Die besten reCAPTCHA-Alternativen 2026 (und warum Sie eine brauchen)

reCAPTCHA hat sich zwischen 2025 und Anfang 2026 dreimal verändert, und jede dieser Änderungen hat ein Stück Kosten oder Risiko auf den Website-Betreiber verlagert. Zuerst kamen kostenpflichtige Tarife oberhalb eines kostenlosen Kontingents von 10.000 Auswertungen pro Monat. Dann wanderte die Site-Key-Verwaltung in die Google Cloud Console. Und am 2. April 2026 wurde Google zum reinen Auftragsverarbeiter, womit der Website-Betreiber unter der DSGVO zum alleinigen Verantwortlichen wird.
Einzeln betrachtet ist das alles nicht dramatisch. Zusammen reichen die Änderungen aber weiter nach unten, als viele erwarten: Eine Website mit 500 Login-Versuchen pro Tag, 80 Registrierungen und 30 Kontaktformular-Einsendungen liegt schon bei rund 19.000 Auswertungen im Monat. Das bedeutet eine Rechnung von Google, ein Cloud-Konto, das jemand verwalten muss, und eine Reihe von DSGVO-Pflichten, von denen Google früher einen Teil getragen hat.
Damit bleibt die Frage, was an die Stelle von reCAPTCHA tritt. Grob gesagt gibt es vier Optionen, und sie unterscheiden sich weniger im Preis als in dem Problem, das sie tatsächlich lösen. Dieser Artikel geht zuerst die Kategorien durch, dann die Fragen, die man jedem Produkt innerhalb einer Kategorie stellen sollte, und schließlich, wie ein konkreter Anbieter darauf antwortet.
Warum 2026 von reCAPTCHA wechseln?
Fünf Gründe, Google reCAPTCHA 2026 zu ersetzen:
- Es ist für die meisten Websites nicht mehr kostenlos.
- Jeder Site Key läuft inzwischen über die Google Cloud Console.
- Seit dem 2. April 2026 tragen Website-Betreiber die alleinige DSGVO-Verantwortung als Verantwortliche.
- Die Datenschutzprobleme, die Aufsichtsbehörden auf den Plan gerufen haben, bestehen weiter.
- Nutzer durchlaufen weiterhin einen der langsamsten und am wenigsten barrierefreien Verifizierungsabläufe im Web.
Der Rest dieses Abschnitts nimmt sie einzeln durch.
1. reCAPTCHA ist für die meisten Websites nicht mehr kostenlos
Der kostenlose Tarif ist nicht verschwunden, er liegt nur unter dem Volumen, das die meisten geschäftsrelevanten Seiten ohnehin erreichen. Google begrenzt ihn auf 10.000 Auswertungen pro Monat. Darüber beginnt der erste kostenpflichtige Tarif bei 8 USD pro Monat für bis zu 100.000 Auswertungen, und ab 100.000 zahlen Sie 0,001 USD je Auswertung.
Ein Zehntel Cent pro Auswertung klingt harmlos, bis man es hochrechnet. Nehmen Sie einen mittelgroßen Shop mit Login, Registrierung und Checkout, der auf 500.000 Auswertungen im Monat kommt: Die ersten 100.000 deckt die Pauschale von 8 USD ab, die restlichen 400.000 kosten 400 USD, macht 408 USD für den Monat. Mitgezählt wird jede Auswertung, auch jede, die von den Bots ausgelöst wurde, die das CAPTCHA erfolgreich abgewehrt hat. Ein Credential-Stuffing-Ausbruch mit einer Million Anfragen erhöht dieselbe Rechnung damit um rund 1.000 USD. Bei einem festen Monatstarif kostet ein Angriffsmonat dagegen genauso viel wie ein ruhiger.
Private Seiten und Blogs mit wenig Traffic bleiben meist innerhalb des kostenlosen Kontingents; Websites mit Login, Registrierung oder Checkout in der Regel nicht.
2. Alles läuft jetzt über die Google Cloud Console
Von Q4 2025 bis Q1 2026 wurde jeder bestehende reCAPTCHA-Site-Key in die Google Cloud Console migriert. Wer ihn heute verwalten will, braucht ein Google-Cloud-Konto, ein Projekt, hinterlegte Abrechnungsdaten und die passenden IAM-Rollen für die Personen, die sich im Alltag um das CAPTCHA kümmern.
