...Captcha?

Captcha ist das Akronym des weniger simplen Namens "Completely Automated Public Turing test to tell Computers and Humans Apart". Sind wir mal ehrlich, da klingt "Captcha" schon deutlich cooler, oder? Trotz des sperrigen Namens ist diese Technologie aus unserem Alltag kaum mehr wegzudenken. Egal ob bei Login-Feldern oder bei Kaufbestätigungen, Captcha begegnet den meisten Internetnutzern fast täglich. Aber was macht dieser komplett automatisierte öffentliche Turing-Test um Computer und Menschen auseinanderzuhalten?

Das ist Captcha

Ein Captcha prüft, ob vor dem Bildschirm ein echter Mensch sitzt und die Eingaben tätigt. Damit soll der Missbrauch von Bots zu unguten Zwecken verhindert werden. So können z.B. keine Bots genutzt werden, um beim Kauf von Konzerttickets schneller zu sein, da die Bots am Captcha scheitern würden. Der Test kann auf mehrere Weisen erfolgen:

• eine einfache optische Aufgabe, die Intelligenz erfordert (z.B. ein einfaches Puzzle)
• die Analyse von Mausbewegungen und Klickverhalten (Bots haben sehr lineare "Mausbewegungen")
• Verhaltenstracking, jedoch geschieht dies meist unbemerkt im Hintergrund

Mit möglichst einfachen Tests, um die Nutzer nicht zu sehr zu stören, sollen so alle Bots ausgeschlossen und nur Menschen durchgelassen werden.

Sicherheitsrelevant oder doch nur nervig?

Wie sicher Captchas sind lässt sich an ein paar einfachen Daten ablesen. Bei den verbreitetsten Captcha-Arten kamen Bots in Studien bereits Ende der 2000er Jahre auf knapp 20% Erfolgsrate. Mittlerweile liegen die Erfolgsraten der Bots, insbesondere durch die Implikation von grafisch fähiger KI, in verschiedenen Studien bei allen typischen Captcha-Arten bei 90-100%, die von Menschen deutlich darunter. Einer Analyse von DataDome aus dem Jahre 2022 zufolge sollen etwa 50% der als "menschlich" bewerteten Captcha-Anfragen von Bots ausgehen. Für eine zuverlässige Restriktion von Botzugriffen reichen Captchas demnach längst nicht mehr aus. Selbst bei den aufwendigeren Captchas, die viele Nutzer als besonders nervig ansehen, sehen die Zahlen nicht besser aus.

Ferner werden Captchas seit Ende 2024 auch für Betrugsmaschen missbraucht. Fake-Captchas werden beim sogenannten ClickFix-Hack genutzt, um User*innen zu hintergehen und Schadsoftware einzuspielen. 

Warum nutzt man Captcha dann noch?

Man kann sich nun ganz leicht die Frage stellen, warum Captchas angesichts der schlechten Zahlen überhaupt noch genutzt werden. Die Antwort auf diese Frage ist jedoch nicht ganz so leicht zu geben. Einerseits sind die schlechten False-Negative-Werte auf fehlerhafte, mangelhafte oder unzureichend restriktive Konfigurationen der Captchas zurückzuführen. Eine bessere Konfiguration der Captchas könnte die schlechten Werte anheben.

Andererseits ist Captcha weiterhin ein mächtiges Tool, wenn es in Kombination mit anderen Bot-Abwehr-Tools verwendet wird, darunter fallen bspw. eine Echtzeiterkennung, Verhaltensanalysen sowie weiterführende Schutzmechanismen (z.B. 2FA). Wenn ein gut durchdachtes Tool-Network installiert und gut konfiguriert wird, kann Captcha weiterhin dabei helfen, Bots mit recht hoher Erfolgsquote den Zugriff zu verweigern.

Kann Captcha noch mehr?

Captcha kann tatsächlich noch mehr, als nur Bots ausschließen. Bekannt ist z.B. Googles reCAPTCHA, mit dessen Versionen 1 und 2 bewusst die Eingaben der Nutzer*innen analysiert und eingesetzt wurden, um Text- und Bilderkennung von künstlichen Intelligenzen zu trainieren. Die Anwendung kann dabei auch ganz verschiedene Nutzen haben:

- Google reCAPTHCA v1: Beim Erkennen verzerrter Buchstaben halfen die Nutzer gleichzeitig dabei, Textstellen von historischen Büchern und Zeitungen zu entziffern, bei denen Scanner nicht weiter kamen.

- Google reCAPTCHA v2: Beim Erkennen von bestimmten Gegenständen in einem unterteilten Gesamtbild oder einer Collage wurden Daten gesammelt, um eine Bilderkennungs-KI zu trainieren, die später z.B. für selbstfahrende Autos eingesetzt werden könnte.

Fazit

Captcha kann viel mehr als der durchschnittliche Internetnutzer davon mitbekommt. Von einfacher Validierung der Menschlichkeit bis hin zum Training künstlicher Intelligenzen und der Digitalisierung der Weltliteratur kann Captcha vielseitig genutzt werden, bietet jedoch nicht mehr den umfangreichen Schutz seiner Anfangszeit.