Websites herunterladen, die hCaptcha nutzen

Über hCaptcha

Bot-Schutz ist meist das, was das Formular-Plugin oder die Plattform zufällig mitgebracht hat. hCaptcha ist in der Regel nicht diese Standardlösung, und gerade weil die Wahl bewusst fällt, lohnt sich der Blick auf diesen Bestand. Hier hat jemand etwas ersetzt, das bereits funktionierte, und hinter einem Austausch stehen Gründe.

hCaptcha ist ein Dienst in der Kategorie Security, den der Anbieter Intuition Machines im Jahr 2019 gestartet hat, ausgeliefert als gehostetes Widget unter der Lizenz Proprietary und per JavaScript in die Seite eingebunden. Der Dienst stellt eine Aufgabe, entscheidet, ob der Besucher ein Mensch ist, und gibt ein Token zurück, das die Website prüft, bevor sie eine Übermittlung annimmt. Funktional ist er mit der etablierten Alternative austauschbar, und genau deshalb sagt die Entscheidung für einen Wechsel etwas aus.

Die Motive lassen sich zu einigen erkennbaren Gruppen bündeln. Manche Betreiber wollen nicht länger, dass Besuchersignale an ein großes Werbeunternehmen fließen, sei es aus Prinzip oder weil eine Datenschutzprüfung es verlangt hat. Manche sitzen in Europa und sehen Datenübermittlungen als rechtliches Risiko. Manche haben die angebotene Umsatzbeteiligung angenommen. Manche haben schlicht schlechte Erfahrungen damit gemacht, dass Missbrauch an der Standardlösung vorbeikam. Überrepräsentiert sind im so entstandenen Bestand datenschutzbewusste Betreiber, Finanz- und Kryptowährungsdienste, Communities, die hartnäckigen Missbrauch anziehen, und Organisationen, deren Rechtsabteilung eine Meinung zu Anbietern hat. Wer Datenschutz-Tools, europäisches Hosting, Compliance-Dienste oder Produkte gegen Missbrauch verkauft, hat es mit einem Publikum zu tun, das bereits gezeigt hat, dass es bereit ist, einen Standardanbieter auszutauschen.

Stand Oktober 2026 erkennen wir das Widget auf 87.438 Websites. 49.219 davon verorten wir in den USA, und den größten Block unter den Endungen bildet .com. Die Länderspalte macht die Datenschutz-Lesart etwas komplizierter, was man offen sagen sollte, statt es zu überspielen. Eine starke Präsenz im selben Markt wie der etablierte Anbieter deutet darauf hin, dass die Entscheidung ebenso sehr von Kosten, von der Wirksamkeit gegen Missbrauch und von der Toleranz gegenüber den Prüfaufgaben getrieben ist wie von Datenschutzbedenken.

Ein Filter nach Versionen bringt bei dieser Technologie nichts Brauchbares. Der Dienst gibt eine Kennung der Schnittstellengeneration preis und keine Build-Nummer, daher sieht jeder Treffer gleich aus, und es gibt keine Update-Kurve, die man untersuchen könnte.

Die Erkennung hat hier eine wesentliche Grenze. Das Widget lädt nur auf Seiten mit einem geschützten Formular. Eine Website, die es ausschließlich auf einem Login-Bildschirm, in einem Registrierungsschritt oder auf einer Checkout-Seite einsetzt, kann einem Crawl, der nur die Startseite sieht, deshalb vollständig entgehen. Die Zahl ist eine Untergrenze, und zwar eine, die zu Websites hin verzerrt ist, die ein Kontakt- oder Kommentarformular öffentlich zeigen.

Der Export liefert eine Zeile pro erkannter Website mit Domain, Land, Endung und Erkennungsdatum. Das kehrt die übliche Abfrage um, die bei einer bereits bekannten Domain ansetzt, und lässt die Recherche stattdessen bei der Technologie beginnen.