Proof-of-Work-CAPTCHA erklärt: Ohne Rätsel, ohne Tracking
Aktualisiert:
Kurzantwort
Ein Proof-of-Work-CAPTCHA lässt den Browser des Besuchers im Hintergrund eine kleine Rechenaufgabe lösen. Für einen Menschen dauert das einen Moment und bleibt unbemerkt; für einen Bot mit tausenden Anfragen summieren sich die Kosten. Ohne Bilderrätsel und ohne gespeicherte Kennung entsteht keine Reibung, und es kann ohne Cookies laufen. Am besten wirkt es zusammen mit Risikosignalen der Anfrage.
Die Idee hinter Proof-of-Work
Proof-of-Work wurde im Hashcash-Papier gegen E-Mail-Spam vorgeschlagen: Das Senden einer Nachricht kostet ein wenig Rechenzeit. Ein einzelner Absender merkt das nicht, ein Spammer mit Millionen Nachrichten schon.
Ein CAPTCHA überträgt diese Idee auf Formulare. Der Server stellt eine Aufgabe, der Browser sucht eine Antwort, die ein Schwierigkeitsziel erfüllt, und schickt sie mit dem Formular zurück. Der Server prüft sie, was günstig ist, und nimmt die Anfrage erst dann an.
Schritt für Schritt
- Die Seite lädt das Widget, das beim Server eine Aufgabe anfordert.
- Der Browser berechnet im Hintergrund eine Lösung, auf einem normalen Gerät meist in einem Moment.
- Die Lösung wird zusammen mit dem Formular gesendet.
- Ihr Server schickt die Lösung an den Prüfendpunkt und erhält Erfolg oder Fehler zurück.
- Nur geprüfte Anfragen werden verarbeitet.
Stärken und Grenzen
| Aspekt | Stärke | Grenze |
|---|---|---|
| Besuchererlebnis | Kein Rätsel, nichts anzuklicken. | Sehr alte oder schwache Geräte brauchen etwas länger. |
| Datenschutz | Es muss keine Kennung gespeichert werden; das Widget kann ohne Cookies laufen. | Der Server sieht die Anfrage dennoch, daher gelten die Regeln zur Verarbeitung. |
| Kosten für Angreifer | Massenhafter Missbrauch kostet Rechenzeit. | Ein entschlossener Angreifer mit günstigen Ressourcen kann sie bezahlen. |
| Anpassbarkeit | Die Schwierigkeit kann bei verdächtigen Anfragen steigen. | Braucht gute Risikosignale, damit echte Nutzer nicht gebremst werden. |
Risikosignale machen es adaptiv
BurgCaptcha kombiniert Proof-of-Work mit Signalen der Anfrage, etwa Headless-Browsern oder bekannten Bot-Netzwerken. Verdächtige Anfragen erhalten eine schwerere Aufgabe, normale Besucher eine triviale. So wächst der Schutz mit der Bedrohung, ohne ein Rätsel hinzuzufügen.
Häufige Fragen
Macht Proof-of-Work meine Website langsamer?
Die Berechnung läuft im Hintergrund, während der Besucher das Formular ausfüllt, und ist meist fertig, bevor er es abschickt. Die meisten merken nichts.
Verbraucht Proof-of-Work den Akku eines Smartphones?
Die Aufgabe ist klein und läuft einmal pro Formular. Für normale Besucher bleibt die Schwierigkeit niedrig.
Reicht Proof-of-Work allein?
Es erhöht die Kosten automatisierten Missbrauchs, aber sensible Formulare sollten zusätzlich Rate-Limiting, serverseitige Validierung und Monitoring nutzen.