Beim Support ist es dasselbe. Der einzige Kanal ist Google Cloud Support, verkauft in Stufen, die am unteren Ende bei rund 100 USD pro Monat beginnen und bei Premium 15.000 USD pro Monat erreichen, berechnet als Prozentsatz der gesamten Cloud-Ausgaben. Einen Posten in CAPTCHA-Größe gibt es in dieser Liste nicht. Damit sich ein Mensch ein einzelnes Widget ansieht, kaufen Sie also einen Supportvertrag für eine ganze Cloud-Plattform.
Für eine Cloud-Plattform ist daran nichts ungewöhnlich. Für ein Formular-Widget ist es viel Verwaltungsaufwand, und es zieht die alltägliche Betreuung in Beschaffung, IAM-Rollen und einen Cloud-Vertrag hinein, den das Widget selbst nie gebraucht hat.
3. Seit dem 2. April 2026 sind Sie der alleinige Verantwortliche
Am 2. April 2026 änderte Google seine Rolle für reCAPTCHA von einer geteilten Verantwortung zum reinen Auftragsverarbeiter, angekündigt im Google-Cloud-Community-Beitrag zur Änderung. Googles Anteil an dieser Verantwortung ist damit kleiner geworden, der des Betreibers entsprechend größer.
Alleiniger Verantwortlicher zu sein heißt: Sie legen die Rechtsgrundlage fest, beschreiben die Verarbeitung in Ihrer Datenschutzerklärung, führen eine DSFA durch, wo eine nötig ist, bearbeiten Betroffenenanfragen und pflegen das Verarbeitungsverzeichnis nach Artikel 30. Für Ihren reCAPTCHA-Einsatz übernimmt das nun niemand mehr außer Ihnen.
Google hat außerdem die Links zur Datenschutzerklärung aus dem reCAPTCHA-Badge entfernt, die früher auf Googles eigenen Hinweis verwiesen haben. Es lohnt sich also zu prüfen, ob Ihre Datenschutzerklärung die Verarbeitung noch zutreffend beschreibt und ob Ihr Artikel-30-Verzeichnis und Ihr Cookie-Consent die neue Verantwortungsverteilung abbilden.
4. Die Datenschutzprobleme sind nicht verschwunden
Der Rollenwechsel ist ein vertraglicher Vorgang. Am Verhalten im Browser ändert er nichts: Das _GRECAPTCHA-Cookie wird weiterhin gesetzt, und Verhaltenssignale werden weiterhin über die sehr große Zahl von Websites erfasst, auf denen reCAPTCHA eingebettet ist.
Aufsichtsbehörden haben sich das schon angesehen. Die französische CNIL verhängte 125.000 EUR gegen Cityscoot, wobei die Datenübermittlung durch reCAPTCHA einer der beitragenden Faktoren war, und später 105.000 EUR gegen NS Cards France mit ähnlicher Begründung. Im September 2024 entschied das österreichische Bundesverwaltungsgericht (GZ W298 2274626-1/8E), dass das _GRECAPTCHA-Cookie nicht als unbedingt erforderlich gilt und deshalb eine vorherige Einwilligung braucht.
Das sind Entscheidungen zu einzelnen Websites in einzelnen Rechtsordnungen, über Ihren eigenen Einsatz sagen sie also nichts Endgültiges. Sie zeigen aber, dass die Prüfung von reCAPTCHA durch Aufsichtsbehörden bisher meist zulasten des Betreibers ausgegangen ist, der es eingebettet hatte. Ob dieselbe Argumentation auf Ihre Konfiguration zutrifft, ist eine Frage für Ihre Rechtsberatung.
5. Nutzer durchlaufen einen der längsten und am wenigsten barrierefreien Abläufe im Web
Unter den verwalteten CAPTCHAs gehört der Challenge-Ablauf von reCAPTCHA zu den langsamsten und mühsamsten. Bilderraster-Challenges dauern regelmäßig über zehn Sekunden, und dieses Raster aus Zebrastreifen, Ampeln und Fahrrädern ist der Standard-Fallback, sobald der Risiko-Score grenzwertig ausfällt.
