reCAPTCHA-Score zu niedrig? Bedeutung und Lösungen

Du gibst dein Passwort ein, klickst auf „Anmelden“ und bekommst eine wenig hilfreiche Meldung: „reCAPTCHA score too low“. Oder eine Umfrageplattform schließt dich nach der ersten Seite aus. Es gab kein Rätsel, das du besser lösen könntest. Das Urteil stand schon vor deinem Klick fest.

Die Seite führte Googles reCAPTCHA v3 im Hintergrund aus. Beim Klick übergab das Script der Website ein Token. Ihr Server fragte Google nach seiner Einschätzung, und Google antwortete mit einer Zahl zwischen 0,0 und 1,0. Die Seite verglich sie mit einem Grenzwert, meistens 0,5, und dein Wert lag darunter. Gezeigt wurde dir die Zahl nie. Die Schaltfläche oben auf dieser Seite macht sie sichtbar.

Was der reCAPTCHA-Score tatsächlich ist

reCAPTCHA v2 kennst du als Kontrollkästchen und Ampelbilder. reCAPTCHA v3 ist die unsichtbare Variante: Sie läuft beim Laden der Seite und liefert laut Google eine Bewertung, bei der 1,0 sehr wahrscheinlich für eine legitime Interaktion und 0,0 sehr wahrscheinlich für einen Bot steht. Grundlage sind die Interaktionen mit der jeweiligen Website. Google betont, dass das Modell durch echten Verkehr auf dieser Website lernt.

Die Skala ist gröber, als sie wirkt. Googles Dokumentation zur Bewertung beschreibt elf Stufen von 0,0 bis 1,0. Ohne verknüpftes Abrechnungskonto stehen einem Projekt aber nur vier zur Verfügung: 0,1, 0,3, 0,7 und 0,9. Die meisten kleinen Websites verwenden solche kostenlosen Schlüssel. Praktisch gibt es damit vier Urteile: 0,9 wirkt menschlich, 0,7 wahrscheinlich menschlich, 0,3 verdächtig und 0,1 wie ein Script. Ein kostenloser Schlüssel liefert keine 0,5. Bei „Score zu niedrig“ hat die Website deshalb fast immer eine 0,3 oder 0,1 erhalten. Bezahlte Tarife, Googles Premium- und Enterprise-Stufen des früher als reCAPTCHA Enterprise vermarkteten Produkts, sehen alle elf Stufen. Dort gibt es auch 0,4 und 0,6: Bei einer Grenze von 0,5 kommt 0,6 durch, 0,4 nicht.

Der Score gelangt nicht in deinen Browser. Der hält nur ein Token, eine undurchsichtige Zeichenfolge, die zwei Minuten gültig ist und einmal überprüft werden kann. Die Website sendet es von ihrem Server mit ihrem geheimen Schlüssel an Google, über den klassischen Aufruf siteverify oder die neuere Assessment-API. Den Score bekommt sie vertraulich zurück.

Deshalb kann dir keine Browsereinstellung, Erweiterung oder Konsolenanweisung den Score zeigen. Jede Seite zum Prüfen des reCAPTCHA-Scores, auch diese hier, braucht einen Server, der Google für dich fragt.

Was ist ein guter reCAPTCHA-Score? Die Grenze von 0,5

Den Grenzwert setzt die Website, nicht Google. Google schlägt 0,5 als Ausgangspunkt vor, und die meisten Integrationen bleiben dabei. Die Umfrageplattform Qualtrics speichert den Wert im Feld Q_RecaptchaScore und erklärt Forschenden, dass Werte ab 0,5 wahrscheinlich für einen Menschen und niedrigere wahrscheinlich für einen Bot stehen. Anmeldeformulare von Hosting-Verwaltungen, Kryptoplattformen und Spiele-Launchern nutzen dieselbe Regel und Fehlermeldung, manchmal verkürzt zu „captcha score too low“. Manche Forschende setzen die Grenze auf 0,7. Prolific warnt ausdrücklich, dass dadurch echte Teilnehmer mit älteren Geräten, gemeinsam genutzten Computern oder besonders systematischem Leseverhalten ausgeschlossen werden.

