Captcha barrierefrei: die Hürde unmittelbar vor dem Absenden

Das Wichtigste in Kürze

• Die WCAG nennen CAPTCHA namentlich – in Erfolgskriterium 1.1.1 (Stufe A). Verlangt werden zwei Dinge zugleich: eine Textalternative, die den Zweck beschreibt, und alternative Formen für verschiedene Arten der sensorischen Wahrnehmung.
• Ein Bildrätsel allein erfüllt das nicht. Wer nicht sieht, kommt an der letzten Stelle vor dem Absenden nicht weiter.
• Ein Audio-Captcha daneben ist die halbe Antwort. Es öffnet den Weg für blinde Menschen und schließt gehörlose, schwerhörige und taubblinde Menschen aus.
• Das Captcha ist Teil des Formulars. Es gelten dieselben Kriterien wie für jedes Feld: 2.1.1, 3.3.1, 3.3.2, 3.3.3 und 3.3.4.
• Die tragfähigste Antwort ist meist, das Rätsel wegzulassen. Honigtopf-Feld, Zeitschwelle, Ratenbegrenzung und Bestätigung per Mail verlangen vom Menschen nichts – die Abwehr wandert auf den Server.
• Unsichtbare Verfahren nehmen die sichtbare Hürde weg und geben dafür Daten an einen Dritten weiter. Das verschiebt die Frage zum Datenschutz; es löst sie nicht auf.

Technische Einordnung, keine Rechtsberatung. Ob und wie BFSG, DSGVO und TDDDG auf Ihr Angebot anwendbar sind und was die Datenschutzhinweise dieses Artikels für Ihren Fall bedeuten, beurteilen Anwältinnen und Anwälte.

Was die WCAG zu CAPTCHA wörtlich verlangen

CAPTCHA ist die einzige Form der Spam-Abwehr, die in den Richtlinien für barrierefreie Webinhalte beim Namen genannt wird. Das Glossar der deutschen WCAG-Übersetzung hält fest: „CAPTCHA-Tests beinhalten oft die Aufforderung an den Benutzer, Text einzugeben, der in einem undeutlichen Bild angezeigt oder als verzerrte Audiodatei ausgegeben wird.“ Die deutschen Formulierungen dieses Artikels stammen aus der im Übersetzungsverzeichnis des W3C gelisteten, nicht autorisierten Übersetzung; verbindlich ist der englische Text.

Erfolgskriterium 1.1.1 Nicht-Text-Inhalt (Stufe A) verlangt, dass alle Nicht-Text-Inhalte „eine Textalternative“ haben, „die einem äquivalenten Zweck dient“ – mit einigen Situationen als Ausnahme. Eine davon trägt die Überschrift „CAPTCHA“:

Keine Befreiung also, sondern zwei Auflagen – verbunden durch „außerdem“:

1. Die Textalternative nennt den Zweck, nicht die Lösung

   „Sicherheitsabfrage: Geben Sie die abgebildeten Zeichen ein“ sagt, wofür das Bild da ist; ein Alternativtext, der die Zeichen wiedergibt, hebt die Prüfung auf. Deshalb steht im Kriterium „identifizieren“ – anders als bei Alternativtexten für Produktbilder.

2. Es gibt alternative Formen für verschiedene Sinne

   „Alternative Formen“ steht im Plural, und der Nachsatz sagt, warum: „um verschiedenen Behinderungen Rechnung zu tragen“. Ein zweiter Kanal genügt nur, wenn er erreicht, wen der erste ausschließt.

Das BFSG erwähnt Captchas nicht. § 14 Absatz 1 BFSG regelt, dass eine Dienstleistung nur angeboten oder erbracht werden darf, wenn sie „die Barrierefreiheitsanforderungen der nach § 3 Absatz 2 zu erlassenden Rechtsverordnung erfüllt“ – und wenn daneben, so Nummer 2 desselben Absatzes, die Informationen nach Anlage 3 Nummer 1 erstellt und für die Allgemeinheit barrierefrei zugänglich gemacht sind: die Barrierefreiheitserklärung. Die Umsetzung richtet sich in der Praxis nach der EN 301 549, die auf die WCAG 2.1 verweist. § 37 Absatz 2 BFSG nennt dafür eine Geldbuße „bis zu hunderttausend Euro“; für die übrigen Tatbestände des Absatzes 1 liegt der Rahmen bei zehntausend Euro – der Ablauf steht im Bußgeld-Ratgeber, die Frage der Betroffenheit im Ratgeber zur Kleinstunternehmer-Ausnahme.

