Lösen ist teuer. Prüfen ist billig.
Proof of Work.
Der Browser rechnet kurz, bevor eine Prüfung angenommen wird. Für einen Besucher ist das ein Wimpernschlag. Für zehntausend automatisierte Versuche ist es eine Rechnung.
Stand: August 2026
Rechenaufwand macht Masse teuer und Einzelfälle unbemerkt.
- Prinzip
- Lösen ist teuer, Prüfen ist billig. Diese Schieflage ist der ganze Trick.
- Ein Besucher
- Eine Aufgabe pro Formular. Nichts zu klicken, nichts zu erkennen.
- Massenversuche
- Zehntausend Formulare heißen zehntausend Aufgaben.
- Grenze
- Rechenaufwand verteuert Automatisierung. Er verhindert sie nicht.
Was ist Proof of Work?
Ein Nachweis über geleistete Rechenarbeit.
Der Client bekommt eine Aufgabe, die sich nur durch Probieren lösen lässt, und schickt die gefundene Lösung mit. Der Server prüft sie in einem Schritt. Lösen ist teuer, Prüfen ist billig, und diese Schieflage ist das ganze Verfahren.
Client löst
Viele Versuche
- Probieren, bis einer passt
- Kostet Rechenzeit
- Keine Abkürzung
Server prüft
Ein Schritt
- Lösung nachrechnen
- Kostet praktisch nichts
- Ergebnis ist eindeutig
Beispielhafte Darstellung des allgemeinen Verfahrens. Schwierigkeit und Rechenweg bei ByeBot sind nicht Gegenstand dieser Seite.
Ein Bilderrätsel fragt, ob am anderen Ende ein Mensch sitzt. Ein Rechennachweis fragt etwas anderes: ob sich der Aufwand für den anderen gelohnt hat. Er interessiert sich nicht dafür, wer die Anfrage stellt, sondern dafür, was sie kostet.
Woher kommt die Idee?
Aus der Spam-Abwehr, und sie ist über dreißig Jahre alt.
Cynthia Dwork und Moni Naor beschrieben 1992 auf der CRYPTO, wie sich der Zugang zu einer geteilten Ressource verteuern lässt: Wer sie nutzen will, löst vorher eine mäßig schwere Aufgabe. Ihr Beispiel war Massen-E-Mail.
Im Original heißt diese Aufgabe eine „moderately hard, but not intractable, function“. Die Formulierung hält bis heute: schwer genug, um Masse zu verteuern, leicht genug, um einen einzelnen Zugriff nicht aufzuhalten.
- 1992
- Cynthia Dwork und Moni Naor schlagen auf der CRYPTO vor, den Zugang zu einer geteilten Ressource an eine mäßig schwere Rechenaufgabe zu binden. Der Anlass ist Massen-E-Mail.
- 1997
- Adam Back schlägt Hashcash gegen den Missbrauch von E-Mail und anonymen Remailern vor. Die ausführliche Beschreibung folgt am 01.08.2002.
- 2008
- Das Bitcoin-Papier übernimmt das Verfahren und führt Hashcash als Quelle [6]. Bekannt wurde Proof of Work dadurch als Währungstechnik. Erfunden wurde es gegen Spam.
Die Reihenfolge lohnt sich zu merken, weil sie oft umgekehrt erzählt wird. Proof of Work ist keine Blockchain-Technik, die man auf Formulare umgewidmet hat. Es ist eine Spam-Abwehr, die eine Blockchain übernommen hat.
Warum merkt ein echter Besucher davon nichts?
Weil er die Aufgabe genau einmal löst.
Ein Formular wird einmal abgeschickt, und die Rechenzeit dafür verschwindet zwischen Seitenaufbau und Klick. Wer zehntausend Anmeldungen erzeugen will, löst zehntausend Aufgaben. Gleicher Preis pro Stück, sehr verschiedene Summen.
Beispielhafte Darstellung. Die Zahl der Aufgaben wächst mit der Zahl der Versuche, der Preis je Aufgabe bleibt gleich.
| Merkmal | Ein Besucher | Massenversuch |
|---|---|---|
| Aufgaben | eine | eine pro Versuch |
| Wahrnehmung | keine | Rechenzeit, Strom, Wartezeit |
| Kosten | fallen nicht auf | wachsen mit dem Ziel |
Der Nebeneffekt ist der eigentliche Gewinn für die Bedienbarkeit: Ein Rechennachweis verlangt vom Besucher keine Wahrnehmungsleistung. Er muss nichts erkennen, nichts entziffern und nichts hören. Wer schon einmal versucht hat, eine verzerrte Buchstabenreihe mit einem Screenreader zu erfassen, kennt den Unterschied.