Seit dem 28. Juni 2025 gilt der European Accessibility Act (Richtlinie 2019/882) für Dienste in seinem Anwendungsbereich. Fällt Ihr Dienst darunter, fällt auch die Bot-Schutz-Challenge davor darunter, weshalb es sich lohnt zu prüfen, ob sie die WCAG-Kriterien erfüllt. Ein visuelles Puzzle ist eine Barriere für alle, die assistive Technologie nutzen, und anders als bei den meisten Barrieren hat der Betreiber sich hier bewusst dafür entschieden.
Das sind die Gründe, aus denen Betreiber reCAPTCHA verlassen. Der schwierigere Teil ist die Wahl des Ersatzes, und die beginnt mit der Frage, welche Art von Ersatz Sie überhaupt suchen.
Die vier Arten von reCAPTCHA-Alternative
Jeder Ersatz fällt in eine von vier Kategorien. Sie sind nicht austauschbar, und die meiste Enttäuschung in diesem Markt entsteht durch die falsche Kategorie und nicht durch den falschen Anbieter darin.
US-gehostete verwaltete CAPTCHAs
Das sind die Eins-zu-eins-Tausche: ein anderer Anbieter mit derselben Produktform, ein Widget zum Einsetzen und eine vertraute serverseitige Verifikation. Die Integration ist die schnellste der vier Kategorien, und die kostenlosen Tarife sind hier die großzügigsten am Markt.
Was diese Kategorie nicht löst, ist genau der Grund, aus dem sich die meisten europäischen Teams überhaupt umsehen. Ein Anbieter mit Sitz in den USA verarbeitet unter US-Jurisdiktion, die Übermittlungsfrage bleibt also dort, wo reCAPTCHA sie hinterlassen hat: beim EU-US Data Privacy Framework, das auf derselben rechtlichen Grundlage steht, die das Schrems-II-Urteil bereits zweimal gekippt hat. Einige Anbieter dieser Kategorie setzen keine Cookies und gehen mit Datenschutz deutlich sorgfältiger um als reCAPTCHA. Am Speicherort der Daten ändert das nichts.
Eine vernünftige Wahl, wenn Datenlokalisierung keine harte Anforderung ist und der Preis den Ausschlag gibt. Überlegen Sie sich aber vorher, was Sie tun, falls sich am Framework wieder etwas ändert.
EU-gehostete verwaltete CAPTCHAs
Dieselbe Produktform, allerdings mit einem Unternehmen mit Sitz in der EU und Verarbeitung auf EU-Infrastruktur. Das ist die Kategorie, die die Änderung vom 2. April beantwortet, statt sie zu verschieben. Die Pflichten als Verantwortlicher bleiben bei Ihnen, die Übermittlungsprüfung entfällt aber weitgehend, und der Anbieter untersteht einer Aufsichtsbehörde, die Sie tatsächlich erreichen.
Einheitlich ist die Kategorie nicht, und vier Fragen trennen die Anbieter darin. Liegt das Hosting ausschließlich in der EU oder ist es dort nur verfügbar? Sitzt ein Unterauftragsverarbeiter außerhalb der EU? Werden Cookies gesetzt? Und beruht die Erkennung auf einem Mechanismus oder auf mehreren übereinander? Eine Aufschlüsselung nach Anbietern mit vollständiger Vergleichstabelle finden Sie in unserer Übersicht der besten europäischen CAPTCHA-Lösungen.
Selbst gehostet oder Open Source
Sie betreiben die Challenge selbst, nichts verlässt Ihre Infrastruktur, und es gibt keinen Anbieter zu prüfen. Wo interne Richtlinien Drittanbieter-CAPTCHA-Dienste grundsätzlich ausschließen, bleibt nur diese Kategorie.
Im Gegenzug verantworten Sie Verfügbarkeit, Skalierung und Patches, ohne SLA und ohne Dashboard als Rückfallebene. Die meisten Open-Source-Optionen sind zudem Proof-of-Work-Implementierungen, und Proof of Work erhöht die Kosten der Automatisierung, ohne zu verraten, ob die Rechenleistung aus einem Browser kam oder von einem Bot mit Budget im Hintergrund. Eine echte Verteidigung, aber nur eine einzelne Schicht davon.
Gar kein CAPTCHA
Erwähnenswert, weil ein guter Teil der Suchen nach einer reCAPTCHA-Alternative eigentlich der Frage nachgeht, ob überhaupt ein CAPTCHA nötig ist. Honeypot-Felder, Rate Limiting, E-Mail-Bestätigung und serverseitige Validierung halten Massen-Spam auf, ohne Kosten und ohne Reibung für Nutzer.
