zahlen und werden daher auch als CAPTCHA-Codes bezeichnet. Sie werden oft auf farbigen oder gemusterten Hintergründen platziert, mit grafischen Elementen verfremdet, durchgestrichen oder verzerrt dargestellt, um das automatische Auslesen durch Bots zu erschweren. Allerdings fällt es auch Menschen häufig nicht leicht, die Zeichenfolgen korrekt zu entziffern. 

Bild-CAPTCHAs

Bildbasierte CAPTCHAs gelten als Weiterentwicklung der vergleichsweise einfachen Text-CAPTCHAs und stellen die nächste Evolutionsstufe in der CAPTCHA-Entwicklung dar. Statt einen CAPTCHA-Code einzugeben, muss der Nutzer aus einer Reihe von Fotos diejenigen auswählen, die ein bestimmtes Objekt enthalten – zum Beispiel eine Ampel oder ein Auto. In einigen Fällen muss der Nutzer auch ein Bild richtig herumdrehen (Rotate-CAPTCHA). 

Puzzle-CAPTCHAs

Bei Puzzle-CAPTCHAs muss ein Puzzleteile per Slider oder Drag and Drop korrekt in einem Bild positioniert werden. Sie sind meist intuitiver und benutzerfreundlicher als klassische CAPTCHA-Codes. 

Audio-CAPTCHAs

Audiobasierte CAPTCHAs wurden für sehbeeinträchtigte Benutzer entwickelt. Bei diesen CAPTCHAs wird die Audioaufgabe dynamisch generiert und die angezeigten Buchstaben und Zahlen werden verzerrt oder mit Störgeräuschen abgespielt – leider meist so unverständlich, dass nicht nur hör-, sondern auch sehgeschädigte Benutzer benachteiligt werden. 

Logik-CAPTCHAs

Diese CAPTCHAs bestehen aus einfachen Aufgaben wie simplen Additionen oder Wissensfragen, die Menschen leicht beantworten können. Werden sie als Klartext dargestellt, eignen sie sich auch für Menschen mit Sehbeeinträchtigungen, da Screenreader die Aufgaben im Gegensatz zu grafischen Text- oder Bild-CAPTCHAs direkt auslesen können. Allerdings stellen sie auch für Bots keine ernstzunehmende Hürde mehr dar. 

Honeypot-CAPTCHAs

Honeypot-CAPTCHAs locken Bots quasi in eine Falle. Dafür wird ein unsichtbares Formularfeld in die Webseite eingebaut, das normale Nutzer nicht sehen können. Bots hingegen füllen oft automatisch alle Felder aus, wodurch sie sich selbst entlarven. Diese Methode ist sehr benutzerfreundlich, bietet aber nur Schutz gegen einfache automatisierte Angriffe. 

Kryptografische CAPTCHAs (Proof-of Work-CAPTCHAs)

Alternative CAPTCHA-Systeme wie Friendly Captcha und mCaptcha sind eine moderne Art von Sicherheitsprüfung, bei der der Computer des Nutzers im Hintergrund eine kryptografische Aufgabe (Proof-of-Work) lösen muss. Der Nutzer muss nichts aktiv tun – die Berechnung läuft unsichtbar und automatisch im Browser ab. Der Server validiert das Ergebnis kryptografisch, wodurch manipulierte oder gefälschte Anfragen sofort erkannt werden. Wenn das System einen automatisierten Zugriff vermutet, erhöht es die Komplexität der Aufgabe, sodass die Lösung länger dauert und automatisierter Missbrauch ökonomisch unattraktiv wird. 

Turnstile von Cloudflare nutzt im „Managed Mode“ einen hybriden Ansatz und arbeitet mehrstufig: Das System nimmt einen Hardware- und Browser-Check sowie eine Analyse des Nutzerverhaltens innerhalb des Widgets vor. Nur wenn Zweifel an der Legitimität bestehen, werden nicht-interaktive Herausforderungen (darunter Proof-of-Work-Berechnungen) im Hintergrund initiiert. Erst als letzte Instanz wird eine Nutzerinteraktion gefordert, wie das Anklicken einer Checkbox oder eines Buttons.

