Dein CAPTCHA ist eine Barriere. Seit Juni 2025 auch ein Rechtsrisiko.
Das Barrierefreiheitsstärkungsgesetz gilt. Verkaufst du online an Verbraucher, muss dein Angebot barrierefrei sein. Und ausgerechnet die Stelle, an der du dich gegen Bots wehrst, ist die, an der Menschen mit Behinderung am häufigsten hängenbleiben.
- Gilt seit
- 28.06.2025
- Barrierefreiheitsstärkungsgesetz (BFSG) - die deutsche Umsetzung der EU-Richtlinie 2019/882.
- Bußgeld bis
- 100.000 €
- Dazu kann die Behörde anordnen, dass du Mängel behebst, und dir im Extremfall untersagen, die Dienstleistung weiter anzubieten.
- Kontrollen
- laufen
- Die gemeinsame Marktüberwachungsstelle der Länder sitzt seit Herbst 2025 in Magdeburg. Seit Anfang 2026 ist sie in der aktiven Kontrollphase und prüft auf Beschwerde und von sich aus.
Was das BFSG von deiner Website verlangt.
Das BFSG verpflichtet Anbieter von Dienstleistungen im elektronischen Geschäftsverkehr, ihr Angebot barrierefrei bereitzustellen: auffindbar, zugänglich und nutzbar. Auch mit Screenreader. Auch nur mit der Tastatur. Auch bei 200 % Zoom. Gemeint ist alles, worüber ein Verbraucher einen Vertrag abschließen kann - dein Shop, dein Buchungsformular, dein Login, dein Checkout.
Gemessen wird das an der harmonisierten Norm EN 301 549, und die verweist für Web-Inhalte auf die WCAG in der Konformitätsstufe AA. Wer die Anforderungen erfüllt, muss das außerdem beschreiben: Informationen zur Barrierefreiheit gehören mit auf die Seite, nicht in eine Schublade.
Sechs Fälle, ein klares Ja oder Nein.
Die häufigsten Konstellationen, die uns Kunden schicken - in der Reihenfolge, in der sie fragen.
| Dein Fall | BFSG | Warum |
|---|---|---|
| Onlineshop für Verbraucher | Ja | Der Standardfall: Vertragsschluss im elektronischen Geschäftsverkehr. |
| App mit Bestell- oder Buchungsfunktion | Ja | Die Oberfläche ist Teil der Dienstleistung - egal ob Web oder Store. |
| Banking, Ticketing, Personenbeförderung | Ja | Diese Bereiche nennt das Gesetz ausdrücklich. |
| Reines B2B-Angebot | Nein | Das BFSG schützt Verbraucher. Ohne B2C-Angebot bist du raus - bis du eines hast. |
| Kleinstunternehmen, Dienstleistung | Nein | Unter 10 Beschäftigte und höchstens 2 Mio. € Jahresumsatz oder Bilanzsumme. Beides muss zutreffen, beides kann sich ändern. |
| Kleinstunternehmen, das Produkte in Verkehr bringt | Für die Produkte | Die Ausnahme gilt nur für Dienstleistungen. Terminals, Router, E-Book-Reader und Co. bleiben drin. |
Fünf Menschen, die an deinem Bilderrätsel scheitern.
Das CAPTCHA sitzt an der teuersten Stelle deiner Seite: direkt vor dem Absenden. Wer dort nicht weiterkommt, kauft nicht - und beschwert sich im Zweifel bei jemandem, der zuständig ist.
Zum Nachlesen: W3C: Inaccessibility of CAPTCHA (2021) · WCAG 2.1, Erfolgskriterium 1.1.1
With CAPTCHA less interactivity is clearly more accessibility.
Die Arbeitsgruppe des W3C empfiehlt ausdrücklich Verfahren, die keine Interaktion verlangen: Heuristiken, Verhaltensanalyse, Tokens. Genau das passiert bei uns, bevor deine API antwortet. Deine Nutzer bekommen davon nichts zu sehen.
CAPTCHA barrierefrei machen. Oder es loswerden.
Beides ist erlaubt. Nur ist der eine Weg eine Dauerbaustelle und der andere eine Entscheidung.
| Aufgabe | CAPTCHA behalten | Kein CAPTCHA |
|---|---|---|
| Textalternative & zweiter Sinneskanal | Audio-Fallback und Textalternative pflegen | Nichts zu beschreiben - es gibt kein Element |
| Tastaturbedienung | Fokusreihenfolge, Fokus im Dialog halten, Escape | Kein Dialog, keine Fokusfalle |
| Zeitlimits | Verlängerbar oder abschaltbar machen | Keine Aufgabe, keine Uhr |
| Zoom auf 200 % | Raster muss mitskalieren, ohne zu zerfallen | Nichts zu skalieren |
| Jedes Formular | Login, Checkout, Kontakt, Newsletter - einzeln geprüft | Ein Script-Tag für die Seite, ein Verify-Call pro Route |
| Nach jedem Update | Neu testen - der Anbieter ändert sein Widget, wann er will | Im Frontend ändert sich nichts, weil dort nichts ist |
Wir nehmen dir eine Barriere ab. Nicht die Arbeit.