Sie halten allerdings nur die grobe Automatisierung auf. Ein Honeypot scheitert an jedem Skript, das die Sichtbarkeit eines Feldes prüft, und Rate Limiting scheitert, sobald Anfragen über viele Adressen verteilt werden – wofür Proxy-Infrastruktur genau existiert. Als erste Schicht unter etwas Stärkerem lohnt sich das alles. Als einzige Schicht vor einem Login- oder Checkout-Formular sind es die Lücken, durch die Credential Stuffing kommt.
Drei der vier Kategorien halten je nach Rahmenbedingungen stand. Die Wahl innerhalb einer Kategorie braucht mehr als das Etikett.
Was ein echter reCAPTCHA-Ersatz leisten muss
Steht die Kategorie, entscheiden sechs Fragen zwischen den Produkten darin. Wie hält es der Dienst standardmäßig mit dem Datenschutz? Was kostet die Verifizierung Ihre legitimen Nutzer? Ist Barrierefreiheit eingebaut? Können Sie die Rechnung vorhersagen? Wie lange dauert die Migration? Und erreichen Sie einen Menschen, wenn Sie einen brauchen?
Datenschutz und DSGVO von Haus aus
Ein Dienst, der erst datenschutzfreundlich wird, wenn man die richtigen Einstellungen gefunden hat, wird irgendwann falsch konfiguriert in Produktion laufen. Entscheidend sind deshalb die Voreinstellungen. EU-Hosting sollte bedeuten, dass die Daten in der EU liegen, und nicht, dass EU-Hosting auf Anfrage verfügbar wäre. Cookies sollte es gar keine geben, weder für Sessions noch für Präferenzen oder Authentifizierung, und keinen persistenten Browser-Speicher, mit dem ein Besucher über Besuche hinweg wiedererkannt wird. Im Idealfall funktioniert das Widget nach den ePrivacy-Vorgaben ohne Einwilligungsschranke davor, denn der ganze Sinn eines datenschutzorientierten CAPTCHAs liegt darin, dass Sie sich nicht auf eine Einwilligung verlassen müssen.
Signale auszuwerten ist nicht dasselbe wie Menschen zu verfolgen. Jedes moderne CAPTCHA muss Anfragesignale und die IP-Reputation betrachten, um Mensch und Bot zu unterscheiden; entscheidend ist, was danach mit diesen Signalen passiert. Diesen Teil können Sie selbst prüfen: ob Signale nur zum Anfragezeitpunkt ausgewertet werden und ob danach etwas gespeichert, zwischen Websites verknüpft oder für andere Zwecke als die Bot-Erkennung genutzt wird.
Verifizierung, die der Nutzer kaum bemerkt
Das Ziel ist gar keine Challenge für legitimen Traffic und eine sichtbare Prüfung nur dann, wenn die Signale sie rechtfertigen. Der sichtbare Pfad muss für die Anfragen existieren, die die adaptive Schicht tatsächlich markiert, er sollte aber die Ausnahme bleiben, denn auch eine schnelle Challenge ist eine Unterbrechung.
Bei legitimem Traffic sollte die Verifizierung von Anfang bis Ende in unter zwei Sekunden durch sein, ohne Bild-Puzzles und ohne verzerrten Text. Je langsamer und sichtbarer die Challenge, desto mehr Registrierungen brechen auf halbem Weg ab.
Barrierefreiheit, die EAA und WCAG erfüllt
Barrierefreiheit kann kein Modus sein, den man einschaltet, schon weil die Menschen, die sie brauchen, am seltensten danach fragen. Der Dienst muss ab dem ersten Seitenaufruf funktionieren, und das heißt: WCAG-konform von der Konzeption her, mit passiven Challenge-Typen (Signalanalyse, Verhaltensanalyse, Proof of Work), die ohne Sehen, Hören oder Feinmotorik auskommen.
Der European Accessibility Act gilt seit dem 28. Juni 2025 für Dienste in seinem Anwendungsbereich. Deckt die Richtlinie Ihren Dienst ab, deckt sie auch das CAPTCHA davor ab, das die WCAG-Kriterien damit genauso erfüllen muss wie alles andere.