Verhaltensbasierte CAPTCHAs

Verhaltensbasierte CAPTCHAs sind ebenfalls unsichtbar und analysieren im Hintergrund die Nutzerinteraktion sowie weitere Faktoren (sogenannte Signale). Bei verdächtigem Nutzerverhalten kann das System eine zusätzliche Verifizierung auslösen und ein sichtbares CAPTCHA anzeigen. Dadurch sind diese CAPTCHAs ebenfalls benutzerfreundlich und bieten ein hohes Sicherheitsniveau. Bekannte Beispiele sind reCAPTCHA v2 Invisible Badge von Google und hCaptcha Invisible von Intuition Machines.

Fortschrittliche Lösungen wie reCAPTCHA v3, reCAPTCHA Enterprise und hCaptcha Enterprise arbeiten risikobasiert und erstellen anhand der verschiedenen Signale einen Risikoscore, auf dessen Basis die Webseite (und nicht das System) über die weiteren Schritte entscheidet. Sowohl hCaptcha als auch reCAPTCHA nutzen dabei hochentwickelte KI- und Machine-Learning-Modelle, um Geräteinformationen und Interaktionsmuster in Echtzeit auszuwerten.

reCAPTCHA von Google

reCAPTCHA (Abkürzung von Reverse CAPTCHA) ist ein CAPTCHA-System, das 2007 von Luis von Ahn, Manuel Blum und Nicholas Hopper an der Carnegie Mellon University entwickelt wurde. Seit der Übernahme durch Google im Jahr 2009 wurde das System permanent weiterentwickelt und zu einem der weltweit am weitesten verbreiteten CAPTCHA-Dienste ausgebaut.

Es gibt drei reCAPTCHA-Versionen:

reCaptcha v1

Die erste reCAPTCHA-Version wurde 2018 eingestellt. Sie zeigte ein bekanntes Kontrollwort zusammen mit einem von OCR-Software nicht eindeutig erkannten Wort aus gescannten Dokumenten an. Bei korrekter Eingabe des Kontrollworts wurde angenommen, dass auch das zweite Wort wahrscheinlich richtig transkribiert wurde. Auf diese Weise diente die Sicherheitsabfrage zugleich der Digitalisierung schwer lesbarer Texte – daher auch der Name „Reverse (umgekehrter)” CAPTCHA. 

Später wurde das zweite Wort durch Fotos aus dem Google Street View-Projekt ersetzt. Die Nutzer mussten dabei entweder Hausnummern ablesen und eingeben oder Bildausschnitte anklicken, die bestimmte Objekte zeigten. Auf diese Weise trugen sie dazu bei, die automatische Objekterkennung zu trainieren und zu verbessern.

reCAPTCHA v2

Bei der zweiten reCAPTCHA-Version können zwei Varianten zum Einsatz kommen. Wird ein Nutzer als verdächtig eingestuft, kann bei beiden Varianten zusätzlich eine Bildaufgabe erscheinen.

1. Checkbox-Variante (No CAPTCHA reCAPTCHA): Hierbei wird Nutzern nur noch ein Kontrollkästchen mit „Ich bin kein Roboter“ angezeigt, das bestätigt werden muss. Google analysiert, wie der Nutzer mit der Checkbox interagiert und überprüft subtile Verhaltensmuster wie Mausbewegungen und Klickmuster.
2. Invisible Badge-Variante: Hier wird ein unsichtbares Widget in die Seite eingebunden, das über JavaScript aktiviert wird – entweder durch einen Klick auf eine Schaltfläche (z. B. „Absenden“) oder automatisch nach einer bestimmten Interaktion auf der Webseite. Auch hierbei wird das Interaktionsverhalten überprüft.

reCAPTCHA v3

Bei der dritten reCAPTCHA-Version läuft die Überprüfung ebenfalls komplett unsichtbar im Hintergrund, allerdings ist hier keine Nutzerinteraktion mehr erforderlich. Google analysiert das komplette Nutzerverhalten auf der Webseite (wie Mausbewegungen, Interaktionsmuster und Tippgeschwindigkeit) berücksichtigt Cookies und frühere Seitenbesuche, bewertet Geräte- und Browserinformationen sowie die IP-Reputation und berechnet daraus einen Risiko-Score (0 = sehr wahrscheinlich Bot, 1 = sehr wahrscheinlich Mensch). 

