Barrierefreie Captchas: Was WCAG 2.2 und das BFSG verlangen
Wer schlecht sieht, scheitert an verzerrten Zeichen, wer schlecht hört, an gesprochenen Zahlen. An dieser Stelle wird ein Captcha zur Barriere. Für viele Online-Shops ist das seit dem 28.06.2025 eine Rechtsfrage, weil die Verordnung zum Barrierefreiheitsstärkungsgesetz barrierefreie Sicherheits- und Anmeldefunktionen verlangt. Die Überwachungsstelle des Bundes wird in ihrem Leitfaden recht deutlich: Man solle Verfahren wählen, „die ohne Nutzerinteraktion auskommen und passiv im Hintergrund ablaufen“.
Warum klassische Captchas Menschen ausschließen
„Denial of service“ nennt ein Note-Entwurf des W3C von 2021, was ein Captcha für viele Menschen mit Behinderungen bedeutet. Schon die Art der Aufgabe schließt sie aus. Die Überwachungsstelle des Bundes für Barrierefreiheit von Informationstechnik (BFIT-Bund) hat 2025 einen Leitfaden dazu veröffentlicht und geht die Bauarten einzeln durch:
| Bauart | Wen sie ausschließt (laut BFIT-Bund) |
|---|---|
| verzerrter Text | Menschen mit Sehbehinderung oder Legasthenie |
| Audio | Menschen mit Hörbeeinträchtigung, auditiven Verarbeitungsstörungen oder kognitiven Einschränkungen |
| Bilderrätsel | sehbehinderte und blinde Menschen, die solche Tests kaum eigenständig lösen können |
| Rechenaufgabe | Menschen mit Dyskalkulie oder Aufmerksamkeitsstörungen sowie mit kognitiven Einschränkungen |
| Verhaltensanalyse mit Ausweich-Rätsel | Menschen, deren Bedienung abweicht, etwa per Tastatur, mit Screenreader oder wegen motorischer Einschränkungen, und die dann doch ein Rätsel bekommen |
Genau dieses letzte Muster hält das W3C für reCAPTCHA v2 fest. Wer per Tastatur navigiert oder Cookies blockiert, landet oft doch beim klassischen Bilderrätsel.
Was WCAG 2.2 verlangt
An zwei Erfolgskriterien hängt ein Captcha. Das ältere, 1.1.1 auf Stufe A, verlangt eine Textbeschreibung, wozu das Captcha da ist, und alternative Formen für verschiedene Sinne. Schärfer ist 3.3.8 (Stufe AA): Bei der Anmeldung darf kein kognitiver Test wie das Abtippen von Zeichen verlangt werden, solange es keine Alternative oder Hilfe dazu gibt.
Beim Lesen von 3.3.8 stolpern viele über zwei Punkte. Objekte auf Bildern zu erkennen ist auf Stufe AA ausdrücklich erlaubt; ausgeschlossen wird es erst in Kriterium 3.3.9, also auf Stufe AAA, und die schreibt kein Gesetz vor. Außerdem geht es um Anmeldeschritte. Ein Kontaktformular ohne Login fällt nicht automatisch darunter. Zwei Sätze aus der W3C-Erläuterung kann man Anbietern direkt vorhalten. Ein Audio-Captcha, bei dem man das Gehörte abtippt, zählt nicht als Alternative. Selten heißt nicht ausgenommen: Das Kriterium greift auch, wenn das Captcha nur in bestimmten Fällen auftaucht, etwa nach wiederholten Fehleingaben.
