Das Problem mit CAPTCHAs
Klassische CAPTCHAs verlangen etwas, das ein Programm schlecht kann: verzerrte Buchstaben lesen, Ampeln auf Fotos finden, ein Audio-Rätsel verstehen. Genau diese Aufgaben sind auch für viele Menschen schwer. Das W3C beschreibt das Problem ausführlich in seiner Note Inaccessibility of CAPTCHA: Jede Variante schließt eine Gruppe aus, und Bots lösen viele Aufgaben inzwischen trotzdem.
Was die WCAG verlangen
- 1.1.1 Nicht-Text-Inhalt: CAPTCHAs sind hier ausdrücklich eine Ausnahme, aber nur teilweise. Eine Textalternative muss den Zweck beschreiben, und es muss eine andere Form des CAPTCHAs für eine andere Wahrnehmung geben, etwa Hören statt Sehen.
- 3.3.8 Barrierefreie Authentifizierung (Minimum): Bei der Anmeldung darf kein Test kognitiver Fähigkeiten verlangt werden, etwa sich etwas merken, abtippen oder ein Rätsel lösen, außer es gibt eine Alternative, eine Hilfe oder der Test besteht nur darin, Objekte oder eigene Inhalte zu erkennen.
- 2.2.1 Zeitbegrenzung anpassbar: Läuft für die Aufgabe eine Zeit ab, muss man sie verlängern oder abschalten können.
Auch ein erlaubtes CAPTCHA bleibt also eine Hürde. Am besten ist eines, das Menschen gar nicht lösen müssen.
Alternativen, die Menschen nichts abverlangen
| Methode | So funktioniert es | Achten Sie auf |
|---|---|---|
| Honigtopf-Feld | Ein verstecktes Feld, das nur Bots ausfüllen | Per CSS verstecken und mit tabindex="-1" sowie aria-hidden von Tastatur und Screenreader fernhalten |
| Zeitprüfung | Formulare, die in Sekundenbruchteilen abgeschickt werden, abweisen | Die Mindestzeit kurz halten; Autofill ist schnell |
| Begrenzung auf dem Server | Zu viele Anfragen von einer Quelle bremsen | Klare, verständliche Fehlermeldung statt stiller Ablehnung |
| Unsichtbare Risikoprüfung | Prüft im Hintergrund, meist ohne Aufgabe | Wenn doch eine Aufgabe erscheint: barrierefreier Ausweg, etwa per E-Mail |
| Bestätigung per E-Mail | Ein Link in der Mail bestätigt die Anfrage | Link lange genug gültig halten |
| Passkeys und Einmal-Links | Anmeldung ohne Passwort und ohne Rätsel | Passt gut zu 3.3.8 Barrierefreie Authentifizierung (Minimum) |
Ein Honigtopf-Feld richtig verstecken
Ein Honigtopf ist nur dann unsichtbar für Menschen, wenn auch Tastatur und Screenreader ihn nicht erreichen. Sonst landet jemand im Feld, füllt es aus und wird als Bot abgewiesen.
<!-- nur durchsichtig gemacht -->
<input type="text" name="website"
class="unsichtbar"><div class="hp" aria-hidden="true">
<label for="hp-url">Bitte leer lassen</label>
<input id="hp-url" name="website"
tabindex="-1" autocomplete="off">
</div>Die Klasse hp schiebt den Bereich per CSS aus dem sichtbaren Bild. tabindex="-1" hält die Tastatur fern, aria-hidden den Screenreader.
Immer einen Ausweg anbieten
Keine Methode ist perfekt. Bieten Sie deshalb immer einen zweiten Weg an, der ohne Prüfung funktioniert: eine E-Mail-Adresse oder eine Telefonnummer, an die man sich wenden kann. Nennen Sie diesen Weg dort, wo die Prüfung scheitern kann, und in Ihrer Erklärung zur Barrierefreiheit.
Wir machen es selbst so: Unser Formular für den kostenlosen Check nutzt eine unsichtbare Spam-Prüfung. Erscheint doch eine Aufgabe, die jemand nicht lösen kann, starten wir den Check auf eine E-Mail hin. Das steht in unserer eigenen Erklärung.
Checkliste zum Abhaken
0 von 6 erledigt
Ihre Häkchen bleiben nur in diesem Browser-Tab und werden nirgends gespeichert.
Passende WCAG-Kriterien
- 1.1.1 Nicht-Text-Inhalt
- 3.3.8 Barrierefreie Authentifizierung (Minimum)
- 2.2.1 Zeitbegrenzung anpassbar
- 4.1.2 Name, Rolle, Wert
Werkzeuge und Muster dazu
- Formulare, die jeder ausfüllen kannAm Formular entscheidet sich, ob jemand kauft, bucht oder aufgibt. Hier lesen Sie, wie Beschriftungen, Pflichtfelder und Fehlermeldungen gebaut sein müssen, damit es mit Tastatur, Screenreader und Vergrößerung klappt.
- Fehlermeldungen, die helfen statt verwirrenFehler als Text, verknüpft, mit Lösung und Fehlerübersicht.
- Tastatur-TestFokus sichtbar machen und üben
- Die Erklärung zur Barrierefreiheit: vollständig, ehrlich, leicht zu findenUnternehmen und öffentliche Stellen müssen erklären, wie barrierefrei ihr Angebot ist. Hier steht, welche Angaben jeweils Pflicht sind und wie Sie die Erklärung so schreiben, dass sie hilft.
Häufige Fragen
Ist ein Audio-CAPTCHA als Alternative ausreichend?
Es deckt eine zweite Wahrnehmung ab, wie 1.1.1 es verlangt. Menschen, die weder gut sehen noch gut hören, oder Menschen mit kognitiven Einschränkungen bleiben aber ausgeschlossen. Besser ist ein Verfahren ohne Aufgabe.
Fällt eine unsichtbare Prüfung unter die WCAG?
Solange niemand etwas tun muss, entsteht keine Barriere. Erscheint im Zweifelsfall doch eine Aufgabe, gelten die Anforderungen dafür, und ein Ausweg wird wichtig.
Hilft ein Honigtopf wirklich gegen Spam?
Er hält viele einfache Bots ab, aber nicht alle. In Kombination mit Zeitprüfung und Server-Limits wird er deutlich wirksamer.
Quellen
Wie steht Ihre Website da?
Der kostenlose Check prüft Ihre Startseite in zwei Minuten. Das Audit entscheidet alle 55 Kriterien, durch einen Menschen.