Aus einer Liste, nicht aus Interesse.
Registrierung und Fake-Accounts.
Ein Konto anzulegen dauert einen Moment und wirkt lange nach. Deshalb ist die Registrierung die Stelle, an der eine sichtbare Aufgabe am wenigsten weh tut.
Stand: August 2026
Wie entstehen massenhaft angelegte Konten?
Aus einer Liste, nicht aus Interesse.
Adressmuster, Zufallsnamen und ein Passwort für alle Konten werden vorher erzeugt und danach in einem Rutsch abgeschickt. Das Ziel ist selten das Konto selbst. Das Ziel ist das, was das Konto später darf: schreiben, bewerten, ein Freikontingent verbrauchen.
- Adressliste erzeugt
- Formular nachgebaut
- Wegwerfadressen
- Echte Anmeldung
ByeBot-Prüfung
vor dem Anlegen
Bestanden
- Konto wird angelegt
- Bestätigungsmail geht raus
Nicht bestanden
- Kein Konto
- Keine Mail, keine Kosten
- Erscheint als blockiert
Vereinfachte Darstellung. Welche Prüfungen laufen, stellen Sie je Seite ein.
- Vorlage
- Adressmuster, Zufallsnamen und ein Passwort, das für alle Konten gleich ist. Erzeugt wird die Liste vorher, abgeschickt wird sie in einem Rutsch.
- Adressen
- Wegwerfadressen oder Adressen mit Plus-Zusatz, die alle im selben Postfach landen.
- Zeitpunkt
- Oft nachts und in wenigen Minuten. Die Kurve der Neuanmeldungen bekommt eine Spitze, die keinen Anlass hat.
- Zweck
- Die Konten werden angelegt, um später benutzt zu werden: für Beiträge, für Freikontingente, für Bewertungen.
- Erkennbar
- Fast nie am einzelnen Konto. Sichtbar wird es an der Gleichförmigkeit vieler Konten.
Was kosten Konten, die niemand benutzt?
Mehr als Speicherplatz.
Speicher ist der billigste Teil. Teuer sind das verschenkte Freikontingent, die Bestätigungsmails an erfundene Adressen und die Rückläufer, die daraus entstehen. Am Ende wirkt der Fall auf die Zustellbarkeit Ihrer Mails an echte Kunden.
Das OWASP Automated Threat Handbook führt den Fall als OAT-019 Account Creation und beschreibt ihn knapp als „Create multiple accounts for subsequent misuse“. Das Wort subsequent ist der Punkt: Der Schaden entsteht nicht beim Anlegen, sondern später. Zwischen beidem liegen Wochen, und deshalb wird der Zusammenhang oft nicht gesehen.
- Freikontingente
- Wer eine kostenlose Stufe oder einen Testzeitraum anbietet, verschenkt ihn pro angelegtem Konto erneut.
- Versandkosten
- Jede Registrierung löst eine Bestätigungsmail aus. Die geht auch an Adressen, die niemand gelesen hat.
- Zustellbarkeit
- Mails an erfundene Adressen erzeugen Rückläufer. Eine hohe Rückläuferquote wirkt auf den Ruf Ihrer Absenderdomain und damit auf Mails an echte Kunden.
- Moderation
- Konten, die später Beiträge schreiben, müssen einzeln angesehen und einzeln entfernt werden.
- Zahlen
- Neuanmeldungen sind eine Kennzahl, auf die Entscheidungen gestützt werden. Verfälscht ist sie schlimmer als gar keine.
- Aufräumen
- Konten löschen heißt auch: entscheiden, welches Konto echt war. Diese Entscheidung ist im Nachhinein teuer.
Warum ist eine sichtbare Aufgabe hier vertretbar?
Weil ein Mensch das Formular genau einmal ausfüllt.
Reibung an einem Login zahlen Ihre Nutzer jeden Tag. Reibung an der Registrierung zahlen sie einmal im Leben. Deshalb steht die interaktive Aufgabe dort und der unsichtbare Modus am Login, und nicht umgekehrt.
Beispielhafte Größenordnungen zur Veranschaulichung des Arguments, keine Messung. Entscheidend ist das Verhältnis, nicht der Wert.
Kurve nachziehen
Bewegung
- Eine Kurve mit Maus oder Finger nachfahren
- Nichts entziffern, nichts erkennen
- Auf dem Telefon eher leichter als am Rechner
- Drei Schwierigkeitsgrade
Kachelauswahl
Auswahl
- Alle Kacheln mit einer bestimmten Form auswählen
- Die Kacheln werden gezeichnet, nicht aus einer Bilddatenbank geholt
- Vertraute Bedienung aus anderen Diensten
- Drei Schwierigkeitsgrade
Beide Aufgaben nutzen dieselbe Schwierigkeitseinstellung mit drei Stufen.
- Widget-ModusKurve nachziehen
- Schwierigkeitmittel
- Rechenaufgabean
- Time-to-Pass5 s
- Ratelimit je Besucher3 / 60 min
Beispielhafte Werte. Jede Seite hat ihren eigenen Sitekey und ihre eigenen Werte.
Echte Aufnahme des laufenden Widgets, aufgenommen gegen die Produktivumgebung.
- Seltener Vorgang
- Ein Mensch legt bei Ihnen ein Konto an, danach nie wieder. Was an dieser einen Stelle an Reibung entsteht, wird einmal bezahlt.
- Kurve nachziehen
- Eine Kurve mit Maus oder Finger nachfahren, in drei Schwierigkeitsgraden. Kein Text entziffern, kein Bild erkennen.