Auf Basis dieses Scores entscheidet der Betreiber der Webseite, wie diese bei bestimmten Schwellenwerten reagieren soll – zum Beispiel den Zugriff erlauben, eine zusätzliche Aufgabe anzeigen, weitere Sicherheitsmechanismen auslösen oder die Aktion blockieren. Nutzer, die mit einem Google-Konto angemeldet sind, haben einen besseren Score, weil sie sich einfacher identifizieren lassen. 

reCAPTCHA v3 steht regelmäßig in der Kritik, da Google für die Analyse weitreichende Nutzerdaten erhebt und das Surfverhalten über verschiedene Webseiten hinweg verfolgen kann, was datenschutzrechtliche Bedenken (insbesondere im Hinblick auf die DSGVO) aufwirft.

Nachteile von CAPTCHA

CAPTCHAs bieten zwar Schutz vor Bots, bringen jedoch auch einige Nachteile mit sich. Diese reichen   – je nach CAPTCHA-System – von den bereits erwähnten Datenschutzbedenken, Fehlern und Problemen mit den Tests, mangelnder Barrierefreiheit bis hin zu einer schwindenden Wirksamkeit durch hochspezialisierte Umgehungstechniken.

CAPTCHA-Solver

CAPTCHA-Solver sind Programme, die CAPTCHAs mithilfe klassischer Algorithmen oder Künstlicher Intelligenz und maschinellem Lernen lösen. In Kombination mit fortgeschrittenen Automatisierungstools simulieren sie zusätzlich menschliche Interaktionsmuster wie Mausdynamik oder Tipprhythmus und manipulieren Browserdaten (Browser-Spoofing), um Verhaltensanalysen und technische Überprüfungen zu umgehen. CAPTCHA-Solver sind als einfache Browsererweiterungen für sehbeeinträchtigte Nutzer, leistungsfähigere Add-ons oder eigenständige Automatisierungstools verfügbar. Diese nutzen häufig API-Schnittstellen zu externen Solver-Diensten, welche die Lösung durch spezialisierte KI-Modelle oder „menschliche Solver“ bereitstellen (siehe CAPTCHA-Farmen).

Eine Studie von Forschern der ETH Zürich zeigt, dass ein speziell trainiertes KI-System mithilfe eines Objekterkennungsmodells (YOLO) alle getesteten reCAPTCHA v2-Bild-Challenges erfolgreich lösen konnte. Eine Untersuchung der University of California belegt, dass spezialisierte KI-Systeme Text-CAPTCHAs heute mit einer Trefferquote von 99,8 Prozent lösen, während die Erfolgsquote der menschlichen Probanden beim ersten Versuch je nach Schwierigkeitsgrad lediglich zwischen 50 und 84 Prozent liegt. 

Das technologische Wettrüsten führt bei klassischen CAPTCHAs also in eine Sackgasse: Um KI-Systeme effektiv zu behindern, müssen CAPTCHAs derart komplex gestaltet werden, dass sie für den Menschen kaum noch zu bewältigen sind. Um diesen Teufelskreis zu durchbrechen, setzen moderne verhaltensbasierte und kryptografische Systeme nicht mehr auf sichtbare Aufgaben, sondern auf technische Prüfverfahren im Hintergrund. Damit sollen die Hürden für automatisierte Angriffe durch KI-gestützte Bots so weit erhöht werden, dass deren Durchführung durch den massiven technologischen oder finanziellen Mehraufwand wirtschaftlich unrentabel wird.

CAPTCHA-Farmen

CAPTCHA-Farmen sind organisierte Dienste, bei denen Menschen (oft in Niedriglohnländern) massenhaft CAPTCHAs nahezu in Echtzeit lösen. Kriminelle und Spam-Betreiber nutzen API-Schnittstellen, um die Abfragen ihrer Bots vollautomatisch an die Solver-Dienste weiterzuleiten, welche die Aufgaben wiederum an ihre Arbeitskräfte verteilen. Die von den Arbeitern erzeugten Lösungs-Token werden dann über den Dienstleister an den Bot zurückgegeben. So können selbst komplexe Aufgaben bewältigt werden, die rein softwarebasierte KI-Solver oft noch nicht zuverlässig lösen können. In Kombination mit Techniken zur IP-Verschleierung können so auch Systeme mit risikobasierter Bewertung getäuscht werden.

