Ratgeber

Captcha barrierefrei einrichten: Alternativen für Kontakt, Login und Checkout

Veröffentlicht am 28. Oktober 2026

Ein Captcha ist barrierefrei, wenn niemand ein Bild-, Text-, Rechen- oder Hörrätsel lösen muss oder wenn es zu jedem Rätsel eine Form für einen anderen Sinn gibt, die sich mit Tastatur und Screenreader bedienen lässt; beim Login darf es außerdem höchstens Objekterkennung verlangen, sonst braucht es einen Anmeldeweg ohne Rätsel. Am einfachsten erreichen Sie das mit Schutz, den Ihre Kunden gar nicht bemerken: einem Honeypot-Feld, serverseitigen Filtern oder einem Dienst, der ohne Rätsel im Hintergrund prüft.

Dieser Artikel zeigt, was WCAG 2.2 zu Captchas sagt, vergleicht die gängigen Lösungen in einer Entscheidungstabelle mit belegten Herstellerangaben und führt Sie durch die Prüfung Ihrer fünf wichtigsten Formulare. Er gehört zu unserem Überblick Barrierefreier Onlineshop mit Shopify, WooCommerce, Shopware und Co..

Warum Captchas so oft scheitern

In der Umfrage von WebAIM unter Screenreader-Nutzern (Dezember 2023 und Januar 2024, 1539 gültige Antworten) stand das Captcha mit Textbild (abgefragt war „images presenting text used to verify that you are a human user“) wieder an erster Stelle der problematischsten Dinge im Netz; Befragte mit Behinderung nannten es doppelt so häufig wie Befragte ohne (WebAIM Screen Reader User Survey #10). Die Ergebnisse der neueren Umfrage von 2026 enthalten keinen Abschnitt dazu (Survey #11).

Die Gründe beschreibt die Überwachungsstelle des Bundes für Barrierefreiheit von Informationstechnik in ihrem Leitfaden (BFIT-Bund: CAPTCHAs und digitale Barrierefreiheit):

• Verzerrter Text ist für Menschen mit Sehbehinderung oder Dyslexie nicht zugänglich, Screenreader können die Zeichen nicht erfassen.
• Audio-Rätsel sind für Menschen mit Hörbeeinträchtigung, auditiven Verarbeitungsstörungen oder kognitiven Einschränkungen schwer oder gar nicht verständlich.
• Bilderrätsel („alle Felder mit Ampeln“) setzen gutes Sehen voraus.
• Rechenaufgaben und Logikrätsel werden für Menschen mit Dyskalkulie, Aufmerksamkeitsstörungen oder geringen Deutschkenntnissen zur Hürde.
• Verhaltensanalyse kann Menschen, die mit Tastatur, Screenreader oder motorischer Einschränkung anders surfen als der Durchschnitt, fälschlich als Bot einstufen und ihnen dann doch ein Rätsel zeigen.

Die W3C-Note Inaccessibility of CAPTCHA (Group Draft Note vom 16. Dezember 2021) kommt zum selben Schluss und empfiehlt, Nutzer nicht stärker zu fordern als nötig: „if a honeypot suffices, use a honeypot until evidence of robotic attacks dictates something else.“ Sie zieht nicht interaktive Verfahren vor, weist aber darauf hin, dass diese personenbezogene Daten erfassen können.

Was WCAG 2.2 verlangt

Drei Stellen in WCAG 2.2 (W3C-Empfehlung, aktuelle Fassung vom 12. Dezember 2024) betreffen Captchas direkt. Die Zitate sind wörtlich aus dem englischen Original.

1.1.1 Nicht-Text-Inhalt: die Captcha-Ausnahme (Stufe A)

Ein Captcha-Bild muss keinen Alternativtext haben, der seinen Inhalt und damit die Lösung verrät. Stattdessen verlangt Erfolgskriterium 1.1.1: „If the purpose of non-text content is to confirm that content is being accessed by a person rather than a computer, then text alternatives that identify and describe the purpose of the non-text content are provided, and alternative forms of CAPTCHA using output modes for different types of sensory perception are provided to accommodate different disabilities.“

Für Sie heißt das zweierlei: Das Captcha muss per Text sagen, was es ist und wozu es dient. Und es muss mindestens eine zweite Form für einen anderen Sinn geben, etwa Audio neben dem Bild.

