Websites herunterladen, die Friendly Captcha nutzen

Über Friendly Captcha

Die Wahl eines CAPTCHA gehört zu den wenigen technischen Entscheidungen auf einer Website, die oft ein Jurist trifft. Jeder Bot-Filter sieht jeden Besucher früher als die Website selbst, was aus einer Komponente der Kategorie Security eine Frage der Datenverarbeitung macht, und Friendly Captcha gibt es, weil manche Website-Betreiber diese Frage beantwortet haben, indem sie sich weigerten, Besuchersignale an die Werbeplattform eines Drittanbieters weiterzugeben.

Der Mechanismus folgt aus dieser Haltung. Statt einen Menschen Bilder erkennen zu lassen, stellt das Widget dem Browser ein Proof-of-Work-Rätsel, das in JavaScript läuft, während der Besucher das Formular ausfüllt, sodass die Prüfung keine Interaktion kostet und kein Tracking-Cookie hinterlässt. Das Verfahren tauscht Identifizierung gegen Rechenleistung, und praktisch entsteht ein Spamfilter, den man einsetzen kann, ohne dem Consent-Banner eine weitere Zeile hinzuzufügen.

Der Anbieter Friendly Captcha GmbH ist ein deutsches Unternehmen und hat das Produkt auf europäische Erwartungen an den Datenschutz ausgerichtet, was den Kreis seiner Käufer prägt. Angezogen werden genau die Käufer, für die eine Einwilligungsabfrage vor einem Kontaktformular echte Kosten bedeutet: Behörden, Websites aus Gesundheitswesen und Bildung sowie Unternehmen, deren Compliance-Beauftragter jedes Drittanbieter-Skript freigeben muss.

Die Versions-Fingerabdrücke sind hier ungewöhnlich einheitlich. In der gesamten installierten Basis verrät jede Website, die eine Version erkennen lässt, dieselbe Version 0.9.12, und genau das passiert, wenn ein Widget von der Infrastruktur des Anbieters geladen wird, statt einmal installiert und dann vergessen zu werden. Websites driften nicht von selbst auseinander, und der Sicherheitsstand der gesamten installierten Basis ändert sich, wenn der Anbieter ihn ändert.

Stand Oktober 2026 erkennen wir Friendly Captcha auf 1.301 Websites. Die Zahl erfasst Seiten, auf denen das Widget-Skript tatsächlich ausgeliefert wird, sodass Formulare hinter einem Login, Staging-Hosts und Seiten, die das Rätsel erst nach dem ersten Absenden laden, nicht darin enthalten sind. Eine CAPTCHA-Zählung zählt zudem Formulare und nicht Organisationen, und ein Betreiber kann viele Domains über einen einzigen Vertrag abdecken.

Nichts davon sieht man, wenn man eine einzelne Domain prüft. Auf die Liste kommt es an. Wer Bot-Abwehr, Formular-Tools oder Consent-Management entwickelt, will wissen, welche Websites beim Umgang mit ihrem Traffic bereits eine datenschutzfreundliche Entscheidung getroffen haben und welche noch eine Alternative einsetzen, die eine neue Regulierung unbequem machen könnte. Unser Export liefert die Domains, auf denen wir das Widget sehen, zusammen mit dem übrigen Tech-Stack, sodass sich das Segment nach Land, Plattform und parallel eingesetzten Tools filtern lässt, statt es Abfrage für Abfrage stichprobenartig abzutasten.