CAPTCHA Generator: Brauchen Sie einen? So fügen Sie ihn ein

Eine Ladenbesitzerin für Geschenkartikel prüft an einem Montagmorgen ihr Posteingangsfach für Kontaktformulare.

Über Nacht sind vierzig neue Einträge eingegangen.

Jeder einzelne ist Unsinn: zufällige Wörter, kaputte Links, ein erfundener Name, dreimal wiederholt. Nicht einer sieht nach einem echten Kunden aus, der nach einer Sonderanfertigung fragt.

Sie hat gehört, dass ein CAPTCHA dieses Problem löst. Sie hat aber auch gehört, dass CAPTCHAs echte Besucher nerven, dazu führen, dass Leute ein Formular halb ausgefüllt abbrechen, oder einer Website irgendwie im Ranking schaden. Beides kann nicht ganz stimmen. Also, was stimmt denn nun?

Ein Captcha-Generator ist das Werkzeug, das die zweite Hälfte dieser Frage tatsächlich beantwortet: Sobald Sie entschieden haben, dass sich ein CAPTCHA lohnt, erstellt ein Generator den Code-Schnipsel für Sie, ganz ohne Entwickler. Die erste Hälfte, ob Sie überhaupt eines brauchen, hängt davon ab, was die Bots auf Ihrer Website tatsächlich anstellen. Hier erfahren Sie, wie Sie den Unterschied erkennen, und wie Sie in etwa 20 Minuten ein CAPTCHA einfügen, sobald Sie entschieden haben, dass es sich lohnt.

Wann Spam-Bots einem kleinen Unternehmen wirklich schaden

Nicht jeder Bot, der Ihre Website besucht, ist ein Problem. Suchmaschinen durchsuchen sie ständig, und das ist normaler, notwendiger Traffic. Unser Leitfaden zum Website-Traffic-Bot erklärt den Unterschied zwischen Bots, die Ihrer Website helfen, und Bots, die nur eine Zahl aufblasen, der niemand trauen sollte. Spam-Bots sind eine andere Kategorie, und sie richten meist auf eine von drei bestimmten Arten Schaden an.

Gefälschte Formulareinträge füllen Ihr Postfach

Das ist die häufigste Beschwerde und die, die kleine Unternehmer zuerst bemerken. Ein Bot findet Ihr Kontaktformular und sendet es dutzende oder hunderte Male ab, meist mit unsinnigem Text, einem Spam-Link oder dem Versuch, einen Menschen dazu zu bringen, in der automatischen Antwort auf etwas zu klicken. Abgesehen vom Ärger hat das einen echten Preis: Es begräbt echte Kundenanfragen unter Lärm, und wenn Ihr Formular eine Benachrichtigung auf Ihr Handy schickt, gewöhnen Sie sich daran, sie nicht mehr genau zu prüfen. Genau dann geht eine echte Anfrage verloren.

Bots, die gefälschte Bewertungen oder Kommentare hinterlassen

Wenn Ihre Website einen Kommentarbereich hat, einen Blog mit offenen Kommentaren oder eine andere Funktion, mit der Besucher öffentlich Text veröffentlichen können, werden Bots sie finden. Gefälschte Bewertungen und Spam-Kommentare sehen nicht nur schlecht aus. Sie können Links zu unpassenden oder verdächtigen Seiten enthalten, und wenn man sie lange genug unmoderiert lässt, wirkt ein Unternehmen, als kümmere es sich nicht um die eigene Website.

Inhalte-Scraper, die Ihre Seiten kopieren

Manche Bots versuchen gar nicht, etwas abzusenden. Sie kopieren Ihre Seiten, Preise, Beschreibungen und Blogbeiträge, um sie anderswo erneut zu veröffentlichen oder in ein anderes System einzuspeisen. Eine kleine Menge davon passiert fast jeder öffentlichen Website und lohnt meist keinen Kampf. Zum echten Problem wird es, wenn das Scraping so aggressiv ist, dass Ihre Website für echte Besucher langsamer wird. Dann ist es ebenso ein Serverlastproblem wie ein Inhaltsproblem.