Preise, mit denen Sie planen können
CAPTCHA-Traffic ist der Kostenpunkt, der am ehesten genau bei den Angriffen ansteigt, die das Produkt abwehren soll. Eine Abrechnung pro Auswertung gibt einem Angreifer damit einen Hebel auf Ihre Rechnung, denn das Volumen ist die eine Variable, die er steuert. Ein fester Monatstarif ist das einzige Modell, das eine ernsthafte Credential-Stuffing-Kampagne ohne ein zweites Gespräch mit der Finanzabteilung übersteht.
Auf zwei Dinge sollten Sie bestehen: einen Preis, der pro Monat feststeht statt pro Anfrage zu laufen, und Support, der im Tarif enthalten ist statt separat verkauft und gegen Ihre gesamten Cloud-Ausgaben verrechnet zu werden.
Eine Migration, die Stunden dauert, nicht einen Sprint
Ob eine Migration überhaupt stattfindet, entscheidet die API-Kompatibilität. Behält die serverseitige Verifikation dieselbe Struktur, ist der Wechsel ein Tausch, den Sie zwischen zwei Terminen erledigen. Behält sie sie nicht, ist der Wechsel ein Rewrite, und Rewrites werden verschoben, bis etwas sie erzwingt.
Eine reCAPTCHA-kompatible API behält das siteverify-Muster: Der Server sendet das Token, der Anbieter gibt eine Verifikationsantwort zurück, und die meiste bestehende Serverlogik läuft weiter. Es ändern sich die Endpunkt-URL und der Site Key. Bleiben der clientseitige Widget-Tausch und ein Staging-Zyklus, denn Schwellenwerte für Risiko-Scores lassen sich zwischen Anbietern nicht ungeprüft übernehmen.
Support von Menschen, nicht von einem Help Center
In der Migrationswoche brauchen Sie am ehesten Hilfe, und genau dann helfen ein Community-Forum und ein Knowledge-Base-Artikel am wenigsten. Persönlicher Support sollte in dem Tarif enthalten sein, den Sie ohnehin zahlen, und erreichbar, ohne dass Sie zusätzlich einen Enterprise-Cloud-Support-Tarif kaufen.
CaptchaFox im Detail
Mehrere ernstzunehmende Anbieter fallen in die Kategorie der EU-gehosteten CAPTCHAs. So beantwortet CaptchaFox die sechs Fragen von oben, in derselben Reihenfolge.
Datenschutzorientiert, entwickelt und gehostet in Deutschland
CaptchaFox kommt von der Scoria Labs GmbH, einem deutschen Unternehmen, und läuft auf EU-Infrastruktur, die Daten bleiben also in europäischer Jurisdiktion. Es gibt keine Cookies, keine Tracker und keine persistente Speicherung von Endnutzerdaten. Signalanalyse und IP-Bewertung erfolgen zum Anfragezeitpunkt, und sobald die Antwort zurückgegeben ist, wird nichts aufbewahrt, nichts zwischen Websites verknüpft und nichts über die Bot-Erkennung hinaus weiterverwendet. Die DSGVO-Konformität ergibt sich daraus, wie der Dienst gebaut ist, und nicht aus einer Einstellung, die man erst finden muss.
Unter einer Sekunde, die meiste Zeit unsichtbar
Das UX-Modell heißt Smart Protection Mode. Für jede Anfrage lässt das Widget mehrere Erkennungsschichten laufen (Signalanalyse, Verhaltensanalyse und Proof of Work) und zeigt eine sichtbare Challenge nur, wenn der Risiko-Score den Schwellenwert überschreitet. Legitimer Traffic wird unsichtbar verifiziert, und der vollständige Verifizierungspfad liegt im Schnitt bei etwa einer Sekunde.
Barrierefrei von Grund auf
Weil die primären Challenge-Typen passiv sind, ist der barrierefreie Pfad zugleich der normale. Er funktioniert ab dem ersten Seitenaufruf mit Screenreadern und reiner Tastaturnavigation, für jeden Besucher, ohne einen eigenen Modus, den man erst finden und einschalten müsste. Sichtbare Fallback-Optionen gibt es für Betreiber, die sie vorziehen, und der Standardpfad bleibt ohne Sehen, Hören oder Feinmotorik nutzbar. Fällt Ihr Dienst unter den EAA, fällt damit ein Punkt von der Liste der Dinge, die Sie nachbessern müssen.
