reCAPTCHA v3 wird ein Jahr alt – Ein Recap

Was ist reCAPTCHA v3?

Am 29. September 2018 hat Google die dritte und neueste Version von reCAPTCHA herausgebracht, also vor genau einem Jahr. Google hat reCAPTCHA v3 damit beworben, dass es die „User-Friction“ eliminiert. Auf gut Deutsch gesagt funktioniert v3 also unsichtbar für den User. Kein Frust mehr, weil man nicht korrekt alle Bilder mit Ampeln oder Brücken ausgewählt hat. Nicht einmal eine einfache Checkbox klicken ist noch nötig. Aber wenn mit v3 der User keinen „Menschlichkeitstest“ mehr bestehen muss, wie weiss reCAPTCHA dann ob ein Mensch oder ein Bot am Werk ist? Indem Google das tut was es am besten kann – Nutzerverhalten analysieren.

Wie funktioniert reCAPTCHA v3?

Bereits in v2 war bei den Bildtests nicht nur das Auswählen der Bilder, sondern das „organische“ Verhalten des Mauszeigers entscheidend. Um reCAPTCHA v3 auf Ihrer Website zu verwenden, muss ein JavaScript Code-Snippet integriert werden. Dies erstellt einen Report, der jedem User aufgrund seiner Interaktionen mit der Website einen „Risiko-Score“ von 0 bis 1 zuteilt. 0 ist die höchste Riskistufe und 1 die Tiefste. Dazu empfiehlt Google, dass man reCAPTCHA nicht nur dort einbindet wo es direkt benötigt wird, wie etwa beim Login oder einer Formularbestätigung, sondern an möglichst vielen Orten auf der Website. Je mehr Google über das Verhalten des Users weiss, desto besser kann man bestimmen ob Mensch oder Maschine gerade die Website benutzen, so die einfache Logik von Google.

Vorteil von v3 gegenüber v2 – oder Nachteil?

Dabei wird also ein entscheidender Unterschied zu v2 eingeführt. Denn der Webbetreiber muss seinen Traffic selbst überwachen. Das bedeutet also keine Klick-Box oder lästigen Puzzles mehr für den User, dafür mehr Aufwand für den Webmaster. Denn er muss selbst entscheiden welcher Score hoch genug ist, um eine Aktion als menschlich durchgehen zu lassen. Die Empfehlung ist ein Standartwert von 0.5. Dies ist aber eher ein Richtwert als eine universelle Messlatte.

Möchte man reCAPTCHA v3 aber wie die Vorgängerversion nur an den relevanten Stellen einbinden kann es sein, dass ein Problem auftritt. Mehrere User berichten, dass selbst beim umfassenden einbinden von v3 auf allen Seiten das Programm meldete:

Die Scores für diese Seite sind möglicherweise nicht genau, bevor sie mit genug Traffic laufen.

Es kann also passieren, dass die Daten von Google analysiert werden, ohne dass man sich auf die Zahlen verlassen könnte.

Was passiert mit einem “riskanten” Benutzer?

Es passiert erst einmal nichts. Zusätzliche Prüfungen die den Nutzer auffordern z.B. seine E-Mail zu verifizieren müssen manuell eingerichtet werden.

Wenn eine Aktivität als verdächtig eingestuft wird, gibt es für den User keinen automatischen Rückfallmechanismus, um zu beweisen das er doch ein Mensch ist. Diese müssen manuell eingerichtet werden, wie z.B E-Mail Verfizierung für riskante Logins. Denn lieber lässt man den User eine Checkbox klicken, oder sogar ein Puzzle lösen statt ihn als Bot abzustempeln und zu blockieren. Aber genau das Abschaffen dieses Beweises durch Eingabe von verzerrtem Text oder ähnlichem, ist ja genau das Ziel von reCAPTCHA v3.
Dass ein User von einem Formular abgewiesen werden könnte, weil Google ihn aufgrund undurchsichtiger Scores abgewiesen hat, klingt nach einem Conversions Albtraum. Wie so oft bei Google, ist das allerdings tatsächlich passiert ist wohl unmöglich zu wissen.

Fazit

reCAPTCHA v3 ist ein gutes Tool für grosse Websites mit viel Traffic. Für den User ist es natürlich sehr viel angenehmer nichts mehr tun zu müssen. Der Webmaster im Hintergrund hat allerdings deutlich mehr Arbeit. Denn man muss auch über entsprechende Ressourcen verfügen, um die Reports zu analysieren und die Seite entsprechend zu moderieren. Zudem muss man bereit sein Google noch mehr Daten zur Verfügung zu stellen. Es bleibt noch viel zu Tun für die Entwicklung und die Genauigkeit der Scores. Man würde sich natürlich auch mehr Transparenz wünschen um zu wissen wie er Zustande kommt. Das wird aber bei Google wohl ein Wunschtraum bleiben.

Woher kommt eigentlich der Name CAPTCHA?

CAPTCHA steht für Completely Automated Public Turing test to tell Computers and Humans Apart. Zu Deutsch: Vollautomatisierte, öffentliche Turingtests um Computer und Menschen zu unterscheiden. Der Turingtest wurde von dem britischen Mathematiker Alan Turing bereits 1941 vorgeschlagen. Es geht dabei darum ob ein Mensch in der Lage ist zu unterscheiden ober mit einem anderen Menschen oder einer Maschine kommuniziert. Oft wird der Turingtest fälschlicherweise als Test für beschrieben ob eine Maschine “denken” könne. Turing selbst beschrieb eine solche Frage allerdings als “absurd”.