Websites herunterladen, die reCAPTCHA nutzen

Über reCAPTCHA

Eine Bot-Abwehr wird als Reaktion auf ein Problem installiert, und deshalb gehört reCAPTCHA zu den wenigen Einträgen in diesem Index, deren Einsatz nahelegt, dass etwas passiert ist. Niemand baut auf Verdacht Hürden in die eigenen Formulare ein. Stand Oktober 2026 erkennen wir reCAPTCHA auf 1.225.449 Websites, und jede davon ist eine Website, die einen Angriff wert war oder sich zumindest dafür hielt.

Genau dieser Rückschluss ist das Nützliche daran. Spam und Angriffe auf Zugangsdaten folgen dem Wert, deshalb ist eine Challenge in einem Formular ein schwaches, aber echtes Indiz dafür, dass die Website etwas verarbeitet, das sich zu holen lohnt: Konten, Zahlungen, Buchungen, Einsendungen mit kommerziellem Wert. Websites, bei denen nichts zu holen ist, ziehen selten genug Missbrauch an, um die Hürde zu rechtfertigen.

Eine zweite Lesart betrifft die Frage, wer die Website betreut hat. Wer eine Challenge einsetzt, muss Schlüssel beschaffen und einen Dienst konfigurieren, und das liegt eine Stufe über dem Installieren eines Plugins und dem Klick auf „Aktivieren“. Ihr Einsatz verweist deshalb eher auf Websites, an denen eine technisch versierte Person beteiligt ist, oder zumindest jemand, der eine Anleitung bis zum Ende befolgt hat.

Der Bestand hat außerdem eine ungewöhnliche Datenschutz- und Compliance-Dimension. Der Dienst wird von einem großen Werbeunternehmen betrieben und läuft im Browser der Besucher, was ihn in den Geltungsbereich mehrerer regulatorischer Debatten rückt. Für alle, die Consent-Werkzeuge, Datenschutz-Audits oder Alternativen in diesem Segment verkaufen, ist der Bestand der Websites, auf denen er bereits läuft, der eigentliche Zielmarkt, und veröffentlicht wird dieser Bestand nirgends.

507.017 der erkannten Websites verorten wir in den USA, und unter den Endungen führt .com.

Die Abfragen, auf die es hier ankommt, sind Schnittmengen mit kommerziellen Signalen. Eine Challenge plus eine Zahlungsintegration plus ein Login-Pfad beschreiben eine transaktionale Website. Eine Challenge auf einer ansonsten statischen Visitenkarten-Website bedeutet meist, dass jemand in Formularspam ertrunken ist, und das ist ein anderer und oft dringlicherer Bedarf.

Der Export von webatla enthält alle Erkennungen einer Domain gemeinsam und wird täglich neu aufgebaut, sodass diese Schnittmengen ein lokaler Filter sind und keine Folge bezahlter Einzelabfragen.

Die Hürde selbst hat kommerzielle Folgen, die sich zu messen lohnen. Challenges senken die Abschlussquote von Formularen, und Unternehmen, die auf eingehende Anfragen angewiesen sind, tauschen Leads gegen weniger Spam, ob sie diesen Tausch nun beziffert haben oder nicht. Eine Website mit einer Challenge in einem Formular mit hoher Kaufabsicht ist eine Website mit einem Problem, das sie auf eine Weise gelöst hat, die sie Umsatz kostet.

Damit ist der Bestand eher ein Markt für Alternativen als bloß eine Liste von Nutzern. Anbieter unsichtbarer oder risikobasierter Bot-Abwehr setzen mit ihrem Angebot genau bei diesem Tausch an, und die Websites, auf denen er am teuersten ist, lassen sich an dem erkennen, was die Challenge umgibt: ein Zahlungsweg, ein Buchungsablauf, eine Angebotsanfrage. Einsatz plus kommerzielle Absicht zeigt, wo die Hürde am meisten kostet.

Der Anbieter Google betreibt reCAPTCHA als Dienst unter der Lizenz Proprietary, verfügbar ist er seit 2007. Die Einbindung ist kostenlos, weshalb die Verbreitung des Dienstes die Entscheidungen von Websitebetreibern widerspiegelt und keine Geschäftsbeziehung.