reCAPTCHA ersetzen: was Sie vor dem Wechsel prüfen sollten

Muss reCAPTCHA wirklich ersetzt werden?

Ein Wechsel kostet Zeit und kann während der Umstellung echte Besucher abweisen. Die Gründe, die ihn rechtfertigen, sind klar umrissen:

• Besucher beschweren sich, oder Sie stellen fest, dass legitime Übermittlungen abgelehnt werden;
• was der Dienst im Browser speichert oder über Ihre Besucher liest, passt Ihnen nicht mehr, oder Sie können es nicht mehr beschreiben, wenn jemand danach fragt;
• seine Nutzungs- oder Abrechnungsbedingungen haben sich für Sie geändert;
• Sie möchten eine Prüfung, die vom Besucher nichts verlangt.

Trifft keiner dieser Gründe auf Sie zu, behalten Sie, was Sie haben. «Ein Artikel rät zum Wechsel» ist keiner.

Schritt 1: alle Formulare auflisten

Notieren Sie, bevor Sie irgendetwas anfassen, jede Stelle, an der die Prüfung eingebunden ist. Jeweils: die Seite oder die Vorlage, die den Dienst lädt, den Schlüssel, den sie verwendet, und die Stelle, an der seine Antwort geprüft wird.

• Die offensichtlichen Formulare: Kontakt, Registrierung, Login, Kommentare, Newsletter.
• Die vergessenen: alte Seiten, Kampagnenseiten, Subdomains, Formulare eines anderen Tools, das in Ihre Website eingebunden ist.
• Formulare, deren Prüfung von einer Erweiterung oder von einem Formular-Tool erledigt wird: Sie haben manchmal einen eigenen Schlüssel, den Ihr Code nicht sieht.

Diese Liste dient zweimal: damit Sie beim Wechsel nichts vergessen und damit Sie am Ende den alten Dienst überall entfernen.

Schritt 2: die beiden Hälften verstehen

Eine Prüfung dieser Art hat zwei Hälften. In der Seite fügt ein Script dem Formular ein verstecktes Feld hinzu, das ein Token trägt. Auf dem Server schickt ein Aufruf dieses Token an den Dienst und liest dessen Antwort. Die beiden werden zusammen ersetzt:

• entfernen Sie das Script, lassen aber die Prüfung stehen, erhält der Server kein Token mehr und kann alle Übermittlungen ablehnen;
• entfernen Sie die Prüfung, lassen aber das Script stehen, sieht das Formular geschützt aus und ist es nicht mehr, ohne dass Ihnen etwas das zeigt.

Suchen Sie also in Ihrem Code oder in den Einstellungen Ihres Formular-Tools, wo die Antwort gelesen wird.

Schritt 3: vergleichen, was Sie betrifft

Eine Funktionstabelle genügt nicht. Stellen Sie jedem Dienst dieselben fünf Fragen und suchen Sie die Antwort in seiner Dokumentation statt auf seiner Verkaufsseite:

• Was sieht der Besucher: ein Kästchen zum Ankreuzen, Bilder oder nichts?
• Was speichert er im Browser, welche Daten der Anfrage liest er, für wie lange, und wer ist dafür verantwortlich?
• Was geschieht, wenn der Dienst nicht antwortet: wird die Übermittlung durchgelassen oder abgelehnt, und entscheiden Sie das?
• Was kostet er über das kostenlose Angebot hinaus, und was wird aus Ihrem Formular, wenn das Kontingent überschritten ist?
• Was antwortet er: nur ein Ergebnis oder auch eine Bewertung und Gründe?

Die Gründe helfen, die Prüfung einzustellen; sie informieren aber auch, wer sie umgehen will. Keine der beiden Entscheidungen ist absolut die richtige.

Was jeder Dienst über sich selbst sagt, mit Quelle und Lesedatum, steht in den Vergleichen von Antisy. Was die Daten betrifft, lesen Sie die Antwort auf die zweite Frage gemeinsam mit der Person, die Sie rechtlich berät: Dieser Artikel behandelt sie nicht.

