Warum du ständig CAPTCHAs bekommst (und wie du sie loswirst)

Irgendwann im letzten Jahr hat das Internet angefangen, dich mehrmals täglich um den Beweis zu bitten, dass du ein Mensch bist. Ampeln, Zebrastreifen, eine kreiselnde Checkbox, bevor ein Shop dir einen Preis zeigt. Google unterbricht eine Suche und meldet „ungewöhnlichen Datenverkehr aus Ihrem Computernetzwerk“. Du hast nichts geändert, und plötzlich stehst du vor jeder Tür auf der falschen Seite.

Was tatsächlich passiert ist: Bevor jede dieser Seiten geladen wurde, hat eine Risk-Engine deinen Besuch bewertet, und dein Score fiel niedrig aus. Das CAPTCHA heißt nicht, dass die Seite vorsichtig ist. Es heißt, dass die Seite sich ausgerechnet bei dir nicht sicher ist.

Ein CAPTCHA ist ein Urteil über die Mitte

Moderne Anti-Bot-Systeme entscheiden, bevor sie fragen. Googles reCAPTCHA v3 gibt jeder Anfrage einen Score zwischen 0.0 und 1.0 und zeigt nie ein Rätsel, nicht einmal die „Ich bin kein Roboter“-Checkbox, für die sein älterer Bruder v2 berühmt ist; die Seite wählt einen Schwellenwert und handelt still danach. Googles eigene Dokumentation sagt es unverblümt: Der Score basiert darauf, wie du mit der Seite interagierst, nicht darauf, dass du irgendetwas löst. Cloudflares „Bestätigen Sie, dass Sie ein Mensch sind“-Box (angetrieben von derselben Technologie wie das hauseigene Turnstile-Widget) läuft nach derselben Logik: Browser prüfen, Verbindung prüfen und die meisten Besucher durchwinken, ohne dass es irgendetwas zu lösen gäbe. hCaptcha, der dritte Anbieter, dem du begegnen wirst, bewertet Risiko auf dieselbe Weise.

Das Rätsel ist, wie Unsicherheit aussieht: Traffic, der sicher menschlich ist, sieht es nie, Traffic, der sicher ein Bot ist, bekommt eine Blockseite, und alle, die die Engine nicht einordnen kann, dürfen Fahrräder anklicken. „Warum bekomme ich ständig CAPTCHAs“ heißt in Wirklichkeit „warum sortiert mich jede Risk-Engine unter unsicher ein“, und dafür gibt es eine überschaubare Menge an Ursachen, die du tatsächlich prüfen kannst.

Der übliche Verdächtige: die Reputation deiner IP

Risk-Engines führen Buch über den Adressraum des Internets. Eine Anfrage aus einer Comcast- oder Vodafone-Range mit Jahren langweiliger Privatanschluss-Historie startet weit oben. Eine Anfrage aus einer Rechenzentrums-Range startet weit unten, denn dort wohnen die Scraper, und die Engine hat auf genau deiner IP schon Tausende von ihnen getroffen.

Deshalb folgen dir die CAPTCHAs von Seite zu Seite. Der Score hängt nicht an deinem Account oder deinem Browser; er hängt an der Adresse, von der aus dich jede dieser Seiten ankommen sieht.

Der Klassiker ist ein VPN: Dein Traffic verlässt das Netz über eine Hosting-Range, die du mit Hunderten Fremden teilst, und es braucht nur ein paar davon mit laufenden Bots, um die Adresse für alle zu verderben. Manche Exits sind sauber, manche sind radioaktiv, weshalb ein Serverwechsel manchmal alles behebt. Wie Seiten diese Ranges erkennen und was ein VPN sonst noch verrät, hat einen eigenen Beitrag: wie Websites dein VPN erkennen.

Das Widget auf dieser Seite zeigt, auf wessen Namen deine Verbindung gerade hört. Wenn dieser Name ein Hosting-Anbieter oder eine VPN-Marke ist und kein Provider, an den du eine monatliche Rechnung zahlst, hast du deine Ursache vermutlich gefunden.