Anzeichen dafür, dass Ihre Website ein Spam-Bot-Problem hat

Bevor Sie irgendetwas hinzufügen, lohnt es sich zu prüfen, ob tatsächlich Bots die Ursache sind und nicht ein schwacher Monat oder ein Formular, das still und leise kaputt ist.

Formulareinträge auf Muster prüfen

Öffnen Sie die Formulareinträge der letzten paar Wochen und suchen Sie nach Mustern, die ein Mensch nicht erzeugen würde: dieselbe Nachricht in vielen Einträgen, unecht wirkende Namen zusammen mit echt aussehenden, aber unpassenden E-Mail-Domains oder Eingänge, die sich im Abstand von Sekunden häufen, statt über den Tag verteilt zu kommen, wie echte Besucher es tun würden.

Analytics und Search Console auf ungewöhnliche Spitzen prüfen

Ein plötzlicher Anstieg des Traffics auf eine einzelne Seite, besonders eine ohne passende Zunahme echter Aktivität wie Anrufe oder Käufe, lohnt einen Blick. Unser Leitfaden zur Diagnose eines Rückgangs des organischen Traffics behandelt eine verwandte Situation, Zahlen, die nicht zur Realität passen, und denselben Instinkt, die Daten zu prüfen, bevor man das Schlimmste annimmt. Das gilt auch hier.

Diese Zahlen dienen nur zur Veranschaulichung.

Was ein CAPTCHA wirklich leistet (und was nicht)

Ein CAPTCHA ist ein kleiner Test, der vor einem Formular oder einem Kommentarfeld platziert wird und für einen Menschen leicht, für automatisierte Software aber schwer lösbar sein soll. Der Name ist eine Abkürzung für einen Test, der Computer und Menschen voneinander unterscheiden soll. Es hindert einen Bot nicht daran, Ihre Website zu besuchen. Es verhindert nur, dass ein Bot dort erfolgreich etwas absendet.

Checkbox-, Bild- und unsichtbares CAPTCHA erklärt

Die meisten heute verwendeten CAPTCHAs fallen in eine von drei Arten. Ein Checkbox-CAPTCHA bittet den Besucher, einfach ein Kästchen anzuklicken, das bestätigt, dass er kein Roboter ist, oft gestützt durch eine Verhaltensanalyse, die im Hintergrund still abläuft. Ein Bild-CAPTCHA bittet den Besucher, bestimmte Objekte in einer Reihe von Fotos auszuwählen, eine Variante, die seltener geworden ist, seit es Bots leichter fällt, sie zu lösen. Ein unsichtbares CAPTCHA läuft komplett im Hintergrund, bewertet das Verhalten eines Besuchers, ohne ihn je etwas anklicken zu lassen, und unterbricht nur mit einer Aufgabe, wenn diese Bewertung verdächtig aussieht.

Was ein CAPTCHA nicht verhindert

Ein CAPTCHA schützt ein bestimmtes Formular oder Eingabefeld. Es hält keinen Menschen auf, der dafür bezahlt wird, Spam von Hand abzusenden. Es stoppt kein Inhalte-Scraping, das außerhalb jedes Formulars stattfindet, und es moderiert keine Bewertungen, die direkt auf einer Drittplattform hinterlassen werden, etwa einem Google-Unternehmensprofil, wo ein CAPTCHA überhaupt nicht vorkommt. Es ist eine Schicht, gezielt gegen automatisierte Übermittlungen gerichtet, keine allgemeine Sicherheitslösung.

Die wichtigsten CAPTCHA-Optionen im Vergleich

Sobald Sie entschieden haben, dass sich ein CAPTCHA lohnt, stellt sich die nächste Frage: Welcher Typ passt zu Ihrer Website, und wie wohl fühlen Sie sich mit den Kompromissen, die jeder davon eingeht?

Diese Zahlen dienen nur zur Veranschaulichung.

