Ratgeber · Auswahl
reCAPTCHA-Alternative auswählen: die Kriterien.
Vier Fragen entscheiden die Auswahl: Wo läuft die Prüfung, wie erkennt sie Bots, wie bedienbar ist sie und was kostet der Betrieb. Diese Seite erklärt die Fragen. Welches Produkt Sie am Ende nehmen, ist Ihre Sache.
Stand: 1. August 2026
Die meisten Vergleichslisten im Netz sind Ranglisten mit veralteten Preisen. Nützlicher ist ein Fragebogen, den Sie jedem Anbieter selbst stellen können, auch uns. Genau das steht hier. ByeBot kommt einmal vor, am Ende, mit den Antworten, die wir belegen können.
Wonach wählt man eine Alternative aus?
Nach vier Kriterien, in dieser Reihenfolge.
Der Verarbeitungsort steht vorne, weil er sich später am schwersten ändern lässt.
- 01 VerarbeitungsortWo läuft die Prüfung, wer ist Vertragspartner, gibt es einen AVV nach Art. 28 DSGVO?
- 02 ErkennungMehrere Signale statt einer Prüfung, und ist der Client-Code im Browser lesbar?
- 03 BedienbarkeitMit Tastatur bedienbar, in der Sprache des Besuchers, ohne Bilderrätsel als einzigen Weg.
- 04 BetriebEinbindung, serverseitige Prüfung, Konfiguration pro Website, Preis bei Ihrem Volumen.
Reihenfolge nach Aufwand einer späteren Korrektur, nicht nach Wichtigkeit im Betrieb.
Welche Fragen klären den Verarbeitungsort?
Vier, und alle haben eine schriftliche Antwort.
- Rechenzentrum
- In welchem Land stehen die Server, die die Prüfung beantworten? Und gilt das in jedem Tarif oder erst ab einem bestimmten?
- Vertragspartner
- Mit welcher Gesellschaft schließen Sie ab? Ein Serverstandort in der EU und ein Vertragspartner außerhalb der EU sind zwei verschiedene Dinge.
- AVV
- Gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, und steht darin, wer Unterauftragsverarbeiter ist?
- Cookies
- Setzt das Widget Cookies, und werden die Prüfergebnisse für etwas anderes als die Prüfung verwendet?
Warum diese Fragen gerade bei reCAPTCHA gestellt werden, steht in Ist Google reCAPTCHA DSGVO-konform? Dort finden Sie das Erkenntnis des BVwG vom 13.09.2024 im Wortlaut.
Woran erkennt man belastbare Erkennung?
An der Zahl der Signale und an der Lesbarkeit des Client-Codes.
- Mehrere Signale
- Eine einzige Prüfung ist ein einziger Punkt, an dem eine Umgehung ansetzt. Rechenaufgabe, Zeitmessung und Browser-Konsistenz zusammen sind schwerer nachzubauen als jede davon allein.
- Client-Code
- Die Logik eines CAPTCHAs läuft im Browser des Besuchers und ist dort grundsätzlich einsehbar. Liegt sie unverschleiert offen, lässt sie sich lesen und nachbauen.
- Serverseite
- Gibt es einen Endpunkt, an dem Ihr Server das Ergebnis prüft? Ohne diesen Schritt schützt kein Widget, weil ein Bot das Formular direkt anspricht.
- Ehrliche Angabe
- Eine Erkennungsquote in Prozent ohne Messaufbau ist Marketing. Fragen Sie lieber, welche Signale erhoben werden und was davon gespeichert wird.
Was gehört zur Bedienbarkeit?
Tastatur, Sprache und ein zweiter Weg.
- Tastatur
- Lässt sich die Prüfung ohne Maus abschließen, mit sichtbarem Fokus? Das prüfen Sie in einer Minute selbst, bevor Sie einer Zusage glauben.
- Sprache
- Erscheint die Prüfung in der Sprache des Besuchers oder immer auf Englisch?
- Zweiter Weg
- Ein Bilderrätsel als einziger Weg schließt Menschen aus. Ein Audiotrack, den niemand versteht, ebenfalls.
- Rechtlicher Rahmen
- Das BFSG gilt seit dem 28.06.2025. § 12 Nr. 3 BFSGV stellt vier Anforderungen an die Gestaltung von Webseiten und mobilen Anwendungen. Ob und wie das eine konkrete Website trifft, hängt von Größe und Dienstleistung ab.
Ausführlich steht das auf BFSG und CAPTCHAs und auf Barrierefreies CAPTCHA.
Was kostet ein Wechsel?
Bei kleinen Volumen: mehr als vorher.
Unter 10.000 Prüfungen im Monat ist reCAPTCHA kostenlos, ByeBot beginnt bei 19 Euro.
