Cloudflare Turnstile statt reCAPTCHA: DSGVO-konforme Formulare

Jedes Kontaktformular im Internet wird früher oder später von einem Bot gefunden. Ein Bot ist ein kleines Programm, das automatisch Formulare ausfüllt, immer wieder, tausendfach am Tag. Es verschickt Werbespam, versucht Phishing-Links unterzubringen (also gefälschte Links, die Passwörter stehlen sollen), oder testet einfach, ob das Formular überhaupt reagiert. Ohne Schutz läuft das Postfach voll. Im schlimmsten Fall wird der Mailversand der Website missbraucht, und der eigene Server landet auf einer Spam-Liste.

Die bekannteste Lösung gegen dieses Problem heißt Google reCAPTCHA. Fast jede Website nutzt es, oft ohne groß darüber nachzudenken. Das Problem: reCAPTCHA läuft über Google-Server in den USA, wertet laut Google selbst auch Mausbewegungen und Cookies aus und ist deshalb datenschutzrechtlich eine echte Baustelle. Wer reCAPTCHA einbaut, braucht zusätzliche Einwilligungen und einen weiteren Absatz in der Datenschutzerklärung, der viele Besucher:innen eher abschreckt.

In diesem Beitrag zeigen wir eine Alternative, die seit 2022 verfügbar ist, kostenlos ist und bei uns selbst produktiv im Einsatz: Cloudflare Turnstile. Wir erklären, warum das Problem überhaupt entsteht, was an reCAPTCHA konkret kritisch ist, wie Turnstile technisch funktioniert, wie die Einrichtung grob abläuft, wie sich Turnstile gegen andere Lösungen schlägt und was in die Datenschutzerklärung gehört.

Dieser Beitrag richtet sich an alle, die eine Website oder einen Onlineshop betreiben und ein Kontakt- oder Bewerbungsformular im Einsatz haben. Man muss dafür keine Programmiererin oder kein Programmierer sein. Es reicht, die Grundidee zu verstehen, damit man im Gespräch mit der eigenen Agentur oder IT-Abteilung die richtigen Fragen stellen kann.

Warum jedes offene Formular zum Ziel wird

Ein Kontaktformular ist für einen Bot nichts anderes als ein paar Textfelder und ein Absenden-Knopf. Bots durchsuchen das Internet automatisch nach genau solchen Formularen, ähnlich wie eine Suchmaschine Websites durchsucht. Sie erkennen typische Feldnamen wie "Name", "E-Mail" oder "Nachricht" und füllen sie blind mit Text, Links oder ganzen Werbetexten.

Dahinter steckt meistens kein Mensch, der gezielt eine bestimmte Firma ärgern will. Es ist ein automatisiertes Geschäftsmodell. Ein Bot-Betreiber verschickt über tausende fremde Kontaktformulare gleichzeitig Werbung für zweifelhafte Produkte, Kredite oder gefälschte Shops. Die eigene Website wird also nicht persönlich angegriffen, sondern einfach als kostenloser Versandweg benutzt.

Für Website- und Shopbetreiber:innen fühlt sich das trotzdem persönlich an. Das Postfach füllt sich mit unsinnigen Anfragen. Echte Kundenanfragen gehen in der Masse unter, weil man zwischen zehn Spam-Mails erst die eine echte Anfrage suchen muss. Wird der Mailversand stark missbraucht, kann der eigene Mailserver oder der des Hosting-Anbieters sogar auf eine schwarze Liste (eine Sperrliste für verdächtige Absender) gesetzt werden. Dann kommen plötzlich auch echte Mails, zum Beispiel Rechnungen oder Bestellbestätigungen, nicht mehr beim Empfänger an.

Manchmal geht es sogar über reine Werbung hinaus. Manche Bots testen Formulare gezielt darauf, ob sich darüber Schadcode einschleusen lässt, also kleine Programmteile, die dem Server schaden oder Daten abgreifen sollen. Ein Formular ohne Schutzmechanismus ist dann nicht nur ein Spam-Problem, sondern im schlimmsten Fall ein echtes Sicherheitsrisiko für die gesamte Website.

Deshalb ist ein Spam-Schutz am Formular keine Kür, sondern eine Grundvoraussetzung, sobald eine Website online geht. Die Frage ist nur: mit welchem Werkzeug. Und genau hier beginnt das eigentliche Problem, über das in Agentur-Kreisen erstaunlich wenig gesprochen wird.

Ein weiterer Punkt wird oft unterschätzt: Spam-Formulare kosten nicht nur Nerven, sie kosten auch Zeit und manchmal Geld. Wer ein Formular manuell im Postfach sichtet, verliert jeden Tag ein paar Minuten mit dem Aussortieren von Müll. Hochgerechnet auf ein Jahr sind das schnell mehrere Arbeitsstunden, die für echte Kundenanfragen fehlen. Bei Shops mit Bewerbungsformularen oder Angebotsanfragen kommt hinzu, dass automatisierte Benachrichtigungen, etwa an Kolleginnen und Kollegen im Vertrieb, bei jeder Spam-Anfrage unnötig mitlaufen. Ein guter Spam-Schutz spart also nicht nur Ärger, sondern senkt auch den organisatorischen Aufwand im Alltag spürbar.

Das DSGVO-Problem von Google reCAPTCHA

Google reCAPTCHA ist über viele Jahre zum Standard geworden, weil es kostenlos ist und schnell eingebaut werden kann. Technisch funktioniert es, indem es im Hintergrund das Verhalten einer Besucherin oder eines Besuchers beobachtet: Mausbewegungen, Klickmuster, manchmal auch, ob bereits ein Google-Cookie im Browser liegt. Aus diesen Signalen berechnet Google eine Wahrscheinlichkeit, ob ein Mensch oder ein Bot das Formular ausfüllt.

