Bestes CAPTCHA-Plugin für WordPress (2026)

Suchen Sie im wordpress.org-Plugin-Verzeichnis nach einer Möglichkeit, Formular-Spam zu stoppen. Sie bekommen seitenweise CAPTCHA-Empfehlungen. Keine davon stammt von Google. Ein reCAPTCHA-Plugin für WordPress veröffentlicht Google nicht. Eine Prüfung des Verzeichnisses am 11. August 2026 bestätigt das: Jede reCAPTCHA-Installation unter WordPress läuft über einen Drittanbieter-Wrapper, den jemand anderes geschrieben hat und pflegt.

Das verändert, worüber Sie eigentlich entscheiden. Unter WordPress ist das Plugin das, was Sie ausrollen. Es legt fest, wie viel von Ihrer Website das CAPTCHA erreicht, was es im Browser tut und ob davon irgendetwas das nächste WordPress-Release übersteht.

Warum WordPress die CAPTCHA-Entscheidung verändert

Drei Eigenschaften von WordPress unterscheiden diese Entscheidung vom Einsetzen eines Widgets in eine individuell gebaute Website.

Die Plugin-Ebene fügt einen zweiten Maintainer hinzu. Ein Dienst kann 99,95 % Verfügbarkeit zusagen. Sitzt davor ein Plugin, dessen letztes Update fünfzehn Monate zurückliegt, bekommen Sie die Zuverlässigkeit des Plugins, nicht die des Dienstes.

WordPress hat keine einheitliche Formular-API. Abdeckung entsteht Integration für Integration. Unterstützung für Contact Form 7 bedeutet nicht automatisch Unterstützung für Gravity Forms. Wer das WooCommerce-Login-Formular abdeckt, deckt damit noch lange nicht den WooCommerce-Checkout ab. Hinter „unterstützt die gängigen Formular-Plugins“ stecken ein Dutzend separate Behauptungen in einem einzigen Satz.

Die Kern-Angriffsfläche existiert, bevor Sie irgendetwas installieren. Eine Standardinstallation stellt drei öffentliche Endpunkte bereit, die Bots ohne Ihr Zutun finden: Login, Passwort-Zurücksetzen und Kommentare. Die Registrierung kommt als vierter Endpunkt hinzu, sobald Sie Jeder kann sich registrieren aktivieren. Auf diese Endpunkte treffen Brute-Force-Versuche und Traffic zur Erstellung gefälschter Konten, ganz gleich, ob Sie jemals ein Kontaktformular hinzugefügt haben. Page Builder vergrößern die Fläche weiter: Elementor, Divi, Avada und Kadence bringen jeweils eine eigene Formularimplementierung mit.

Damit bleibt eine engere Frage als „welches CAPTCHA erkennt am besten“: Welches Plugin erreicht jedes Formular, das Sie tatsächlich betreiben? Und wird es diese Formulare auch im nächsten Jahr noch erreichen?

So bewerten Sie ein WordPress-CAPTCHA-Plugin

Sechs Kriterien. Jedes davon lässt sich in etwa fünf Minuten auf der Verzeichnisseite eines Plugins oder in dessen Readme beantworten, bevor Sie irgendetwas installieren.

1. Offizielles Plugin und wer es pflegt. Prüfen Sie, ob das Plugin vom CAPTCHA-Anbieter stammt oder von einem Dritten, der die API des Anbieters umhüllt. Ein vom Anbieter gepflegtes Plugin bedeutet einen Release-Zyklus und einen Support-Kanal. Ein Wrapper kann hinter dem Dienst zurückbleiben oder aufgegeben werden, während der Dienst selbst einwandfrei weiterläuft.

2. Wartungsstatus und WordPress-Kompatibilität. Zwei öffentliche Felder beantworten das: das Datum der letzten Aktualisierung und die „getestet bis“-WordPress-Version. Mehr als eine Hauptversion Rückstand bei „getestet bis“ ist ein dauerhaftes Risiko. Änderungen am Core brechen Formular-Hooks.

