Google reCAPTCHA sendet im Hintergrund IP-Adresse, Geräte- und Browserdaten an Google-Server in den USA, und genau das hat der Dienst datenschutzrechtlich in die Kritik gebracht. Ein österreichisches Gericht hat den Einsatz ohne vorherige Einwilligung 2024 für unzulässig erklärt, die bayerische Datenschutzaufsicht rät zur Prüfung von Alternativen. Für ein Kontaktformular auf der Firmenwebsite gibt es mehrere Wege, Spam fernzuhalten, ohne diese Datenverarbeitung überhaupt erst auszulösen: vom kostenlosen Honeypot-Feld bis zu spezialisierten Diensten wie Cloudflare Turnstile oder Friendly Captcha.
Warum Google reCAPTCHA datenschutzrechtlich in der Kritik steht
Sowohl reCAPTCHA v2 als auch v3 laufen im Hintergrund und werten dabei Mausbewegungen, Tippverhalten, IP-Adresse und Gerätemerkmale aus, um Menschen von Bots zu unterscheiden. Diese Daten verarbeitet Google auf eigenen Servern in den USA. Das österreichische Bundesverwaltungsgericht hat dazu am 13. September 2024 (Geschäftszahl W298 2274626-1/8E) entschieden, dass reCAPTCHA kein technisch notwendiger Bestandteil einer Website ist und sich der Einsatz deshalb nicht auf berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO stützen lässt. Im entschiedenen Fall setzte die Website den Cookie „_GRECAPTCHA” sogar dann, wenn ein Besucher im Cookie-Banner ausdrücklich abgelehnt hatte. Das Gericht verlangt für reCAPTCHA deshalb eine vorherige, ausdrückliche Einwilligung, vergleichbar mit einem Tracking-Tool. Eine vergleichbare Entscheidung eines deutschen Gerichts ist bislang nicht bekannt, die rechtliche Richtung aus Österreich lässt sich aber nicht ignorieren, da beide Länder dieselbe DSGVO und dieselbe ePrivacy-Richtlinie zur Grundlage haben.
Was die bayerische Datenschutzaufsicht zu Captchas sagt
Die bayerische Datenschutzaufsicht BayLDA unterscheidet in ihren FAQ zwischen Captchas allgemein und Google reCAPTCHA im Speziellen. Ein Captcha zur Missbrauchsabwehr hält die Behörde grundsätzlich für zulässig, teils sogar für geboten, um Formularspam, Fake-Anmeldungen oder automatisierte Angriffe abzuwehren, gestützt auf berechtigtes Interesse. Bei Google reCAPTCHA wird die Behörde deutlich zurückhaltender: Weil kaum nachvollziehbar ist, welche Daten Google im Detail verarbeitet und wie lange sie gespeichert bleiben, lässt sich die geforderte Transparenz nach Artikel 5 DSGVO in der Praxis kaum belegen. Die FAQ empfehlen deshalb ausdrücklich, vor dem Einsatz von reCAPTCHA Alternativen zu prüfen, die ohne diese Unklarheit auskommen.
Honeypot und Zeitprüfung als kostenlose erste Wahl
Ein Honeypot ist ein Formularfeld, das für Menschen unsichtbar bleibt, per CSS ausgeblendet oder außerhalb des sichtbaren Bereichs platziert, aber im HTML-Code vorhanden ist. Automatisierte Skripte füllen Formulare meist vollständig aus, ohne zwischen sichtbaren und versteckten Feldern zu unterscheiden. Wird das Honeypot-Feld beim Absenden befüllt, verwirft der Server die Anfrage einfach, ohne dass der eigentliche Besucher davon etwas merkt. Ergänzt um eine serverseitige Zeitprüfung, die Formulare ablehnt, wenn zwischen dem Laden der Seite und dem Absenden weniger als wenige Sekunden liegen, lässt sich damit ein Großteil des automatisierten Spams abfangen, ganz ohne zusätzliche Datenerhebung beim Besucher und ohne Drittanbieter im Spiel. Für einen klassischen Kontaktformular mit überschaubarem Aufkommen reicht diese Kombination in der Praxis für die meisten Handwerks- und Gewerbebetriebe aus.
Cloudflare Turnstile, hCaptcha und Friendly Captcha im Vergleich
Reicht die einfache Kombination aus Honeypot und Zeitprüfung nicht aus, etwa weil gezielt gegen ein bestimmtes Formular programmierte Bots im Umlauf sind, kommen spezialisierte Dienste ins Spiel. Sie unterscheiden sich deutlich darin, wie viel sie über den Besucher erheben und wo der Anbieter sitzt.