Was in Deutschland gilt
| Wer | Vorschrift | Was sie für Captchas bedeutet |
|---|---|---|
| Online-Shops und andere Dienstleistungen im elektronischen Geschäftsverkehr für Verbraucher | BFSG seit 28.06.2025, § 19 Nr. 2 BFSGV | Identifizierungs-, Authentifizierungs-, Sicherheits- und Zahlungsfunktionen müssen den vier Grundsätzen der Barrierefreiheit folgen; Verstöße können bis 100.000 € kosten (§ 37 BFSG) |
| Kleinstunternehmen mit Dienstleistungen | § 3 Abs. 3 BFSG | ausgenommen (unter 10 Beschäftigte, höchstens 2 Mio. € Jahresumsatz oder Bilanzsumme) |
| reine B2B-Angebote | Bundesfachstelle, FAQ BFSG | sollten laut Bundesfachstelle nicht betroffen sein |
| Bundesbehörden | BITV 2.0, § 2a und § 3 Abs. 4 | Formulare und Authentifizierung gehören ausdrücklich zur Website; verlangt ist ein „höchstmögliches Maß an Barrierefreiheit“ |
| Länder und Kommunen | Landesrecht | jeweils eigene Landesgesetze und -verordnungen; prüfen Sie die Vorgaben Ihres Landes |
Welche WCAG-Version zählt, regelt in der EU eine Norm, EN 301 549. Im Amtsblatt steht derzeit die Fassung V3.2.1, und die verweist auf WCAG 2.1 AA. Seit September 2026 gibt es zwar V4.1.1 mit Verweis auf WCAG 2.2 AA, 3.3.8 eingeschlossen. Nur schreibt die neue Fassung selbst, dass sie ihre Wirkung erst entfaltet, wenn die EU sie im Amtsblatt nennt. Wer gerade eine Ausschreibung vorbereitet, schaut das besser vorher nach.
Österreich hat dieselbe EU-Richtlinie mit dem Barrierefreiheitsgesetz (BaFG) umgesetzt, ebenfalls in Kraft seit 28.06.2025. Anders die Schweiz, die an die Richtlinie nicht gebunden ist. Dort gelten für Bundesstellen das Behindertengleichstellungsgesetz und der Standard eCH-0059, der auf WCAG 2.1 aufbaut.
Prüffragen an Ihren Captcha-Anbieter
Die folgenden Fragen stammen aus dem BFIT-Leitfaden und aus WCAG 2.2. Stellen Sie sie schriftlich; an den Antworten sehen Sie schnell, wie gründlich sich ein Anbieter damit beschäftigt hat.
| Frage | Grundlage |
|---|---|
| Erscheint für Besucher überhaupt eine Aufgabe, und wenn ja, wann? | BFIT-Leitfaden: Verfahren ohne Nutzerinteraktion |
| Gibt es für jede Aufgabe eine Alternative ohne kognitiven Test? | WCAG 2.2, Kriterium 3.3.8 |
| Lässt sich das Widget vollständig per Tastatur und Screenreader bedienen? | BFIT-Leitfaden, Checkliste |
| Spricht es mehr als einen Sinn an (Zwei-Sinne-Prinzip)? | BFIT-Leitfaden; WCAG 2.2, Kriterium 1.1.1 |
| Hat der Anbieter mit assistiven Technologien getestet, und kann er das belegen, etwa mit einer Konformitätserklärung nach EN 301 549? | BFIT-Leitfaden, Checkliste |
| Wie erfahren Nutzer, welche Schutzmaßnahme läuft? | BFIT-Leitfaden, Checkliste |
Was der BFIT-Leitfaden als Alternativen nennt, kommt ohne Aufgabe für den Menschen aus, etwa eine Rechenaufgabe, die der Browser im Hintergrund löst, oder ein Honeypot. Beim Honeypot schreibt der Leitfaden gleich dazu, das versteckte Feld müsse „für Screenreader unerreichbar sein“. Daran sieht man das Problem im Kleinen: Auch ein unsichtbares Verfahren kann Screenreader-Nutzer stolpern lassen, wenn es schlecht gebaut ist. Ob ein konkretes Widget barrierefrei ist, entscheidet deshalb der Test mit Screenreader und Tastatur. Wie die Rechenaufgabe im Browser funktioniert, erklärt der Beitrag Proof-of-Work-Captcha.
