Google reCAPTCHA für WooCommerce: Eine Einrichtungsanleitung, die Ihre Verkäufe schützt

Ein Shop-Betreiber fügt reCAPTCHA hinzu, nachdem eine Reihe gefälschter Bestellungen und Spam-Anmeldungen eingegangen ist.

Innerhalb einer Woche hören die gefälschten Bestellungen auf. Damit verschwinden auch ein paar echte.

Eine Kundin schreibt auf Instagram, dass der Checkout sie nicht weiterließ, weil sie ein Rätsel mit Ampeln und Zebrastreifen lösen sollte. Eine andere gibt einfach auf und kauft stattdessen beim Wettbewerber.

Der Shop-Betreiber wollte den Checkout nie schwerer machen. Er wollte nur die Bots loswerden.

Die Einrichtung von Google reCAPTCHA für WooCommerce ist meist einfach. Damit reCAPTCHA Bots blockiert, ohne Kunden auszusperren, braucht es etwas mehr Sorgfalt. So fügen Sie es hinzu, dass es Ihren Shop schützt, statt Ihnen unbemerkt Verkäufe zu kosten.

Was Google reCAPTCHA in einem WooCommerce-Shop tatsächlich schützt

reCAPTCHA ist ein kostenloser Dienst von Google, der prüft, ob ein Besucher, der ein Formular ausfüllt, ein Mensch oder ein automatisiertes Skript ist. Er läuft im Hintergrund einer Seite, meist bei einem Login-Formular, einem Registrierungsformular oder dem Checkout, und liefert dem Shop ein Signal darüber, wie wahrscheinlich es ist, dass der Besucher ein Bot ist.

reCAPTCHA v2 und v3, einfach erklärt

Google hat zwei Hauptversionen veröffentlicht, die unterschiedlich funktionieren. reCAPTCHA v2 kennen die meisten: ein Kästchen mit der Aufschrift

ein Kästchen mit der Aufschrift „Ich bin kein Roboter“, manchmal gefolgt von einer Aufgabe, in einem Raster aus Fotos Ampeln oder Zebrastreifen zu finden. reCAPTCHA v3 arbeitet anders. Es läuft unsichtbar im Hintergrund und bewertet das Verhalten jedes Besuchers auf einer Skala, ohne Kästchen und ohne Rätsel, das jemand anklicken muss. Die eigene Dokumentation von Google zu wie reCAPTCHA funktioniert erklärt beide Versionen ausführlicher, einschließlich der Art, wie Bewertung und Verifizierungsanfragen im Hintergrund ablaufen.

Was es in einem Shop tatsächlich schützt

Bei einem typischen WooCommerce-Shop wird reCAPTCHA meist zu einem oder mehreren dieser Formulare hinzugefügt: dem Checkout, dem Kundenlogin, der Kontoregistrierung und dem Kontaktformular. Jedes davon kann aus einem anderen Grund von Bots angegriffen werden. Entscheidend ist daher, welche Formulare Sie schützen und mit welcher Version, und nicht nur, die Funktion überall gleichzeitig einzuschalten.

Warum Shop-Betreiber reCAPTCHA überhaupt einsetzen

Die meisten Shop-Betreiber fügen reCAPTCHA nicht aus Neugier hinzu. Sie tun es, nachdem sie ein Muster bemerkt haben, das ihnen bereits Zeit oder Geld kostet.

Typische Bot-Probleme in kleinen Shops

Ein Kontaktformular, das sich mit Spam-Nachrichten füllt, ist einer der häufigsten Auslöser, denn ein ungeschütztes Formular ist ein leichtes Ziel für automatisierte Skripte. Gefälschte Kontoregistrierungen sind ein weiteres Problem, oft massenhaft von Bots angelegt, die gestohlene E-Mail-Listen testen oder Konten für späteren Missbrauch aufbauen. Eine dritte Ursache ist eine Welle von Bestellungen mit derselben gestohlenen Kartennummer, die in kleinen Beträgen über viele Shops hinweg getestet wird. Oft ist es genau das, was einen Betreiber zum schnellen Handeln bewegt. Unser Leitfaden zu warum ein Website-Traffic-Bot Ihrem SEO schadet, statt zu helfen behandelt ein verwandtes Muster: automatisierter Traffic, der nach Aktivität aussieht, aber keine echten Kunden repräsentiert. Es ist dasselbe zugrunde liegende Problem, nur an einer anderen Stelle der Website.