Was leistet Proof of Work nicht?
Er macht Automatisierung teurer, nicht unmöglich.
Rechenzeit ist ein Preis, und Preise lassen sich zahlen. Wer das anders darstellt, verkauft eine Zahl, die er nicht belegen kann.
- Ungleiche Hardware
- Ein Server rechnet schneller als ein altes Telefon. Wer die Aufgabe schwerer macht, trifft beide Seiten, aber nicht gleich hart.
- Nachbau
- Wer die Aufgabe verstanden hat, löst sie außerhalb des Browsers. Im März 2026 hat ein Sicherheitsforscher genau das an einem fremden System vorgeführt.
- Bezahlte Handarbeit
- Ein Mensch an einem echten Browser löst die Rechenaufgabe nebenbei mit. Gegen gekaufte Lösearbeit hilft Rechenaufwand nichts.
Der dritte Punkt ist der unbequemste. Für gelöste CAPTCHAs gibt es einen Markt, und der ist alt: Auf der USENIX Security 2010 wurde untersucht, wie diese Dienste wirtschaftlich arbeiten. Gegen einen Menschen, der für Geld an einem echten Browser sitzt, wirkt kein Rechennachweis.
Der Sicherheitsforscher, der im März 2026 einen fremden Rechennachweis nachgebaut hat, benennt die Obergrenze des Verfahrens:„cranking up the difficulty to slow down an attacker with optimized code also punishes legitimate users on slow browsers and low-power devices. The defender can’t win that race.“ Ein Rechennachweis kann seine eigene Wirkung also nicht beliebig steigern.
Was macht ByeBot damit?
Rechnen im Browser, entscheiden auf einem Server in Deutschland.
Der Rechennachweis steht dort neben anderen Prüfungen und trägt die Entscheidung nicht allein.
Welche Schwierigkeit gewählt wird, nach welchem Verfahren gerechnet wird und wie sich beides anpasst, veröffentlichen wir nicht. Das ist kein Versehen. Ein Verfahren, dessen Parameter öffentlich sind, lässt sich am Reißbrett gegen genau diese Parameter optimieren. Aus demselben Grund wird der ausgelieferte Client-Code laufend neu generiert und obfuskiert.
Fragen zum Rechennachweis.
Kurze Antworten. Wo das Verfahren an eine Grenze stößt, steht das hier ebenfalls.
Ist Proof of Work barrierefrei?
Ein Rechennachweis verlangt vom Besucher keine Wahrnehmungsleistung. Er muss nichts erkennen, nichts entziffern und nichts hören. Damit entfällt genau die Hürde, an der verzerrte Buchstabenreihen und Bilderrätsel für blinde Besucher scheitern. Die Rechenarbeit erledigt der Browser.
Wie lange dauert die Rechenaufgabe für einen Besucher?
Ein Formular wird einmal abgeschickt, und die Rechenzeit dafür verschwindet zwischen Seitenaufbau und Klick. Der Preis je Aufgabe bleibt gleich, nur die Summe unterscheidet sich: Wer zehntausend Anmeldungen erzeugen will, löst zehntausend Aufgaben.
Hat Proof of Work etwas mit Bitcoin zu tun?
Nur der Reihenfolge nach, und die wird oft umgekehrt erzählt. Das Verfahren stammt aus der Spam-Abwehr von 1992. Das Bitcoin-Papier von 2008 hat es übernommen und führt Hashcash als Quelle [6]. Es ist keine Blockchain-Technik, die man auf Formulare umgewidmet hat.
Hilft Proof of Work gegen bezahlte CAPTCHA-Löser?
Nein. Ein Mensch an einem echten Browser löst die Rechenaufgabe nebenbei mit. Für gelöste CAPTCHAs gibt es einen Markt, und der ist alt: Auf der USENIX Security 2010 wurde untersucht, wie diese Dienste wirtschaftlich arbeiten. Gegen gekaufte Lösearbeit hilft Rechenaufwand nichts.
Welche Schwierigkeit stellt ByeBot ein?
Das veröffentlichen wir nicht, und das ist kein Versehen. Ein Verfahren, dessen Parameter öffentlich sind, lässt sich am Reißbrett gegen genau diese Parameter optimieren. Aus demselben Grund wird der ausgelieferte Client-Code laufend neu generiert und obfuskiert.
Wo wird der Rechennachweis geprüft?
Gerechnet wird im Browser, entschieden auf einem Server in Deutschland. Das gilt in jedem Tarif. Der Rechennachweis steht dort neben anderen Prüfungen und trägt die Entscheidung nicht allein.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.