3. Abdeckung der Formular-Plugins. Lesen Sie die Abdeckung auf Ebene der einzelnen Integrationen: WordPress-Core-Login, Registrierung, Passwort-Zurücksetzen und Kommentare, danach diejenigen aus Contact Form 7, WPForms, Gravity Forms, Elementor Forms, Fluent Forms, Forminator und Ninja Forms, die Sie tatsächlich einsetzen. WooCommerce verdient eine eigene Zeile: Login, Registrierung, Passwort-Zurücksetzen und Checkout sind vier separate Integrationen. Am schwersten wiegt der Checkout. Dort landen Carding-Versuche OWASP OAT-001. In mehreren reCAPTCHA-Plugins ist er ein Feature der Bezahltarife.

4. Einrichtung ohne Code. Site Key, Secret Key, die zu schützenden Formulare anhaken. Alles andere ist Wartungsaufwand: ein Shortcode in jedem Formular, eine Änderung an einer Theme-Datei, ein Snippet in functions.php. Dieser Aufwand fällt bei jedem Formularumbau und jedem Theme-Wechsel erneut an.

5. Auswirkung auf Seitengeschwindigkeit und Core Web Vitals. Viele Plugins binden das CAPTCHA-Skript websiteweit ein statt nur dort, wo ein geschütztes Formular existiert. Ihre Startseite bezahlt dann für ein Widget, das sie nie rendert, und zwar in Largest Contentful Paint und Interaction to Next Paint. Achten Sie auf verzögertes oder durch Interaktion ausgelöstes Laden, auf Einbindung im Footer oder auf bedingtes Laden pro Seite.

6. Datenverarbeitung und Einwilligung für EU-Website-Betreiber. Vier Fragen: Wo wird die Verifizierung verarbeitet? Setzt das Widget Cookies? Werden Daten nach Rückgabe des Ergebnisses aufbewahrt? Und werden sie für irgendetwas jenseits der Bot-Erkennung genutzt? Nicht unbedingt erforderliche Cookies setzen nach den ePrivacy-Regeln eine vorherige Einwilligung voraus Richtlinie 2002/58/EG, Artikel 5 Absatz 3, EDSA-Leitlinien 2/2023. Unter WordPress heißt das meist: das CAPTCHA in Ihrer Consent-Management-Plattform deklarieren und eine Einwilligungshürde vor Ihrem Kontaktformular in Kauf nehmen. Ob Ihre Konstellation die Pflichten erfüllt, ist eine Frage für Ihre Rechtsberatung. Das Browser-Verhalten des Widgets können Sie in dreißig Sekunden selbst prüfen. Ist EU-Verarbeitung eine feste Anforderung, geht unser Vergleich europäischer CAPTCHA-Anbieter tiefer ins Detail.

WordPress-CAPTCHA-Plugins im Vergleich

Jede Zahl unten stammt aus der öffentlichen wordpress.org-Plugin-Informations-API, abgerufen am 11. August 2026. Die Angaben zur Abdeckung stammen aus dem jeweiligen Readme des Plugins. Plugin-Daten ändern sich. Prüfen Sie die Verzeichnisseite also erneut, bevor Sie installieren.

