Satirische Fiktion mit geprüftem technischem Kern. Der Türsteher am Login roch nach warmem Staub, kaltem Kaffee und ein bisschen nach JavaScript. Er trug einen Schnurrbart aus Messing und hielt ein Klemmbrett, auf dem nur ein Kästchen stand. Nicht einmal ein ordentliches Formular. Nur dieses Kästchen, diese kleine Verwaltungsluke für die Seele: Ich bin kein Roboter.
Der Mensch davor hieß an diesem Morgen einfach nur Benutzer. Namen werden im Vorzimmer der Authentifizierung gern später vergeben, nach bestandener Prüfung, wenn die Session schon ein Bändchen um den Arm bekommen hat. Benutzer hatte ein Passwort, sogar ein halbwegs gutes. Benutzer hatte den zweiten Faktor in der Jackentasche. Benutzer hatte Geduld, aber die war seit dem SSO-Wartezimmer etwas dünn geworden und hing an ihm wie ein abgelaufener Besucherausweis.
„Bitte markieren Sie alle Ampeln“, sagte der Türsteher.
Auf dem Bildschirm erschienen neun Bilder. Drei Ampeln, zwei Laternen, ein sehr entschlossener grüner Fleck und etwas, das entweder Verkehrszeichen oder trauriger Pixelbrei war. Benutzer beugte sich vor. Hinter ihm seufzte die Warteschlange im Chor. Ein Kind fragte, ob Menschen eigentlich immer erst Verkehrsunterricht machen müssten, bevor sie eine Rechnung herunterladen dürfen. Niemand antwortete. Der Drucker in der Ecke machte klack, klack, als würde er schon mal den Ablehnungsbescheid vorbereiten.
CAPTCHA steht tatsächlich für „Completely Automated Public Turing test to tell Computers and Humans Apart“. So trocken steht es nicht nur im Maschinenlexikon, sondern sinngemäß auch in der Erklärung von Cloudflare zu CAPTCHAs und Bot-Erkennung. Ein automatischer Test also, der herausfinden soll, ob auf der anderen Seite ein Mensch sitzt oder ein Programm mit schlechten Absichten, zu vielen Anfragen und keiner Mittagspause. Die Pointe knirscht natürlich: Der Mensch muss der Maschine beweisen, dass er nicht Maschine ist. Und manchmal fällt er durch, weil er zu müde, zu langsam, zu blind, zu mobil, zu VPN, zu irgendwas ist.
„Ihre Mausbewegung wirkt heute etwas synthetisch“, sagte der Messingtürsteher und schaute auf eine kleine Skala. Links stand verdächtig, rechts stand wahrscheinlich ehrlich. Dazwischen lag das moderne Internet, dieses lange graue Fließband aus Risiko, Score, Cookie, Browsermerkmal und Bauchgefühl mit API-Anschluss.
Früher, sagte der Türsteher, habe man Buchstaben verzogen, als wären sie nachts unter einen Gabelstapler geraten. Dann kamen Bilder. Fahrräder. Zebrastreifen. Busse. Der Mensch lernte, dass ein halber Lenker möglicherweise ein Fahrrad ist, ein Schatten aber nicht, außer der Dienst war heute streng. Die Bots lernten mit. Maschinelles Sehen wurde besser. Mustererkennung wurde billiger. Und irgendwo saßen echte Menschen in Klickfarmen und lösten Menschlichkeitsprüfungen für Centbeträge, was die Sache philosophisch nicht einfacher machte, sondern nur trauriger.
Das Problem ist nicht, dass Bot-Schutz unnötig wäre. Ach nein. Wer einmal ein offenes Formular ohne Schutz ins Netz gestellt hat, kennt diesen Geruch: Spam, Credential-Stuffing, Scraper, billige Registrierungen, alles kommt rein wie Regen durch ein schlecht montiertes Dachfenster. Der technische Kern ist solide genug. Login, Registrierung, Kommentarspalten, Warenkörbe und Abstimmungen brauchen Schutz. Nur ist der Schutz manchmal so begeistert von seiner eigenen Wachsamkeit, dass er den Kunden gleich mit festhält.
Die W3C-Arbeitsnotiz zur Unzugänglichkeit von CAPTCHA formuliert das nüchterner: Solche Verfahren können Menschen mit Behinderungen von Abläufen ausschließen, obwohl sie Menschen sind und genau deshalb nicht ausgesiebt werden sollten. Audio-CAPTCHAs lösen das nicht magisch. Bildrätsel auch nicht. Und nicht jeder, der langsam klickt, ist ein Bot. Manche Leute sind nur in einem Zug mit schlechtem Empfang. Manche benutzen Hilfstechnik. Manche haben schlicht keine Lust, einem Login achtmal zu erklären, wo der Bus aufhört und die Heckscheibe anfängt.
Hinter dem Schalter öffnete sich eine zweite Klappe. Darin saß ein noch kleinerer Türsteher. „Wir könnten es ohne sichtbares Rätsel versuchen“, flüsterte er. „Kleine JavaScript-Prüfungen. Browser-Signale. Risikoangepasst. Vielleicht merkt der Besucher gar nichts.“ Das klang freundlicher und war doch kein Märchen. Cloudflares Turnstile-Dokumentation beschreibt genau so eine Richtung: nicht-interaktive Herausforderungen, Browser- und Verhaltenssignale, im Idealfall keine Bildkacheln für den Menschen. Weniger Schalter, mehr Einschätzung im Hintergrund.
Aber auch Hintergrundmagie bleibt Verwaltung, nur mit Teppichboden. Wer entscheidet, welches Gerät normal aussieht? Welcher Browser darf komisch sein? Wie viele Schutzschichten braucht ein Login, bevor er nicht mehr schützt, sondern sortiert? Der Passkey-Schlüsseldienst hat schon versucht, den Schlüsselbund eleganter zu machen. Die robots.txt-Hausordnung hängt draußen im Treppenhaus und bittet wenigstens höflich. Das CAPTCHA dagegen stellt sich mitten in die Tür und sagt: Beweis es. Jetzt. Mit Ampeln.
Benutzer klickte am Ende auf vier Kacheln. Eine war vielleicht Ampel, vielleicht nasser Pfosten, vielleicht ein Denkmal für schlechte Kompression. Der Türsteher legte den Kopf schief. Im Hintergrund rechnete etwas. Nicht lange, aber lang genug, damit sich der Mensch beobachtet fühlte. Dann stempelte die Maschine: vorläufig menschlich.
„Wie lange gilt das?“, fragte Benutzer.
„Bis zum nächsten ungewöhnlichen Verhalten.“
„Was ist ungewöhnlich?“
Der Türsteher lächelte mit allen Schrauben. „Das sehen wir dann.“
So ging Benutzer hinein, nicht freigelassen, eher geduldet. Der Login schloss sich hinter ihm mit einem höflichen Klick. Draußen rückte die Schlange nach. Ein Roboter mit falschem Schnurrbart stellte sich ans Ende und übte schon mal eine sehr natürliche Mausbewegung. Links, rechts, kleine Pause. Fast menschlich. Fast traurig. Fast durch.