Mangelnde Benutzerfreundlichkeit und  Barrierefreiheit

Klassische CAPTCHAs können die Benutzerfreundlichkeit einer Webseite erheblich beeinträchtigen und zu Frustration und Abbrüchen von Aktionen führen – vor allem, wenn sie schwer zu lösen sind. Für Menschen mit Seh- oder Hörbeeinträchtigungen können sie sogar ein unüberwindbares Hindernis darstellen. Moderne Lösungen nehmen die CAPTCHA-Verifizierung daher ohne Nutzerinteraktion im Hintergrund vor.

CAPTCHA-Probleme

Hin und wieder kann es bei CAPTCHAs zu Fehlern oder Problemen kommen. Wenn Sie einen CAPTCHA-Test nicht lösen können oder Ihre Eingabe falsch war, haben Sie in der Regel die Möglichkeit, eine neue Aufgabe anzufordern. Klicken Sie dafür auf „Aktualisieren“ (ein kleines Kreissymbol mit einem Pfeil). Manchmal gibt es auch einen entsprechenden Button zum Zurücksetzen oder einen Link, über den Sie ein neues Bild oder einen neuen Code generieren können.

Wenn ein CAPTCHA nicht funktioniert, nicht angezeigt wird, die Verifizierung fehlschlägt oder Sie blockiert werden, kann dies verschiedene Ursachen haben. Die häufigsten Gründe für CAPTCHA-Probleme sind veraltete Browser oder Browserdaten, Browsererweiterungen wie Content-Blocker, deaktivierte Cookies, deaktiviertes JavaScript, ein aktives VPN oder eine Tor-Verbindung.

So können Sie CAPTCHA-Fehler beheben:

• Laden Sie die Seite neu.
• Aktualisieren Sie Ihren Browser.
• Leeren Sie den Browser-Cache und löschen Sie Cookies.
• Deaktivieren Sie vorübergehend Browser-Erweiterungen oder nutzen Sie den privaten bzw. Inkognito-Modus Ihres Browsers.
• Verwenden Sie einen anderen Browser.
• Deaktivieren Sie ggf. VPN-bzw. Proxy-Dienste oder beenden Sie den Tor-Browser.
• Aktivieren Sie JavaScript in Ihren Browser-Einstellungen.
• Erlauben Sie der Seite, Drittanbieter-Cookies zu speichern.

Fake-CAPTCHA-Betrug

In einigen Fällen verwenden Cyber-Kriminelle gefälschte CAPTCHAs, um Malware zu verbreiten. Bei CAPTCHA-Scams werden Nutzer zum Beispiel durch Phishing-Angriffe auf eine gefälschte Webseite gelockt, die einen manipulierten CAPTCHA enthält. Bei Klick auf das Kontrollkästchen wird im Hintergrund eine Funktion ausgeführt, die einen schädlichen Befehl in die Zwischenablage des Computers kopiert. 

Der Nutzer wird dann aufgefordert, den Befehl im Ausführen-Fenster von Windows einzufügen und den Befehl auszuführen, wodurch die Schadsoftware heruntergeladen und installiert wird. GenDigital berichtet beispielsweise von CAPTCHAs, die zum Download der Malware Lumma Stealer führen, die es auf sensible Informationen wie Anmeldeinformationen, Kryptowährungs-Wallets und andere wertvolle Daten abgesehen hat.

Schützen Sie sich vor Fake-CAPTCHA-Angriffen

Eine Cyber-Schutzlösung wie Avira Antivirus Security kann Ihnen dabei helfen, sich vor Malware zu schützen, die über gefälschte CAPTCHAs oder andere Wege verbreitet wird. Denn sie enthält einen Viren- und Downloadschutz, mit dem Sie Schadprogramme blockieren können. Zudem können Sie durch regelmäßige Virenscans Ihren Computer auf mögliche Infektionen überprüfen. Darüber hinaus profitieren Sie noch von vielen weiteren Funktionen, mit denen Sie Ihre Online-Sicherheit und -Privatsphäre verbessern können – wie zum Beispiel einem Browserschutz, der Ihnen hilft, infizierte Webseiten und Phishing-Seiten zu blockieren, einem VPN und vielem mehr. 

Friendly Captcha ist eine eingetragene Marke der Friendly Captcha GmbH
hCaptcha ist eine eingetragene Marke der Intuition Machines, Inc.
reCAPTCHA ist eine eingetragene Marke der Google LLC.
Turnstile ist eine eingetragene Marke der Cloudflare, Inc.

Dieser Artikel ist auch verfügbar in: EnglischFranzösischItalienisch