Wer an einem Bildrätsel scheitert – und warum Audio das selten heilt

Ein Captcha filtert nicht zwischen Mensch und Maschine, sondern zwischen bestimmten Menschen und Ihrem Formular.

Warum das Audio-Captcha die Rechnung selten aufmacht

Die Tonspur ist absichtlich verrauscht – anders wäre sie maschinell zu lesen. Sie hat damit dieselbe Eigenschaft wie das verzerrte Bild, nur auf einem anderen Kanal. Dazu kommt, was in der Praxis regelmäßig dazwischenkommt: Die Ansage ist oft englisch, obwohl das Formular deutsch ist, die Wiedergabe startet über eine Schaltfläche ohne zugänglichen Namen, Wiederholen und Anhalten fehlen – und getippt wird, während man hört.

Das Captcha ist Teil des Formulars: 2.1.1 und 3.3.1 bis 3.3.4

Ein Captcha wird gern als Fremdkörper behandelt: eingebunden, abgehakt, nie wieder angesehen. Für die Prüfung ist es ein Formularfeld.

2.1.1 Tastatur (Stufe A)

„Alle Funktionalitäten des Inhalts sind durch eine Tastaturschnittstelle bedienbar, ohne dass eine bestimmte Zeiteinteilung für einzelne Tastenanschläge erforderlich ist“ – ausgenommen sind nur Funktionen, deren Zweck der Bewegungspfad selbst ist, etwa eine Zeichenfläche. Ein Schiebe-Regler oder ein Puzzle zum Ziehen fällt in aller Regel nicht darunter: Wo nur der Endpunkt zählt, ist der Pfad nicht erforderlich, und das Bauteil muss auch mit der Tastatur zu bedienen sein. Anders liegt es nur, wenn die Bewegungsspur selbst das Erkennungsmerkmal ist – dann bleibt die Frage, ob der Dienst überhaupt einen Weg ohne Zeigergerät anbietet. Erfolgskriterium 2.1.2 Keine Tastaturfalle verlangt zusätzlich, dass der Fokus einen Bestandteil wieder verlassen kann – bei einem Captcha im eingebetteten Rahmen ein realer Fall (Tastaturbedienung und sichtbarer Fokus).

3.3.2 Beschriftungen (Labels) oder Anweisungen (Stufe A)

„Wenn der Inhalt eine Eingabe durch den Benutzer verlangt werden Beschriftungen (Labels) oder Anweisungen bereitgestellt.“ Das Eingabefeld neben dem Rätsel braucht ein echtes <label>, nicht bloß einen Platzhaltertext. In unserer Erhebung 2026 fanden wir Formularfelder ohne Beschriftung auf 10 von 85 Websites – dort dem maschinell prüfbaren Kriterium 4.1.2 zugeordnet, inhaltlich fehlt zugleich die Beschriftung nach 3.3.2.

3.3.1 Fehlererkennung (A) und 3.3.3 Fehlerempfehlung (AA)

3.3.1: „Wenn ein Eingabefehler automatisch erkannt wird, dann wird das fehlerhafte Element identifiziert und der Fehler wird dem Benutzer in Textform beschrieben.“ Ein rot umrandetes Feld ist keine Textform, ein stillschweigend neu geladenes Bild erst recht nicht. 3.3.3 verlangt zusätzlich Korrekturempfehlungen, „außer dies würde die Sicherheit oder den Zweck des Inhalts gefährden“. Beim Captcha zählt dieser Nachsatz: Die Lösung zu verraten ist nicht verlangt, der Weg zurück sehr wohl – „Fordern Sie eine neue Zeichenfolge an oder wechseln Sie zur Tonausgabe.“

3.3.4 Fehlervermeidung (rechtliche, finanzielle, Daten) (Stufe AA)

Für Seiten, „die eine für den Benutzer auftretende rechtliche Verpflichtung oder finanzielle Transaktion zur Folge haben“, verlangt das Kriterium eines von dreien: Die Daten sind reversibel, sie werden auf Eingabefehler geprüft mit Gelegenheit zur Korrektur, oder es gibt einen Mechanismus zum Überprüfen und Bestätigen vor dem endgültigen Absenden. Bei einer Bestellung wird ein Captcha hier teuer – mehr im barrierefreien Checkout.