Warum Kartenprüfungsbetrug am Checkout wichtig ist

Kartenprüfung ist der konkrete Grund, warum der Schutz am Checkout Vorrang vor anderen Formularen hat. Ein Bot schickt eine Liste gestohlener Kartennummern in kleinen, schnellen Transaktionen durch den Checkout eines Shops und prüft, welche noch gültig sind, bevor er sie anderswo für einen größeren Einkauf nutzt. Jeder Versuch kann eine Gebühr des Zahlungsdienstleisters auslösen, selbst wenn die Abbuchung abgelehnt wird. Und eine ausreichend große Charge kann dazu führen, dass das Zahlungskonto eines Shops zur Prüfung markiert wird, was eine größere Störung ist als die Gebühren allein. reCAPTCHA am Checkout ist eine der direkteren Möglichkeiten, solche automatisierten Tests im großen Stil zu erschweren.

Wo reCAPTCHA am Checkout schiefgehen kann

Der Checkout ist auch die Seite, auf der ein reCAPTCHA-Fehler am meisten kostet, denn er ist der letzte Schritt zwischen einem Käufer und einem abgeschlossenen Verkauf.

Warum der Checkout anders ist als ein Login-Formular

Ein Kunde, der eine Login-Abfrage nicht besteht, versucht es meist einfach noch einmal, denn er will sich ohnehin in sein Konto einloggen. Am Checkout trifft ein Kunde oft eine Entscheidung im Moment, besonders am Handy, in Eile oder beim Vergleichen der Preise in mehreren Tabs. Ein verwirrendes Rätsel, eine langsam ladende Abfrage oder ein Fehlalarm, der eine legitime Karte blockiert, ist an dieser Stelle keine kleine Verzögerung. Es ist ein Grund, den Tab zu schließen und woanders zu kaufen.

Anzeichen, dass reCAPTCHA Ihnen Verkäufe kostet

Ein Anstieg beim Warenkorbabbruch direkt nach dem Start von reCAPTCHA ist das deutlichste Warnzeichen, dass etwas nicht stimmt, besonders wenn er zeitlich eng mit dem Datum der Einführung zusammenfällt. Kundennachrichten über ein verwirrendes Kästchen, ein Rätsel, das nicht laden wollte, oder eine Bestellung, die nicht durchging, sollten Sie ernst nehmen, auch wenn sie selten sind, denn die meisten frustrierten Käufer schreiben gar nicht erst. Ein Rückgang abgeschlossener Bestellungen speziell auf dem Handy ist ein weiteres Muster, das sich lohnt zu prüfen. Bildaufgaben und langsam ladende Widgets verursachen auf kleinen Bildschirmen und schwächeren Verbindungen meist mehr Probleme als am Desktop.

Die richtige reCAPTCHA-Version für jedes Formular wählen

Nicht jedes Formular im Shop braucht dieselbe Version. Den Checkout genauso zu behandeln wie eine Login-Seite ist einer der häufigeren Gründe, warum reCAPTCHA am Ende Verkäufe kostet.

Warum v3 am Checkout am besten passt

Da reCAPTCHA v3 unsichtbar läuft und eine Bewertung liefert, ohne den Kunden zu etwas aufzufordern, fügt es dem Checkout überhaupt keinen sichtbaren Schritt hinzu. Genau das zählt an der Stelle, an der ein Käufer dem Abschluss am nächsten ist und am wenigsten bereit, einen zusätzlichen Klick hinzunehmen. Die Dokumentation von Google zu reCAPTCHA v3 beschreibt, wie die Bewertung aus Hintergrundsignalen entsteht und nicht aus einer Aktion des Besuchers. Genau deshalb passt sie besser zu einer so wichtigen Seite wie dem Checkout als eine sichtbare Abfrage.

