Warum Captchas ein Barrierefreiheits-Problem sind
Zwei Behauptungen kursieren: Captchas seien nach WCAG verboten, und deswegen laufe eine Abmahnwelle. Beides stimmt so nicht. Ein Bild-Captcha bleibt trotzdem die schwächste Antwort auf das Problem, das es lösen soll.
Zwei Sätze stehen in fast jedem Ratgeber zum Thema. Erstens: Captchas seien nach WCAG verboten. Zweitens: Deswegen laufe seit dem Barrierefreiheitsstärkungsgesetz eine Abmahnwelle. Der erste Satz scheitert am Wortlaut der Erfolgskriterien, der zweite an der Suche nach dokumentierten Fällen.
Ärgerlich daran ist, dass die falsche Begründung der richtigen Sache schadet. Ein Bild-Captcha vor einem Kontaktformular ist die schwächste verfügbare Antwort auf das Problem, das es lösen soll. Dafür braucht es keine erfundene Verbotsnorm.
Was in WCAG zu Captchas tatsächlich steht
WCAG 2.2 ist seit dem 12.12.2024 die geltende Fassung und eine W3C Recommendation. Captchas kommen darin an zwei Stellen vor, und diese beiden Stellen werden regelmäßig verwechselt.
1.1.1 verlangt eine Alternative, kein Verbot
Erfolgskriterium 1.1.1 Nicht-Text-Inhalt steht auf Stufe A. Für Captchas verlangt es "text alternatives that identify and describe the purpose of the non-text content" und dazu "alternative forms of CAPTCHA using output modes for different types of sensory perception". Also eine Textalternative, die sagt, wozu das Element da ist, und mindestens eine weitere Captcha-Form für einen anderen Sinneskanal.
Ein reines Bild-Captcha ohne Alternative verstößt gegen 1.1.1. Das ist der einschlägige Punkt am Kontaktformular, und er ist auch der einzige. Wie weit die Ausnahme reicht, stellt das W3C selbst klar: "WCAG still requires that alternative text identify the graphical object as a CAPTCHA."
3.3.8 gilt beim Anmelden, nicht am Kontaktformular
Kriterium 3.3.8 Accessible Authentication (Minimum) ist auf Stufe AA neu in WCAG 2.2. Der Obersatz: "A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following." Entscheidend sind zwei Wörter, nämlich "authentication process". Ein Captcha vor einem Kontakt-, Kommentar- oder Newsletterformular ohne Anmeldung ist nicht erfasst, dort greift allein 1.1.1.
Und selbst im Anmeldevorgang sagt das W3C-Understanding-Dokument zu 3.3.8 das Gegenteil dessen, was viele daraus machen: "While recognizing objects, or a picture the user has previously provided, are cognitive function tests, these are excepted in this criterion at AA level." Ein "Wähle alle Bilder mit Ampeln" scheitert auf Stufe AA also nicht an 3.3.8. Wer das Gegenteil behauptet, hat das Kriterium nicht gelesen.
Grenzenlos ist die Ausnahme nicht: Rechenaufgaben fallen heraus, sobald der Test über das Erkennen hinausgeht. Und auf Stufe AAA kippt die Bewertung, weil Kriterium 3.3.9 nur die Ausnahmen Alternative und Mechanism behält.
Warum die Audio-Alternative die Lücke nicht schließt
Die naheliegende Antwort auf 1.1.1 ist der Lautsprecher-Button neben dem Bild. Warum der nicht reicht, erklärt das W3C-Papier "Inaccessibility of CAPTCHA", seit dem 16.12.2021 eine Group Draft Note und damit ein Entwurf ohne normative Wirkung.
Ton hat kein Gegenstück zum stehenden Bild, ein Nutzer kann ihn nicht in Ruhe prüfen. Die im Papier zitierte Untersuchung fand Audio-Captchas für alle vier Testpersonen unverständlich, obwohl alle gut hörten: Die Verzerrung, die den Automaten aufhalten soll, zerstört die Verständlichkeit. Dazu schließt Audio taube Menschen aus, und wer gleichzeitig schlecht sieht und hört, bleibt ganz außen vor.