[1] hCaptcha wird von Intuition Machines, Inc. aus Miami, Florida, betrieben. Das Unternehmen ist unter den Data Privacy Frameworks EU-USA, UK-USA und Schweiz-USA selbstzertifiziert und [in allen dreien als aktiv gelistet](https://www.dataprivacyframework.gov/participant/6388). Es gibt zudem an, [nach ISO 27001 und 27701 zertifiziert](https://www.hcaptcha.com/certifications) zu sein. Das Readme führt aus, dass das Plugin in der Standardkonfiguration keine Cookies setzt und keine Daten an externe Server sendet.
[2] Das am weitesten verbreitete Turnstile-Plugin wird von einem unabhängigen Entwickler veröffentlicht. Sein Readme stellt fest, dass es weder mit Cloudflare verbunden noch von Cloudflare unterstützt oder gesponsert wird.
[3] Turnstile setzt keine Tracking-Cookies. Ein funktionales cf_clearance-Cookie wird nur dort ausgestellt, wo der Website-Betreiber Cloudflares [Pre-Clearance-Modus](https://developers.cloudflare.com/turnstile/concepts/pre-clearance-support/) aktiviert, der standardmäßig ausgeschaltet ist.
[4] Die Unterstützung für Contact Form 7, WPForms, Gravity Forms, Elementor Pro, Ninja Forms, Formidable, Forminator und WooCommerce ist als Pro-Feature gelistet.
[5] Deckt WordPress-Core-Formulare, BuddyPress, WooCommerce und Easy Digital Downloads ab. Das Readme führt ein generisches „WooCommerce Form“ auf, ohne den Checkout zu benennen. Eigene Integrationen für Contact Form 7, WPForms, Gravity Forms oder Elementor gibt es nicht.
[6] Zuletzt am 11. Juni 2025 aktualisiert und, Stand 11. August 2026, weiterhin nur gegen ein mehrere Versionen altes WordPress-Release getestet. Sein Readme führt die Ein-Klick-Integration mit WooCommerce, Contact Form 7, Gravity Forms, WPForms und BuddyPress unter den Premium-Features auf; das kostenlose Plugin deckt die nativen WordPress-Formulare ab.

Die Plugins im Detail

CaptchaFox

CaptchaFox wird von der Scoria Labs GmbH veröffentlicht, dem deutschen Unternehmen, das den Dienst betreibt. Es gibt also einen Release-Zyklus und einen Support-Kanal. Die neueste Version erschien im August 2026 und ist gegen das aktuelle WordPress-Release getestet. Der Eintrag im Plugin-Verzeichnis zeigt Kompatibilitäts-Updates zurück bis 2023.

Unter WordPress ist die Abdeckung das stärkste Argument: 21 Integrationspunkte. WordPress-Core-Login, Registrierung, Passwort-Zurücksetzen und Kommentare; Contact Form 7, WPForms, Gravity Forms, Elementor Forms, Ninja Forms, Fluent Forms, Forminator, Avada Forms und Otter Blocks; Mailchimp for WordPress; bbPress; sowie vier WooCommerce-Endpunkte inklusive Checkout. Dass der Checkout im Basis-Plugin steckt und nicht hinter einem Lizenz-Upgrade, fällt ins Gewicht, wenn Sie einen Shop betreiben.

Die Einrichtung besteht aus zwei Keys und einer Seite mit Schaltern. Keine Shortcodes, keine Änderungen an Theme-Dateien. Eine Statusseite prüft Einrichtung, Integrationen und Konnektivität, sodass Sie sich vergewissern können, dass das Widget tatsächlich greift. Eine Script-Loading-Option hält das Skript zurück, bis der Besucher zum ersten Mal mit der Seite interagiert, mit einem passenden capf_delay-Filter, falls Sie es lieber im Code setzen.

Die Erkennung kombiniert Signalanalyse, Verhaltensanalyse und Proof of Work, sodass kein einzelner Challenge-Typ das Ergebnis allein trägt. Die meisten legitimen Besucher sind in etwa einer Sekunde durch. Der Security-Tab ergänzt Ebenen, die vollständig vor dem CAPTCHA sitzen: ein Honeypot-Feld, eine Mindestdauer bis zum Absenden, IP-Allowlists und -Denylists sowie eine Drosselung fehlgeschlagener Logins.

Die Verifizierung läuft ausschließlich in EU-Rechenzentren, ohne Übermittlungen in Drittländer. Browser-Signale und die IP-Adresse des Besuchers werden ausgewertet, um zu einem Ergebnis zu kommen, denn so funktioniert Bot-Erkennung. Es werden keine Cookies gesetzt. Nach Rückgabe des Ergebnisses bleibt nichts über den Besucher gespeichert. Meist ist das ein Eintrag weniger in Ihrer Consent-Management-Plattform. Die Standard-Challenge ist eine unsichtbare Prüfung oder ein einzelner Klick statt verzerrten Textes; sie ist auf WCAG-Konformität ausgelegt und funktioniert mit Screenreadern.

