Dies ist eine Blechpresse-Fiktion. Keine Anleitung zum Umgehen von Bot-Schutz. Nur ein Protokoll aus dem Wartesaal, in dem die Ampeln alle Fahrräder sein könnten.
Das CAPTCHA sitzt heute mit Klemmbrett am Empfang und schaut Menschen an, als seien sie frisch aus der Automatisierung gefallen. „Bitte beweisen Sie Ihre Menschlichkeit“, sagt es. Der Mensch räuspert sich. Das Formular räuspert sich zurück. Irgendwo klickt eine Maus zu früh.
Früher musste man Buchstaben lesen, die aussahen wie nasse Kellerregale. Dann kamen Bildkacheln, Ampeln, Busse, Zebrastreifen. Heute ist es oft unsichtbarer, riskanter, verhaltensnaher. Der digitale Türsteher schaut nicht nur, ob jemand klicken kann, sondern ob das Klicken nach Wohnzimmer oder Rechenzentrum riecht.
OWASP behandelt Authentisierung nüchtern: Eine Anwendung muss prüfen, wer oder was da behauptet, jemand zu sein. Dazu gehören Schutzmaßnahmen gegen automatisierte Angriffe. Aber Schutz ist kein Freibrief, echte Nutzer wie verdächtige Büroklammern zu behandeln.
In der Blechpresse stolpert ein Praktikant über die Frage „Sind Sie ein Roboter?“ und antwortet ehrlich: „Kommt auf Montag an.“ Das System wertet die Antwort als unsicher. Der Kaffeeautomat bekommt dagegen sofort grünes Licht, weil er seit Jahren dieselbe ruhige Handbewegung macht.
Technisch wichtig bleibt: Bot-Erkennung ist Reibung mit Nebenwirkungen. Sie kann Missbrauch bremsen, aber sie kann Menschen ausschließen, frustrieren oder Barrieren erhöhen. Besonders dann, wenn sie schlecht erklärt, schlecht zugänglich oder nervös wie ein Formularhund ist.
Neben der Login-Tür zählt der Server manchmal bis 429, Der Server zählt bis 429. Dort ist Rate Limiting der Türstopper. CAPTCHA ist eher der Pförtner, der fragt, ob der Türstopper auch einen Dienstausweis gesehen hat.
Die bessere Welt wäre nicht: mehr Rätsel. Die bessere Welt wäre: weniger Anlass für Rätsel, saubere Sessions, vernünftige Limits, verdächtige Muster erkennen, und Menschen nicht jedes Mal auf Probezeit setzen, nur weil eine Maschine irgendwo schlechte Laune hatte.
Am Ende stempelt das CAPTCHA den Antrag: „Menschlich, befristet.“ Der Mensch darf hinein. Für drei Minuten. Danach möchte der Flur noch einmal seine Gefühle prüfen.
Faktenanker: OWASP Authentication Cheat Sheet, MDN Cookies. Fiktionale Szene, technische Aussagen gegen die genannten Quellen geprüft.