Sie füllen ein Anmeldeformular aus. Zuerst setzen Sie den Haken bei „Ich bin kein Roboter“, dann verbringen Sie ein paar Minuten damit, ein Passwort durch die Regeln der Website zu bringen. Als Sie auf Absenden klicken, antwortet die Seite: „CAPTCHA verification failed. Please try again.“ Sie scrollen nach oben, und der Haken ist weg: Im Kästchen steht jetzt „Verification expired. Check the checkbox again.“
Dieser Artikel erklärt, was CAPTCHA bedeutet, was hinter diesem Kästchen abläuft und wie sich reCAPTCHA v2 und v3 unterscheiden. Danach entschlüsselt er die häufigen Fehlermeldungen und zählt auf, was Sie der Reihe nach versuchen können, damit Sie erkennen, ob das Problem in Ihrem Browser, in Ihrem Netzwerk oder bei der Website liegt.
Was bedeutet CAPTCHA?
CAPTCHA steht für Completely Automated Public Turing test to tell Computers and Humans Apart, also einen vollautomatischen, öffentlichen Turing-Test, der Computer und Menschen unterscheidet. Ein Turing-Test, benannt nach dem Mathematiker Alan Turing, fragt, ob eine Maschine als Mensch durchgehen kann. Ein CAPTCHA dreht die Idee um: Ein Computer stellt den Test, und ein Mensch soll ihn bestehen, während ein Programm daran scheitert.
Sie begegnen ihm in Registrierungs- und Anmeldeformularen, beim Zurücksetzen von Passwörtern, in Kommentarfeldern und auf Bestellseiten. Dort stoppt es Programme, die massenhaft gefälschte Konten anlegen, Spam posten oder Tausende Passwörter ausprobieren. Es gibt vier gängige Formen:
- Verzerrter Text, den Sie aus einem verzogenen Bild abtippen. Das meinen viele, wenn sie von einem „CAPTCHA-Code“ sprechen.
- Bildaufgaben, etwa jedes Feld auszuwählen, auf dem ein Bus zu sehen ist.
- Ein Kontrollkästchen oder Schieberegler: ein Haken bei „Ich bin kein Roboter“ oder ein Griff, den Sie nach rechts ziehen.
- Eine unsichtbare Punktzahl, die im Hintergrund berechnet wird.
Auf vielen Websites sind das Stufen einer einzigen Prüfung: Je größer der Zweifel, desto mehr Arbeit wird von Ihnen verlangt. Wie diese Entscheidung fällt, beschreibt CAPTCHA-Arten und wann sie ausgelöst werden, die Signale dahinter Warum erscheint ein CAPTCHA?.
Wie funktioniert ein CAPTCHA im Hintergrund?
Das Kästchen ist meist kein Teil der Website, sondern ein kleines Fenster, das von den Servern eines anderen Unternehmens geladen wird. Bei Googles reCAPTCHA laufen zwischen Ihrem Klick und dem angenommenen Formular diese Schritte ab:
- Die Seite lädt das Kästchen von Google, von
www.google.com/recaptchaoder der alternativen Adressewww.recaptcha.net. Blockiert eine Erweiterung oder ein Netzwerkfilter diese Adresse, erscheint das Kästchen nie. - Das Kästchen liest Signale aus Ihrem Browser, etwa wie sich der Mauszeiger bewegt, welche Cookies vorhanden sind und wie sich der Browser ausweist. Bot-Erkennung: So funktionieren Anti-Bot-Systeme erklärt, wie aus solchen Signalen eine Entscheidung wird.
- Im Zweifel stellt es eine Aufgabe, meist ein Bilderraster mit einer Audio-Option.
- Sie erhalten einen einmaligen Freigabecode, das sogenannte Token. Er funktioniert wie der Einmalcode, den Ihre Bank per SMS schickt: Er läuft schnell ab und gilt nur ein einziges Mal.
- Die Website fragt bei Google nach dem Code. Wenn Sie auf Absenden klicken, schickt der Server der Website das Token an Google. Googles Dokumentation zur Überprüfung der Antwort gibt an, dass jedes Token zwei Minuten gültig ist und nur einmal überprüft werden kann.
- Die Website nimmt das Formular an oder zeigt ihre eigene Fehlermeldung.
An Schritt 5 scheitern viele Formulare. Die Prüfung schlägt fehl, wenn zwischen dem Haken und dem Absenden mehr als zwei Minuten vergehen oder wenn derselbe Code nach einem Doppelklick oder über die Zurück-Schaltfläche zweimal ankommt.
