Ein CAPTCHA ist ein Challenge-Response-Test, mit dem Websites menschliche Besucher von automatisierten Bots unterscheiden, etwa indem Nutzer verzerrten Text lesen oder Bilder auswählen müssen.
Wie CAPTCHAs funktionieren
Der Name steht für „Completely Automated Public Turing test to tell Computers and Humans Apart“; geprägt wurde er 2003 von Forschern der Carnegie Mellon University, darunter Luis von Ahn. Verbreitete Arten:
- Text-CAPTCHAs – verzerrte Buchstaben und Ziffern;
- Bild-CAPTCHAs – „Wählen Sie alle Felder mit Ampeln aus“;
- unsichtbare oder scorebasierte Prüfungen – Google reCAPTCHA v3, hCaptcha und Cloudflare Turnstile werten Browsersignale und Verhalten aus und fordern nur verdächtige Besucher heraus;
- Audio-CAPTCHAs – eine barrierefreie Alternative.
Warum CAPTCHAs wichtig sind
CAPTCHAs bremsen automatisierten Missbrauch: massenhafte Kontoregistrierungen, Credential Stuffing und Brute-Force-Logins, Kommentarspam, Ticket-Scalping und aggressives Web Scraping. Eine starke Hürde sind sie allerdings nicht. Maschinelles Lernen löst viele klassische Rätsel besser als Menschen, und kommerzielle CAPTCHA-Lösedienste lassen schlecht bezahlte Menschen Aufgaben für Botnetze beantworten – für eine kleine Gebühr pro tausend Stück.
Angreifer missbrauchen auch das vertraute Aussehen von CAPTCHAs. Bei „ClickFix“-Kampagnen, über die seit 2024 vielfach berichtet wird, fordern gefälschte „Bestätigen Sie, dass Sie ein Mensch sind“-Seiten dazu auf, Win+R zu drücken und einen in die Zwischenablage kopierten Befehl einzufügen – der tatsächlich Infostealer wie Lumma installiert.
Best Practices
- CAPTCHAs mit Rate Limiting, Bot-Management und Multi-Faktor-Authentifizierung kombinieren.
- Reibungsarme, barrierefreie Lösungen bevorzugen und nur riskante Anfragen prüfen.
- Merke: Ein echtes CAPTCHA verlangt nie, Befehle auszuführen, den Ausführen-Dialog zu öffnen oder etwas in ein Terminal einzufügen.