Wann das v2-Kästchen trotzdem sinnvoll ist

Ein sichtbares Kästchen eignet sich für Formulare, bei denen ein kleiner Widerstand keinen Verkauf gefährdet, etwa eine Login-Seite, ein Kontoregistrierungsformular oder ein Kontaktformular. Hier sind die Einsätze niedriger, und Kunden erwarten ohnehin einen zusätzlichen Schritt. Das Kästchen gibt Shop-Betreibern eine klarere, sichtbarere Schutzebene gegen wiederholte Bot-Versuche auf Formularen, die sich nicht reibungslos anfühlen müssen.

Ihre reCAPTCHA-Schlüssel holen, bevor Sie loslegen

Bevor eine Erweiterung oder Einstellung auf der WooCommerce-Seite eine Rolle spielt, braucht der Shop einen Website-Schlüssel und einen geheimen Schlüssel von Google, die an die eigene Domain gebunden sind.

Ihre Website in der reCAPTCHA-Verwaltungskonsole registrieren

Die Registrierung einer Website dauert in Googles reCAPTCHA-Verwaltungskonsole nur wenige Minuten. Dabei fragt der Prozess nach der Domain, auf der die Schlüssel verwendet werden sollen, sowie nach der Version, für die Schlüssel erzeugt werden sollen, v2 oder v3. Nach der Registrierung stellt Google zwei Schlüssel aus: einen Website-Schlüssel, der im Frontend des Shops verwendet wird, und einen geheimen Schlüssel, der auf dem Server die Antworten überprüft. Beide werden für die Einrichtung benötigt, und keiner ist ohne den anderen nützlich.

Ihre Schlüssel und Domains korrekt abgleichen

Schlüssel sind an genau die Domain gebunden, für die sie registriert wurden. Ein für example.com erzeugter Website-Schlüssel funktioniert daher nicht zuverlässig auf www.example.com oder einer Staging-Subdomain, sofern diese Domain nicht ebenfalls bei der Registrierung hinzugefügt wurde. Wenn ein Shop vor dem Start in einer Staging-Umgebung läuft, lohnt es sich, diese Domain ebenfalls in der Verwaltungskonsole einzutragen. Andernfalls schlagen Tests auf Weisen fehl, die wie ein Plugin-Problem aussehen, obwohl in Wahrheit eine Domain-Abweichung vorliegt. Eine Kopie beider Schlüssel an einem sicheren Ort aufzubewahren, nicht nur im Einstellungsbildschirm des Plugins, spart ebenfalls Zeit, falls das Plugin später neu installiert oder durch ein anderes ersetzt werden muss.

Schritt für Schritt: reCAPTCHA in WooCommerce einrichten

Mit beiden Schlüsseln in der Hand ist die eigentliche Installation auf einem WooCommerce-Shop meist der schnellste Teil des gesamten Prozesses.

Ein reCAPTCHA-Plugin für WordPress auswählen

Die meisten Shops binden reCAPTCHA über ein WordPress-Plugin ein, statt Theme-Dateien direkt zu bearbeiten, denn ein Plugin übernimmt die technische Verbindung zwischen den Schlüsseln und den Formularen der Website. Einige WooCommerce-Erweiterungen und Zahlungs-Plugins bringen reCAPTCHA-Unterstützung bereits mit. Das lohnt sich zu prüfen, bevor Sie ein separates Plugin obendrauf installieren. Ein eigenständiges reCAPTCHA-Plugin ist für die meisten Shops dennoch die flexiblere Wahl, da es in der Regel erlaubt festzulegen, welche Formulare geschützt werden und welche Version für jedes gilt, statt die gesamte Website auf eine einzige Einstellung festzulegen.