Was ist reCAPTCHA, und wie unterscheiden sich v2 und v3?
reCAPTCHA ist der CAPTCHA-Dienst von Google, und Websites wählen zwischen zwei Hauptversionen.
reCAPTCHA v2: das Kontrollkästchen
Version 2 ist das Kästchen „Ich bin kein Roboter“. Viele Besucher kommen mit einem Klick durch; ist sich das Kästchen unsicher, sollen Sie alle Bilder mit Bussen oder Fahrrädern auswählen. Eine unsichtbare Variante zeigt kein Kästchen und öffnet die Bildaufgabe nur, wenn sie Zweifel hat.
reCAPTCHA v3: die unsichtbare Punktzahl
Version 3 zeigt nie eine Aufgabe. Sie gibt jeder Aktion eine Punktzahl von 0,0 bis 1,0: Laut Googles Dokumentation zu v3 (geprüft im September 2026) steht 1,0 sehr wahrscheinlich für einen Menschen und 0,0 sehr wahrscheinlich für einen Bot, und Websites können mit einem Schwellenwert von 0,5 beginnen. Unterhalb ihres Schwellenwerts kann eine Website das Formular ablehnen oder einen zusätzlichen Schritt verlangen; so kommt es zu „verification failed“, ohne dass Sie je ein Rätsel gesehen haben. Ein kleines reCAPTCHA-Symbol in einer Ecke oder der Satz „This site is protected by reCAPTCHA“ weist auf eine unsichtbare Version hin.
Im April 2026 hat Google reCAPTCHA in ein größeres Produkt eingegliedert, Google Cloud Fraud Defense. Laut Google bleiben bestehende Websiteschlüssel und Integrationen, wie sie sind; das Kästchen, das Sie sehen, ändert sich also nicht.
Was ist recaptcha.net?
www.recaptcha.net liefert dasselbe reCAPTCHA über eine zweite Adresse aus. Laut Googles reCAPTCHA-FAQ können Websites sie nutzen, wenn www.google.com für ihre Nutzer nicht erreichbar ist. Es handelt sich nicht um Spyware: Taucht die Adresse im Datenschutzbericht Ihres iPhones auf, hat eine von Ihnen geöffnete Website ihr CAPTCHA von dort geladen.
Was ist Yandex SmartCaptcha?
SmartCaptcha ist der CAPTCHA-Dienst von Yandex. Laut seiner Beschreibung der Aufgabentypen ist die Hauptaufgabe ein Kontrollkästchen „Ich bin kein Roboter“ oder ein Schieberegler. Wirkt der Versuch verdächtig, folgt eine zweite Aufgabe: verzerrten Text abtippen, Symbole in der richtigen Reihenfolge markieren oder ein Bild mit einem Schieberegler zusammensetzen. Die meisten Schritte weiter unten gelten auch dafür.
Der Cloudflare-Bildschirm „Verifying you are human“ und das Turnstile-Kästchen sind ein eigenes System; darum geht es in Cloudflare-Prüfung „Verifying you are human“ beheben.
Was bedeuten die CAPTCHA-Fehlermeldungen?
Meldungen im Kästchen, etwa „Verification expired. Check the checkbox again.“, stammen von Google. Meldungen rund um das Formular, etwa „Invalid Captcha“ oder „Captcha Required“, schreibt jede Website selbst; deshalb taucht dasselbe Problem unter vielen Formulierungen auf.
| Meldung | Bedeutung | Übliche Quelle | Zuerst versuchen |
|---|---|---|---|
| „Verification expired“, „Invalid-Expired Captcha“, „timeout-or-duplicate“ | Code älter als zwei Minuten oder schon benutzt | Sie: Formular offen gelassen, zweimal auf Absenden geklickt | Neu anhaken, einmal absenden |
| „Captcha Required“, „This field is required“ | Formular kam ohne Code an | Sie oder ein Browser, der das Kästchen blockiert hat | Kästchen anhaken oder Werbeblocker pausieren |
| „CAPTCHA verification failed“ | Code abgelaufen, wiederverwendet oder zu niedrig bewertet | Sie, Ihr Netzwerk (geteilte IP, VPN) oder die Website | Neu anhaken, einmal absenden, dann VPN aus |
| „Invalid Captcha“, „Incorrect Captcha“ | Text falsch abgetippt oder Code beschädigt | Sie oder ein halb geladenes Kästchen | Neues Bild, sorgfältig abtippen |
| „Cannot contact reCAPTCHA“, endloser Ladekreis | Googles Adresse nicht erreichbar | Browser oder Netzwerkfilter | Privates Fenster, anderes Netzwerk |
| „ERROR for site owner: Invalid domain for site key“ | reCAPTCHA falsch eingerichtet | Die Website | Der Website einen Screenshot schicken |
„CAPTCHA verification failed“
Die Website hat Google nach Ihrem Code gefragt und kein klares Ja bekommen. Beim Kontrollkästchen ist der Code wahrscheinlich abgelaufen oder wurde wiederverwendet. Bei der Punktzahl von v3 lag Ihr Besuch unter dem Schwellenwert, und Ihr Netzwerk ist der erste Ort, an dem Sie suchen sollten.