Sechs Alternativen zum Captcha, ehrlich eingeordnet

Alle folgenden Verfahren verlagern die Abwehr auf den Server. Keines ist allein so stark wie ein gut gemachtes Rätsel; zwei oder drei zusammen decken die Lage eines mittelständischen Kontaktformulars in aller Regel ab.

1. Das Honigtopf-Feld

Ein Feld, das für Menschen unsichtbar ist und deshalb leer bleibt – wer es ausgefüllt hat, ist keiner. Unser Kontaktformular auf webpflicht.de arbeitet so, ohne Captcha und ohne eine Zeile JavaScript:

<div class="honigtopf" aria-hidden="true">
  <label for="telefax">Telefax (bitte frei lassen)</label>
  <input type="text" id="telefax" name="telefax" tabindex="-1" autocomplete="off">
</div>

Dazu die eine Regel, die in Ihr Stylesheet gehört – nicht in die Seite:

.honigtopf { position: absolute; left: -9999px; width: 1px; height: 1px; overflow: hidden; }

Drei Details tragen die Barrierefreiheit: aria-hidden="true" nimmt das Feld aus dem Baum der Vorlesesoftware, tabindex="-1" aus der Tastaturreihenfolge, und die Verschiebung aus dem Bild ersetzt ein display: none, das manche Automaten als Erkennungsmerkmal auswerten. Barriere: keine. Spam-Wirkung: fängt breit gestreute Automaten, keinen gezielten Angriff. Datenschutz: kein Dritter, kein Cookie.

2. Die Zeitschwelle

Das Formular merkt sich, wann es ausgeliefert wurde, und verwirft Einsendungen nach weniger als ein bis zwei Sekunden. So schnell tippt niemand. Barriere: keine nach unten – wohl aber eine Obergrenze, die unbemerkt abläuft: Erfolgskriterium 2.2.1 Zeiteinteilung anpassbar (Stufe A) verlangt für jede zeitliche Begrenzung, „die vom Inhalt festgelegt wird“, eines von sechs Dingen – der Benutzer kann sie abschalten, anpassen oder ausweiten, oder es greift eine der drei Ausnahmen: Echtzeit-Ereignis, unentbehrliche Begrenzung („eine Ausweitung dieser würde die Handlung ungültig machen“) oder mehr als 20 Stunden. Ob ein Sicherheitsfenster unter die zweite Ausnahme fällt, ist eine Frage des Einzelfalls; bei einem Formular lässt sich die Frist meist ankündigen und erneuern. Spam-Wirkung: ergänzend. Datenschutz: ein Zeitstempel, kein Personenbezug.

3. Serverseitige Ratenbegrenzung

Der Server zählt die Einsendungen aus derselben Quelle je Zeitfenster und weist ab, was darüber liegt – der einzige Schutz, der gegen Masse wirklich hilft. Barriere: keine, solange die Grenze großzügig ist; Firmennetze und Mobilfunk teilen sich Adressen. Die Abweisung braucht einen Satz in Textform statt einer weißen Seite. Spam-Wirkung: hoch gegen Masse, gering gegen Einzelnachrichten. Datenschutz: die IP-Adresse gehört in die Datenschutzerklärung, die Speicherdauer bleibt knapp.

4. Bestätigung per Mail

Die Nachricht wird erst zugestellt, wenn ein Link in einer Bestätigungsmail angeklickt wurde – ein Automat mit erfundener Adresse kommt dort nicht an. Barriere: ein zusätzlicher Schritt für alle, und nur so gut wie die Mail: sprechender Linktext statt „hier klicken“. Spam-Wirkung: hoch. Datenschutz: kein Dritter beteiligt; verarbeitet wird die E-Mail-Adresse, und zwar nur für die Bestätigung dieser einen Nachricht.