Der kostenlose Plan deckt 1.000 Anfragen pro Monat ab. Bezahlte Tarife rechnen nicht pro Anfrage ab, sondern mit einer festen Monatsgebühr für ein Anfragekontingent. Sie beginnen bei 15 EUR pro Monat für 10.000 Anfragen bei jährlicher Abrechnung. Traffic-Spitzen lösen damit keine Abschaltung aus. Die Schritt-für-Schritt-Anleitung zur WordPress-Einrichtung führt durch die Installation und die Aktivierung Ihres ersten Formulars.

hCaptcha for WP

Das Plugin von hCaptcha wird unter dem eigenen wordpress.org-Konto des Anbieters veröffentlicht und ist gegen das aktuelle WordPress-Release getestet. Laut seinem Eintrag im Plugin-Verzeichnis wurde es im August 2026 aktualisiert. Nach Release-Datum ist es damit das am aktivsten gepflegte Plugin in diesem Vergleich. Ein Vorbehalt, den der Eintrag nicht zeigt: Das Readme selbst beschreibt es als ein von der Community entwickeltes Plugin.

Das Readme führt Unterstützung für mehr als 60 Plugins und Themes an, die breiteste Integrationsfläche im Verzeichnis, darunter fünf WooCommerce-Endpunkte. Es gibt einen Migrationsassistenten für den Wechsel von reCAPTCHA oder Turnstile sowie einen Einstellungsabgleich für Multisite. Bei einem großen oder ungewöhnlichen Formular-Stack hat es Ihre Integration wahrscheinlich, wenn kein anderes sie mitbringt.

Die Einschränkung ist eher rechtlicher als technischer Natur. Das Readme führt aus, dass das Plugin in der Standardkonfiguration keine Cookies setzt und keine Daten an externe Server sendet. Offen bleibt, wo die Verarbeitung stattfindet. Der Dienst hat seinen Sitz in den USA und stützt sich auf das Data Privacy Framework EU-USA. Dieses überstand seine erste Nichtigkeitsklage vor dem Gericht der Europäischen Union im September 2025. Seine beiden Vorgänger wurden 2015 und 2020 für ungültig erklärt. Die sichtbare Challenge im kostenlosen Tarif ist zudem bildbasiert. Das bremst jeden Besucher aus und stellt Menschen mit Sehbeeinträchtigung eine echte Hürde in den Weg. Die passiven Modi, die das beheben, sitzen hinter den Pro- und Enterprise-Tarifen.

Cloudflare Turnstile

Bei Kosten und Nutzererfahrung ist Turnstile schwer zu schlagen. Der Dienst ist kostenlos und ganz ohne Anfragelimit, stattdessen auf 20 Widgets begrenzt. Die Challenge läuft meist nicht interaktiv ab, Tracking-Cookies setzt er keine. Die Abdeckung über das populärste WordPress-Plugin ist wirklich breit. Sie reicht von WordPress-Core-Formularen und dem WooCommerce-Checkout über WPForms, Contact Form 7, Gravity Forms und Elementor Pro bis zu bbPress. Dazu kommen Multisite-Unterstützung und ein Failsafe-Modus für den Fall, dass der Dienst nicht erreichbar ist.

Bei Kriterium 1 sieht es anders aus. Das am weitesten verbreitete Turnstile-Plugin wird von einem unabhängigen Entwickler veröffentlicht. Sein eigenes Readme stellt fest, dass es weder mit Cloudflare verbunden noch von Cloudflare unterstützt oder gesponsert wird. Gepflegt wird es heute gut. Trotzdem steht ein unabhängiger Maintainer zwischen Ihren Formularen und einem Dienst, den Sie direkt installiert zu haben glauben. Bei Kriterium 6 läuft Turnstile über Cloudflares globales Edge-Netzwerk. Das umfasst europäische Standorte, ohne EU-exklusiv zu sein.

Google reCAPTCHA

Auf wordpress.org gibt es kein von Google verfasstes reCAPTCHA-Plugin. Kriterium 1 lässt sich damit überhaupt nicht erfüllen. Kriterium 2 muss für den jeweils gewählten Wrapper gesondert bewertet werden.