Feste, transparente EUR-Preise
Die Preise sind fest, werden in Euro gezahlt und jährlich abgerechnet, alle Angaben zzgl. MwSt. Starter deckt 10.000 Anfragen pro Monat über zwei Domains für 15 EUR pro Monat ab. Growth erhöht das auf 30.000 Anfragen und sechs Domains und ergänzt Invisible Challenge für 39 EUR. Team deckt 100.000 Anfragen und zehn Domains für 85 EUR ab. Enterprise wird individuell kalkuliert, mit unbegrenzten Anfragen, einer Uptime-SLA von 99,95 % und Priority-Support.
Einen Zähler pro Anfrage gibt es nicht, deshalb kostet eine Traffic-Spitze, ein Bot-Ausbruch oder eine ausgewachsene Credential-Stuffing-Kampagne genauso viel wie eine ruhige Woche. Nähert sich eine Website ihrem Limit, meldet sich CaptchaFox, bevor sich an der Abrechnung etwas ändert. Jeder Tarif enthält eine 7-tägige kostenlose Testphase und Support von einem Menschen.
Eine reCAPTCHA-kompatible API
Die serverseitige Verifikation folgt dem siteverify-Muster, in den meisten Implementierungen ändern sich auf dem Server also nur die Endpunkt-URL und der Site Key, während die Antwortstruktur gleich bleibt. Clientseitige SDKs gibt es für React (@captchafox/react), Vue, Angular, Vanilla JavaScript, WordPress und Keycloak, und in Authentifizierungsbibliotheken wie better-auth ist CaptchaFox als unterstützter Anbieter gelistet. Für eine typische kleine oder mittlere Website ist die Migration die Arbeit eines Nachmittags, plus etwas Zeit, um die Schwellenwerte gegen echten Traffic zu testen, denn Risiko-Scores lassen sich nie sauber von einem Anbieter zum nächsten übertragen.
So migrieren Sie weg von reCAPTCHA
Der Weg in fünf Schritten
Für eine kleine oder mittlere Website dauert die ganze Sequenz etwa einen Nachmittag Entwicklerarbeit.
- Bestandsaufnahme. Listen Sie in der Google Cloud Console jeden reCAPTCHA-Site-Key auf, notieren Sie, zu welcher Seite oder welchem Formular er gehört, und halten Sie das monatliche Auswertungsvolumen fest. Dieses Volumen sagt Ihnen, welcher CaptchaFox-Tarif passt, und gibt Ihnen eine Zahl zum Vergleichen nach dem Wechsel.
- Tarif dimensionieren. Stimmen Sie Ihr Volumen auf Starter (10.000 Anfragen pro Monat), Growth (30.000), Team (100.000) oder Enterprise (unbegrenzt) ab. Alle Tarife sind zum Preis bei jährlicher Abrechnung angegeben und enthalten eine 7-tägige kostenlose Testphase. Liegt Ihr Volumen nahe an einer Tarifgrenze, nehmen Sie den nächsthöheren.
- Registrieren und Domain hinzufügen. Erstellen Sie ein Konto unter https://portal.captchafox.com/register, fügen Sie die Domain hinzu und kopieren Sie Site Key und Secret. Das dauert etwa fünf Minuten und läuft ohne Google-Cloud-Konto.
- Widget und Endpunkt tauschen. Ersetzen Sie das reCAPTCHA-Client-Skript durch das CaptchaFox-SDK für Ihren Stack (React, Vue, Angular, Vanilla JavaScript, WordPress, Keycloak). Auf dem Server aktualisieren Sie die Verifikations-Endpunkt-URL und den Site Key. Die Antwort folgt derselben
siteverify-Konvention. - Staging, Test, Go-Live. Lassen Sie die neue Challenge zuerst im Staging laufen und prüfen Sie, dass legitimer Traffic unsichtbar durchkommt, markierter Traffic eine sichtbare Challenge erhält und sich Formulare sauber absenden lassen. Behalten Sie das Dashboard nach dem Go-Live etwa eine Woche im Blick, was Invisible Challenge und der 14-Tage-Verlauf im Growth-Tarif abdecken, und passen Sie die Schwellenwerte an, wenn es nötig ist.