5. Unsichtbare Verfahren eines Drittanbieters

Dienste wie Cloudflare Turnstile, reCAPTCHA v3 und hCaptcha werten Verhalten und Browsermerkmale aus und geben dem Server eine Einschätzung zurück. Für die meisten Besucher ist nichts zu tun – der Fortschritt gegenüber dem Bildrätsel. Barriere: auf dem stillen Pfad keine. Entscheidend ist, was im Zweifelsfall geschieht, und das ist bei jedem Dienst etwas anderes: hCaptcha zeigt dann ein Bilderrätsel; Cloudflare Turnstile nach eigener Beschreibung kein Bild- und kein Texträtsel, sondern ein Kästchen zum Anklicken; reCAPTCHA v3 unterbricht überhaupt nicht und liefert nur einen Wert – was bei einem niedrigen Wert geschieht, entscheidet Ihr eigener Code, häufig ein nachgeschaltetes Bilderrätsel. Geprüft gehört deshalb genau dieser Zweig, nicht der Normalfall. Spam-Wirkung: hoch. Datenschutz: Es fließen Daten an einen Dritten. Das berührt Artikel 13 DSGVO (Informationspflicht), Artikel 28 DSGVO (Auftragsverarbeitung) und, bei Übermittlung in ein Drittland, Kapitel V; werden Informationen auf dem Endgerät gespeichert oder ausgelesen, kommt § 25 TDDDG hinzu, der dafür grundsätzlich eine Einwilligung verlangt. Wie das im Einzelfall zu bewerten ist, beurteilen Anwältinnen und Anwälte. Der Baustein liegt außerhalb Ihres Codes – dieselbe Lage wie beim Consent-Banner: schriftlich nachfragen, was geprüft wurde.

6. Frage-Antwort-Captchas

„Was ist drei plus vier?“, „In welcher Stadt sitzen wir?“ Barriere: Rechen- und Merkaufgaben sind kognitive Funktionstests und treffen die Menschen, die ohnehin die meiste Mühe mit Formularen haben; als Bild zusätzlich ein Nicht-Text-Inhalt nach 1.1.1. Spam-Wirkung: gering – eine feste Frage ist einmal zu lösen. Datenschutz: kein Dritter beteiligt.

Captcha-Alternativen im Vergleich: Barriere, Spam-Schutz, Datenschutz

Die Tabelle stellt die klassischen Captcha-Formen neben die Alternativen – knapp genug, um sie an Ihre Agentur weiterzugeben.

Die Empfehlung folgt aus den vier Zeilen ohne Barriere: Honigtopf und Ratenbegrenzung kosten den Besucher nichts und decken den Alltag ab, die Zeitschwelle kommt als Ergänzung dazu. Kommt danach noch zu viel durch, folgt die Bestätigung per Mail – erst danach lohnt die Frage nach einem Dienst.

Selbsttest: Ihr Formular ohne Maus und ohne Sehen

Sie brauchen kein Werkzeug – nur das Formular, über das echte Anfragen kommen, eine Tastatur und zehn Minuten.

1. Nur mit der Tastatur bis zum Absenden

   Legen Sie die Maus außer Reichweite. Kommen Sie in das Captcha hinein und wieder heraus? Erreichen Sie „Neues Rätsel“ und „Ton abspielen“? Sehen Sie an jeder Stelle, wo Sie stehen? Sobald Sie zur Maus greifen müssen, haben Sie den Befund.

2. Bildschirm aus, Vorlesesoftware an

   Jedes Betriebssystem bringt eine mit: unter Windows die Sprachausgabe, auf dem Mac VoiceOver. Einschalten, Bildschirm abdunkeln, Formular durchgehen. Wird der Zweck des Captchas angesagt oder nur „Grafik“? Hat das Eingabefeld einen Namen? Gibt es einen zweiten Weg, und wird er genannt?

3. Absichtlich falsch lösen

   Tippen Sie eine falsche Antwort und senden Sie ab. Steht der Fehler als Satz da? Sagt er, was jetzt zu tun ist? Und – der teuerste Punkt – stehen Ihre übrigen Eingaben noch im Formular?

4. Auf 200 Prozent vergrößern

   Strg und Plus, bis der Browser 200 Prozent anzeigt. Ist das Rätsel noch lesbar? Überlappt es die Felder daneben? Auf dem Telefon dieselbe Probe mit zwei Fingern.

5. Den zweiten Weg suchen

   Steht auf derselben Seite eine E-Mail-Adresse für dieselbe Anfrage? Ein zweiter Weg ersetzt kein barrierefreies Formular, verhindert aber, dass eine gescheiterte Eingabe das Ende des Kontakts ist.