Normativ kommt hinzu, dass eine Audio-Alternative, die transkribiert werden muss, nach dem Understanding-Dokument zu 3.3.8 die Ausnahme Alternative nicht erfüllt. Und der barrierefreie Kanal ist zugleich der schwächste Sicherheitskanal: Das W3C-Papier nennt eine Untersuchung der Universität Maryland, die Googles Audio-reCAPTCHA mit Googles eigener Spracherkennung zu rund 90 Prozent löste. Der WebAIM Screen Reader User Survey #10 (1.539 Antworten, Dezember 2023 und Januar 2024) führt Captchas auf Platz 1 der problematischsten Elemente, seit 14 Jahren unverändert.
Was das BFSG verlangt und wen es überhaupt betrifft
Der folgende Abschnitt ist eine Einordnung der Rechtslage zum Stand 21.08.2026 und keine Rechtsberatung. Wer für den eigenen Fall sicher sein muss, klärt das mit einem Anwalt.
Das Barrierefreiheitsstärkungsgesetz gilt nach § 1 Abs. 3 BFSG für die dort genannten Dienstleistungen, die ab dem 28.06.2025 für Verbraucher erbracht werden, Grundlage ist die Richtlinie (EU) 2019/882. Für Websites einschlägig sind die Dienstleistungen im elektronischen Geschäftsverkehr, nach § 2 Nr. 26 BFSG digitale Dienste, die "auf individuelle Anfrage eines Verbrauchers im Hinblick auf den Abschluss eines Verbrauchervertrags erbracht werden". Der letzte Halbsatz trägt das Gewicht: Ein Onlineshop erfüllt ihn, eine reine Präsentationswebseite ohne Vertragsabschluss nicht, so steht es im BFSG-FAQ der Bundesfachstelle Barrierefreiheit.
Dazu kommt § 3 Abs. 3 BFSG: "Absatz 1 gilt nicht für Kleinstunternehmen, die Dienstleistungen anbieten oder erbringen." Kleinstunternehmen ist nach § 2 Nr. 17 BFSG, wer weniger als zehn Personen beschäftigt und entweder höchstens 2 Millionen Euro Jahresumsatz oder höchstens 2 Millionen Euro Jahresbilanzsumme hat, beides muss zusammen vorliegen. Die Ausnahme gilt allerdings nur für Dienstleistungen. § 1 Abs. 2 BFSG zählt die erfassten Produkte abschließend auf, und das sind Hardwarekategorien: Ein als Download verkauftes WordPress-Plugin ist danach kein Produkt im Sinne des Gesetzes.
Der Captcha-Aufhänger steht in der Verordnung dazu. § 19 Nr. 2 BFSGV verlangt, dass bei Dienstleistungen im elektronischen Geschäftsverkehr "Identifizierungs-, Authentifizierungs-, Sicherheits- und Zahlungsfunktionen" wahrnehmbar, bedienbar, verständlich und robust gestaltet werden. Ein Captcha ist eine Sicherheitsfunktion in diesem Sinne, und § 12 Nr. 2 Buchst. g BFSGV verlangt ergänzend eine alternative Darstellung nicht-textlicher Inhalte.
Die Norm, auf die sich alle berufen, ist für den EAA nicht harmonisiert
Für den European Accessibility Act war am 21.08.2026 keine harmonisierte Norm im Amtsblatt der Europäischen Union gelistet. Die Bundesfachstelle Barrierefreiheit schreibt ausdrücklich von den im Standardisierungsauftrag M/587 vorgesehenen Normen, die noch nicht bekanntgemacht seien, also gibt es zu diesem Stand keine Konformitätsvermutung nach § 4 BFSG. Die vielzitierte Harmonisierung der EN 301 549 V3.2.1 durch den Durchführungsbeschluss (EU) 2021/1339 betrifft die Web-Richtlinie (EU) 2016/2102 für öffentliche Stellen. Viele Ratgeber setzen beides gleich, aufgelöst ist der Widerspruch nicht.
Die BFSGV nennt die EN 301 549 ohnehin nirgends, sie verlangt nach § 3 Abs. 1 BFSGV den Stand der Technik. Am Rande: Die veröffentlichte Fassung V3.2.1 vom März 2021 verweist auf WCAG 2.1, Kriterium 3.3.8 ist über die Norm also gar nicht eingebunden.