- Kachelauswahl
- Alle Kacheln mit einer bestimmten Form auswählen. Die Kacheln werden gezeichnet und nicht aus einer Bilddatenbank geholt.
- Time-to-Pass
- Eine Mindestzeit zwischen der Ausgabe einer Prüfung und der Annahme ihrer Lösung. Beim Nachziehen der Kurve läuft sie, während der Besucher zeichnet. Sie misst nicht, wie lange jemand am Formular gesessen hat.
- Ratelimit
- Drei Registrierungen je Besucher in der Stunde reichen für jeden Haushalt und für kein Skript. Die Werte stellen Sie je Seite ein.
- Alle sechs Modi
- Zur Übersicht der Anwendungsfälle
Wie binden Sie die Prüfung in ein Registrierungsformular ein?
Prüfen, dann anlegen, dann mailen.
Diese Reihenfolge spart den Versand für jeden Versuch, der nicht durchkommt. Wer die Bestätigungsmail vor der Prüfung verschickt, bezahlt den Angriff mit.
<script src="https://challenge.byebot.de/ray/widget.js" defer></script>
<form method="post" action="/registrierung">
<input name="email" type="email" autocomplete="email" required />
<input name="passwort" type="password" autocomplete="new-password" required />
<div class="captcha-widget" data-sitekey="IHR_SITEKEY"></div>
<button type="submit">Konto anlegen</button>
</form>Im interaktiven Modus wird die Aufgabe in dieses Div gezeichnet.
- Eigene Seite
- Für das Registrierungsformular eine eigene Seite im Dashboard anlegen. Die interaktive Aufgabe gilt dann nur dort und nicht auch am Login.
- Div ins Formular
- Das Div über den Absendeknopf setzen. Dort erscheint die Aufgabe.
- Token prüfen
- Vor dem Anlegen des Kontos den Wert des Feldes byebot-token mit Ihrem API-Key bei /validate_token prüfen. Erst bei Antwort 200 legen Sie an.
- Bestätigung
- Verschicken Sie die Bestätigungsmail erst nach der bestandenen Prüfung. Sonst zahlen Sie den Versand für jeden Versuch.
- Dokumentation
- Vollständige Anleitung
Eine Grenze gehört dazu: Eine interaktive Aufgabe verteuert das Anlegen vieler Konten, sie macht es nicht unmöglich. Gegen einen Menschen, der für Geld an einem echten Browser sitzt, wirkt keine Aufgabe dieser Art. Was sie tut, ist die Wirtschaftlichkeit verschieben. Wie die Prüfungen dahinter arbeiten, steht unter Bot-Erkennung und Proof of Work.
Fragen zur Registrierung.
Kurze Antworten zu Reihenfolge, Einstellungen und Einbau. Wo die Aufgabe an eine Grenze stößt, steht das hier ebenfalls.
Warum fällt der Schaden erst Wochen später auf?
Weil das Konto beim Anlegen noch nichts tut. Das OWASP Automated Threat Handbook führt den Fall als OAT-019 Account Creation und beschreibt ihn knapp als „Create multiple accounts for subsequent misuse“. Das Wort subsequent ist der Punkt: Der Schaden entsteht nicht beim Anlegen, sondern später. Zwischen beidem liegen Wochen, und deshalb wird der Zusammenhang oft nicht gesehen.
Was unterscheidet die Kachelauswahl vom Nachziehen einer Kurve?
Die Art der Handlung. Bei der einen Aufgabe fahren Sie eine Kurve mit Maus oder Finger nach, auf dem Telefon eher leichter als am Rechner. Bei der anderen wählen Sie alle Kacheln mit einer bestimmten Form aus, und diese Kacheln werden gezeichnet und nicht aus einer Bilddatenbank geholt. Beide Aufgaben nutzen dieselbe Schwierigkeitseinstellung mit drei Stufen.
Wann geht die Bestätigungsmail raus?
Erst nach der bestandenen Prüfung. Die Reihenfolge lautet prüfen, anlegen, mailen. Wer die Bestätigungsmail vor der Prüfung verschickt, bezahlt den Versand für jeden Versuch. Jede Registrierung löst eine Mail aus, und Mails an erfundene Adressen erzeugen Rückläufer, was auf den Ruf Ihrer Absenderdomain wirkt.
Wo wird das Token geprüft?
Auf Ihrem Server, vor dem Anlegen des Kontos. Den Wert des Feldes byebot-token prüfen Sie mit Ihrem API-Key bei /validate_token, und erst bei Antwort 200 legen Sie an. Im Formular selbst steht nur das Div über dem Absendeknopf, in das die Aufgabe im interaktiven Modus gezeichnet wird.
Braucht das Registrierungsformular eine eigene Seite im Dashboard?
Ja, dafür legen Sie eine eigene Seite an. Die interaktive Aufgabe gilt dann nur dort und nicht auch am Login. Jede Seite hat ihren eigenen Sitekey und ihre eigenen Werte: Widget-Modus, Schwierigkeit, Time-to-Pass und Ratelimit je Besucher stellen Sie je Seite ein.
Hilft eine interaktive Aufgabe gegen bezahlte Handarbeit?
Nein. Gegen einen Menschen, der für Geld an einem echten Browser sitzt, wirkt keine Aufgabe dieser Art. Eine interaktive Aufgabe verteuert das Anlegen vieler Konten, sie macht es nicht unmöglich. Was sie tut, ist die Wirtschaftlichkeit verschieben. Time-to-Pass und Ratelimit stehen daneben, ihre Werte stellen Sie je Seite ein.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.