3.3.8 Barrierefreie Authentifizierung (Minimum)

Was bedeutet das?

Ein kognitiver Test ist alles, was man sich merken, abschreiben, ausrechnen oder lösen muss: ein Passwort aus dem Gedächtnis, ein verzerrter Buchstaben-Code, eine Rechenaufgabe oder ein Puzzle. Für keinen Schritt der Anmeldung darf so etwas zwingend sein. Ein Passwort ist erlaubt, wenn Passwortmanager funktionieren und Einfügen möglich ist, denn dann muss sich niemand etwas merken oder abtippen.

Gute Alternativen sind Passkeys, ein Anmeldelink per E-Mail oder die Anmeldung über einen anderen Dienst. Auf der Stufe AA sind zwei Fälle ausgenommen: Aufgaben, bei denen man Gegenstände erkennt, etwa „Wählen Sie alle Bilder mit Fahrrädern“, und Aufgaben, bei denen man eigene Inhalte wiedererkennt, etwa ein selbst hochgeladenes Foto.

Wem hilft das?

• Menschen mit kognitiven Einschränkungen oder Gedächtnisproblemen
• Menschen mit Leseschwäche oder Rechenschwäche
• Menschen mit motorischen Einschränkungen, für die Abtippen mühsam ist
• Alle, die Passwortmanager oder Passkeys nutzen

Typische Fehler

• Das Passwortfeld blockiert Einfügen per JavaScript.
• Falsche oder fehlende autocomplete-Werte verhindern, dass der Passwortmanager die Felder ausfüllt.
• Ein CAPTCHA mit verzerrten Buchstaben oder einer Rechenaufgabe ist ohne Alternative zu lösen.
• Ein Code aus SMS oder App muss in einzelne Ziffernfelder abgetippt werden, die kein Einfügen erlauben.
• Man soll bestimmte Zeichen des Passworts eingeben, etwa das dritte und siebte.

So prüfen wir das

• Belege Belege: Unser Scanner sammelt Material, zum Beispiel Screenshots, Listen und Messungen.

Prüffrage: Login funktioniert ohne kognitiven Test (kein Rätsel-CAPTCHA, Einfügen erlaubt, Passwortmanager funktionieren).

Entschieden wird jedes Kriterium von einem Menschen. Kein Kriterium gilt automatisch als erfüllt.

So beheben Sie es

<input type="password" id="pw" onpaste="return false"
       autocomplete="off">

<label for="user">E-Mail-Adresse</label>
<input id="user" name="user" type="email" autocomplete="username webauthn">
<label for="pw">Passwort</label>
<input id="pw" name="pw" type="password" autocomplete="current-password">
<button type="submit">Anmelden</button>
<button type="button" id="passkey">Mit Passkey anmelden</button>

Einfügen und Passwortmanager funktionieren, und ein Passkey ermöglicht die Anmeldung ganz ohne Passwort.

Praxistipps

• Für Einmal-Codes hilft autocomplete="one-time-code", damit Geräte den Code automatisch vorschlagen.
• Wenn Sie ein CAPTCHA brauchen, wählen Sie eines, das ohne Rätsel auskommt, oder bieten Sie einen anderen Weg an.

Ratgeber und Muster dazu

• Formulare, die jeder ausfüllen kannAm Formular entscheidet sich, ob jemand kauft, bucht oder aufgibt. Hier lesen Sie, wie Beschriftungen, Pflichtfelder und Fehlermeldungen gebaut sein müssen, damit es mit Tastatur, Screenreader und Vergrößerung klappt.
• Spam abwehren, ohne Menschen auszusperrenEin CAPTCHA soll Bots aufhalten und hält oft Menschen auf: wer blind ist, schlecht sieht, schlecht hört oder Rätsel schwer lösen kann. Es gibt bessere Wege gegen Spam.

Offizielle Quelle

Understanding WCAG 2.2 beim W3C (Englisch): 3.3.8 Accessible Authentication (Minimum)