3.3.8 Barrierefreie Authentifizierung (Minimum) (Stufe AA)

Erfolgskriterium 3.3.8 ist neu in WCAG 2.2: „A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following“. Die vier Ausnahmen sind „Alternative“ (ein anderer Anmeldeweg ohne solchen Test), „Mechanism“ (eine Hilfe zum Lösen), „Object Recognition“ („The cognitive function test is to recognize objects.“) und „Personal Content“ (Erkennen von Inhalten, die der Nutzer selbst hochgeladen hat) (Erfolgskriterium 3.3.8).

Was das für Captchas bedeutet, erklärt das Understanding-Dokument zu 3.3.8:

• Objekterkennung ist auf Stufe AA ausgenommen. „Alle Bilder mit Autos auswählen“ erfüllt 3.3.8, solange es beim Erkennen bleibt. Geht die Aufgabe darüber hinaus, etwa Katzen und Hunde zählen und multiplizieren, greift die Ausnahme nicht. Das W3C rät trotzdem, solche Verfahren „if possible“ zu vermeiden (Understanding 3.3.8).
• Rechenaufgaben und visuelle Logikrätsel sind nicht ausgenommen. Im Understanding-Dokument heißt es wörtlich: „These types of cognitive tests are not excepted.“ Wer so etwas beim Login einsetzt, braucht einen zweiten Weg ohne Rätsel.
• Abtippen eines Audio-Captchas zählt nicht als Alternative. Muss der Nutzer das Gehörte transkribieren, „it cannot be used to meet the Alternative exception“ (Understanding 3.3.8).
• Auch gelegentliche Captchas zählen. Das Kriterium gilt ebenso für Rätsel, die nur nach mehreren Fehlversuchen oder bei aktivem Werbeblocker erscheinen.
• Nur der Login, nicht die Registrierung. Im Understanding-Dokument heißt es wörtlich: „This success criterion is focused on authentication of existing users. It does not cover creation of a username or initiation of an account.“

Tastatur und Zeitlimits

Jedes Captcha ist Teil des Formulars und muss deshalb auch die übrigen Kriterien erfüllen, vor allem 2.1.1 Tastatur („All functionality of the content is operable through a keyboard interface“) und 2.2.1 Zeitlimits anpassbar. Nach unserer Lesart ist ein Captcha-Ergebnis, das nach einer festen Zeit verfällt und das Absenden still scheitern lässt, ein solches Zeitlimit. Google schreibt etwa, dass reCAPTCHA-v3-Tokens nach zwei Minuten ablaufen (Google: reCAPTCHA v3), bei Cloudflare Turnstile sind es 300 Sekunden (Cloudflare: Server-side validation). Gut eingebaute Lösungen holen sich dann still ein neues Ergebnis; das prüfen Sie im Zeitlimit-Test weiter unten.

Welche Regel für welches Formular gilt

Auch wo 3.3.8 nicht greift, bleibt ein Bilderrätsel ohne Alternative für andere Sinne ein Verstoß gegen 1.1.1.

Entscheidungstabelle: welcher Bot-Schutz zu Ihrem Shop passt

Die Spalte „Herstellerangabe“ gibt wieder, was der Anbieter selbst sagt; eine unabhängige Prüfung ist das nicht. Gelesen am 28.10.2026.

Zwei Hinweise zum Lesen solcher Angaben. Erstens: Ein Zertifikat gilt für den getesteten Gegenstand. Der Anbieter captcha.eu etwa schreibt bei seinem TÜV-Austria-Zertifikat selbst, dass es nur die Anwendung auf einer Testseite umfasst und Kundenformulare samt Absende-Button ausdrücklich nicht (captcha.eu). Ihr Formular müssen Sie also immer selbst prüfen. Zweitens: hCaptcha schreibt selbst, die Angabe sei „not legal advice“ und Sie sollten Ihren eigenen Einbau bewerten (hCaptcha Accessibility).

Unsere Empfehlung für kleine Shops: Honeypot und Zeitprüfung auf allen Formularen, eine Begrenzung der Versuche bei Login und Checkout, und erst wenn trotzdem Spam durchkommt, ein Dienst ohne Rätsel wie Friendly Captcha oder Turnstile im Modus „Non-Interactive“. Das folgt der Reihenfolge der W3C-Note: so wenig Interaktion wie möglich.

