TrustCaptcha ist ein Captcha auf Basis dynamischer Proof-of-Work-Verfahren, betrieben von der Trustcaptcha GmbH in München und unter der übergreifenden Marke TrustComponent vertrieben, zu der auch ein Statusseiten-Produkt und ein USt-IdNr.-Prüfer gehören. Statt Ampeln erkennen zu lassen oder das Verhalten gegen einen globalen Signalgraphen zu profilieren, lässt das Widget den Browser ein kleines kryptografisches Rätsel rechnen, dessen Schwierigkeit sich am eingeschätzten Risiko orientiert. Diese Entwurfsentscheidung ist der Grund, warum es ohne Verhaltensprofil auskommt, und sie wird ergänzt durch Honeypot-Prüfung, Bot-Erkennung und Risikobewertung, IP-Positiv- und Sperrlisten, eigene Zugriffsregeln und Geoblocking, Bypass-Schlüssel, Umgebungen, Teamplätze mit Rollen und Audit-Logs in den höheren Tarifen.
Bei der Rechtslage ist das Bild einfach: eine in München eingetragene deutsche GmbH, und der Dienst löst auf Hetzner-Infrastruktur in Nürnberg auf, Betreiber und Server liegen also beide in Deutschland. Jeder Tarif wird mit "GDPR, EU hosted & DPA" beworben, ab dem Einstiegstarif gilt eine Verfügbarkeitszusage von 99,9 %.
Die Lücke ist die Dokumentation. Es gibt keinen öffentlich erreichbaren AVV und keine namentliche Unterauftragsverarbeiter-Liste: Die Datenschutzerklärung führt Empfänger nur nach Funktion auf (Hostinganbieter, Fehlerprotokollierung, Buchhaltungsdienstleister, IT-Dienstleister, Analytics, Datenspeicherung, Zahlungsdienstleister, Werbenetzwerke), ohne einen zu nennen. Die bestätigten namentlichen Dritten sind Stripe Payments Europe Ltd. in Irland für Zahlungen, ein Google-Ads-Klick-Identifikator als optionales Werbe-Cookie und ein OpenReplay-Cookie für Session-Aufzeichnung, die beiden letzten auf der Marketing-Website des Anbieters und nicht im Widget-Pfad: Gering. Die Preise sind die günstigsten der Kategorie und beginnen bei 8 € pro Monat für 1.000 Prüfungen und eine Website, dann Advanced für 36 EUR (10.000 Prüfungen, 5 Websites) und Team für 168 EUR (50.000 Prüfungen).