CAPTCHA

»CAPTCHA« ist eine Abk. für eng. »Completely Automated Public Turing test to tell Computers and Humans Apart«, was im Deutschen so viel wie »Vollständig automatisierter öffentlicher Turing-Test zur Unterscheidung von Computern und Menschen« bedeutet. Eng. Aussprache: ˈkæp.tʃə.

Unter CAPTCHA wird in der Informatik (Computer Science) bzw. im Webdesign ein Sicherheitsmechanismus für Websites bezeichnet, der dazu dient, automatisierte Bots (automatisierte Computerprogramme) von menschlichen Nutzern zu unterscheiden. Dabei handelt es sich in der Regel um kleine Tests, die für Menschen einfach, für Maschinen jedoch schwer zu lösen sein sollen. Die klassische Form von CAPTCHA bestand ursprünglich aus verzerrten Zeichenfolgen, die Nutzer:innen abtippen mussten. Heute können Webdesigner:innen und Programmierer:innen unterschiedliche Varianten wählen, darunter Bilderrätsel, Audio-CAPTCHAs oder interaktive Aufgaben.

CAPTCHA wurde im Jahr 2000 von einem Team an der Carnegie Mellon University, Pittsburgh, Pennsylvania, USA, als Methode zur Unterscheidung zwischen menschlichen Nutzern und automatisierten Bots, insbesondere zum Schutz von Websites vor Spam und Missbrauch, entwickelt. Zu diesem Team gehörten Luis von Ahn (*1978), Informatiker, Unternehmer und Gründer von Duolingo, Manuel Blum (*1938), theoretischer Informatiker und Turing-Preisträger ¹⁾ von 1995, Nicholas J. Hopper, Professor für Informatik mit Schwerpunkt auf Kryptografie und Netzwerksicherheit und John Langford, Experte für maschinelles Lernen.

2007 entwickelte Luis von Ahn zusammen mit einem neuen Team – die ursprünglichen CAPTCHA-Entwickler waren nicht Teil dieses Projekts – reCAPTCHA, das zunächst genutzt wurde, um gescannte Texte aus Büchern und Zeitungen durch menschliche Nutzer zu transkribieren. 2009 erwarb Google® LLC, Mountain View, USA, eine Tochtergesellschaft der Alphabet Inc., USA, die Rechte an reCAPTCHA von der Carnegie Mellon University und integrierte es in seine Dienste. Gegenwärtig verwendet Google® eine reCAPTCHA-Version, das auf Verhaltensanalyse basiert, ohne dass Nutzer:innen aktiv Texte eingeben müssen.

Vorteile von CAPTCHA

• Schutz vor automatisierten Angriffen
  CAPTCHA wird häufig eingesetzt, um Websites vor Spam, Brute-Force-Angriffen und Massenregistrierungen durch Bots zu schützen.
• Erhöhung der Sicherheit
  Bei Webformularen oder Online-Diensten kann CAPTCHA verhindern, dass sich Bots automatisiert anmelden oder Zugangsdaten durchprobieren.
• Schutz vor Denial-of-Service-Angriffen (DoS/DDoS)
  Durch CAPTCHA lassen sich Serverlasten durch Bot-generierte Anfragen reduzieren, da Maschinen blockiert werden können.
• Verhinderung von automatisierten Datenabfragen
  Webseiten, die große Datenbanken verwalten, können CAPTCHA nutzen, um Scraping durch Bots zu erschweren.