Stufen von 2.000 Prüfungen, Preis in Euro pro Monat. Jahreszahlung entspricht zehn Monatspreisen. Jede Funktion ist in jedem Tarif enthalten.
Diese Zahl gehört an den Anfang jeder Auswahl, nicht ans Ende. Wer von einem kostenlosen Dienst wegwechselt, tauscht Geld gegen Verarbeitungsort und Kontrolle. Ob dieser Tausch sich lohnt, hängt davon ab, wie oft Sie ihn begründen müssen.
Wie beantwortet ByeBot diese vier Fragen?
Kurz, und mit den Lücken.
- Ort
- Deutschland. In jedem Tarif.
- Vertrag
- Auftragsverarbeitung nach Art. 28 DSGVO. Keine Übertragung in Drittländer, keine Cookies für das CAPTCHA.
- Erkennung
- Mehrere Signale statt einer Prüfung. Der Client-Code wird laufend neu generiert und obfuskiert.
- Bedienung
- Sechs Modi, darunter einer ohne Klick. Zwölf Widget-Sprachen, automatisch aus der Browsersprache.
- Betrieb
- Script-Tag plus Container im Formular, serverseitige Prüfung über einen Endpunkt. Einstellungen pro Website im Dashboard.
- Fehlt
- Keine Zertifizierung nach ISO 27001 oder SOC 2, kein externes Barrierefreiheits-Audit, kein VPAT, keine zugesicherte Verfügbarkeitsquote.
Die Produktseite ByeBot als reCAPTCHA-Alternative geht auf dieselben vier Kriterien im Detail ein. Diese Seite hier bleibt der neutrale Fragebogen.
Fragen zur Anbieterauswahl.
Kurze Antworten zu Verarbeitungsort, Erkennung, Barrierefreiheit und Preis. Wo Nachweise fehlen, steht das hier ebenfalls.
Ist der Serverstandort dasselbe wie der Vertragspartner?
Nein. Ein Serverstandort in der EU und ein Vertragspartner außerhalb der EU sind zwei verschiedene Dinge. Die Fragenliste zum Verarbeitungsort trennt beides: In welchem Land stehen die Server, die die Prüfung beantworten, mit welcher Gesellschaft schließen Sie ab, und gibt es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO?
Was sagt eine Erkennungsquote in Prozent aus?
Ohne Messaufbau ist sie Marketing. Nützlicher ist die Frage, welche Signale erhoben werden und was davon gespeichert wird. Dazu kommt die Zahl der Signale: Eine einzige Prüfung ist ein einziger Punkt, an dem eine Umgehung ansetzt. Rechenaufgabe, Zeitmessung und Browser-Konsistenz zusammen sind schwerer nachzubauen als jede davon allein.
Warum ist der Client-Code eines CAPTCHAs einsehbar?
Weil die Logik im Browser des Besuchers läuft und dort grundsätzlich einsehbar ist. Liegt sie unverschleiert offen, lässt sie sich lesen und nachbauen. ByeBot antwortet darauf so: Der Client-Code wird laufend neu generiert und obfuskiert. Ohne einen Endpunkt, an dem Ihr Server das Ergebnis prüft, schützt kein Widget, weil ein Bot das Formular direkt anspricht.
Seit wann gilt das BFSG?
Seit dem 28.06.2025. § 12 Nr. 3 BFSGV stellt vier Anforderungen an die Gestaltung von Webseiten und mobilen Anwendungen. Ob und wie das eine konkrete Website trifft, hängt von Größe und Dienstleistung ab. Ausführlicher steht das auf den Seiten zu BFSG und CAPTCHAs sowie zu barrierefreien CAPTCHAs.
Welche Nachweise hält ByeBot nicht?
Keine Zertifizierung nach ISO 27001 oder SOC 2, kein externes Barrierefreiheits-Audit, kein VPAT und keine zugesicherte Verfügbarkeitsquote. Das gehört in eine Auswahl genauso wie die Antworten, die wir belegen können: Verarbeitung in Deutschland in jedem Tarif, Auftragsverarbeitung nach Art. 28 DSGVO, keine Cookies für das CAPTCHA und keine Übertragung in Drittländer.
Warum steht hier keine Preisliste der Anbieter?
Weil sie sich schneller ändern, als dieser Text geprüft wird. Nützlicher als eine Rangliste ist ein Fragebogen, den Sie jedem Anbieter selbst stellen können, auch uns. Der eigene Preis steht trotzdem hier: 19 Euro im Monat bei 10.000 Prüfungen, 109 Euro bei 100.000. Unter 10.000 Prüfungen im Monat ist reCAPTCHA kostenlos.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.