Das Feintuning der Schwellenwerte ist der einzige Teil, der kein reiner Tausch ist, und genau dafür ist der Staging-Zyklus da.
Die vollständige Tarifliste und die 7-tägige kostenlose Testphase finden Sie unter https://portal.captchafox.com/register. Für Enterprise erreichen Sie das Team unter sales@captchafox.com.
FAQ
Was ist die beste Alternative zu reCAPTCHA?
Für die meisten europäischen Website-Betreiber kommt CaptchaFox dem am nächsten, was reCAPTCHA einmal war. Der Dienst wird in Deutschland gehostet, setzt keine Cookies, verifiziert einen Besucher in etwa einer Sekunde und erfüllt DSGVO- und WCAG-Anforderungen von Haus aus. Günstigere Optionen gibt es, Cloudflare Turnstile hat den bekanntesten kostenlosen Tarif, sie bringen aber Abstriche mit sich: beim Ort der Verarbeitung, bei der Barrierefreiheit der Challenge oder beim Support. Wer einen datenschutzorientierten Ersatz mit reCAPTCHA-kompatibler API und festem Monatspreis sucht, startet bei CaptchaFox ab 15 EUR.
Ist reCAPTCHA 2026 noch kostenlos?
Für die meisten Websites nicht. Google begrenzt die kostenlose Nutzung auf 10.000 Auswertungen pro Monat, alles darüber läuft über die Google Cloud Console mit eigener Abrechnungsbeziehung. Der erste kostenpflichtige Tarif kostet 8 USD pro Monat für bis zu 100.000 Auswertungen, darüber zahlen Sie 0,001 USD je Auswertung. CaptchaFox deckt dieselben 10.000 Anfragen für feste 15 EUR pro Monat ab, ohne Nutzungszähler, ohne Cookies und ohne Cloud-Console-Einrichtung.
Ist Google reCAPTCHA DSGVO-konform?
Das hängt vom konkreten Einsatz ab, und kein Anbieter kann die Frage für Sie beantworten. Belegt ist, dass Aufsichtsbehörden Websites mit reCAPTCHA geprüft und gegen die Betreiber entschieden haben: Die französische CNIL verhängte Bußgelder gegen Cityscoot und NS Cards France, und das österreichische Bundesverwaltungsgericht hielt fest, dass reCAPTCHA-Cookies eine vorherige Einwilligung erfordern. Seit dem 2. April 2026 agiert Google ausschließlich als Auftragsverarbeiter, die Verantwortung als Verantwortlicher liegt damit vollständig beim Website-Betreiber. CaptchaFox ist darauf ausgelegt, diese Prüfung kurz zu halten: EU-Hosting, keine Cookies, nach der Antwort wird nichts gespeichert.
Was hat sich bei reCAPTCHA 2025 und 2026 geändert?
Drei Dinge, eines nach dem anderen. 2025 kamen kostenpflichtige Tarife, die die kostenlose Nutzung auf 10.000 Auswertungen pro Monat begrenzten. Zwischen Q4 2025 und Q1 2026 wanderte die gesamte Site-Key-Verwaltung in Google Cloud. Und am 2. April 2026 wurde Google zum reinen Auftragsverarbeiter, womit die alleinige DSGVO-Verantwortung auf die Website-Betreiber überging.
Wie aufwändig ist der Wechsel weg von reCAPTCHA?
Für die meisten Websites ist es ein Nachmittag. Sie tauschen das Client-Widget, richten die serverseitige Verifikation auf einen neuen Endpunkt und testen im Staging, bevor es live geht. Weil die CaptchaFox-API das siteverify-Antwortformat beibehält, läuft der größte Teil des bestehenden Servercodes unverändert weiter. Für die gängigen Stacks gibt es SDKs, dazu eine 7-tägige kostenlose Testphase und persönlichen Support in jedem Tarif.
Über CaptchaFox
CaptchaFox ist eine DSGVO-konforme Captcha-Lösung aus Deutschland, die Webseiten und Anwendungen vor automatisiertem Missbrauch wie Bots und Spam schützt. CaptchaFox ist für Kunden in wenigen Minuten einsatzbereit, erfordert keine laufende Administration und bietet Unternehmen anhaltenden Schutz.
Um mehr über CaptchaFox zu erfahren, spreche mit uns oder integriere unsere Lösung mit einer kostenlosen Testversion.