Prüfen Sie, bevor Sie sich für ein Plugin entscheiden, ob es die Version unterstützt, die Sie auf jedem Formular tatsächlich möchten. Ein Plugin, das nur auf dem v2-Checkbox-Verfahren aufbaut, bietet nicht das unsichtbare v3-Verhalten, das der Checkout braucht, und umgekehrt gilt dasselbe.

Ein Praxisbeispiel: Die Einrichtung in einem kleinen Shop

Stellen Sie sich eine kleine Bäckerei vor, die über WooCommerce Geschenkboxen online verkauft. Dieses Beispiel dient der Veranschaulichung. Der Betreiber registriert die Website zweimal in Googles reCAPTCHA-Verwaltungskonsole, einmal für v3 und einmal für v2, da der Shop beide Versionen auf unterschiedlichen Seiten verwenden möchte. Aus diesem Schritt entstehen zwei Website-Schlüssel und zwei geheime Schlüssel.

Als Nächstes installiert der Betreiber ein reCAPTCHA-Plugin und fügt alle vier Schlüssel in dessen Einstellungen ein, wobei jedes Schlüsselpaar der richtigen Version zugeordnet wird. In den Formulareinstellungen des Plugins wird der Checkout auf v3 umgestellt, ohne sichtbares Kontrollkästchen. Login, Registrierung und Kontaktseite werden auf v2 mit aktiviertem Kontrollkästchen umgestellt. Das Plugin wird gespeichert, und der Shop läuft nun mit zwei verschiedenen Arten von Schutz auf zwei verschiedenen Arten von Seiten, ohne dass sich beide gegenseitig stören.

Der gesamte Prozess, vom Registrieren der Schlüssel bis zum Speichern der Plugin-Einstellungen, dauert bei einem Shop dieser Größe weniger als eine halbe Stunde. Mehr Zeit und mehr Gewicht hat der Teil, der im Folgenden behandelt wird: den Schwellenwert festzulegen und ihn gründlich zu testen, bevor Kunden ihn überhaupt zu Gesicht bekommen.

Den Score-Schwellenwert festlegen, ohne echte Kunden auszubremsen

Das unsichtbare Scoring von reCAPTCHA v3 ist erst dann nützlich, wenn ein Shop entschieden hat, was er mit dem zurückgegebenen Score macht. Genau an dieser einen Einstellung entsteht der meiste Reibungsverlust im Checkout.

So funktioniert der Score-Schwellenwert wirklich

reCAPTCHA v3 bewertet jeden Besucher auf einer Skala von 0,0 bis 1,0. Ein Wert näher bei 1,0 deutet darauf hin, dass die Interaktion von einem echten Menschen stammt, ein Wert näher bei 0,0 deutet darauf hin, dass sie automatisiert wirkt. Der Shop, nicht Google, entscheidet, was an jedem Punkt dieser Skala passiert. Ein gängiger Ansatz ist, eine Schwellenzahl festzulegen und alles darunter als verdächtig zu behandeln, entweder direkt zu blockieren oder für eine zweite Prüfung zu markieren.

Der Score ist kein Urteil über Schuld. Er ist eine Wahrscheinlichkeitsschätzung, die auf Hintergrundsignalen wie Surfverhalten und Interaktionsmustern beruht. Und wie jede Wahrscheinlichkeitsschätzung liegt sie bei manchen Besuchern in beide Richtungen daneben.

Milde starten und mit der Zeit nachjustieren

Den Schwellenwert gleich zu Beginn zu streng anzusetzen, gehört zu den häufigsten Wegen, auf denen reCAPTCHA echte Käufer blockiert. Ein neuer Besucher, der von einem neuen Gerät surft, aus einem gemeinsamen Büronetzwerk oder mit einem datenschutzorientierten Browser, kann manchmal einen niedrigeren Score erhalten als ein wiederkehrender Kunde auf einem vertrauten Gerät, obwohl beide echt sind. Wer mit einem niedrigeren, milderen Schwellenwert beginnt und ihn erst nach einigen Wochen mit echtem Traffic verschärft, kann sehen, wie die tatsächliche Kundschaft punktet, statt eine Zahl zu raten, die in der Theorie vernünftig klingt.

