Ratgeber · Auswahl
CAPTCHA ohne Google: welche Verfahren es gibt.
Vier Ansätze kommen ohne Google aus: Honeypot, Rate-Limiting, Proof-of-Work und eine interaktive Prüfung. Jeder hat eine klare Grenze, und die steht hier neben dem Nutzen.
Stand: 1. August 2026
Ohne Google ist kein Qualitätssiegel. Ein CAPTCHA, das die Daten stattdessen an einen anderen Konzern schickt, hat dasselbe Problem mit einem anderen Namen. Deshalb steht auf dieser Seite zuerst, was die Verfahren technisch leisten, und danach, woran sich eine datensparsame Umsetzung erkennen lässt.
Welche Google-freien Verfahren gibt es?
Vier, und sie schließen einander nicht aus.
In der Praxis kombiniert man sie. Die ersten beiden kosten nichts und laufen auf Ihrem eigenen Server.
- HoneypotEin verstecktes Feld, das Menschen leer lassen. Stoppt einfache Formular-Bots, sonst nichts.
- Rate-LimitingBegrenzt Anfragen je Quelle und Zeitraum. Bremst Massenversand aus einer Hand.
- Proof-of-WorkDer Browser rechnet, bevor die Anfrage zählt. Für einen Besucher billig, für Massenversand teuer.
- Interaktive PrüfungEine kurze Aufgabe im Widget, ausgewertet beim Anbieter der Prüfung statt bei einem Dritten.
Die beiden markierten Verfahren brauchen einen Dienst, die oberen beiden setzen Sie selbst um.
- Honeypot
- Ein Feld, das im Layout versteckt ist. Füllt es jemand aus, war es kein Mensch. Kostet nichts, verarbeitet nichts und hält gezielte Angriffe nicht auf.
- Rate-Limiting
- Eine Obergrenze für Anfragen je IP-Adresse und Zeitfenster. Wirkt gegen Massenversand aus einer Quelle. Ein über viele Adressen verteilter Angriff läuft daran vorbei.
- Proof-of-Work
- Der Browser löst eine Rechenaufgabe, bevor die Anfrage angenommen wird. Ein einzelner Besucher merkt davon wenig. Wer hunderttausend Anfragen stellen will, zahlt hunderttausendmal.
- Interaktive Prüfung
- Eine kurze Aufgabe, etwa eine nachgezeichnete Linie oder eine Auswahl aus gezeichneten Kacheln. Nützlich als zweite Stufe, nicht als einziger Weg, weil sie Menschen ausschließen kann.
Woran erkennt man eine datensparsame Umsetzung?
An vier Antworten, die schriftlich vorliegen.
Geklärt
Schriftlich beantwortet
- Land des Rechenzentrums
- Vertragspartner und AVV
- Cookies: ja oder nein
- Aufbewahrungsdauer je Datenart
Offen
Bleibt ungeprüft
- Erkennungsquote ohne Messaufbau
- Gilt der Verarbeitungsort in jedem Tarif?
- Serverstandort ohne Vertragspartner
- Zertifikat ohne Prüfbericht
Die Spalte „Bleibt ungeprüft
- Ort
- In welchem Land läuft die Prüfung, und gilt das in jedem Tarif? Beides steht in den Angaben des jeweiligen Anbieters.
- Vertrag
- Mit welcher Gesellschaft schließen Sie ab und gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO?
- Endgerät
- § 25 Abs. 1 TDDDG nennt neben dem Speichern auch den Zugriff auf Informationen, die bereits auf dem Gerät liegen. Ein Anbieter sollte sagen können, was sein Widget dort ausliest.
- Dauer
- Wie lange bleiben Prüfergebnisse gespeichert, und was steht überhaupt in einem gespeicherten Ereignis?
Warum diese Fragen bei reCAPTCHA besonders oft gestellt werden, steht in Ist Google reCAPTCHA DSGVO-konform?
Warum ist der Client-Code ein Auswahlkriterium?
Weil er im Browser des Angreifers liegt.
Jede CAPTCHA-Prüfung führt Code im Browser des Besuchers aus. Dieser Code steht damit auch jedem offen, der die Prüfung umgehen möchte. Liegt die Logik unverschleiert vor, lässt sie sich lesen, verstehen und nachbauen. Das ist kein Randthema: es ist der Unterschied zwischen einer Hürde und einer Beschriftung.
- Bei ByeBot
- Der Client-Code wird laufend neu generiert und obfuskiert.
- Zu prüfen
- Öffnen Sie die Entwicklerwerkzeuge auf einer Seite mit dem Widget und sehen Sie sich an, was dort geladen wird.
