Europäische Alternativen zu Google reCAPTCHA.

Google reCAPTCHA steckt in einem sehr großen Teil der Kontaktformulare dieser Welt, und für europäische Betreiber ist das eine unangenehme Sache. Es wird von Google LLC betrieben, setzt Cookies und begutachtet IP-Adresse, Browsereigenschaften und Interaktionszeiten jeder besuchenden Person, bevor diese irgendetwas zugestimmt hat. In Consent-Werkzeugen landet es unter Marketing oder Analytics und nicht unter unbedingt erforderlich, es braucht also einen Banner-Eintrag, und ein Formular, das von einem abgelehnten Skript geschützt wird, ist ein Formular, das nicht funktioniert. Zusammen mit Google Fonts ist es der am häufigsten beanstandete Posten, wenn jemand eine deutsche oder österreichische Website prüft, und die Barrierefreiheit von Bildaufgaben ist seit Geltung des European Accessibility Act im Juni 2025 ein eigenes Risiko.

Die gute Nachricht: Das ist einer der billigsten Wechsel im gesamten Verzeichnis. Jede Option unten hat dieselbe Integrationsform wie reCAPTCHA, ein Skript plus serverseitige Token-Prüfung, die Arbeit misst sich also in Stunden und nicht in Sprints. CaptchaFox (Deutschland, Risiko Gering) ist die stärkste gehostete Wahl, weil es als einziger Anbieter hier die Verarbeiter im Widget-Pfad namentlich veröffentlicht und beide EU-Unternehmen sind. TrustCaptcha (Deutschland, Risiko Gering) ist der günstigste EU-gehostete Einstieg, auf Hetzner in Nürnberg ab 8 € pro Monat. ALTCHA (Tschechien, MIT, Risiko Erheblich) und mosparo (Schweizer Verein, MIT, Risiko Keines) lassen sich selbst hosten, was die Verarbeiterfrage ganz auflöst. captcha.eu (Österreich, Risiko Erheblich), Friendly Captcha (Deutschland) und Prosopo (Vereinigtes Königreich, Risiko Erheblich) vervollständigen das Feld.

Eine Warnung vor dem Vergleich, denn sie ist der Befund dieser Kategorie: Ein europäisches Logo bedeutet keinen europäischen Stack. Prüfen Sie bei jedem Eintrag die Hosting-Zeile und die Unterauftragsverarbeiter-Tabelle statt der Flagge, denn mehrere Anbieter, die den Ausstieg aus Google verkaufen, laufen selbst auf AWS, CloudFront oder Google-Analytics.

Was übernimmt man von reCAPTCHA?

• Die Integrationsform: ein Skript, ein Widget-Element, ein Site-Key und ein serverseitiger Prüfaufruf.
• Unsichtbare oder reibungsarme Verifizierung, geboten von jeder Option hier.
• Score-artige Bot-Signale für die eigene Logik (CaptchaFox, TrustCaptcha, Prosopo).
• WordPress- und CMS-Plugins sowie React- und Angular-Komponenten.
• Positiv- und Sperrlisten, Geoblocking und eigene Regeln in den Bezahltarifen.
• Bessere Barrierefreiheit als Bildaufgaben, denn keine dieser Optionen lässt etwas identifizieren.

Nicht alles überlebt den Umzug:

• Googles Verkehrsgraph. reCAPTCHA bewertet Besuchende gegen Signale aus einem enormen Teil des Webs. Kein europäischer Anbieter hat diesen Datenbestand, und die ehrlichen behaupten es nicht. Für gewöhnlichen Formular-Spam ist das nicht die Einschränkung, die man erwartet; bei großflächigem Credential Stuffing sollten Sie genau prüfen.
• Enterprise-Betrugswerkzeuge. Für Account Defender und mehrstufige Risikofunktionen von reCAPTCHA Enterprise gibt es hier kein direktes Gegenstück; Prosopo deckt davon am meisten ab.
• In jeder Größenordnung kostenlos zu sein. reCAPTCHA ist für die meisten kostenlos. Hier heißt kostenlos ein kleiner Tarif (Prosopo, Botpoison) oder ein eigener Server (mosparo, ALTCHA).
• Mobile SDKs. Die Abdeckung nativer iOS- und Android-SDKs ist in diesem Feld dünner als bei Google; prüfen Sie das je Anbieter, wenn Sie eine App und nicht ein Webformular schützen.

Der Ersatz von reCAPTCHA ist überwiegend Suchen und Ersetzen, mit zwei Schritten, die gern vergessen werden.

1. Zuerst alle Formulare erfassen. Durchsuchen Sie den Code nach dem reCAPTCHA-Site-Key und prüfen Sie dann WordPress-Plugins, Formularbaukästen, Helpdesk-Widgets, vom Marketing gebaute Landingpages und jeden mobilen Client. Der Austausch ist leicht; das vergessene Fremdformular lässt ein Google-Skript auf der Website, nachdem Sie dessen Entfernung verkündet haben.
2. Client und Server gemeinsam umstellen. Ersetzen Sie Skript-Tag und Widget-Element, richten Sie dann den serverseitigen Prüfaufruf von www.google.com/recaptcha/api/siteverify auf den Verify-Endpunkt des neuen Anbieters um und passen Sie den Namen des Token-Felds an. Halten Sie bei stark genutzten Formularen für einen Deploy beide Pfade hinter einem Feature-Flag.
3. Schlüssel rotieren und alte entfernen. Löschen Sie die reCAPTCHA-Schlüssel im Google-Konto, sobald der Verkehr umgezogen ist, und nehmen Sie das Secret aus Umgebungsdateien und CI-Variablen heraus.
4. reCAPTCHA aus Consent-Banner und Datenschutzerklärung entfernen. Das ist der Schritt, der den eigentlichen Compliance-Gewinn bringt, und er wird übersprungen. Entfernen Sie den reCAPTCHA-Eintrag aus dem Consent-Werkzeug, streichen Sie den Google-Absatz aus der Datenschutzerklärung und ergänzen Sie einen kurzen Abschnitt mit dem neuen Verarbeiter. Ist das neue Widget cookiefrei, läuft das Formular jetzt ohne Einwilligung, entfernen Sie also auch die Einwilligungssperre, die Sie darum gelegt hatten.
5. Barrierefreiheit neu testen, nicht nur Funktion. Bedienen Sie das Formular nur per Tastatur und mit einem Screenreader. Das ist der Moment zu prüfen, ob Sie nicht eine Barriere gegen eine andere getauscht haben, und unter dem European Accessibility Act lohnt es sich, die Prüfung zu dokumentieren.
6. Die Spam-Rate zwei Wochen beobachten. Justieren Sie Schwierigkeit oder Risikoschwelle, statt nach zwei Tagen ein Urteil zu fällen. Die meisten Anbieter hier bieten eine Empfindlichkeitseinstellung, und der Standard ist bewusst zurückhaltend.