„Captcha Required“ und „This field is required“
Das Formular kam ohne Freigabecode an: Sie haben auf Absenden geklickt, bevor Sie den Haken gesetzt hatten, oder das Kästchen wurde nie geladen. Ist auf der Seite gar kein Kästchen zu sehen, fällt der Verdacht auf einen Werbeblocker oder eine Datenschutz-Erweiterung.
„Invalid Captcha“ und „Incorrect Captcha“
Bei Textformularen passte Ihre Eingabe nicht zum Bild. Bei Formularen mit Kontrollkästchen kam der Code beschädigt oder leer an.
„Verification expired“ und „timeout-or-duplicate“
Läuft die Freigabe ab, entfernt das Kästchen Ihren Haken und zeigt die Zeile mit „expired“. „timeout-or-duplicate“ ist Googles Antwort, wenn die Website einen Code schickt, der zu alt oder schon benutzt ist, und manche Websites geben diese Antwort unverändert aus.
„Cannot contact reCAPTCHA“ oder ein Kästchen, das nie lädt
Die vollständige Zeile lautet „Cannot contact reCAPTCHA. Check your connection and try again.“ Ihr Browser erreicht die Server von Google nicht, meist weil eine Erweiterung stört, JavaScript abgeschaltet ist oder ein Netzwerkfilter im Büro oder in der Schule greift.
„ERROR for site owner“
Eine Zeile im Kästchen wie „ERROR for site owner: Invalid domain for site key“ bedeutet, dass die Website reCAPTCHA falsch eingerichtet hat. In Ihrem Browser lässt sich das nicht beheben; schicken Sie der Website einen Screenshot.
Warum schlägt die CAPTCHA-Prüfung fehl?
Die Ursachen fallen in drei Gruppen: Ihr Browser, Ihr Netzwerk und die Website.
Ihr Browser. Werbeblocker und Datenschutz-Erweiterungen blockieren Skripte von den Servern anderer Unternehmen, auch das CAPTCHA-Kästchen. Vielleicht ist JavaScript aus, oder strenge Einstellungen blockieren sämtliche Cookies. Die reCAPTCHA-Hilfe von Google nennt außerdem nur die beiden neuesten Hauptversionen von Chrome, Firefox, Safari und Edge auf dem Desktop als unterstützt.
Ihr Netzwerk. In Wohnheimen, Büros und vielen Mobilfunknetzen teilt sich eine große Gruppe von Menschen eine IP-Adresse; nutzen einige davon automatisierte Werkzeuge, kann die Punktzahl aller sinken, die diese Adresse verwenden (Was ist CGNAT?). Die Ausgangsadressen von VPNs werden auf dieselbe Weise geteilt und ziehen mehr Prüfungen an (VPN oder Proxy erkannt). Viele Versuche in kurzer Zeit senken die Punktzahl weiter.
Die Website. Ein falscher Schlüssel, eine Domain, die in den reCAPTCHA-Einstellungen der Website fehlt, oder ein Formular, das sich selbst zweimal absendet, lässt die Prüfung für jeden Besucher scheitern. Ein Kästchen, das bei jeder Google-Suche wiederkommt, gehört zu einer anderen Seite; sie wird in Google meldet ungewöhnlichen Datenverkehr behandelt.
Was sollten Sie der Reihe nach versuchen, wenn die CAPTCHA-Prüfung fehlschlägt?
- Neu laden und den Haken zuletzt setzen. Füllen Sie jedes Feld aus, setzen Sie den Haken bei „Ich bin kein Roboter“ ganz am Ende und klicken Sie innerhalb von zwei Minuten ein einziges Mal auf Absenden.