Einrichtung im Shopsystem

Shopify

Shopify setzt hCaptcha auf Kunden-, Kontakt- und Blogkommentar-Formularen ein. Zuerst bewertet hCaptcha das Verhalten ohne Rätsel; wirkt der Besucher verdächtig oder kommen zu viele Anfragen in kurzer Zeit, folgt eine interaktive Aufgabe (Shopify Dev: CAPTCHA). Auch das Newsletter-Formular gehört dazu: Es ist technisch ein Kontaktformular vom Typ „customer“ (Shopify Dev: CAPTCHA, Shopify Dev: form-Tag).

So schalten Sie es laut Shopify-Hilfe ein oder aus (Bezeichnungen aus der englischen Hilfe; die deutsche Oberfläche kann anders heißen):

1. Im Shopify-Admin Online Store > Preferences öffnen.
2. Im Bereich Spam protection die Häkchen setzen oder entfernen: „Enable hCaptcha on contact and comment forms“ und „Enable hCaptcha on login, create account, and password recovery pages“ (Shopify-Hilfe).

Was Sie wissen sollten:

• Andere Captchas vertragen sich nicht damit. Laut Shopify-Hilfe ist hCaptcha nicht mit eigenem Code oder Apps kompatibel, die ebenfalls Captchas einsetzen; die sollen Sie entfernen. Nach unserer Lesart ist ein Wechsel zu Turnstile oder Friendly Captcha neben dem Shopify-Schutz damit nicht vorgesehen.
• Eigene Formulare im Theme brauchen die richtigen Attribute, sonst greift der Schutz nicht (Shopify Dev: CAPTCHA).
• Kundenkonten (customer accounts) melden laut Shopify-Hilfe ohne Passwort mit einem einmaligen sechsstelligen Code an, und diese Prüfung braucht kein hCaptcha. Das Understanding-Dokument zu 3.3.8 nennt Kopieren und Einfügen als Hilfe gegen das Abtippen; prüfen Sie, ob sich der Code einfügen lässt.
• Checkout: Einen eigenen Bot-Schutz für den Checkout mit reCAPTCHA oder hCaptcha gibt es laut Shopify nur im Plan Shopify Plus, als zeitlich begrenztes Ereignis von höchstens 60 Minuten unter Settings > Bot protection; freischalten muss es zuerst der Shopify-Plus-Support (Shopify-Hilfe: Bot protection).

Unsere Empfehlung: hCaptcha eingeschaltet lassen, das Rätsel selbst einmal auslösen und mit Tastatur und Screenreader prüfen (siehe unten), und in Ihrer Barrierefreiheitserklärung einen Kontaktweg ohne Captcha nennen.

WooCommerce

WooCommerce bringt für die Store API, über die auch der Block-Checkout läuft, eine Begrenzung der Anfragen mit, die laut WooCommerce standardmäßig ausgeschaltet ist und sich per Filter woocommerce_store_api_rate_limit_options einschalten lässt (WooCommerce Developer Blog, 18.12.2024). Das ist ein Fall für Ihre Agentur oder Ihren Entwickler.

Für ein Captcha nennt derselbe Beitrag Plugins von Drittanbietern und warnt, dass einige den Block-Checkout zeitweise nicht geschützt hatten. Zwei Plugins ohne Rätsel aus dem WordPress-Verzeichnis:

• Simple CAPTCHA with Cloudflare Turnstile von RelyWP deckt laut Pluginseite Checkout, „Pay For Order“, Login, Registrierung und Passwort zurücksetzen ab; den Block-Checkout seit Version 1.28.0 (wordpress.org).
• Friendly Captcha vom Hersteller selbst nennt Login, Registrierung, Checkout und Passwort vergessen von WooCommerce (wordpress.org).

So gehen Sie vor:

1. Prüfen Sie unter Plugins, ob schon ein Captcha-Plugin aktiv ist. Unsere Empfehlung: nur ein Captcha-Plugin je Formular.
2. Folgen Sie der Anleitung des gewählten Plugins und wählen Sie bei Turnstile den Modus nach der Entscheidungstabelle.
3. Aktivieren Sie das Captcha nur auf den Formularen, die Spam bekommen. Für Kontaktformular-Plugins prüfen Sie, ob ein Honeypot eingebaut ist.
4. Testen Sie jedes Formular nach der Anleitung unten, auch den Block-Checkout.

