Captcha & Bot-Schutz

Captcha- und Bot-Schutz-Dienste entscheiden vor dem Absenden eines Formulars, ob eine besuchende Person ein Mensch ist. Google reCAPTCHA ist der Standard und zugleich das in EU-Cookie-Audits am häufigsten beanstandete Drittanbieter-Skript, weil es Cookies setzt und Besucherdaten an Google LLC sendet. Die europäischen Optionen bei EU Vetted sind CaptchaFox (Deutschland), TrustCaptcha (Deutschland), ALTCHA (Tschechien, MIT-Lizenz), captcha.eu (Österreich), Friendly Captcha (Deutschland), mosparo (Schweiz, selbst gehostet), Prosopo (Vereinigtes Königreich) und Botpoison. Entscheidend ist die Unterscheidung zwischen dem Widget-Pfad, also der Kette, durch die die IP-Adressen Ihrer Besuchenden tatsächlich laufen, und dem Backoffice des Anbieters. CaptchaFox ist der einzige Anbieter, der seine Widget-Pfad-Verarbeiter öffentlich benennt, und beide sind EU-Unternehmen.

Abbildung 1CLOUD-Act-Risiko in dieser Kategorie 8 gelistet

Keines: 1 13%
Gering: 2 25%
Erheblich: 5 63%
Direkt: 0 0%

Tabelle 1Gelistete Produkte: Hosting, Souveränität, Zertifizierungen, Preise und Signale
		Souveränität	Zertifizierungen	Preise
mosparo MIT-lizenzierter, selbst gehosteter Spam-Schutz eines Schweizer gemeinnützigen Vereins: Sie betreiben ihn auf dem eigenen Server, es gibt also gar keine Verarbeiterkette. Öffentl. AVV: Nicht bewertet Subprozessoren: Nein Open Source: Ja	Schweiz		—	Kostenlos
ALTCHA MIT-lizenziertes Proof-of-Work-Captcha aus Brünn (BAU Software s.r.o.) mit öffentlichem AVV und reinen EU-Endpunkten in der Cloud, die allerdings selbst auf AWS läuft. Öffentl. AVV: Ja Subprozessoren: Nein Open Source: Ja	Tschechien	Self-Hosting EU-souverän	—	Freemium
captcha.eu Wiener Captcha (Captcha GmbH, Teil der Krone-Multimedia-Gruppe) mit namentlichen Verarbeitern, ab 8,90 EUR/Monat, wobei die Website selbst auf AWS CloudFront und Google-Analytics läuft. Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein	Österreich		—	Kostenpflichtig 9 €/Mt.
CaptchaFox Captcha aus dem Raum München (Scoria Labs GmbH) mit veröffentlichter Unterauftragsverarbeiter-Kette aus zwei Namen für das Widget: Hetzner und bunny.net, beide EU, ab 15 EUR/Monat. Öffentl. AVV: Nicht bewertet Subprozessoren: Ja Open Source: Nein	DE Deutschland		—	Kostenpflichtig 15 €/Mt.
Prosopo Britischer Bot-Schutz-Dienst (Prosopo Limited) mit dem transparentesten AVV der Kategorie, der sieben Unterauftragsverarbeiter nennt, vier aus der EU und drei aus den USA; kostenloser Tarif mit 10.000 Anfragen im Monat. Öffentl. AVV: Ja Subprozessoren: Ja Open Source: Nein	Vereinigtes Königreich		—	Freemium
TrustCaptcha Münchner Proof-of-Work-Captcha (Trustcaptcha GmbH) auf Hetzner Nürnberg, ab 8 EUR/Monat, mit Audit-Logs, aber ohne veröffentlichten AVV oder Unterauftragsverarbeiter-Liste. Öffentl. AVV: Nicht bewertet Subprozessoren: Nein Open Source: Nein	Nuremberg · DE Deutschland		—	Kostenpflichtig 8 €/Mt.
Botpoison Unsichtbarer Proof-of-Work-Spamfilter für Formulare (Team hinter Formspark), kostenlos bis 1.000 Prüfungen im Monat, mit veröffentlichter, überwiegend amerikanischer Unterauftragsverarbeiter-Liste und ohne genannte Rechtseinheit. Öffentl. AVV: Nein Subprozessoren: Ja Open Source: Nein	IE Irland		—	Freemium 2 $/Mt.
Friendly Captcha Deutsches cookiefreies Proof-of-Work-Captcha (Friendly Captcha GmbH) ab 9 EUR/Monat, doch AVV und Unterauftragsverarbeiter-Liste sind passwortgeschützt und reines EU-Hosting ist ein kostenpflichtiger Tarif. Öffentl. AVV: Nein Subprozessoren: Nein Open Source: Nein	Deutschland		—	Freemium 9 €/Mt.