- Den Werbeblocker für diese Website pausieren. Die meisten Blocker haben unter ihrem Symbol in der Symbolleiste einen Schalter pro Website. Zum Testen öffnen Sie ein privates Fenster, in dem Erweiterungen meist ausgeschaltet sind (Chrome: Drei-Punkte-Menü > Neues Inkognitofenster).
- JavaScript erlauben. Gehen Sie in Chrome zu Einstellungen > Datenschutz und Sicherheit > Website-Einstellungen > JavaScript und erlauben Sie es, zumindest für diese Website.
- Den Browser aktualisieren, über die Seite „Über“ in seinem Menü.
- Das VPN ausschalten, ob App oder Erweiterung, und das Formular neu laden.
- Ein anderes Netzwerk testen. Nutzen Sie mobile Daten statt WLAN. Geht das Formular dann durch, lag es wahrscheinlich an der Adresse des ersten Netzwerks; IP-Adresse ändern zeigt Ihre Möglichkeiten.
- Eine andere Seite mit reCAPTCHA testen. Funktioniert das Kästchen anderswo und scheitert nur hier, liegt das Problem bei der Website: Schicken Sie ihrem Support einen Screenshot, die Uhrzeit und den Namen Ihres Browsers.
Was, wenn Sie die Bilder nicht sehen oder den Ton nicht hören können?
Drücken Sie bei einer Bildaufgabe von reCAPTCHA die Schaltfläche für die Audio-Aufgabe unter den Bildern, starten Sie die Wiedergabe und tippen Sie die Zahlen ab, die Sie hören. Laut den Hilfeseiten von Google funktioniert reCAPTCHA mit den Screenreadern ChromeVox, JAWS, NVDA und VoiceOver.
Audio ist keine vollständige Lösung. Die W3C-Notiz Inaccessibility of CAPTCHA (Dezember 2021) erklärt, dass visuelle Tests blinde und sehbehinderte Menschen sowie Menschen mit Legasthenie ausschließen, während Audio-Tests gehörlose, schwerhörige und taubblinde Menschen ausschließen. Funktioniert beides für Sie nicht, bitten Sie die Website um eine andere Prüfung, etwa einen Anruf oder einen Link per E-Mail, statt eine „Solver“-Erweiterung zu installieren.
Wo begegnen Ihnen CAPTCHAs und ähnliche Prüfungen?
- Google-Suche: eine Seite über „ungewöhnlichen Datenverkehr“, erklärt in Google meldet ungewöhnlichen Datenverkehr.
- Cloudflare: ein Bildschirm „Verifying you are human“, erklärt in Cloudflare-Prüfung „Verifying you are human“ beheben.
- YouTube: die Aufforderung, sich anzumelden und zu bestätigen, dass Sie kein Bot sind, erklärt in YouTube-Fehler „Kein Bot“.
- Eine Sperre ohne Kästchen: Der Zugang wird direkt verweigert, erklärt in Sorry, You Have Been Blocked.
- „Access Denied“: eine Ablehnungsseite mit Referenznummer, erklärt in Fehler „Access Denied“ auf Websites.
- VPN-Warnungen: Websites, die eine VPN-Adresse ablehnen, statt sie zu prüfen, erklärt in VPN oder Proxy erkannt.
- Unternehmen, die Daten per Software erheben: Hier ist ein CAPTCHA ein Stoppschild. Der legitime Weg besteht aus einer langsameren Abfragerate, der offiziellen API und der Erlaubnis des Website-Betreibers; unsere Seite Data Scraping zeigt, wie diese Arbeit aufgebaut wird. Kein Proxy und kein Werkzeug entfernt CAPTCHAs, und keines sollte für einen solchen Versuch eingesetzt werden.
Häufige Fehler
- Eine „CAPTCHA-Solver“-Erweiterung installieren. Solche Erweiterungen verlangen meist das Recht, Ihre Daten auf allen Websites zu lesen und zu ändern, auch bei Ihrer Bank und in Ihrem E-Mail-Postfach.
- Mehrmals auf Absenden klicken. Der Code gilt nur einmal, also schickt der zweite Klick einen bereits benutzten.
- Den Haken setzen, bevor das Formular ausgefüllt ist. Wer langsam tippt, lässt die zwei Minuten ablaufen.