Shopware 6

Shopware hat die Auswahl eingebaut, unter Einstellungen > Allgemein > Stammdaten, Bereich Captcha (Shopware-Dokumentation: Stammdaten). Laut Dokumentation können Sie eine oder mehrere Lösungen gleichzeitig aktivieren:

• Honeypot: ein unsichtbares Feld, das Bots ausfüllen.
• Einfaches Captcha: eine Grafik mit verzerrten Zeichen, die abgetippt werden muss. Unsere Einschätzung: abschalten; das ist genau die Form, die das BFIT als nicht zugänglich beschreibt.
• Google reCAPTCHA v2, auf Wunsch unsichtbar, mit Website-Schlüssel und geheimem Schlüssel.
• Google reCAPTCHA v3 mit einer „Grenzwertpunktzahl“ zwischen 0 und 1, ab der der Zugriff verweigert wird.
• Friendly Captcha: laut Dokumentation mit einem kommerziellen Shopware-Plan; in der Shopware Cloud ist es für die Registrierung voreingestellt.

Unsere Empfehlung: Honeypot an, Einfaches Captcha aus. Reicht das nicht, Friendly Captcha oder reCAPTCHA v3, und bei v3 testen Sie, was ein Kunde mit niedrigem Wert zu sehen bekommt.

Schritt für Schritt: Ihr Captcha selbst prüfen

Sie brauchen einen Rechner mit Tastatur und einen Screenreader; wie Sie NVDA oder VoiceOver bedienen, zeigt unser Screenreader-Test für Shop-Betreiber. Den reinen Tastaturtest erklärt Tastaturtest in 10 Minuten.

Schritt 1: Bestandsaufnahme

Notieren Sie für jedes Formular, ob und welcher Schutz aktiv ist: Kontaktformular, Login (mit Passwort vergessen), Registrierung, Newsletter-Anmeldung und Checkout. Die Einstellungen finden Sie an den oben genannten Stellen im Shopsystem.

Schritt 2: Rätsel sichtbar machen

Unsichtbare Lösungen zeigen Ihnen im Alltag kein Rätsel, wohl aber manchen Kunden. So kommen Sie an die Ausweichstufe:

• Login (alle Shopsysteme): Laut Understanding 3.3.8 erscheinen manche Captchas erst nach Fehlversuchen. Melden Sie sich in einem privaten Fenster mehrmals mit falschem Passwort an einem Testkonto an.
• Turnstile: Cloudflare stellt einen Test-Websiteschlüssel bereit, der immer eine interaktive Aufgabe erzwingt (Cloudflare: Testing). Das ist etwas für Ihre Testumgebung oder Ihren Entwickler, nicht für den Live-Shop.
• reCAPTCHA v3: Fragen Sie Ihren Entwickler, was bei einem Wert unter der Schwelle passiert. Eine Fehlermeldung ohne Ausweg ist das Problem, das Sie suchen.

Schritt 3: Tastatur

1. Klicken Sie in die Adresszeile und gehen Sie nur mit der Tabulatortaste durch das Formular.
2. Erreicht der Fokus das Captcha, die Checkbox und alle Knöpfe darin, etwa „Audio“ oder „Neu laden“? Sehen Sie, wo der Fokus gerade ist?
3. Lässt sich die Checkbox mit der Leertaste aktivieren und das Rätsel ganz ohne Maus lösen oder überspringen?
4. Kommen Sie danach mit Tab wieder aus dem Captcha heraus zum Absende-Button?

Schritt 4: Screenreader

1. Starten Sie NVDA oder VoiceOver und gehen Sie das Formular von oben durch.
2. Wird das Captcha mit einem Text angesagt, der sagt, was es ist und wozu es dient? Das verlangt 1.1.1. Unsere Empfehlung: Der Text erklärt auch kurz, was zu tun ist.
3. Wird nach dem Lösen angesagt, dass die Prüfung erfolgreich war? Google beschreibt diese Statusmeldungen für reCAPTCHA v2 (Google-Hilfe).
4. Beim Honeypot: Der Screenreader darf das versteckte Feld nicht ansagen. Hören Sie ein Feld wie „Website“ oder „Bitte leer lassen“, ist es nicht richtig versteckt.

