Was ist ein Captcha?

Ein Captcha ist eine Schutzsoftware, die dazu dient, festzustellen, ob eine Interaktion auf einer Website von einem Menschen oder einem Computerprogramm (einem Bot) ausgeht. Das Akronym CAPTCHA steht für "Completely Automated Public Turing test to tell Computers and Humans Apart".

Warum gibt es Captchas?

Bots werden häufig für verschiedene Zwecke im Internet eingesetzt. Dabei richten sie durch die automatisierte Ausführung in mehrerer Hinsicht Schaden an.

  • Spam:

    Bots können automatisch Massenmails versenden oder Kommentare in Foren posten.

  • Angriffe auf Websites:

    Bots können versuchen, sich gewaltsam Zugang zu Websites zu verschaffen oder diese durch übermäßige Anfragen zu überlasten.

  • Kontoübernahmen:

    Bots können versuchen, Passwörter zu knacken und sich so Zugriff auf Benutzerkonten zu verschaffen.

Captchas sollen diese automatisierten Aktivitäten verhindern. Schäden die durch Bots entstehen, werden nicht nur oft nicht entdeckt, die Folgen können in extremen Fällen Unternehmen in den Ruin treiben, z.B. durch rechtliche Folgen die sich aus einem mangelnden Schutz vor Bots ergeben.

Wie funktionieren Captchas?

Lese- & Rechencaptcha

Frühere Formen von Captchas nahmen den User in Anspruch, indem sie einfache Rechenaufgaben stellten oder das Abtippen einer schwer lesbaren Zeichenfolge anforderten. Bots können diese Aufgabe jedoch inzwischen besser lösen als Menschen und lassen sich so nicht mehr aussperren.

Traps & Delays

Es gibt subtilere Tricks wie z.B. sog. Honeypots. Dort werden z.B. Felder in ein Formular eingefügt, die dem User aber nicht gezeigt werden. Dieser füllt diese Felder deswegen nicht aus, ein Bot aber schon, weil er ja nicht wirklich die Website "sieht" und verrät sich dadurch. Aber diese Fallen (Traps) lassen sich von Bots leicht umgehen und stellen keine Sicherheit mehr her. Auch sog. Delays bei denen zu schnell ausgefüllte Formulare nicht gesendet werden können, können Bots nicht mehr ausschließen. Außerdem eignen sich Traps und Delays nur für Formulare und nicht für den grundsätzlichen Schutz vor Bots.

Cryptographic Challenge

Es gibt Anbieter, die kryptische Rechenaufgaben an den Empfangsrechner stellen und daraus auf ein von Menschen bedientes Gerät schließen. Systematisch ist das von Bots ebenfalls zu lösen, wenn auch bisher eine kryptografische Aufgabe noch recht gute Ergebnisse zu liefern scheint. Immerhin bleibt der User mit der Herstellung eines Beweis für seine menschliche Natur verschont.

Verhaltenstest

Ähnlich der Definition des Turing Tests wird menschliches Verhalten beobachtet und anhand von Vergleichsmustern bewertet. Verläuft z.B. eine Mausbewegung linear, wird schnell klar, dass hier ein Bot die Bewegung simuliert. Nun kann ein Bot natürlich auch eine erratische Bewegungslinie simulieren und auch variieren, deswegen kann niemals ein Kriterium allein die Bewertung vornehmen. Stehen ausreichend Informationen zur Verfügung lässt sich aber ein recht verlässlicher Schluss ziehen.

Eine Mischung aus Cryptographic Challenge und Verhaltenstest stellt aktuell die beste Option dar.

Gründe für Captchas

Was spricht für den Einsatz eines Captchas?

  • Schutz vor Spam

    Captchas können effektiv dazu beitragen, die Menge an Spam, die auf einer Website gepostet wird, zu reduzieren.

  • Verhinderung von Brute-Force-Angriffen

    Captchas machen es für Bots schwieriger, Passwörter zu erraten.

  • Schutz vor DDoS-Angriffen

    Captchas können dazu beitragen, dass Websites nicht durch übermäßige Anfragen überlastet werden.

Was muss beim Einsatz von Captchas berücksichtigt werden?

  • Benutzerunfreundlichkeit

    Captchas können für Benutzer, insbesondere für Menschen mit Sehbehinderungen, eine Herausforderung darstellen. Das spricht sog. passive Captchas, die im Hintergrund arbeiten und vom User nicht bemerkt werden.

  • Umgehbarkeit

    Obwohl Captchas eine wirksame erste Verteidigungslinie darstellen, können sie von fortgeschrittenen Bots umgangen werden. Kein Captcha kann absolute Sicherheit garantieren. Nicht zuletzt gibt es z.B. Angriffe, die von Menschen ausgeführt werden - spätestens hier ist ein Schutz schwierig.

  • Datenschutz

    Captchas sammeln Daten. Zumindest die IP des Users kann gelesen werden. Hier spielt insbesondere die Wahl des Anbieters eine Rolle. US-Amerikanische Dienste sind hier in der Regel nicht im Einklang mit der DSGVO, während Europäische Dienste bei entsprechender Transparenz die geforderten Bedingungen erfüllen.

Fazit

Ein Captcha ist gut, wenn es möglichst unauffällig und unter Berücksichtigung des Datenschutzes einen verlässlichen Dienst verrichtet. Es ist in Verbindung mit der Sicherheit einer Website unverzichtbar, kann aber nicht als 100%er Schutz gewertet werden.

So gering der Anteil am Funktionieren einer Website ist, so wichtig ist ein Captcha für ihre Sicherheit und die ihrer Betreiber. Entsprechend sorgfältig sollte ihr Einsatz gewählt werden.