Als Stufenfolge sieht die übliche Interpretation so aus. Google definiert nur die beiden Endpunkte; die Zwischenbereiche entsprechen der Auslegung durch Websites:

Auch die Folgen eines zu niedrigen Werts bestimmt die Website: Manche blockieren sofort, manche lassen das Formular von einem Menschen prüfen, andere wechseln zu einem v2-Kästchen oder Bilderrätsel. Probiere verschiedene Grenzwerte aus und sieh, welche der vier kostenlosen Score-Stufen durchkommen:

Dein Score steht für diesen Besuch fest, die Grenze bestimmt die Website. Deshalb kann derselbe Browser eine Anmeldung problemlos passieren und an der nächsten scheitern: Beide Male war es 0,7, aber die zweite Seite verlangte 0,9.

Warum dein Score niedrig ist

Google veröffentlicht das Modell nicht. In bezahlten Tarifen werden den Urteilen jedoch Begründungscodes beigefügt, grundlegende bei Premium und erweiterte bei Enterprise. Die dokumentierte Liste zeigt gut, was einen Score senkt:

• TOO_MUCH_TRAFFIC: Die Quelle des Ereignisses erzeugt mehr Verkehr als gewöhnlich. Google definiert diese Quelle nicht genau; praktisch geht es um IP-Adresse oder Gerät. Hinter einer VPN- oder Rechenzentrums-IP sitzen Hunderte Fremde, hinter einer Mobilfunkadresse unter Umständen ein ganzer Ort. Ein einziger Scraper kann den Ruf für alle beschädigen. Das ist die häufigste Ursache und folgt dir von Seite zu Seite. Warum du ständig CAPTCHAs bekommst erklärt IP-Reputation, und So erkennen Websites dein VPN zeigt, was den Ausgangsserver verrät.
• UNEXPECTED_ENVIRONMENT: Das Ereignis stammt aus einer als unzulässig eingestuften Umgebung, etwa einem Emulator, Automatisierungsframework oder Browser mit überschriebenen Standardfunktionen. Datenschutzerweiterungen, die Canvas fälschen oder Fingerprints zufällig verändern, tun genau das. Ihre Änderungen lassen sich ähnlich erkennen wie Stealth-Plugins. Ein Browser, der über sich selbst lügt, wirkt auf reCAPTCHA schlechter als einer, der nur ungewöhnlich ist.
• AUTOMATION: Die Interaktion ähnelt einem automatisierten Agenten. Dazu gehören maschinell perfekte Eingaben, aber auch gar keine Eingaben: Viele Websites fordern das Token sofort beim Laden an, bevor du die Maus bewegt hast. Das Modell bewertet dann einen Besucher, der noch nichts getan hat.
• UNEXPECTED_USAGE_PATTERNS: Der Besuch weicht deutlich von den üblichen Mustern dieser Website ab. Beispiele sind ein direkter Kaltstart auf einer tiefen Anmelde-URL, das Absenden in unter einer Sekunde oder viele Wiederholungen desselben Formulars.
• LOW_CONFIDENCE_SCORE: Die Website hat zu wenig Verkehr für eine gute Risikoanalyse. Das liegt überhaupt nicht an dir. Google weist auf abweichende Scores in den ersten sieben Tagen hin. Eine kleine Website kann dich falsch bewerten, ohne dass du selbst etwas korrigieren könntest.

Hinzu kommt Wiedererkennung. reCAPTCHA setzt ein eigenes Cookie, und ein bekannter Browser wird besser bewertet als ein unbekannter. Forschende der University of Toronto und von Télécom ParisTech berichteten The Register 2019, dass Tor, Proxys und VPNs den v3-Score senkten, während ein angemeldetes Google-Konto ihn erhöhte. Google antwortete, seine Sicherheitsmethoden nicht offenzulegen. Ein Browser, der beim Schließen alle Cookies löscht, ist jeden Morgen wieder ein Fremder und wird entsprechend bewertet.

„Immer 0,9“ und „immer 0,1“

In Entwicklerforen wiederholen sich zwei Beschwerden, die auch Besuchern etwas sagen.