| Lösung | Kosten (Stand September 2026) | Anbieter-Standort | Besonderheit |
|---|---|---|---|
| Honeypot / Zeitprüfung | kostenlos, selbst umgesetzt | eigener Server | keine zusätzliche Datenerhebung, stoppt einfache Bots |
| Cloudflare Turnstile | kostenlos | USA, EU-US Data Privacy Framework | nicht-interaktive Prüfung im Hintergrund, kein Rätsel für den Besucher |
| hCaptcha | kostenlos, ab hohem Anfragevolumen kostenpflichtig | USA | verarbeitet IP, Geräte- und Zeitstempeldaten ähnlich wie reCAPTCHA |
| Friendly Captcha | kostenlos bis zu einem geringen Volumen, sonst ab wenigen Euro im Monat | Deutschland (München) | Rechenaufgabe im Browser statt Bilderrätsel, laut Anbieter ohne Tracking |
Cloudflare Turnstile läuft für die meisten Besucher unsichtbar im Hintergrund und verzichtet auf das klassische Bilderrätsel, verarbeitet die Daten aber weiterhin bei einem US-Anbieter, abgesichert über das EU-US Data Privacy Framework. hCaptcha funktioniert technisch ähnlich wie reCAPTCHA und verarbeitet vergleichbare Daten, ist rechtlich also kaum anders zu bewerten als der Google-Dienst selbst. Friendly Captcha stammt von einem deutschen Anbieter mit Sitz in München und wirbt damit, ganz ohne Tracking und Nutzerprofile auszukommen, stattdessen löst der Browser im Hintergrund eine kleine Rechenaufgabe. Diese Zusage ist eine Angabe des Herstellers und keine behördlich bestätigte Einstufung, für Betriebe mit erhöhtem Anspruch an Datensparsamkeit ist sie aber ein naheliegender Kandidat.
Warum ein visuelles Captcha auch die Barrierefreiheit betrifft
Die W3C Web Accessibility Initiative beschreibt klassische Bilderrätsel-Captchas ausdrücklich als Zugangshürde für blinde und stark sehbehinderte Nutzer, da sie ohne visuelle Wahrnehmung schlicht nicht lösbar sind. Audio-Alternativen helfen nur teilweise weiter und werden von automatisierten Systemen zunehmend selbst geknackt. Das Barrierefreiheitsstärkungsgesetz greift bei einer reinen Kontakt-Website ohne Online-Vertragsschluss für Verbraucher in der Regel nicht, das ändert aber nichts daran, dass ein Kontaktformular, das ein Teil der Kundschaft gar nicht ausfüllen kann, schlicht Anfragen verliert. Eine unsichtbare Lösung wie Honeypot, Zeitprüfung oder Cloudflare Turnstile umgeht dieses Problem von vornherein, weil sie vom Besucher gar keine Interaktion verlangt.
Wie Sie prüfen, ob Ihre Website reCAPTCHA überhaupt einsetzt
Viele Betriebsinhaber wissen gar nicht genau, ob ihr Kontaktformular reCAPTCHA lädt, weil ein Formular-Plugin oder ein Baukasten den Dienst standardmäßig aktiviert hat, ohne dass es bei der Einrichtung bewusst ausgewählt wurde. Ein erster Anhaltspunkt ist das kleine reCAPTCHA-Logo unten rechts im Formularbereich, das bei manchen Einbindungen sichtbar bleibt. Fehlt dieses Zeichen, heißt das noch nicht, dass kein reCAPTCHA läuft, denn die unsichtbare Version v3 zeigt sich nur über einen kleinen Hinweistext im Footer. Zuverlässiger ist ein Blick in den Quelltext der Formularseite über die Browserfunktion „Seitenquelltext anzeigen”: Erscheint dort „google.com/recaptcha” oder „grecaptcha”, ist der Dienst aktiv eingebunden. Bei WordPress-Formular-Plugins wie Contact Form 7 oder WPForms findet sich die Einstellung meist direkt im Menüpunkt für Spamschutz oder Sicherheit, dort lässt sich reCAPTCHA in der Regel deaktivieren und durch eine eigene Lösung ersetzen, ohne das restliche Formular neu aufzubauen.
Checkliste für den Umstieg von reCAPTCHA
- Prüfen, ob das Kontaktformular reCAPTCHA überhaupt aktiv einbindet, viele Baukasten- und Plugin-Lösungen aktivieren es standardmäßig.
- Zunächst Honeypot-Feld und serverseitige Zeitprüfung einbauen, das deckt den Großteil des automatisierten Spams ab.
- Bei anhaltendem gezieltem Spam zusätzlich Cloudflare Turnstile oder Friendly Captcha einbinden.
- Datenschutzhinweis am Formular anpassen, sobald ein externer Dienst eingebunden bleibt.
- Nach der Umstellung zwei bis vier Wochen die Spamquote beobachten, bevor weitere Maßnahmen folgen.
Was am Ende zählt
Ein Kontaktformular ohne Google reCAPTCHA verliert dadurch nicht automatisch seinen Spamschutz, es verlagert die Lösung nur auf Mechanismen, die entweder ganz ohne zusätzliche Datenerhebung auskommen oder die Datenverarbeitung transparent bei einem anderen Anbieter belassen. Für einen Malerbetrieb oder ein Sanitärunternehmen mit einem einzigen Kontaktformular reicht in aller Regel schon die kostenlose Kombination aus Honeypot und Zeitprüfung, größere Betriebe mit mehreren Formularen und wiederkehrendem Spamaufkommen greifen eher zu einem spezialisierten Dienst wie Cloudflare Turnstile oder Friendly Captcha. Wichtig ist in beiden Fällen, die Entscheidung einmal bewusst zu treffen, statt eine Standardeinstellung eines Plugins unhinterfragt laufen zu lassen.
Wie sich der Datenschutzhinweis am Formular selbst rechtssicher formulieren lässt, steht im Artikel zum DSGVO-konformen Kontaktformular, die Einwilligungspflicht für vergleichbare Drittanbieter-Einbindungen erklärt der Artikel zu Google Fonts und der DSGVO. Wer diese Anpassung nicht selbst umsetzen möchte, bekommt sie bei Mr.Site im Rahmen der laufenden Website-Betreuung mit erledigt, ohne dass ein neues Bilderrätsel den Weg zur eigentlichen Anfrage verlängert.