Probleme und Gefahren von CAPTCHA

• Barrierefreiheit
  CAPTCHAs können für Menschen mit Seh- oder Hörbehinderungen schwer zugänglich sein. Audio-CAPTCHAs sind oft verzerrt und schwer verständlich, während Bild-CAPTCHAs für Blinde oder Menschen mit kognitiven Einschränkungen problematisch sind.
• Benutzerfreundlichkeit
  Viele Nutzer:innen empfinden CAPTCHAs als störend und frustrierend, insbesondere wenn sie mehrfach fehlschlagen oder schwer lesbar sind.
• Umgehbarkeit durch KI und Clickfarms
  Fortschritte in der künstlichen Intelligenz haben dazu geführt, dass viele CAPTCHAs heute relativ einfach durch maschinelles Lernen oder spezialisierte Bots überwunden werden können. Zudem existieren Clickfarms, in denen Menschen für geringe Löhne CAPTCHAs lösen, wodurch die Schutzfunktion unterlaufen wird.
• Tracking- und Datenschutzprobleme
  Besonders reCAPTCHA von Google® steht in der Europäischen Union in der Kritik, da es nicht nur Nutzer:innen überprüft, sondern dabei auch Daten über deren Verhalten, Browserinformationen und möglicherweise sogar Mausbewegungen sammelt. Dies führt zu Datenschutzbedenken, da Google® dadurch umfassende Nutzerprofile erstellen kann.
• Missbrauch für KI-Training
  Ein oft genannter Kritikpunkt ist, dass reCAPTCHA von Google® dazu genutzt wird, maschinelles Lernen zu verbessern. Beispielsweise werden Nutzer:innen aufgefordert, Straßenschilder oder Ampeln zu identifizieren, was zur Verbesserung der Bilderkennung für autonome Fahrzeuge beitragen kann. Kritiker bemängeln, dass Nutzer:innen hierbei unbezahlte Arbeit leisten, während Google® von den gesammelten Daten profitiert.

Sind CAPTCHAs überflüssig oder sogar sinnlos?

Ob CAPTCHAs heute noch sinnvoll sind, hängt vom Kontext ab. Während sie in einigen Fällen eine Schutzfunktion haben, gibt es zunehmend effektivere Alternativen wie:

• Verhaltensbasierte Bot-Erkennung (z.B. Analyse von Mausbewegungen, Tippverhalten)
• Token-basierte Schutzmechanismen (z.B. CSRF-Token)
• Zero-Interaction-CAPTCHAs (die ohne direkte Nutzerinteraktion arbeiten)

Typografie und Gestaltung

Viele Nutzer:innen, Typograf:innen und Webdesigner:innen empfinden CAPTCHAs nicht nur als störend, sondern visuell auch nicht ansprechend. Grundsätzlich können eigene CAPTCHA-Systeme entwickelt werden, indem sie individuelle Typografie, Verzerrungen, Bilder oder Illustrationen verwenden. Dies geschieht meist durch Server-Skripte (z.B. PHP, Python) in Kombination mit GD Library oder ImageMagick, um zufällige Texte in einem Bild mit Verzerrungen und Rauschen darzustellen. Alternativ sind auch logik- oder wissensbasierte CAPTCHAs möglich, beispielsweise bei Formularen: Wie lautet die dritte Ziffer in 10117? oder: Welcher Buchstabe folgt auf T in Typolexikon.de? Und falls kein reCAPTCHA genutzt werden soll, könnte bei Formularen eine Kombination aus Honeypot plus eine einfache Logik-Frage (z.B. Wie viel ist 3+2?) eine gute Alternative sein.

Webdesigner:innen haben also durchaus die Möglichkeit, CAPTCHAs visuell und typografisch anzupassen. Sie können mit eigenen Schriften, Illustrationen oder Symbolen individuelle Sicherheitslösungen schaffen. Zu bedenken ist allerdings, dass die CAPTCHA-Mechanik trotzdem benutzerfreundlich und sicher bleibt, da maschinelles Erkennen immer leistungsfähiger wird.

CAPTCHAs sind also nicht grundsätzlich sinnlos, aber traditionelle Varianten verlieren zunehmend an Wirksamkeit. Besonders reCAPTCHA wird oft als problematisch gesehen, da es Google® große Vorteile in Bezug auf Tracking und KI-Training verschafft, während Nutzer potenziell unfreiwillig zur Verbesserung von Googles® Diensten beitragen. Zusammenfassend könnte man sagen: CAPTCHA kann in bestimmten Szenarien sinnvoll sein, aber moderne Angriffe und Datenschutzbedenken machen Alternativen zunehmend attraktiver.

© Wolfgang Beinert, www.typolexikon.de