Den richtigen kostenlosen Captcha-Generator finden

Ein Captcha-Generator ist kein eigenes Programm, das Sie installieren. Meist handelt es sich um eine Seite beim Captcha-Anbieter selbst, etwa die Admin-Seite von Google reCAPTCHA oder das Dashboard von hCaptcha. Dort registrieren Sie Ihre Website und erhalten zwei Dinge zurück: ein Schlüsselpaar und einen fertigen Code-Schnipsel.

Der Site-Key kommt auf Ihre eigentliche Webseite und ist im Code der Seite sichtbar. Er teilt dem Captcha-Dienst mit, welche Website eine Prüfung anfordert. Der Secret-Key bleibt auf der Serverseite. Mit ihm wird geprüft, ob eine Eingabe die Prüfung tatsächlich bestanden hat und nicht nur der Browser des Besuchers behauptet, dass dies so war. Die meisten kleinen Unternehmen kommen mit dem Secret-Key kaum in Berührung, denn das Plugin oder der Formular-Builder übernimmt diesen Teil, sobald Sie ihn in ein Einstellungsfeld einfügen.

Was Sie vor dem Start brauchen

Programmierkenntnisse brauchen Sie nicht, wohl aber drei Dinge: Zugang zum Admin-Bereich Ihrer Website (WordPress, Squarespace, Wix oder welche Plattform Sie nutzen), eine E-Mail-Adresse für die Registrierung beim Captcha-Anbieter und die genaue Webadresse Ihrer Seite, denn der Generator bindet die Schlüssel an genau diese Domain. Wenn Sie diese Dinge bereithalten, wird der gesamte Vorgang zu einer Aufgabe von etwa zehn Minuten statt zu einem zähen Nachmittag mit vielen Unterbrechungen.

So fügen Sie ein Captcha auf Ihrer Website hinzu: Schritt für Schritt erklärt

Der Ablauf ist unabhängig vom Captcha-Anbieter immer ähnlich. Nur die einzelnen Bildschirme sehen unterschiedlich aus. Ein Captcha hilft Ihnen, Spam-Formulare zu stoppen.

Schritt 1: Ihre Seite für Schlüssel registrieren

Rufen Sie die Seite des Anbieters auf (die Admin-Seite von Google reCAPTCHA oder das Dashboard von hCaptcha sind die beiden gängigsten), melden Sie sich mit einem bestehenden Konto an und registrieren Sie eine neue Seite. Sie werden gefragt, welche Art von Captcha Sie möchten (Checkbox oder unsichtbar ist für ein kleines Unternehmensformular meist die richtige Wahl) sowie die genaue Domain, unter der Ihre Seite läuft. Nach dem Absenden zeigt die Seite Ihnen einen Site-Key und einen Secret-Key an. Kopieren Sie beide an einen sicheren Ort. Eine Notizdatei oder ein Passwort-Manager funktioniert gut, denn Sie brauchen die Schlüssel im nächsten Schritt.

Schritt 2: Den Code-Schnipsel erzeugen

Die meisten Captcha-Generatoren erstellen den Schnipsel automatisch, sobald Sie registriert sind. Es handelt sich um einen kurzen Codeblock, der aus Ihrem Site-Key gebaut wird und den Sie in Ihre Seite einfügen sollen. Wenn Sie stattdessen ein Plugin oder einen Formular-Builder nutzen, statt Code direkt zu bearbeiten, sehen Sie diesen Schnipsel gar nicht. Sie fügen einfach den Site-Key und den Secret-Key in zwei Felder in den Einstellungen des Plugins ein, und das Plugin erstellt den Schnipsel im Hintergrund für Sie.

Schritt 3: Den Code in Ihr Formular einfügen

Wo der Schnipsel oder das Schlüsselpaar hingehört, hängt ganz von Ihrer Plattform ab. Ein WordPress-Kontaktformular-Plugin hat meist einen eigenen Reiter für Captcha-Einstellungen. Ein Squarespace- oder Wix-Formularelement bietet oft einen Schalter, mit dem Sie den Spam-Schutz aktivieren, und dieser kümmert sich dann unauffällig um die Schlüssel. Wenn Sie ein individuell gebautes Formular bearbeiten, gehört der Schnipsel meist in den Code der Seite, nahe am Senden-Button des Formulars. Unsere Anleitung zu Google reCAPTCHA für WooCommerce erklärt diesen Schritt für den Checkout eines Shops ausführlicher. Der Ablauf ist derselbe wie bei jedem anderen Formular.