Quelle: EU-Vetted-Datensatz, 8 Produkte, Methodik v2026.05, Stand Aug 2026.

Über Captcha & Bot-Schutz

Ein Captcha steht vor Ihren Formularen und entscheidet, ob die besuchende Person ein Mensch ist. Dafür muss es sie ansehen: IP-Adresse, Browser- und Geräteeigenschaften, Interaktionszeiten. Damit gehört es zu den wenigen Drittanbieter-Skripten, die für jede besuchende Person laufen, bevor diese irgendetwas zugestimmt hat. Genau deshalb ist Google reCAPTCHA in europäischen Cookie-Audits der am häufigsten beanstandete Posten geworden und steht neben Google Fonts auf der Liste dessen, was datenschutzbewussten Betreibern zur Entfernung empfohlen wird. reCAPTCHA wird von Google LLC betrieben, setzt Cookies und platziert einen US-Verarbeiter im Pfad jedes Kontaktformulars Ihrer Website.

Das europäische Feld ist besser bestellt, als die meisten annehmen, und es teilt sich entlang einer Linie, die man vor dem Preisvergleich verstehen sollte. Manche Anbieter sind gehostete Dienste, bei denen Sie fremder Infrastruktur vertrauen: CaptchaFox und TrustCaptcha aus Deutschland laufen beide auf Hetzner und halten den Widget-Pfad in der EU, captcha.eu ist ein österreichisches Produkt aus der Verlagsgruppe der Kronen Zeitung, Friendly Captcha ist der bekannteste deutsche Name, und Prosopo ist ein britischer Betreiber mit ungewöhnlich vollständiger Dokumentation. Andere lösen die Frage ganz auf: mosparo von einem Schweizer gemeinnützigen Verein und ALTCHA, MIT-lizenziert aus Brünn, laufen beide auf eigener Infrastruktur, und dann gibt es überhaupt keinen Verarbeiter zu prüfen.

Zwei Dinge lohnen die Prüfung bei jedem Eintrag unten, und keines davon ist die Flagge des Unternehmens. Erstens der Widget-Pfad, also die Kette, durch die die Daten Ihrer Besuchenden tatsächlich laufen, im Unterschied zum Abrechnungs- und Support-Stack des Anbieters; ein Anbieter kann beim Ersten makellos sein und beim Zweiten Stripe und Google nutzen, und nur ein Anbieter hier dokumentiert den Unterschied. Zweitens, ob der AVV vor der Anmeldung lesbar ist: Zwei von acht veröffentlichen einen, zwei stellen ihn auf Anfrage aus, bei einem liegt er hinter einem Passwort, und zwei veröffentlichen nichts. Barrierefreiheit ist eine dritte Achse, die zu einer rechtlichen geworden ist, denn der European Accessibility Act gilt seit Juni 2025, und eine rätselbasierte Prüfung ist konstruktionsbedingt eine Barriere.

Funktionsvergleich

Über Compliance hinaus: wie diese Alternativen bei den Funktionen abschneiden, die Sie täglich nutzen.

Tabelle 2Funktionen je Produkt
Funktion	mosparo	ALTCHA	captcha.eu	CaptchaFox	Prosopo	TrustCaptcha	Botpoison	Friendly Captcha
Self-Hosting	Ja	Ja	Nein	Nein	Nein	Nein	Nein	Nein
Keine Cookies oder Browser-Speicherung	Ja	Ja	Nicht bewertet	Ja	Nicht bewertet	Nicht bewertet	Nicht bewertet	Ja
Unsichtbare Prüfung	Ja	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Proof-of-Work	Nicht bewertet	Ja	Nicht bewertet	Nicht bewertet	Nicht bewertet	Ja	Ja	Ja
Bot-Risikobewertung	Nicht bewertet	Nicht bewertet	Nicht bewertet	Ja	Ja	Ja	Nicht bewertet	Nicht bewertet
WCAG-Barrierefreiheit	Ja	Ja	Nicht bewertet	Nicht bewertet	Ja	Ja	Ja	Ja
CMS-Plugins	Ja	Ja	Ja	Ja	Ja	Ja	Ja	Ja
Gratis-Tarif	Ja	Ja	Nein	Nein	Ja	Nein	Ja	Ja

Quelle: Anbieterdokumentation, Stand Aug 2026.

Wechsel von einem US-Tool für captcha & bot-schutz?

Europäische Alternativen im direkten Vergleich (gleiche Prüfungen zu Hosting, Eigentum und CLOUD Act) für die am häufigsten ersetzten captcha & bot-schutz-Tools.

Häufig gestellte Fragen

Was ist die beste DSGVO-konforme Alternative zu reCAPTCHA?