- Über die Zurück-Schaltfläche erneut absenden. Der Browser schickt womöglich den bereits geprüften Code noch einmal.
- Zur Lösung ein VPN einschalten. Eine geteilte VPN-Adresse bringt meist mehr Prüfungen; Proxy und VPN im Vergleich erklärt, was ein VPN verändert.
- Einer Prüfung folgen, die Sie einen Befehl einfügen lässt. Ein echtes CAPTCHA fordert Sie nie auf, Windows+R zu drücken oder Text in ein Terminal einzufügen; gefälschte Prüfseiten nutzen diesen Schritt, um Schadsoftware zu installieren.
Entscheidungshilfe
| Bedarf | Empfehlung |
|---|---|
| Der Haken war gesetzt, aber beim Absenden kam „expired“ | Neu laden, Haken zuletzt setzen, innerhalb von zwei Minuten einmal absenden |
| Das Kästchen erscheint nie oder dreht sich endlos | Blocker für die Website pausieren, JavaScript erlauben, Browser aktualisieren |
| „Verification failed“ ohne Aufgabe, VPN an | VPN ausschalten oder mobile Daten testen |
| Fehler nur auf einer Website oder „ERROR for site owner“ | Dem Support der Website einen Screenshot schicken |
| Sie können die Bilder nicht sehen oder den Ton nicht hören | Audio-Aufgabe versuchen, dann die Website um eine andere Prüfung bitten |
Arbeiten Sie in allen anderen Fällen die nummerierten Schritte oben der Reihe nach ab.
Häufige Fragen
Wofür wird ein CAPTCHA verwendet?
Es stoppt Programme schon am Formular: Bots, die gefälschte Konten anlegen, Spam posten oder gestohlene Passwörter ausprobieren. Es schützt die Website und ihre Nutzer, statt über Sie zu urteilen; deshalb sehen es auch echte Besucher.
Was ist ein CAPTCHA-Code?
Das ist die verzerrte Folge von Buchstaben und Zahlen in einem Bild, die manche Formulare abtippen lassen. Ob Großbuchstaben zählen, hängt von der Website ab; können Sie den Code nicht lesen, drücken Sie die Schaltfläche zum Neuladen neben dem Bild.
Was ist recaptcha.net, und warum taucht es auf meinem iPhone auf?
Google nutzt es als alternative Adresse, um reCAPTCHA auszuliefern. Apples App-Datenschutzbericht unter Einstellungen > Datenschutz & Sicherheit ab iOS 15.2 listet die Domains auf, die in den letzten sieben Tagen von Websites kontaktiert wurden, die Sie in Apps besucht haben.
Was bedeutet „timeout-or-duplicate“?
Diese Antwort schickt Google an eine Website, wenn der Freigabecode älter als zwei Minuten ist oder schon geprüft wurde. Das ist keine Sperre. Laden Sie das Formular neu, setzen Sie den Haken zuletzt und klicken Sie einmal auf Absenden.
Das CAPTCHA lädt nicht und das Kästchen erscheint nie. Was soll ich tun?
Pausieren Sie Ihren Werbeblocker für die Website, erlauben Sie JavaScript und testen Sie ein privates Fenster, danach ein anderes Netzwerk. Funktioniert das Kästchen auf anderen Websites, aber nicht auf dieser, liegt die Ursache wahrscheinlich in der Einrichtung der Website.
Warum reicht ein Klick auf „Ich bin kein Roboter“?
Der Klick ist nicht der ganze Test. Vor und während Ihres Klicks liest das Kästchen Signale aus Ihrem Browser und Ihrer Verbindung. Wirkt nichts ungewöhnlich, lässt es Sie durch; fällt etwas auf, öffnet es eine Bild- oder Audio-Aufgabe.
Fazit
Ein CAPTCHA ist ein kurzer Test, der an den Formularen einer Website Menschen von Programmen trennt. Häufige Gründe für ein Scheitern sind ein Freigabecode, der abgelaufen ist oder zweimal gesendet wurde, eine Erweiterung, die das Kästchen blockiert hat, oder eine geteilte Adresse, die die Punktzahl gesenkt hat. Laden Sie neu, setzen Sie den Haken zuletzt, senden Sie einmal ab und pausieren Sie Ihren Blocker; steht im Kästchen „ERROR for site owner“, sagen Sie der Website Bescheid. Wenn Ihr Team beruflich mit IP-Adressen arbeitet, erklärt unsere Seite Proxy-Dienste die Adresstypen.