Schritt 4: Testen Sie es so, wie ein Besucher es erleben würde

Sobald alles live ist, öffnen Sie das Formular in einem privaten oder Inkognito-Fenster des Browsers. So testen Sie es aus Sicht eines Erstbesuchers und nicht mit gespeicherten Logins oder zwischengespeicherten Einstellungen. Füllen Sie das Formular aus und senden Sie es ab. Prüfen Sie, ob das Captcha tatsächlich erscheint, ob das Absenden funktioniert und ob die Benachrichtigung oder E-Mail bei Ihnen ankommt, die Sie erwarten. Achten Sie außerdem darauf, ob sich am Ablauf nichts kaputt oder verwirrend anfühlt. Ein Captcha, das echte Anfragen stillschweigend blockiert, ist ein schlechteres Ergebnis als der Spam, den es eigentlich stoppen sollte.

Ein Captcha ganz ohne Code hinzufügen

Für die meisten Inhaber kleiner Unternehmen führt der schnellste Weg an Captcha-Generatoren und Code-Schnipseln vorbei, denn die Plattform oder das Plugin hat bereits eine eingebaute Lösung. So lässt sich ein Spam-Bot-Schutz ohne Programmieren einrichten.

WordPress-Plugins mit eingebauten Captcha-Einstellungen

Beliebte WordPress-Kontaktformular-Plugins haben meist eine Captcha-Option direkt in den Einstellungen, oft als Auswahlfeld, in dem Sie reCAPTCHA oder hCaptcha wählen und die Schlüssel einfügen, die Sie bei der Registrierung erhalten haben. Manche Sicherheits-Plugins bieten zudem eigene Spam-Filter an, die zusammen mit einem sichtbaren Captcha oder anstelle davon arbeiten. In beiden Fällen müssen Sie kaum am eigentlichen Code der Seite etwas ändern.

Squarespace, Wix und Formular-Builder

Squarespace und Wix bieten bei ihren nativen Formularelementen Spam-Schutz-Optionen an. Meist ist es eine einfache Einstellung, die Sie einschalten, statt eines Schlüssels, den Sie erzeugen und einfügen. Eigenständige Formular-Builder, also Werkzeuge, mit denen Unternehmen ein Formular auf jeder Website einbetten, haben oft denselben Schalter. Diese eingebauten Optionen lohnt es meist zuerst auszuprobieren, da sie den Registrierungsschritt komplett überflüssig machen.

Ein Praxisbeispiel: Spam-Formulare stoppen, ohne echte Kunden zu verlieren

Dieses Beispiel dient der Veranschaulichung und ist keine Aufzeichnung der Ergebnisse eines echten Unternehmens.

Stellen Sie sich einen kleinen Geschenkeladen vor, dessen Kontaktformular seit Wochen mit Spam überflutet wird, genau das Muster, das am Anfang dieses Leitfadens beschrieben wird. Der Inhaber fügt dem Formular mit einem kostenlosen Generator ein CAPTCHA mit Ankreuzfeld hinzu, folgt den vier Schritten oben und verfolgt, was in den nächsten zwei Wochen passiert, statt davon auszugehen, dass es am ersten Tag funktioniert hat.

Diese Zahlen sind veranschaulichend.

Die Gesamtzahl der Eingänge ist stark gesunken, was zu erwarten war, denn das meiste, was vorher eingegangen ist, war nie ein echter Kunde. Entscheidend ist die letzte Spalte. Echte Anfragen sind nicht zurückgegangen, und in diesem Beispiel sind sie sogar leicht gestiegen, wahrscheinlich weil der Inhaber den Posteingang endlich wieder genau prüfte, statt über eine Wand aus Unsinn hinwegzusehen. Darauf sollten Sie achten: weniger Eingänge insgesamt, aber gleich viele oder mehr Eingänge, die wirklich zählen.