Die Barriere verschwindet, der Schutz bleibt
Vinishu prüft TLS-Handshake, Header, Request-Form und Verhalten. Die Entscheidung fällt in 8–10 ms, bevor deine Anwendung antwortet. Auf deiner Seite taucht dafür nichts auf: kein Widget, kein Dialog, kein Timer, nichts, was ein Screenreader vorlesen oder eine Tastatur erreichen müsste.
Was deine Baustelle bleibt
Kontraste, Fokus-Zustände, Formular-Labels, Fehlermeldungen, Überschriftenstruktur, Bedienbarkeit ohne Maus. Wir fassen dein Frontend nicht an. Wer dir erzählt, ein Bot-Schutz mache deinen Shop BFSG-konform, verkauft dir etwas.
Ein Satz für deine Erklärung zur Barrierefreiheit
„Zur Abwehr automatisierter Zugriffe wird kein interaktiver Test eingesetzt. Die Prüfung erfolgt serverseitig und ohne Interaktion der Nutzerinnen und Nutzer.“ Das ist eine Ausnahme weniger, die du begründen musst - und eine Zeile, die stimmt.
Macht Vinishu meinen Shop BFSG-konform?
Nein. Vinishu nimmt eine einzelne, sehr sichtbare Barriere weg. Kontrast, Tastaturbedienung, Struktur und Formulare bleiben deine Aufgabe. Wer Konformität per Einbau verspricht, hat das Gesetz nicht gelesen.
Reicht nicht ein unsichtbares CAPTCHA wie reCAPTCHA v3?
Unsichtbar heißt nicht abwesend. Sinkt die Confidence, kommt die Challenge doch - und zwar genau im Moment des Absendens. Für die Person, die dann davorsteht, ist es ein ganz normales Bilderrätsel. Und für dich bleibt es ein Element, das du testen und dokumentieren musst.
Ist die „Ich bin kein Roboter“-Checkbox nicht barrierefrei?
Die Checkbox selbst ist bedienbar. Das Problem ist, was danach kommt: Beim geringsten Zweifel öffnet sich das Kachelraster mit Zeitlimit. Barrierefreiheit misst sich am schlechtesten Pfad, nicht am besten.
Wir sind Kleinstunternehmen - betrifft uns das überhaupt?
Für Dienstleistungen greift die Ausnahme, wenn du unter 10 Beschäftigte hast und höchstens 2 Mio. € Jahresumsatz oder Bilanzsumme. Beides muss zutreffen. Wer knapp darunter liegt, sollte die Grenze im Kalender haben, nicht im Bauch.
Wer kontrolliert das, und was passiert bei einem Verstoß?
Die Marktüberwachungsstelle der Länder für Barrierefreiheit in Magdeburg. Sie prüft auf Beschwerde und von sich aus, teils automatisiert. Sie kann anordnen, dass du Mängel behebst, dir Fristen setzen und im Extremfall die Dienstleistung untersagen. Außerdem kann sie Bußgelder bis 100.000 € verhängen.
Kostet mich der Wechsel Conversion?
Andersherum. Das CAPTCHA sitzt direkt vor dem Absenden, und jede Sekunde dort kostet Abschlüsse. Nimmst du es raus, verschwindet die Reibung für alle - nicht nur für Menschen mit Behinderung.
Wie lange dauert die Umstellung?
SDK: ein Script-Tag und ein Verify-Call. Danach läuft Vinishu zwei Wochen im Shadow-Mode mit und bewertet nur. So siehst du an deinem echten Traffic, was passiert, bevor du das CAPTCHA abschaltest. Der Reverse Proxy - eine DNS-Änderung - kommt später.
Und der Datenschutz? Bei reCAPTCHA war das auch ein Thema.
Zweite Baustelle, gleiche Wurzel. Ein CAPTCHA eines US-Anbieters lädt fremde Ressourcen und verarbeitet Nutzerdaten, bevor jemand eingewilligt hat. Vinishu liefert auch ein Script-Tag - aber es lädt nichts von Dritten, baut kein Profil über deine Nutzer auf und schickt seine Signale an einen Endpunkt in der EU. Wir sehen Request-Metadaten, keine Inhalte. Details stehen auf unserer Trust-Seite.
Finde heraus, wie gefährdet du von Bot-Angriffen bist
Verrate uns den Link zu deiner Website. Wir checken deine öffentlichen Seiten und zeigen dir alle Schwachstellen, bei denen wir keinen Bot-Schutz erkennen. Abgeschickt wird dabei nichts.
- Kostenlos
- Passiv
- 90 Sekunden
Tausch deine CAPTCHAs gegen unsichtbaren Schutz.
Script-Tag einbinden, HTTP-Anfrage in deiner API, und der Bot-Schutz ist aktiv. Beim Einbau hilft dir unser Team. Danach testest du Vinishu zwei Wochen im Pilot, mit Traffic-Analyse am Ende.