Was an dokumentierten Bußgeldern wirklich zu finden ist
Zum Recherchestand 21.08.2026 war in Deutschland kein Bußgeld und keine gerichtlich bestätigte Abmahnung auffindbar, die speziell ein nicht barrierefreies Captcha zum Gegenstand hatte. Zuständig ist die Marktüberwachungsstelle der Länder (MLBF) in Magdeburg, im Dienst seit dem 26.09.2025, die keine Fallzahlen veröffentlicht. Der Rahmen nach § 37 Abs. 2 BFSG reicht für Websitebetreiber bis zu hunderttausend Euro.
Belegbar ist über Kanzleiquellen, dass seit Sommer 2025 BFSG-Abmahnungen versendet werden, genannt wird die CLAIM Rechtsanwalts GmbH aus Düsseldorf im Namen einer Privatperson mit Forderungen um 595 Euro. Captcha-spezifisch ist davon nichts, und ob die BFSG-Vorschriften über § 3a UWG abmahnfähig sind, ist gerichtlich nicht entschieden. Ein Freibrief folgt daraus nicht: Ein Formular, durch das ein Teil der Interessenten nicht hindurchkommt, kostet unabhängig von jeder Behörde Anfragen.
Wohin die Daten gehen, wenn das Captcha aus der Cloud kommt
Google LLC und Cloudflare, Inc. sitzen in den USA. Rechtsgrundlage für den Transfer ist der Angemessenheitsbeschluss zum EU-US Data Privacy Framework vom 10.07.2023. Das Gericht der Europäischen Union hat die Nichtigkeitsklage am 03.09.2025 abgewiesen (T-553/23, Latombe gegen Kommission), bestandskräftig ist der Beschluss aber nicht: Rechtsmittel liegt seit dem 31.10.2025 beim Gerichtshof (C-703/25 P). Beide Anbieter sind lediglich selbstzertifiziert.
Bei Google hat sich zum 02.04.2026 Wesentliches geändert: reCAPTCHA läuft weltweit als Auftragsverarbeitung, der Kunde ist nach der Google-Dokumentation seitdem "the sole data controller of Customer Data". Ob damit die Einwilligungspflicht entfällt, ist offen, denn § 25 TDDDG knüpft an den Zugriff auf das Endgerät an und nicht an die Rolle nach der DSGVO. Sauber greifbar ist bislang eine einzige Entscheidung speziell zu reCAPTCHA, und die stammt aus Österreich: Das dortige Bundesverwaltungsgericht hat am 13.09.2024 erkannt (W298 2274626-1/8E), dass reCAPTCHA ohne vorherige Einwilligung gegen die DSGVO verstößt.
Cloudflare Turnstile verzichtet im Regelfall auf Bild- und Audio-Rätsel und nennt sich im eigenen Blog vom 29.09.2023 "WCAG 2.1 Level AA compliant", im Redesign-Beitrag vom 27.02.2026 kommt das Ziel WCAG 2.2 AAA dazu. Das sind Selbstauskünfte, ein unabhängiger Prüfbericht liegt für keinen der beiden Anbieter vor. Der praktische Knoten sitzt ohnehin am Consent-Banner: Braucht das Captcha eine Einwilligung, kommt durch das Formular nicht hindurch, wer sie verweigert.
Vier Verfahren, die niemandem eine Aufgabe stellen
Der Zweck eines Captchas ist Bot-Abwehr. Es stellt jedem Besucher eine Aufgabe, um einen kleinen Teil auszusortieren. Dafür gibt es Verfahren, die keinem Besucher etwas abverlangen: Das W3C-Papier nennt Honeypots, Heuristiken und Spamfilter.