Wären die echten Anfragen zusammen mit dem Spam zurückgegangen, wäre das ein Zeichen dafür, dass das CAPTCHA selbst im Weg steht, und das wäre eine Untersuchung wert statt etwas, das man ignoriert. Nur wenn Sie beide Zahlen prüfen und nicht bloß die Gesamtzahl, erkennen Sie, ob die Lösung tatsächlich funktioniert.

Häufige Fehler beim Hinzufügen eines CAPTCHA

Die meisten Probleme mit einem CAPTCHA gehen auf einige wenige Gewohnheiten zurück, nicht darauf, dass das CAPTCHA selbst fehlerhaft ist.

Eine Einrichtungs-Checkliste für 20 Minuten

Ein CAPTCHA braucht keinen freien Nachmittag. So verteilt sich die Zeit ungefähr bei einem typischen Formular eines kleinen Unternehmens.

• Minute 0 bis 5: Entscheiden Sie, welches Formular tatsächlich geschützt werden muss, je nachdem, wo der Spam auftaucht.

• Minute 5 bis 10: Registrieren Sie Ihre Website bei einem CAPTCHA-Anbieter und notieren Sie den Website-Schlüssel und den geheimen Schlüssel.

• Minute 10 bis 15: Fügen Sie die Schlüssel in die Einstellungen Ihres Plugins, in den Schalter für den Spamschutz Ihres Formularbaukastens oder in das Code-Snippet ein, wenn Sie ein individuelles Formular direkt bearbeiten.

• Minute 15 bis 18: Öffnen Sie das Formular in einem privaten Browserfenster und senden Sie es als Test ab. Prüfen Sie, ob das CAPTCHA erscheint und die Übermittlung trotzdem durchgeht.

• Minute 18 bis 20: Prüfen Sie, ob die Bestätigungsmeldung oder die Benachrichtigungs-E-Mail so ankommt wie vorher, damit Sie wissen, dass das Formular dabei nicht kaputtgegangen ist.

Wenn ein Schritt hakt, ist der häufigste Stolperstein eine falsche Domain: Die Schlüssel wurden für eine etwas andere Web-Adresse registriert als die, unter der das Formular tatsächlich liegt. Wenn Sie dieses eine Detail doppelt prüfen, lösen Sie die meisten Einrichtungsprobleme, bevor daraus eine längere Fehlersuche wird.

Wo sich CAPTCHA in Ihre allgemeine Website-Sicherheit einfügt

Ein CAPTCHA löst ein ganz bestimmtes Problem: Es verhindert, dass automatisierte Software ein Formular absendet. Es ist nicht dasselbe Werkzeug wie jene, die steuern, welche Bots Ihre Website überhaupt crawlen dürfen. Beides zu verwechseln führt zu einigen verwirrenden Entscheidungen.

CAPTCHA im Vergleich zum Blockieren von Bots in der robots.txt

Eine robots.txt-Datei teilt Suchmaschinen und anderen Crawlern mit, welche Teile Ihrer Website sie besuchen dürfen. Sie ist eine Bitte, kein Schloss, und gut erzogene Bots wie Googlebot respektieren sie in der Regel. Ein CAPTCHA funktioniert anders. Es bittet einen Bot nicht, fernzubleiben. Stattdessen prüft es, was auch immer an einem Formular ankommt, und blockiert die Übermittlung, wenn der Test fehlschlägt. Sie können beide gleichzeitig nutzen, ohne dass es zu Konflikten kommt, und die meisten kleinen Unternehmenswebsites sollten das auch tun. Unser Leitfaden zu User-Agent-Beispielen zeigt, welche Bots es sich lohnt zuzulassen und welche auf Ebene der robots.txt besser blockiert werden. Diese Entscheidung ist getrennt von der Frage, ob ein einzelnes Formular zusätzlich ein CAPTCHA braucht. Die beiden Werkzeuge lösen unterschiedliche Probleme, und keines ersetzt das andere. Einen Bot in der robots.txt zu blockieren hält keinen Spammer auf, der die Datei vollständig ignoriert. Ein CAPTCHA auf Ihrem Kontaktformular hat wiederum keinen Einfluss darauf, welche Seiten ein Suchcrawler indexiert.