Die meisten Shops fahren besser, wenn sie einen niedrigen Score als Anlass für eine sanftere zweite Prüfung behandeln, etwa einen zusätzlichen Bestätigungsschritt, statt als automatische Sperre. So wird aus einem falschen niedrigen Score nicht sofort ein verlorener Verkauf oder ein Warenkorbabbruch.

reCAPTCHA testen, bevor es live geht

Eine Einrichtung, die in den Plugin-Einstellungen korrekt aussieht, kann sich trotzdem anders verhalten, sobald ein echter Besucher auf einem echten Gerät mit einer echten Verbindung die Seite tatsächlich aufruft.

Ein 20-minütiger Test vor dem Start

Bevor Sie sich auf reCAPTCHA mit echten Kunden verlassen, lohnt es sich, den Checkout und jedes andere geschützte Formular einmal selbst als Käufer durchzuspielen, auf mehr als einem Gerät und in mehr als einem Browserzustand. Zwanzig Minuten reichen meist aus, um die wichtigsten Probleme zu finden.

Unsere SEO-Audit-Checkliste beschreibt eine ähnliche Vorgehensweise für eine technische Website-Prüfung: die Seite Seite für Seite durchgehen, so wie ein Besucher es täte, statt darauf zu vertrauen, dass eine Einstellung stimmt, nur weil sie gespeichert wurde. Dieselbe Gewohnheit gilt auch hier.

Häufige Fehler, die echte Kunden frustrieren

Die meisten Beschwerden, die auf reCAPTCHA zurückgehen, lassen sich auf eine kurze Liste von Einrichtungsentscheidungen zurückführen, die sich in vielen verschiedenen Shops wiederholen.

Jeder dieser Fehler lässt sich nach dem Erkennen mit einer einmaligen Korrektur beheben. Genau deshalb ist der Test vor dem Start wichtiger, als es auf den ersten Blick scheint. Eine nicht passende Domain oder einen zu strengen Schwellenwert in einem zwanzigminütigen Test zu erkennen, kostet nichts. Wenn Sie das erst nach einer Woche mit verlorenen Verkäufen merken, kostet es deutlich mehr.

Überwachung von reCAPTCHA nach dem Start

Mit dem Live-Gang von reCAPTCHA ist es nicht getan. In den Wochen direkt nach dem Start zeigt sich, ob ein etwas falsch gesetzter Schwellenwert oder ein Formular, das sich im echten Betrieb anders verhält als im Test, tatsächlich Wirkung zeigt.

Was Sie in der reCAPTCHA-Admin-Konsole prüfen sollten

Die reCAPTCHA-Admin-Konsole von Google zeigt eine Aufschlüsselung der Bewertungen, die sie für Ihre Website zurückgegeben hat. So erhalten Sie einen groben Überblick, wo der echte Traffic auf der Skala von 0,0 bis 1,0 liegt. Wenn ein großer Teil eines augenscheinlich echten Traffics knapp unterhalb des von Ihnen gesetzten Schwellenwerts liegt, spricht das dafür, den Schwellenwert zu lockern, und nicht dafür, dass der Traffic verdächtig ist. Diese Prüfung im ersten Monat nach dem Start wöchentlich durchzuführen, erkennt eine falsch kalibrierte Einstellung, bevor sie viele Verkäufe gekostet hat.