Honeypot: ein Feld, das nur Automaten sehen
Das Formular bekommt ein zusätzliches Feld, das für Menschen unsichtbar ist. Ein Besucher füllt es nie aus, ein Bot, der stumpf jedes Feld befüllt, schon. Ist es beim Absenden nicht leer, ist die Sache entschieden. Auf die Umsetzung kommt es an: Ein Feld, das nur optisch weggeschoben wird, aber im Zugänglichkeitsbaum stehen bleibt, wird vom Screenreader vorgelesen und fängt dann genau die Menschen, die es nicht fangen soll. Es gehört mit aria-hidden ausgezeichnet und außerhalb der Tabulator-Reihenfolge. Die Grenze: Wer genau deine Seite ins Visier nimmt, lässt das Feld künftig leer. Gegen die üblichen Massenbots wirkt es zuverlässig.
Zeitfalle: wie lange das Ausfüllen gedauert hat
Beim Ausliefern des Formulars geht ein signierter Zeitstempel mit, beim Absenden vergleicht der Server, wie viel Zeit vergangen ist. Wer ein Formular in unter zwei Sekunden ausfüllt, hat es nicht gelesen. Die Schwelle gehört niedrig gesetzt, denn manche Besucher füllen per Autofill in Sekundenbruchteilen aus. Ein Bot kann warten, nur senkt Warten seinen Durchsatz: Das Verfahren macht den Angriff teurer, nicht unmöglich.
Rate-Limit: wie viel aus derselben Quelle kommt
Der Server zählt Absendungen aus derselben Quelle in einem Zeitfenster und weist ab einer Schwelle ab. Das bremst die einzelne Quelle, die ein Formular hundertfach beschickt, und läuft bei verteilten Angriffen ins Leere. Zu eng darf die Schwelle nicht sein, weil sich in Firmennetzen und im Mobilfunk viele Menschen eine Adresse teilen.
Inhaltliche Bewertung: was in der Nachricht steht
Der vierte Weg schaut sich den Text an. Eine Bayes-Klassifikation bewertet die Nachricht anhand von Beispielen, die vorher als Spam oder als erwünscht eingeordnet wurden, und läuft vollständig auf dem eigenen Server. Sie greift auch bei Werbung, die ein Mensch von Hand verschickt hat, und sie hat eine Fehlerquote. Wie sich eine lokale Prüfung von einem Cloud-Filter unterscheidet, steht im Beitrag zur Akismet-Alternative.
| Verfahren | Aufwand für den Nutzer | Barrierefreiheit | Wohin Daten fließen | Gegen Massenbots | Gegen gezielte Angriffe |
|---|---|---|---|---|---|
| Bild-Captcha | Aufgabe lösen, laut W3C-Papier 32 Sekunden im Schnitt | Verstoß gegen WCAG 1.1.1 ohne Alternative für einen anderen Sinneskanal | Zum Anbieter, in aller Regel in die USA | Wirkt, solange die Aufgabe nicht automatisch lösbar ist | Audio-Kanal in der zitierten Untersuchung zu rund 90 Prozent gelöst |
| Unsichtbares Captcha aus der Cloud | Meist keiner | Selbstauskunft WCAG 2.1 AA, kein unabhängiger Prüfbericht | Zum Anbieter in den USA, Einwilligungsfrage offen | Wirkt | Nicht belegbar, die Erkennung ist nicht offengelegt |
| Honeypot plus Zeitfalle | Keiner | Unauffällig, wenn das Feld aus dem Zugänglichkeitsbaum genommen ist | Nirgendwohin, alles bleibt auf dem eigenen Server | Wirkt gegen Bots, die stumpf jedes Formular befüllen | Wird von einem zugeschnittenen Bot umgangen |
| Lokale inhaltliche Prüfung | Keiner | Unauffällig, der Besucher merkt nichts | Nirgendwohin, alles bleibt auf dem eigenen Server | Wirkt, auch bei Werbung von Hand | Hängt am Text, nicht am Absender |
Was passiert, wenn die Prüfung danebenliegt
Jedes Verfahren, das automatisch aussortiert, sortiert irgendwann falsch, in der Cloud wie lokal. Die Frage ist deshalb nicht, ob eine echte Anfrage getroffen wird, sondern was danach mit ihr passiert. Wird sie stillschweigend verworfen, merkt niemand etwas: Der Interessent wartet auf Antwort, der Betreiber sieht ein ruhiges Postfach. Ein Spamschutz ohne einsehbare Ablage ist ein stiller Anfrageverlust.