Drei weit verbreitete Wrapper unterscheiden sich stark voneinander, was „reCAPTCHA zu WordPress hinzufügen“ zu einer weit vageren Anweisung macht, als es klingt. Einer, zuletzt im April 2026 aktualisiert, stellt die gängigen Formular-Builder und die gesamte WooCommerce-Abdeckung hinter eine Pro-Lizenz. Ein anderer, im Juli 2026 aktualisiert, hat für die vier größten Formular-Builder überhaupt keine eigenen Integrationen. Ein dritter wurde zuletzt im Juni 2025 aktualisiert, ist nur gegen ein mehrere Versionen altes WordPress-Release getestet und sperrt WooCommerce und die Formular-Builder hinter seine Premium-Edition. Drei Abdeckungskarten, drei Bezahlschranken – und nur ein Teil davon noch gegen aktuelles WordPress getestet.

Bei der Datenverarbeitung setzt reCAPTCHA ein Cookie namens _GRECAPTCHA und verarbeitet auf US-Infrastruktur. Seit dem 2. April 2026 tritt Google für reCAPTCHA-Daten als Auftragsverarbeiter statt als Verantwortlicher auf, mit dem Website-Betreiber als alleinigem Verantwortlichen Google reCAPTCHA FAQ. Das österreichische Bundesverwaltungsgericht hat im September 2024 entschieden, dass reCAPTCHA für den Betrieb einer Website technisch nicht notwendig ist W298 2274626-1/8E. Seine Cookies können sich damit nicht auf ein berechtigtes Interesse stützen, die Einwilligung der Besucher muss eingeholt werden. Was diese Fakten für Ihre Website bedeuten, bewerten Sie mit Ihrer eigenen Rechtsberatung. Die praktische Folge tritt aber früher ein als die rechtliche: Ein CAPTCHA, das Cookies setzt, muss in der Regel in Ihrer Consent-Management-Plattform deklariert werden. Eine Einwilligungshürde vor Ihrem Kontaktformular ist dann nicht nur eine Compliance-Frage, sie kostet auch Abschlüsse. Wir haben ausführlicher beschrieben, wie sich die reCAPTCHA-Preise und die DSGVO-Position entwickelt haben.

Akismet und reine Honeypot-Plugins

Akismet filtert Formular-Spam und Kommentar-Spam wirksam, indem es eingereichte Inhalte gegen ein gemeinsames Netzwerk bewertet. Ist Kommentar-Spam Ihr gesamtes Problem, reicht es womöglich völlig aus. Die strukturelle Grenze liegt darin, worauf es reagiert: Es prüft Übermittlungen anhand ihres Inhalts gegen seine globale Spam-Datenbank, nachdem sie eingegangen sind. Gegen Credential Stuffing auf wp-login.php, automatisierte Kontoerstellung oder das Abtasten des Checkouts richtet das nichts aus. Ein Inhaltsfilter fragt, ob eine Übermittlung nach Spam aussieht. Ein Login-Formular interessiert nur, ob am anderen Ende ein Mensch sitzt.

Mit reinen Honeypot-Plugins verhält es sich ähnlich. Ein verstecktes Feld kostet nichts und fängt simple Bots zuverlässig ab, versagt aber in dem Moment, in dem die Automatisierung das DOM liest. Behandeln Sie beides als Ergänzung. Genau deshalb liefert CaptchaFox einen Honeypot und eine Zeitfalle neben seinem CAPTCHA aus.

Vier Fehler, die ein WordPress-CAPTCHA aushebeln

Das richtige Plugin auszuwählen ist die halbe Arbeit. Diese vier Einrichtungsentscheidungen heben den Schutz auf. Alle vier kommen häufig vor.

Nur die Kommentare schützen. An das Kommentarformular denkt jeder zuerst. Bots interessiert es inzwischen am wenigsten. Login, Registrierung und WooCommerce-Checkout sind die Stellen, an denen Account-Takeover-Versuche und Kartentests landen. Aktivieren Sie also jedes Formular, das auf Ihrer Website läuft.