Und unser eigenes Produkt? Myra EU CAPTCHA zeigt Besuchern kein Rätsel, sondern ein kleines Logo. Das Widget wertet allerdings auch Verhaltenssignale wie Mausbewegungen aus, und stuft es einen Besuch als riskant ein, rechnet der Browser länger, laut Dokumentation bis zu rund 30 Minuten. Wie oft das Menschen mit Tastatur oder Screenreader trifft, haben wir nicht mit einer geprüften Konformitätserklärung nach WCAG oder EN 301 549 belegt. Stellen Sie uns die Prüffragen oben wie jedem anderen Anbieter.
Häufige Fragen
Verbietet das BFSG Captchas?
Nein. Das Wort Captcha steht weder im BFSG noch in der Verordnung dazu. § 19 Nr. 2 BFSGV verlangt für Online-Shops und andere Dienstleistungen im elektronischen Geschäftsverkehr, dass Sicherheits- und Anmeldefunktionen, ebenso Identifizierung und Zahlung, nach den vier Grundsätzen der Barrierefreiheit gestaltet sind, also wahrnehmbar, bedienbar und verständlich sein müssen und mit assistiven Technologien zuverlässig funktionieren. Gehört ein Captcha an Kasse oder Login dazu? Wir lesen die Vorschrift so, auch wenn das Wort darin nirgends fällt.
Reicht ein Audio-Captcha als Alternative zum Bilderrätsel?
Bei der Anmeldung nicht. Wer gesprochene Zahlen hört und abtippen muss, steht wieder vor einem kognitiven Test, nur über das Ohr statt über das Auge. Deshalb erfüllt ein solches Audio-Captcha laut W3C-Erläuterung zu Kriterium 3.3.8 von WCAG 2.2 die Ausnahme für eine Alternative nicht.
Gilt das BFSG für B2B-Websites?
Für reine B2B-Angebote wohl nicht, denn das Gesetz knüpft an Verbraucher an. Die Bundesfachstelle Barrierefreiheit formuliert in ihrer FAQ allerdings vorsichtig: Solche Dienstleistungen „sollten also nicht vom BFSG betroffen sein“. Steht der Shop auch Privatkunden offen, gilt das Gesetz. Ganz ausgenommen sind Kleinstunternehmen, die Dienstleistungen anbieten (§ 3 Abs. 3 BFSG).
Gilt für Behörden schon WCAG 2.2?
Für Bundesbehörden nach unserem Stand noch nicht verbindlich. Für Bundesbehörden gilt laut Bundesfachstelle derzeit WCAG 2.1 AA, über die Norm EN 301 549 in der im Amtsblatt der EU genannten Fassung V3.2.1. Die Fassung V4.1.1 vom September 2026 verweist zwar auf WCAG 2.2 AA. Wirksam wird das aber erst mit ihrer Nennung im Amtsblatt, und die steht noch aus.
Quellen
- BFSG, gesetze-im-internet.de, abgerufen am 11.10.2026
- BFSGV § 19, gesetze-im-internet.de, abgerufen am 11.10.2026
- Richtlinie (EU) 2019/882 (European Accessibility Act), EUR-Lex, abgerufen am 11.10.2026
- Bundesfachstelle Barrierefreiheit, FAQ zum BFSG, abgerufen am 11.10.2026
- Bundesfachstelle Barrierefreiheit, Die neue BITV 2.0, abgerufen am 11.10.2026
- BITV 2.0 § 2a und § 3, gesetze-im-internet.de, abgerufen am 11.10.2026
- BFIT-Bund, Leitfaden CAPTCHAs und digitale Barrierefreiheit (11.09.2025), abgerufen am 11.10.2026
- ETSI EN 301 549 V3.2.1, abgerufen am 11.10.2026
- ETSI EN 301 549 V4.1.1, abgerufen am 11.10.2026
- W3C, WCAG 2.2, abgerufen am 11.10.2026
- W3C, Understanding WCAG 2.2: Accessible Authentication (Minimum), abgerufen am 11.10.2026
- W3C, Inaccessibility of CAPTCHA (Group Draft Note, 16.12.2021), abgerufen am 11.10.2026
- Österreich, Barrierefreiheitsgesetz (BaFG), RIS, abgerufen am 11.10.2026
- Schweiz, eCH-0059 Accessibility Standard, abgerufen am 11.10.2026