Warum es auf dem Handy und iPhone passiert

Mobilfunkanbieter stecken enorm viele Kunden hinter eine einzige öffentliche Adresse (Carrier-Grade NAT), sodass ein einziger Übeltäter die Adresse für eine Kleinstadt voller Menschen vergiften kann. Das ist die ehrliche Antwort auf „warum bekomme ich auf dem Handy ständig CAPTCHAs“: Es liegt nicht an deinem Handy, sondern daran, mit wem du dir seine Adresse teilst.

iPhones legen eine zweite Schicht obendrauf. Safari mit iCloud Private Relay surft über geteilte Ausgangsadressen, die von Apples Content-Provider-Partnern (Cloudflare, Akamai und Fastly) betrieben werden, und manche Seiten behandeln die wie jede andere Proxy-Range. Private Relay für eine Problemseite auszuschalten ist ein schneller Test, ob es die Ursache ist.

Googles Meldung „Ungewöhnlicher Datenverkehr aus Ihrem Computernetzwerk“

Googles Version der Mauer ist volumenbasiert: Sie reagiert auf die Suchmuster deiner gesamten IP-Adresse, was bei geteilten Adressen meistens die Suchanfragen anderer Leute bedeutet. Googles Support-Seite nennt auch die Möglichkeit, die alle vergessen: Malware. Ein einziges infiziertes Gerät in deinem Netzwerk, das still automatisierte Suchen abschickt, verdirbt die Adresse für jeden Browser dahinter. Kommt die Meldung auf einem Heimanschluss immer wieder, scanne deine Geräte und starte dann den Router neu – viele Provider geben dir dabei eine frische dynamische IP, was die Reputation der Adresse komplett zurücksetzt.

Dein Browser ist dein Leumundszeuge

Die zweite Hälfte des Scores ist der Browser selbst, und hier setzt die schmerzhafte Ironie ein: Je härter du daran arbeitest, privat zu sein, desto mehr bekommst du die Silhouette eines Anonymen.

Ein Browser, der seine Cookies behält, hat eine Geschichte: Seiten, die er besucht hat, Challenges, die er schon bestanden hat. Lösche sie bei jedem Schließen oder lebe im Inkognito-Modus, und du stellst dich an jeder Tür jeden Tag als Fremder vor. Fremde müssen den Ausweis zeigen. Gerade reCAPTCHA stützt sich stark darauf, wiederkehrende Browser zu erkennen, weshalb die Rätselserie so oft direkt nach dem Wechsel in den Inkognito-Modus beginnt.

Privacy-Erweiterungen können es auf andere Weise schlimmer machen. Tools, die dein Canvas-Ergebnis fälschen oder deinen Fingerprint randomisieren, tun das, indem sie die eingebauten Funktionen des Browsers umschreiben, und umgeschriebene eingebaute Funktionen sind erkennbar, dasselbe Verräterzeichen, das Stealth-Plugins für Automatisierung auffliegen lässt. Für eine Risk-Engine ist eine API, die lügt, schlimmer als eine API, die etwas Unpopuläres sagt. Und wenn dein User-Agent einen Browser behauptet, während die Engine darunter offensichtlich eine andere ist, hast du genau den Widerspruch gebaut, den wir in Dein User-Agent lügt behandelt haben.

Keines dieser Signale verurteilt dich für sich allein; sie summieren sich:

Mit einer Flagge landest du meist in der Rätselzone. Eine zweite schiebt dich gern darüber hinaus, auf die Blockseiten und in die Endlosschleifen. Die Lösung ist selten „mach mehr“; sie besteht darin, herauszufinden, welche Flaggen du gerade hisst, und sie wieder einzuholen.