Was ein automatisierter Test beisteuert: fehlende Beschriftungen, Rahmen ohne Titel, Kontraste, Elemente ohne zugänglichen Namen. Was er nicht leisten kann: beurteilen, ob eine Alternative lösbar ist. Automatisierte Prüfung deckt die maschinell prüfbaren Kriterien ab; eine vollständige Konformitätsbewertung erfordert zusätzlich manuelle Prüfung. Der Durchgang für das ganze Formular steht im Ratgeber zu barrierefreien Formularen, für Buchungsstrecken in dem zur barrierefreien Terminbuchung.

Wenn ein Captcha bleiben muss: sechs Mindestbedingungen

Es gibt Formulare, an denen so viel Missbrauch hängt, dass niemand das Rätsel wegnimmt. Dann gelten sechs Bedingungen, alle aus den oben zitierten Kriterien.

• Der Zweck steht als Text da. Nicht die Lösung: „Sicherheitsabfrage, damit dieses Formular nicht von Automaten benutzt wird.“
• Mindestens ein zweiter Kanal. Ton neben Bild ist der Anfang, nicht das Ende. Die Lücke schließt ein Weg, der weder Sehen noch Hören verlangt – eine Mailadresse etwa oder der Verzicht auf das Rätsel nach Bestätigung per Mail.
• Alles mit der Tastatur erreichbar, auch Wiederholen, Ton und das Verlassen des Rahmens.
• Kein Zeitlimit ohne Ausweg. Läuft das Rätsel ab, ist eine Verlängerung anzukündigen und möglich zu machen – es sei denn, die Begrenzung ist im Sinne von 2.2.1 unentbehrlich.
• Eingaben überleben einen Fehlversuch. Der Fehler steht als Satz am Feld, der Fokus dort.
• Der eingebettete Rahmen hat einen Titel. Frames ohne Titel fanden wir in unserer Erhebung 2026 auf 10 von 85 Websites, dort ebenfalls dem maschinell prüfbaren Kriterium 4.1.2 zugeordnet – ein Captcha im <iframe> ohne title wird als „Frame“ angesagt.

Eine Abgrenzung zum Schluss: Ein Widget, das der Seite ein Bedienfeld für Schriftgröße und Kontrast überlegt, ändert am Captcha nichts – es sitzt vor der Seite, das Rätsel im Formular. Warum solche Werkzeuge die messbaren Verstöße im Code nicht entfernen, steht im Ratgeber zu Overlays und Barrierefreiheit.

Häufige Fragen

Dieser Artikel ist eine technische Einordnung und keine Rechtsberatung. Quellen: Barrierefreiheitsstärkungsgesetz (BFSG), insbesondere § 3, § 14 Absatz 1 und § 37 Absatz 2, Wortlaut abgerufen bei gesetze-im-internet.de am 05.09.2026; Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), § 25, ebenda; Datenschutz-Grundverordnung (Verordnung (EU) 2016/679), insbesondere Artikel 13, 28 und Kapitel V – nur als Fundstelle genannt, nicht zitiert; Richtlinien für barrierefreie Webinhalte (WCAG) 2.1 in der deutschen Übersetzung von Aktion Mensch e. V., die das W3C als nicht autorisierte Übersetzung („Unofficial Translation“ vom 15.06.2022) führt – eine autorisierte deutsche Fassung besteht nur für WCAG 2.0 vom 29.10.2009, verbindlich ist die englische Originalfassung; verzeichnet im Übersetzungsverzeichnis des W3C, abgerufen am 05.09.2026: Erfolgskriterien 1.1.1, 2.1.1, 2.1.2, 2.2.1, 3.3.1, 3.3.2, 3.3.3 und 3.3.4 sowie der Glossareintrag zu CAPTCHA; Erfolgskriterien 3.3.8 und 3.3.9 der WCAG 2.2 in der englischen Originalfassung, sinngemäß wiedergegeben, nicht zitiert; EN 301 549 V3.2.1 (2021-03), Abschnitt 9 „Web“, der die WCAG 2.1 Stufen A und AA in Bezug nimmt – nur als Fundstelle genannt, nicht zitiert. Eigene Messwerte aus 85 automatisiert geprüften Websites mittelständischer Betriebe, September 2026 (Erhebung 2026), Prüfengine axe-core über Playwright, Tagset WCAG 2.1 Stufen A und AA.