Brauchbar wird die Sache mit drei Dingen: Aussortierte Nachrichten liegen in einer durchsuchbaren Liste, bei jeder steht, welche Prüfung angeschlagen hat, und ein Button gibt sie nachträglich frei und spielt das Ergebnis in die Bewertung zurück. Wer sein Formular ohnehin umbaut, findet die Feldseite des Themas im Beitrag über Alternativen zu Contact Form 7.
Spamschutz, der niemandem eine Aufgabe stellt
Wellenbrecher prüft Honeypot, Zeitfalle, Rate-Limit und den Text der Nachricht direkt auf deiner Installation. Kein Cloud-Dienst, kein Prüfkontingent, kein Captcha vor dem Formular.
Wellenbrecher steht seit dem 21.08.2026 im WordPress-Verzeichnis und ist in der Free-Stufe auch gewerblich kostenlos nutzbar. Pro kostet 19 Euro im Jahr für eine Website und bringt Proof-of-Work, WooCommerce-Checkout-Schutz, GeoIP und ASN, AbuseIPDB-Abgleich sowie eine KI-Zweitmeinung mit eigenem Schlüssel dazu, die Flotten-Lizenz für zehn Websites kostet 69 Euro. Preise ohne Umsatzsteuer, Stand 21.08.2026, Übersicht auf der Preisseite.
Häufige Fragen
Verbietet WCAG Captchas?
Nein. Erfolgskriterium 1.1.1 auf Stufe A verlangt bei einem Captcha eine Textalternative, die den Zweck des Elements beschreibt, und zusätzlich eine Captcha-Form für einen anderen Sinneskanal. Ein Bild-Captcha ohne jede Alternative verstößt dagegen. Ein Bild-Captcha mit einer tauglichen Alternative verstößt nicht dagegen.
Gilt Kriterium 3.3.8 auch für ein Kontaktformular ohne Anmeldung?
Nein. Der Obersatz von 3.3.8 stellt auf Schritte in einem Authentifizierungsvorgang ab. Ein Captcha vor einem Kontakt-, Kommentar- oder Newsletterformular ohne Anmeldung ist davon nicht erfasst, dort greift allein 1.1.1. Im Anmeldevorgang sind Bild-Captchas mit reiner Objekterkennung auf Stufe AA nach dem W3C-Understanding-Dokument ausdrücklich ausgenommen, auf Stufe AAA in Kriterium 3.3.9 dagegen nicht.
Reicht eine Audio-Alternative neben dem Bild-Captcha aus?
Das W3C-Papier zur Unzugänglichkeit von Captchas verneint das. Ton lässt sich nicht in Ruhe prüfen wie ein Standbild, die Verzerrung zur Abwehr von Automaten zerstört die Verständlichkeit, und taube sowie taubblinde Menschen bleiben ganz außen vor. Das Understanding-Dokument zu 3.3.8 hält zudem fest, dass eine Audio-Alternative, die transkribiert werden muss, die Ausnahme Alternative nicht erfüllt.
Gibt es Bußgelder oder Abmahnungen wegen unzugänglicher Captchas?
Zum Recherchestand 21.08.2026 war kein Bußgeld und keine gerichtlich bestätigte Abmahnung in Deutschland auffindbar, die speziell ein nicht barrierefreies Captcha zum Gegenstand hatte. Belegbar sind allgemeine BFSG-Abmahnungen seit Sommer 2025 mit Forderungen um 595 Euro, ohne Captcha-Bezug. Ob BFSG-Vorschriften über Paragraf 3a UWG überhaupt abmahnfähig sind, ist gerichtlich nicht entschieden. Ein Freibrief ist das nicht.
Was schützt ein Formular, wenn kein Captcha davorsteht?
Vier Verfahren, die dem Besucher nichts abverlangen: ein Honeypot-Feld, das nur Automaten ausfüllen, eine Zeitfalle, die zu schnelle Absendungen erkennt, ein Rate-Limit gegen Serienabsendungen aus derselben Quelle und eine inhaltliche Bewertung des Textes. Gegen die üblichen Massenbots wirkt diese Kombination. Ein Angriff, der genau auf deine Seite zugeschnitten ist, umgeht Honeypot und Zeitfalle.
