reCAPTCHA und Alternativen

Ein Spamschutz im Kontaktformular ist notwendig – ohne ihn ist das Postfach binnen Wochen unbrauchbar. Die verbreitete Lösung schafft dabei allerdings ein neues Problem: Wer nach reCAPTCHA Alternativen sucht, tut das meist, weil ihm aufgefallen ist, dass ausgerechnet das Formular, in dem Menschen ihre Kontaktdaten eingeben, Daten an einen Dritten sendet, bevor sie etwas abgeschickt haben.

Warum reCAPTCHA problematisch ist

Es überträgt Daten, bevor der Nutzer handelt. Das Skript wird beim Laden der Seite geholt, nicht beim Absenden. Übertragen werden IP-Adresse, Browserkennung und – bei der unsichtbaren Variante – Signale aus dem Verhalten auf der Seite: Mausbewegungen, Tippverhalten, Verweildauer.

Es braucht deshalb eine Einwilligung. Nach § 25 TDDDG ist der Zugriff auf Endeinrichtungen ohne Einwilligung nur zulässig, soweit er unbedingt erforderlich ist. Ein Spamschutz ist zwar sinnvoll, aber nicht unbedingt erforderlich für den vom Nutzer gewünschten Dienst – und er lässt sich, wie unten gezeigt, auch ohne Fremdübermittlung erreichen.

Es steht im denkbar ungünstigsten Kontext. Die Einwilligung müsste eingeholt werden, bevor das Formular funktioniert. Wer ablehnt, kann Sie nicht erreichen. Das ist eine Konstruktion, die niemandem gefällt.

Es ist eine Barriere. Bilderrätsel sind für Menschen mit Seheinschränkung, mit motorischen Einschränkungen und für ältere Nutzer eine echte Hürde. Seit der Anwendbarkeit des Barrierefreiheitsstärkungsgesetzes ist das für viele gewerbliche Auftritte auch eine rechtliche Frage.

Was ohne Fremdübermittlung wirkt

Der Reihe nach, von einfach nach aufwendig.

Das unsichtbare Feld. Ein zusätzliches Eingabefeld, das für Menschen ausgeblendet ist. Ausfüllautomaten befüllen es, Menschen nicht – eine Einsendung mit befülltem Feld wird verworfen. Kostet keine Zeile Konfiguration und fängt den überwiegenden Teil der automatisierten Einsendungen ab.

Der Zeitstempel. Das Formular vermerkt, wann es geladen wurde. Trifft die Einsendung nach zwei Sekunden ein, war kein Mensch am Werk. Ebenso lässt sich eine Obergrenze setzen, nach der das Formular neu geladen werden muss.

Die Begrenzung nach Herkunft. Mehrere Einsendungen aus derselben Quelle in kurzer Folge werden verzögert oder abgelehnt. Das geschieht auf Ihrem Server, ohne dass Daten das Haus verlassen.

Die Rechenaufgabe. Eine einfache Frage – „Was ergibt drei plus vier?” – ist für Menschen trivial und für einfache Automaten ein Hindernis. Barrierefrei, wenn sie als Text gestellt wird und nicht als Bild.

Die serverseitige Inhaltsprüfung. Auffällige Muster – viele Verweise, bestimmte Zeichenfolgen, unpassende Sprache – lassen sich beim Eingang bewerten, ohne dass der Absender davon etwas merkt.

Diese Kombination trägt für Kontaktformulare praktisch vollständig. Wir setzen sie auf dieser Website selbst ein: unsichtbares Feld plus Zeitstempel, kein Fremddienst, keine Einwilligung nötig.

Wenn es doch ein Prüfmechanismus sein muss

Bei Anmeldeformularen, Kommentarfunktionen oder Bestellstrecken mit hohem Missbrauchsdruck reicht das unter Umständen nicht. Dann kommen Dienste in Betracht, die auf europäischen Servern betrieben werden und ohne Verhaltensanalyse auskommen – üblicherweise arbeiten sie mit einer Rechenaufgabe, die der Browser im Hintergrund löst, sodass der Nutzer nichts anklicken muss.

Prüfen Sie in diesem Fall vor der Einführung: Wo wird verarbeitet, welche Daten fallen an, gibt es einen Auftragsverarbeitungsvertrag, und ist eine Übermittlung in Drittländer ausgeschlossen? Ist all das erfüllt, kann der Einsatz auf ein berechtigtes Interesse gestützt werden – mit dokumentierter Abwägung.

Was zu tun ist, wenn reCAPTCHA im Einsatz ist

  1. Feststellen, wo es läuft. Meist steckt es in mehreren Formularen, oft von unterschiedlichen Plugins eingebunden. Der kostenlose Website-Check zeigt es.
  2. Ersetzen statt einwilligen lassen. Die Einwilligungslösung ist hier der schlechtere Weg, weil sie das Formular unbenutzbar macht.
  3. Datenschutzerklärung anpassen – auch beim Wegfall eines Dienstes.
  4. Prüfen, ob der Spam zurückkommt. In aller Regel nicht; falls doch, ergänzen Sie eine der oben genannten Maßnahmen.

Kontakt

Sie wollen wissen, welche Fremddienste in Ihren Formularen stecken? Das ist schnell festgestellt.