Die endlose „Bestätigen Sie, dass Sie ein Mensch sind“-Schleife

Die fieseste Variante davon ist die Challenge, die nie endet: Du klickst die Checkbox, die Seite lädt neu, und die Checkbox ist wieder da. Eine bestandene Cloudflare-Challenge bringt dir ein Freigabe-Cookie ein (cf_clearance), über das sich die Seite merkt, dass du durch bist. Kann dein Browser dieses Cookie nicht behalten – Cookies für die Seite blockiert, eine Erweiterung, die sie schreddert, eine Einstellung, die sie sofort wieder wegwischt – ist dein Bestehen vergessen, bevor die Seite fertig geladen hat, und du triffst bei der nächsten Anfrage als brandneuer Verdächtiger ein:

Die Schleife ist Amnesie, keine Strafe: Ohne dieses Cookie lernt dich die Seite bei jeder Anfrage zum ersten Mal kennen. Wenn du in einer feststeckst, ist das Cookie das Erste, was du prüfen solltest, und das Widget oben prüft es.

Warum plötzlich alle mehr CAPTCHAs sehen

2024 hat automatisierter Traffic den menschlichen überholt: Impervas Bad Bot Report maß automatisierten Traffic bei 51 % des gesamten Webverkehrs, mit KI-Scrapern und Bots als treibender Kraft. Die Seiten reagierten, indem sie ihre Risikoschwellen hochdrehten. Eine strengere Schwelle verbreitert die unsichere Mitte, und in der unsicheren Mitte wohnen die Rätsel. Die Bots, die die Verschärfung ausgelöst haben, sehen die CAPTCHAs größtenteils nicht; die Menschen mit leicht schrägen Setups schon.

Wie du keine CAPTCHAs mehr bekommst: finde, was dich verrät, und stell es ab

1. Lies das Widget auf dieser Seite. Es nennt deinen Netzbetreiber und prüft die Warnzeichen auf Browserseite: Cookie-Speicherung, das Automatisierungs-Flag, manipulierte APIs. Ein Rechenzentrumsname ganz oben ist ein IP-Problem; alles andere, was es meldet, ist ein Browser-Problem.
2. Isoliere die IP-Variable. Wenn du ein VPN nutzt, lade dieselbe Seite ohne (oder vom Handy über Mobilfunkdaten) und vergleiche. Verschwinden die CAPTCHAs, war die Exit-Adresse die Ursache – wechsle den Server oder Anbieter, statt das VPN aufzugeben. Auf einem Heimanschluss ohne VPN holt ein Router-Neustart oft eine frische IP von deinem Provider.
3. Beobachte dich selbst so, wie ein Detektor es tut. Der Live-Verhaltensmonitor auf unserer Startseite bewertet deine Cursor-Physik und Klick-Herkunft in Echtzeit, und der komplette Browser-Scan führt daneben die Fingerprint- und Leak-Checks aus. Wenn dir eine Seite unverblümt gesagt hat, dass dein reCAPTCHA-Score zu niedrig ist, erklärt dir unser Guide zum reCAPTCHA-Score die Zahl und lässt dich deinen eigenen prüfen.
4. Hör auf, verkleidet auszusehen. Lass Seiten, denen du vertraust, ihre Cookies behalten, halte den Browser aktuell und zieh einen ehrlichen Fingerprint einem Flickwerk aus Spoofing-Erweiterungen vor, von denen jede ihre eigenen Fingerabdrücke hinterlässt. Selbst ein Werbeblocker ist erkennbar, und die spezifische Art, wie deiner blockiert, wandert mit in dein Profil.
5. Du betreibst mehrere Accounts? Dann ist dein Problem Konsistenz im Maßstab: Jedes Profil braucht seine eigene glaubwürdige IP und einen Fingerprint, der in sich stimmig bleibt, sonst erbt jedes die Reputation der anderen. Genau dafür ist Incogniton gebaut: echte, getrennte Browser-Profile, die Risk-Engines einzeln statt kollektiv bewerten können.

Wenn das nächste Mal eine Checkbox einen Beweis deiner Menschlichkeit verlangt, weißt du, was sie tatsächlich abwägt: ob deine IP, deine Cookies und dein Browser sich einig sind. Bring sie dazu, sich einig zu sein, und die Rätsel werden wieder zu etwas, das anderen Leuten passiert.