Bei den gehosteten Diensten hat CaptchaFox (Deutschland) die sauberste veröffentlichte Kette: Die Verarbeiter im Widget-Pfad sind Hetzner (Deutschland) und bunny.net (Slowenien), beide auf einer öffentlichen Seite genannt, das Risiko ist mit Gering erfasst. TrustCaptcha (Deutschland) ist mit 8 € pro Monat auf Hetzner in Nürnberg die günstigste EU-gehostete Option, Risiko Gering. Wer selbst hosten kann, nimmt ALTCHA oder mosparo und entfernt den Anbieter vollständig aus dem Datenpfad, was stärker ist als jede Zusage eines gehosteten Dienstes.

Erfordert reCAPTCHA ein Cookie-Banner?

In der Praxis ja. reCAPTCHA setzt Cookies und übermittelt Besucherdaten an Google, ist also kein unbedingt erforderliches Cookie im Sinne der Einwilligungsfreiheit und wird von Consent-Werkzeugen regelmäßig unter Marketing oder Analytics geführt. Cookiefreie Captchas umgehen das Problem strukturell: Mehrere Anbieter hier setzen keine Cookies und speichern nichts dauerhaft im Browser, sodass das Formular auf Grundlage des berechtigten Interesses nach Art. 6 Abs. 1 lit. f geschützt werden kann, statt auf eine Einwilligung zu warten.

Welche dieser Anbieter veröffentlichen einen AVV?

Nur zwei: ALTCHA veröffentlicht einen herunterladbaren AVV als PDF, und Prosopo veröffentlicht einen als lesbare Seite mit der Unterauftragsverarbeiter-Liste darin. CaptchaFox und TrustCaptcha geben an, ein AVV sei in jedem Tarif enthalten, stellen ihn aber auf Anfrage aus. Die AVV-Adresse von Friendly Captcha ist passwortgeschützt. captcha.eu und Botpoison veröffentlichen keinen. mosparo braucht keinen, weil es selbst gehostet wird und der Verein Ihre Daten nie verarbeitet.

Was ist der Unterschied zwischen dem Widget-Pfad und dem übrigen Stack eines Anbieters?

Der Widget-Pfad ist die Kette, durch die IP-Adresse und Browsersignale einer besuchenden Person tatsächlich laufen, wenn ein Formular geschützt wird. Alles andere, also Abrechnung, Support-Ticketing und die Website-Analyse des Anbieters, berührt Ihre Kontodaten und nicht Ihre Besuchenden. Der Unterschied zählt, weil ein Anbieter im Widget-Pfad vollständig europäisch sein und im Backoffice trotzdem Stripe oder Google nutzen kann. CaptchaFox ist der einzige hier, der beides öffentlich trennt: Hetzner und bunny.net für das Widget, Simple Analytics und Stripe für die Dienstseite.

Ist ein Captcha ein Barrierefreiheitsproblem?

Klassische Bild- und Audio-Captchas sind es, und seit Juni 2025 macht der European Accessibility Act daraus für viele Betreiber eine Compliance-Frage statt einer Höflichkeit. Proof-of-Work und unsichtbare Prüfungen umgehen das, weil sie von der besuchenden Person nie eine Handlung verlangen: ALTCHA ist auf WCAG 2.2 AA und EAA-Konformität ausgelegt, TrustCaptcha und Prosopo dokumentieren Barrierefreiheit, und Friendly Captcha behauptet eine WCAG-2.2-AA-Zertifizierung durch den TÜV, allerdings ohne Bericht oder Prüfdatum.

Kann ich Bot-Schutz selbst hosten, statt einen Dienst zu kaufen?

Ja, und es ist die stärkste Aufstellung dieser Kategorie. mosparo (MIT, Schweizer Verein) gibt es nur selbst gehostet und analysiert Formularinhalte auf dem eigenen Server, sodass kein Dritter je eine besuchende Person sieht. ALTCHA (MIT) lässt sich als Widget samt Prüfserver selbst hosten oder als verwaltete Cloud-Stufe kaufen. In beiden Fällen übernehmen Sie Betrieb, Updates und Sicherheitspatches und haben dafür überhaupt keine Verarbeiterkette.

Werden die europäischen Captcha-Anbieter selbst in Europa gehostet?

Nicht alle, und das ist der Befund dieser Kategorie. CaptchaFox läuft auf Hetzner und bunny.net, TrustCaptcha auf Hetzner in Nürnberg, beide vollständig in der EU. ALTCHA Cloud läuft auf AWS mit Zusage reiner EU-Residenz. captcha.eu wird trotz des Domainnamens aus Amazon S3 hinter CloudFront ausgeliefert, mit Microsoft-365-Mail und Google-Werbemessung. Prosopo nennt AWS, Cloudflare und Hostwinds neben Hetzner, Contabo, OVHcloud und bunny.net. Botpoison nennt AWS, Google Analytics, Sentry und Stripe. Prüfen Sie die Hosting-Zeile jedes Eintrags statt der Flagge im Logo.