Siehe: reCAPTCHA-Alternative: Vergleich mit Antisy · Dokumentation von Antisy: ein Beispiel dafür, was ein Dienst über seine Daten schreibt

Schritt 4: ausprobieren, bevor Sie den alten abschalten

Bauen Sie die neue Prüfung auf einer Kopie der Website oder auf einem wenig kritischen Formular auf, bevor Sie die Produktion anfassen. Spielen Sie dann sechs Fälle durch:

• eine normale Übermittlung geht durch;
• eine Übermittlung ohne Token wird abgelehnt, und der Besucher sieht eine Meldung, die ihm einen anderen Weg bietet, Sie zu erreichen;
• dasselbe Token, zweimal gesendet, wird nicht zweimal akzeptiert (prüfen Sie, was die Dokumentation des Dienstes sagt);
• das Script wird von einem Werbeblocker oder von einer Sicherheitsrichtlinie der Seite blockiert: Was erhält Ihr Server?
• der Dienst antwortet nicht: Unterbrechen Sie in einer Testumgebung den Zugang Ihres Servers zu ihm und beobachten Sie;
• ein langsames Telefon und ein Durchgang nur mit der Tastatur und einem Screenreader.

Notieren Sie das Ergebnis jedes Falls: Sie spielen die Liste nach dem Wechsel noch einmal durch.

Siehe: CAPTCHA und Barrierefreiheit: was die WCAG und das W3C sagen · Spam im Kontaktformular: was tun, Massnahme für Massnahme

Schritt 5: umstellen, beobachten, den alten entfernen

Stellen Sie ein Formular nach dem anderen um, beginnend mit einem wenig kritischen Formular, mit einer Möglichkeit, innerhalb einer Stunde zurückzugehen. Suchen Sie in den folgenden Tagen nach zu Unrecht abgelehnten Besuchern: Nachrichten von Besuchern, die sagen, sie hätten nicht schreiben können, ein plötzlicher Rückgang der Übermittlungen, Nachrichten, die über einen anderen Kanal eingetroffen sind.

Entfernen Sie den alten Dienst erst nach diesem Zeitraum: das Script jeder Seite, die Prüfung des Servers, dann den Schlüssel beim Anbieter. Ein Script und ein Schlüssel, die niemand mehr ansieht, bleiben eine Abhängigkeit und ein Risiko. Wenn Ihre Informationsseiten den alten Dienst beschreiben, korrigieren Sie sie.

Wo Antisy in diesem Ablauf steht

Antisy ist eine unsichtbare Bot-Prüfung (man spricht manchmal von einem «unsichtbaren CAPTCHA») für Formulare. Ein Script-Tag in der Seite lädt das Script; beim Absenden legt es ein kurzes Token in das versteckte Feld antisy-token; Ihr Server schickt dieses Token mit seinem Secret an Antisy und liest die Antwort, allow oder deny. Es gibt nur diese zwei Ergebnisse, und die Antwort nennt nie den Grund.

Müssen Sie jetzt wechseln, warten Sie nicht auf Antisy: Der Zugang läuft über eine Warteliste. Die Vergleiche sagen, was jeder heute offene Dienst anzeigt, und nennen, was er bietet und Antisy nicht. Antisy hat keine Erweiterung, unterscheidet keine von Hand getippte Werbenachricht, nennt keine Erkennungsrate und lehnt ein sehr langsames Gerät ab, das seine Berechnung nicht rechtzeitig beendet.

Siehe: Vergleiche: Antisy und die anderen Dienste · Glossar: unsichtbares CAPTCHA · Häufige Fragen: Was ist der Unterschied zwischen Antisy und einem CAPTCHA? · Die Anleitungen zur Einbindung

Stand des Angebots

Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion. Das Pilotprojekt hat am 9. November 2026 mit unseren eigenen Formularen begonnen.

Siehe: Das Pilotprojekt · Der Warteliste beitreten

Häufige Fragen