Wo RepGet passt

RepGet erstellt keine CAPTCHAs, verwaltet keinen Formular-Spam und moderiert keine Bewertungen. Wenn Sie ein Werkzeug suchen, das eines davon übernimmt, ist RepGet nicht die richtige Wahl. Nichts in diesem Abschnitt sollte als Ersatz für die Einrichtung verstanden werden, die weiter oben in diesem Leitfaden beschrieben ist.

RepGet kümmert sich um einen anderen Teil derselben Website: die Inhalte und die technische Gesundheit, die Suchmaschinen und KI-Assistenten tatsächlich bewerten. RepGet vereint Website-Audits, Keyword-Recherche, Content-Planung, Artikelerstellung, Veröffentlichung auf Ihrer eigenen Website und Suchleistungsberichte aus der Google Search Console in einem einzigen Arbeitsablauf. Eine Website, die frei von Spam ist, schnell lädt und korrekte Formulare hat, ist eine bessere Grundlage für diese Arbeit. Die Aufgabe von RepGet endet jedoch auf der Ebene von Inhalt und SEO, nicht bei der Spam-Filterung.

Wenn Sie nicht sicher sind, ob Spam-Bots die Leistung Ihrer Website tatsächlich beeinträchtigen oder ob etwas anderes sie ausbremst, crawlt das kostenlose Website-Audit von RepGet Ihre Website und vergibt einen SEO-Score von 0 bis 100. Dazu kommt eine Liste der technischen und inhaltlichen Probleme, die sich zu beheben lohnen. Kein Konto und keine Kreditkarte erforderlich. Die kostenlosen SEO-Tools von RepGet decken verwandte Prüfungen ab, etwa ob die robots.txt-Datei Ihrer Website für die Bots, die Sie tatsächlich zulassen möchten, richtig eingerichtet ist. Das lohnt sich zusammen mit jedem CAPTCHA, das Sie hinzufügen.

RepGet garantiert nicht, dass ein CAPTCHA jede Spam-Übermittlung stoppt, und RepGet verfolgt keine Formularaktivitäten und prüft nicht die Echtheit von Bewertungen. Was RepGet leisten kann, ist sicherzustellen, dass der Rest der Website, also der Teil, den Spam-Bots nicht berühren, seine Aufgabe tatsächlich erfüllt.

Das Fazit

Ein CAPTCHA braucht nicht automatisch jede Website. Es ist die Lösung für ein bestimmtes, messbares Problem: ein Formular, das mit gefälschten Einträgen überflutet wird, oder ein Kommentarbereich, in dem sich Spam schneller ansammelt, als jemand ihn moderieren kann. Wenn das auf Ihrer Website nicht passiert, gibt es wenig Grund, Besucher mit Hürden zu belasten, die ohnehin nie Probleme verursacht haben.

Wenn es passiert, macht ein kostenloser CAPTCHA-Generator die Lösung schnell umsetzbar. Registrieren Sie Ihre Website, kopieren Sie zwei Schlüssel, fügen Sie sie in ein Plugin oder eine Formulareinstellung ein und testen Sie es so, wie ein echter Besucher es tun würde, bevor Sie darauf vertrauen, dass es funktioniert. Für die meisten kleinen Unternehmenswebsites passt das gesamte Vorgehen in 20 Minuten. Die sinnlosen Einträge, die früher Ihr Postfach gefüllt haben, sind meist innerhalb von ein bis zwei Tagen nach dem Start verschwunden.

Finden Sie zuerst heraus, was Ihre Website braucht

Führen Sie mit RepGet ein kostenloses Website-Audit durch, um zu prüfen, was Ihre Website neben dem Spam-Schutz noch braucht. Kein Konto und keine Kreditkarte erforderlich.