Websites, die bei jeder Anfrage selbst von offensichtlichen Bots 0,9 sehen, sind meist neu oder fast unbesucht. Googles öffentliche Testschlüssel sind v2-Schlüssel, die absichtlich immer bestehen. Für v3 empfiehlt die FAQ einen separaten Testschlüssel und warnt vor ungenauen Bewertungen, weil das Modell echten Verkehr benötigt. Dieselbe FAQ erklärt, dass ein v3-Schlüssel nach Überschreiten seines monatlichen Kontingents unter Umständen mit einem festen Score von 0,9 offen weiterläuft. CleanTalk ließ einen Selenium-Bot 24 Stunden auf einer neuen Seite laufen und erhielt jedes Mal 0,9. Auf einer wenig besuchten Website beweist dieser Wert also weniger, als er scheint.

Das andere Extrem sperrt Menschen aus: 0,1 bei jedem Versuch. Viele Berichte enden damit, dass der Verkehr über ein VPN, einen Cloudserver oder einen automatisiert gesteuerten Browser kam. Das sind TOO_MUCH_TRAFFIC und UNEXPECTED_ENVIRONMENT in Form von Forenbeiträgen. Erneute Versuche lösen keine Ursache, die du mitbringst.

reCAPTCHA-Score prüfen: Teste deinen eigenen Wert

Die Schaltfläche oben funktioniert wie andere Score-Tester, mit einem Unterschied. Sie lädt reCAPTCHA v3 mit dem Schlüssel dieser Website, fordert ein Token an und lässt unseren Server es über Googles Assessment-API austauschen. Diese liefert die feinere Skala mit elf Stufen und Begründungscodes, soweit der Tarif des Schlüssels das erlaubt. Liefert Google eine Begründung, zeigen wir sie dir. Andere Tester zeigen nur die Zahl.

Zwei Einschränkungen: Der Score gilt pro Website. Dein Wert hier ist also nicht automatisch der Wert bei einer fremden Anmeldung. Die zugrunde liegenden Signale reisen aber mit dir, sodass eine 0,1 hier auf ein Problem hinweist, das auch anderswo wirken kann. Außerdem ändern sich Scores. Klicke nach einer Minute Lesen und Scrollen auf „Erneut prüfen“. Oft steigt der Wert, weil reCAPTCHA nun Verhalten statt nur eines Kaltstarts bewerten kann.

So verbesserst du einen niedrigen reCAPTCHA-Score

1. Ändere zuerst die Adresse. Schalte das VPN aus oder wechsle zu einem Ausgangsserver mit besserem Ruf und versuche die Anmeldung erneut. Auf dem Smartphone wechsle zwischen WLAN und Mobilfunk, um eine überfüllte Mobilfunkadresse zu verlassen. Steigt der Score, hast du die Ursache gefunden.
2. Lass den Browser sich erinnern. Melde dich im normalen Fenster an und erlaube Cookies für die Website. Ein angemeldetes Google-Konto half in den Tests von 2019, falls du diesen Kompromiss eingehen möchtest.
3. Deaktiviere Erweiterungen, die APIs umschreiben, für diese Seite. Canvas-Spoofer und Fingerprint-Zufallsgeneratoren machen die Umgebung „unerwartet“. Ein gewöhnlicher Werbeblocker ist selten die Ursache, eine Stealth- oder Anti-Fingerprint-Erweiterung häufiger.
4. Verhalte dich vor dem Absenden wie ein Mensch. Gib der Seite einige Sekunden, scrolle, bewege die Maus und tippe die Eingaben ein, statt sie einzufügen. Ein beim Laden erzeugtes Token gilt zwei Minuten, zehn Sekunden sind also unproblematisch. Ein in wenigen Hundert Millisekunden ausgefülltes Formular wirkt dagegen wie ein Script.
5. Lege Widerspruch ein, wenn eine Umfrage- oder Forschungsplattform dich abweist. Prolific erklärt Forschenden ausdrücklich, dass reCAPTCHA-Grenzwerte auch echte Menschen aussortieren. Verweise darauf.
6. Verwaltest du viele Konten? Dann teilen Profile ihren Ruf, sofern nicht jedes eine eigene unbelastete Adresse und einen in sich konsistenten Browser hat. Genau dafür ist Incogniton gedacht: echte, getrennte Browserprofile, die Googles Modell einzeln statt als Gruppe bewertet.

Klicke auf die Schaltfläche, lies eine mögliche Begründung, behebe die genannte Ursache und prüfe erneut. Der vollständige Browser-Scan ergänzt VPN-, Automatisierungs- und Fingerprint-Prüfungen für dieselben Einflussfaktoren.