Ausführlich steht das auf Obfuskierter Code.
Was tut ByeBot ohne Google?
Alles, in Deutschland.
- Ort
- Deutschland. In jedem Tarif derselbe Ort.
- Vertrag
- Auftragsverarbeitung nach Art. 28 DSGVO, keine Übertragung in Drittländer.
- Cookies
- Für das CAPTCHA keine. Kein seitenübergreifendes Tracking, kein Werbeprofil, kein Training von KI-Modellen an Besucherdaten.
- Verfahren
- Proof-of-Work und Browser-Konsistenzprüfungen, dazu wahlweise eine interaktive Aufgabe. Sechs Modi, zwölf Widget-Sprachen.
- Aufbewahrung
- Erkennungsereignisse 30 Tage. Statistik 365 Tage im Pro-Tarif, unbegrenzt im Enterprise-Tarif.
- Preis
- Ab 19 Euro im Monat bei 10.000 Prüfungen. reCAPTCHA ist unterhalb dieser Grenze kostenlos.
Fragen zu den Verfahren und zu ByeBot.
Kurze Antworten zu den einzelnen Verfahren, zur Prüfliste und zu Ort, Cookies, Aufbewahrung und Preis bei ByeBot.
Reicht ein Honeypot allein gegen Spam?
Ein Honeypot ist ein Feld, das im Layout versteckt ist. Füllt es jemand aus, war es kein Mensch. Er kostet nichts, verarbeitet nichts und läuft auf Ihrem eigenen Server. Einfache Formular-Bots stoppt er, gezielte Angriffe hält er nicht auf. Er ist eines von vier Verfahren, die einander nicht ausschließen.
Warum ist eine interaktive Aufgabe nicht der einzige Weg?
Eine interaktive Prüfung ist eine kurze Aufgabe im Widget, etwa eine nachgezeichnete Linie oder eine Auswahl aus gezeichneten Kacheln. Ausgewertet wird sie beim Anbieter der Prüfung statt bei einem Dritten. Nützlich ist sie als zweite Stufe, nicht als einziger Weg, weil sie Menschen ausschließen kann.
Gilt die EU-Verarbeitung bei jedem Anbieter in jedem Tarif?
Das ist die Frage, die Sie beim jeweiligen Anbieter selbst nachlesen müssen; wir führen dazu keine Liste. Zwei Fragen gehören zusammen: in welchem Land die Prüfung läuft, und mit welcher Gesellschaft Sie abschließen. Ein Serverstandort ohne Vertragspartner bleibt ungeprüft. Bei ByeBot ist der Ort Deutschland, in jedem Tarif derselbe, mit Auftragsverarbeitung nach Art. 28 DSGVO.
Wie sehe ich, welcher Code im Browser geladen wird?
Öffnen Sie die Entwicklerwerkzeuge auf einer Seite mit dem Widget und sehen Sie sich an, was dort geladen wird. Jede CAPTCHA-Prüfung führt Code im Browser des Besuchers aus, und dieser Code steht auch jedem offen, der die Prüfung umgehen möchte. Bei ByeBot wird der Client-Code laufend neu generiert und obfuskiert.
Setzt das ByeBot-Widget Cookies?
Für das CAPTCHA keine. Es gibt kein seitenübergreifendes Tracking, kein Werbeprofil und kein Training von KI-Modellen an Besucherdaten. § 25 Abs. 1 TDDDG nennt neben dem Speichern auch den Zugriff auf Informationen, die bereits auf dem Gerät liegen. Ein Anbieter sollte sagen können, was sein Widget dort ausliest.
Wie lange werden Prüfergebnisse bei ByeBot gespeichert?
Erkennungsereignisse bleiben 30 Tage gespeichert. Die Statistik bleibt 365 Tage im Pro-Tarif und unbegrenzt im Enterprise-Tarif. Verarbeitet wird in Deutschland, in jedem Tarif am selben Ort, als Auftragsverarbeitung nach Art. 28 DSGVO und ohne Übertragung in Drittländer. Die Auftragsverarbeiter stehen namentlich unter byebot.de/datenschutz.
Was kostet ByeBot im Monat?
Ab 19 Euro bei 10.000 Prüfungen im Monat. Darüber kosten je weitere 2.000 Prüfungen 2 Euro, bis 109 Euro bei 100.000. Die Jahreszahlung ist das Zehnfache des Monatspreises. Sieben Tage Pro lassen sich mit hinterlegtem Zahlungsmittel testen, das Volumen liegt in dieser Zeit bei 10.000 Prüfungen. Unterhalb dieser Grenze ist reCAPTCHA kostenlos.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.