Schritt 5: Audio und andere Sinne

1. Gibt es zu jedem Bilderrätsel eine Alternative für einen anderen Sinn, wie 1.1.1 verlangt?
2. Spielen Sie die Audio-Aufgabe ab. Ist sie verständlich, lässt sie sich wiederholen?
3. Beim Login: Ist das Audio die einzige Alternative zum Bild, und muss man es abtippen? Dann zählt es laut Understanding-Dokument nicht als Alternative im Sinne von 3.3.8. Objekterkennung im Bild bleibt auf Stufe AA zulässig; Rechen- oder Logikrätsel nicht.
4. Bei hCaptcha: Ist im Menü des Widgets die Barrierefreiheits-Option zu finden (hCaptcha Accessibility)?

Schritt 6: Zeitlimit

1. Füllen Sie das Formular zügig bis vor das Absenden aus, inklusive Captcha.
2. Warten Sie sechs Minuten (Beispielwert, länger als die 300 Sekunden bei Turnstile und die zwei Minuten bei reCAPTCHA v3).
3. Senden Sie ab. Geht es durch oder erneuert sich die Prüfung von selbst, ist alles gut. Scheitert es mit einer unklaren Meldung, oder sind Ihre Eingaben weg, brauchen Sie eine Korrektur. Bei Turnstile steuert die Einstellung refresh-expired laut Cloudflare, ob sich abgelaufene Tokens automatisch erneuern; Standard ist „auto“ (Cloudflare: Widget-Konfiguration).
4. Bei der Zeitprüfung gegen Bots umgekehrt: Füllen Sie das Formular mit dem Autofill des Browsers aus und senden Sie sofort ab. Wird ein echter Mensch abgewiesen, ist die Mindestzeit zu hoch.

Schritt 7: Fehlermeldung

Lassen Sie das Captcha absichtlich scheitern, etwa durch falsche Eingabe. Die Meldung sollte sagen, was passiert ist und wie es weitergeht, und Ihre übrigen Eingaben sollten erhalten bleiben. Wie gute Fehlermeldungen aussehen, zeigt unser Artikel Barrierefreie Formulare im Shop; für Warenkorb und Kaufstrecke gibt es den Checkout-Test.

Ihre Prüftabelle

Übertragen Sie die Ergebnisse in eine Tabelle wie diese (Beispiel):

Checkliste: barrierefreies Captcha im Shop

• Für jedes Formular ist notiert, welcher Bot-Schutz aktiv ist.
• Kontakt- und Newsletter-Formular sind mit Honeypot oder Zeitprüfung geschützt, ohne Rätsel.
• Das Honeypot-Feld ist unsichtbar und wird vom Screenreader nicht angesagt.
• Login und Checkout begrenzen wiederholte Versuche auf dem Server.
• Kein verzerrter Text, keine Rechenaufgabe und kein Logikrätsel als einzige Prüfung.
• Wo ein Bilderrätsel erscheinen kann, gibt es eine Alternative für einen anderen Sinn (1.1.1).
• Beim Login verlangt das Captcha höchstens Objekterkennung, oder es gibt einen Anmeldeweg ohne Rätsel (3.3.8).
• Das Captcha hat einen verständlichen Textnamen, der Zweck und Bedienung nennt.
• Alle Teile des Captchas sind mit der Tastatur erreichbar und bedienbar, der Fokus ist sichtbar.
• Erfolg und Fehler werden dem Screenreader angesagt.
• Ein abgelaufenes Captcha erneuert sich oder meldet sich verständlich, Eingaben bleiben erhalten.
• Bei reCAPTCHA v3 führt ein niedriger Wert zu einem zweiten Weg, nicht in eine Sackgasse.
• Nur ein Captcha-Dienst pro Formular, bei Shopify keine zusätzliche Captcha-App neben hCaptcha.
• Die Barrierefreiheitserklärung nennt einen Kontaktweg ohne Captcha, etwa E-Mail oder Telefon.
• Nach jedem Theme-, Plugin- oder Shop-Update wird die Prüfung wiederholt.

Dieser Ratgeber ist keine Rechtsberatung.

Ihr nächster Schritt

Machen Sie zusätzlich den kostenlosen Scan. Er prüft Startseite, Produktseite und Warenkorb und zeigt, was zuerst behoben werden sollte. Wie jede automatische Prüfung findet er nur einen Teil der Barrieren; ob sich Ihr Captcha mit Tastatur, Screenreader und Audio lösen lässt, testen Sie selbst mit den Schritten oben.

Stand: 28.10.2026. Quellen gelesen am 28.10.2026.