Ein nicht mehr gepflegtes Plugin betreiben. Wenn ein CAPTCHA-Plugin an einer Core-Änderung scheitert, geht sichtbar nichts kaputt: Das Formular lässt sich weiterhin absenden, der Schutz hört still und leise auf. Sie erfahren es Wochen später an Ihrem Spam-Aufkommen. Prüfen Sie das Datum der letzten Aktualisierung und die „getestet bis“-Version vor der Installation. Danach nach jedem größeren WordPress-Release erneut.

Das Skript auf jeder Seite laden. Ein websiteweit eingebundenes CAPTCHA-Skript kostet Largest Contentful Paint und Interaction to Next Paint auf Seiten ganz ohne Formular, was bei den meisten Websites fast alle Seiten sind. Wählen Sie ein Plugin, das sein Skript bis zur Interaktion verzögert oder es bedingt pro Seite lädt.

Nicht wissen, was das Widget im Browser macht. Ein CAPTCHA, das Cookies setzt oder Daten in ein Drittland sendet, gehört in der Regel in Ihre Consent-Management-Plattform. Eine Einwilligungshürde vor einem Kontaktformular hat einen messbaren Effekt darauf, wie viele Menschen es absenden. Dieselbe Prüfung sollte die Barrierefreiheit abdecken: Ein Bildrätsel ist eine Hürde für jeden, der auf assistive Technologie angewiesen ist. Wie sich das in der Praxis auflösen lässt, beschreibt unser Beitrag zum Ausgleich zwischen Sicherheit und Inklusion.

Das richtige CAPTCHA für Ihre WordPress-Website wählen

Die richtige Antwort hängt davon ab, was Sie tatsächlich betreiben.

Wenn Sie WooCommerce betreiben: Sie brauchen Abdeckung für Checkout, Login, Registrierung und Passwort-Zurücksetzen. In manchen reCAPTCHA-Wrappern liegt ausgerechnet der Checkout hinter einer Pro-Lizenz. CaptchaFox deckt alle vier Endpunkte im Basis-Plugin ab und ergänzt eine Drosselung fehlgeschlagener Logins für die Kontoseiten.

Wenn Sie von reCAPTCHA migrieren: Der Verifizierungsaufruf von CaptchaFox hat dieselbe Form wie der von reCAPTCHA. Nur Endpunkt, Container-Klasse und Name des Response-Feldes ändern sich. Unter WordPress übernimmt das Plugin das alles. Der Wechsel beschränkt sich darauf, die Keys auszutauschen und die Formulare neu anzuhaken.

Wenn Sie Kundenwebsites betreuen: Feste Preise ab 15 EUR pro Monat machen die Kostenposition planbar. Deckt ein Plugin einen gemischten Bestand an Formular-Buildern ab, müssen Sie nicht pro Kunde ein neues recherchieren. CaptchaFox wird pro Website konfiguriert. Bei einem Multisite-Netzwerk heißt das: jede Website einzeln einrichten.

Wenn Barrierefreiheit auf Ihrer Roadmap steht: Vermeiden Sie Bild-Challenges und verzerrten Text. CaptchaFox verifiziert die meisten Besucher unsichtbar oder mit einem einzelnen Klick und funktioniert mit Screenreadern.

Wenn die Kosten den Ausschlag geben: Das Volumen entscheidet zwischen zwei kostenlosen Wegen. Cloudflare Turnstile ist bei jedem Volumen kostenlos. Dafür nehmen Sie einen Dritten als Plugin-Maintainer und eine globale Edge-Verarbeitung in Kauf. Der kostenlose Plan von CaptchaFox deckt 1.000 Anfragen pro Monat ab. Er bringt das vom Anbieter veröffentlichte Plugin mit, den WooCommerce-Checkout in der Basisversion und EU-exklusive Verarbeitung.

Wenn EU-Verarbeitung eine feste Anforderung ist: CaptchaFox verifiziert in EU-Rechenzentren. Das Plugin ist gegen aktuelles WordPress getestet und deckt 21 Integrationspunkte ab. Die Erkennung kombiniert mehrere Signale, statt sich auf ein einziges zu stützen.

Die entscheidende Frage ist, ob ein einziges Plugin Ihre gesamte Formularfläche abdeckt, gepflegt bleibt und Daten so verarbeitet, dass Sie es erklären können.