Wann ein alternativer Ansatz sinnvoller ist

reCAPTCHA ist nicht der einzige Weg, Spam und Betrug einzudämmen, und nicht immer die beste Lösung für jeden Shop. Ein Honeypot-Feld, also ein verstecktes Formularfeld, das für echte Besucher unsichtbar ist, aber von einfachen Bots ausgefüllt wird, kann viele grundlegende Spam-Eingaben abfangen, ohne dass jemand einen sichtbaren Schritt bemerkt. Ein Rate-Limiting für Checkout-Versuche, über einen Zahlungsdienstleister oder ein Sicherheits-Plugin, kann Kartentests ausbremsen, ohne das Kundenerlebnis überhaupt zu berühren. Wenn reCAPTCHA auch nach der Anpassung des Schwellenwerts und dem Test jedes Formulars weiter Beschwerden auslöst, lohnt es sich zu prüfen, ob einer dieser leichteren Ansätze dasselbe Problem mit weniger Hürden löst. Unser Leitfaden zum technischen SEO-Audit erklärt, wie Sie Korrekturen wie diese auf einer Website priorisieren. Diese Vorgehensweise hilft auch bei der Entscheidung, ob eine Sicherheitseinstellung so bleiben, angepasst oder ersetzt werden sollte.

Wo RepGet ins Spiel kommt

RepGet konfiguriert weder reCAPTCHA, noch legt es Schwellenwerte fest oder verwaltet die Checkout-Einstellungen von WooCommerce. Das geschieht in der Admin-Konsole von Google und in den Plugin-Einstellungen Ihres Shops. Dafür braucht es jemanden, der den tatsächlichen Traffic und die Kunden des Shops kennt, um die richtige Balance zu finden.

Was RepGet abdeckt, ist das breitere technische und inhaltliche Gesamtbild rund um einen Shop wie diesen. Das kostenlose Website-Audit durchsucht eine Website und vergibt einen SEO-Wert von 0 bis 100. Dabei werden technische und inhaltliche Probleme markiert, die untersucht werden sollten. Solche Probleme können monatelang auf einem Shop liegen, ohne dass jemand sie bemerkt, weil die Aufmerksamkeit auf den Checkout-Einstellungen liegt. Es ist kein Konto und keine Kreditkarte nötig. Das ist eine sinnvolle Möglichkeit zu prüfen, was auf derselben Website sonst noch Aufmerksamkeit braucht, auf der reCAPTCHA gerade eingerichtet wurde.

RepGet garantiert weder ein Ranking, eine Reduzierung von Betrug noch eine bestimmte Conversion-Rate im Checkout. Es ersetzt auch nicht die Entscheidungen, die in diesem Leitfaden behandelt werden: welche Version wo eingesetzt wird, mit welchem Schwellenwert man startet und wann eine Beschwerde eines Kunden eine Reaktion verdient.

Das Wichtigste in Kürze

Google reCAPTCHA für WooCommerce erfüllt eine echte Aufgabe: Es reduziert Spam-Eingaben, gefälschte Kontoanmeldungen und Kartenbetrug und ist kostenlos nutzbar. Ob es einem Shop hilft oder schadet, hängt nicht davon ab, ob man es einsetzt. Entscheidend ist, welche Version wo eingesetzt wird, wie streng der Schwellenwert zu Beginn ist und ob jemand es als Kunde getestet hat, bevor echte Käufer die Probleme entdecken.

Für den Checkout empfiehlt sich das unsichtbare reCAPTCHA v3, zunächst großzügig eingestellt und angepasst, sobald der echte Traffic zeigt, wie Ihre Kunden im Bewertungssystem von Google aussehen. Login-, Registrierungs- und Kontaktformulare können das sichtbare v2-Kästchen ohne großes Risiko tragen, da ein kleiner Schritt dort keinen Verkauf kostet, wie es an der Kasse der Fall wäre. Das muss nicht kompliziert sein. Wer den Test jedoch überspringt, sorgt dafür, dass eine gut gemeinte Lösung gegen Spam unbemerkt zu einem Grund wird, warum Kunden den Warenkorb abbrechen, ohne zu kaufen.

Finden Sie zuerst heraus, was Ihre Website braucht

Ob vor oder nach der Einrichtung von reCAPTCHA: Es lohnt sich zu wissen, was die Website Ihres Shops sonst noch braucht. Starten Sie ein kostenloses Website-Audit mit RepGet, um die technischen und inhaltlichen Probleme zu sehen, die sich zu beheben lohnen. Es ist kein Konto und keine Kreditkarte nötig.