Das Problem beginnt genau an dieser Stelle. Diese Auswertung läuft auf Google-Servern, die laut Googles eigenen Angaben auch in den USA stehen können. Das bedeutet: Daten von Besucher:innen einer deutschen Website werden in ein Land übertragen, das aus Sicht der Datenschutz-Grundverordnung (DSGVO, das europäische Datenschutzgesetz) kein automatisch sicheres Drittland ist. Zusätzlich fließen diese Signale laut Google auch in die eigene Werbeinfrastruktur des Konzerns ein, nicht nur in die reine Bot-Erkennung.

Für Website-Betreiber:innen heißt das in der Praxis: reCAPTCHA braucht in der Regel eine Erwähnung in der Datenschutzerklärung, oft sogar eine Einwilligung der Besucher:innen, bevor das Skript überhaupt lädt. Das ist zusätzlicher Aufwand, zusätzliches rechtliches Risiko und zusätzliches Misstrauen bei Besucher:innen, die ohnehin skeptisch gegenüber Google-Diensten sind. Mehr dazu, wie Einwilligungen für Cookies und Tracking-Dienste grundsätzlich funktionieren müssen, erklären wir ausführlich in unserem Beitrag zur Cookie-Einwilligung nach DSGVO.

Wichtig ist: Das heißt nicht, dass reCAPTCHA pauschal verboten oder illegal ist. Viele Websites setzen es weiterhin rechtssicher ein, mit sauberer Einwilligung und korrekter Datenschutzerklärung. Aber der Aufwand dafür ist hoch, und das grundsätzliche Risiko einer Datenübertragung in die USA bleibt bestehen. Wer dieses Risiko von vornherein vermeiden will, braucht eine Alternative, die ohne Google auskommt.

Ein weiterer Aspekt kommt hinzu, den Datenschutzbehörden immer wieder aufgreifen: Bei vielen Google-Diensten reicht es nicht aus, einfach nur eine Einwilligung einzuholen. Es muss auch technisch sichergestellt sein, dass vor der Einwilligung tatsächlich keine Verbindung zu Google aufgebaut wird. Lädt das reCAPTCHA-Skript schon beim bloßen Seitenaufruf, bevor jemand überhaupt zugestimmt hat, ist die Einwilligung nachträglich wirkungslos. Genau diese technische Feinheit wird bei vielen Standard-Einbindungen übersehen, weil reCAPTCHA von Haus aus so konzipiert ist, dass es früh im Seitenaufbau lädt.

Cloudflare Turnstile: Wie die Alternative funktioniert

Cloudflare Turnstile ist seit 2022 verfügbar und wurde genau für dieses Problem entwickelt: Spam-Schutz, ohne dass Besucher:innen ein Puzzle lösen müssen und ohne dass Daten für Werbezwecke verwertet werden. Cloudflare ist ein großes Infrastruktur-Unternehmen, das vor allem für schnelle und sichere Internetverbindungen bekannt ist. Turnstile ist eines seiner kostenlosen Werkzeuge.

Technisch prüft Turnstile im Hintergrund eine Reihe von Signalen aus dem Browser: zum Beispiel, ob der Browser sich wie ein echter Browser verhält, ob bestimmte technische Merkmale zu einem echten Gerät passen und ob das Verhalten eher menschlich oder maschinell wirkt. In den allermeisten Fällen sehen Besucher:innen dabei gar kein Puzzle und kein Bilderrätsel. Ein kleines Häkchen oder ein kurzes Lade-Symbol erscheint, und schon ist die Prüfung durch. Nur in seltenen Grenzfällen fragt Turnstile gezielt nach.

Der entscheidende Unterschied zu reCAPTCHA: Laut Cloudflares eigener Beschreibung werden diese Signale ausschließlich zur Sicherheitsprüfung verwendet, nicht für Werbung oder Nutzerprofile. Dadurch ist Turnstile aus Sicht der DSGVO deutlich unkritischer einzuordnen als ein Dienst, dessen Mutterkonzern gleichzeitig das größte Werbenetzwerk der Welt betreibt.

Für Besucher:innen macht sich dieser Unterschied vor allem durch Geschwindigkeit bemerkbar. Es gibt kein Suchen nach Ampeln oder Zebrastreifen auf unscharfen Fotos, kein Zählen von Bussen oder Fahrrädern. Das Formular wirkt dadurch moderner und seriöser, und genau das ist für ein Erstgespräch mit potenziellen Kund:innen nicht unwichtig: Ein holpriges, altmodisches Captcha kann schon vor der ersten Nachricht für einen schlechten Eindruck sorgen.

Wir bei COOKIE Design setzen Cloudflare Turnstile selbst produktiv ein, und zwar nicht nur bei Kundenprojekten, sondern auch auf unserer eigenen Website. Unser technischer Unterbau ist Astro, ein modernes Website-Framework (ein Werkzeug-Baukasten für Entwickler:innen), kombiniert mit sogenannten Astro Actions für Formulare. Turnstile fügt sich dort sauber ein, ohne dass wir zusätzliche Bibliotheken oder Umwege brauchen. Wie wir mit Astro grundsätzlich Websites bauen, erklären wir im Beitrag Astro-Website erstellen lassen.

Ein weiterer Pluspunkt von Turnstile ist, dass es als Infrastruktur-Baustein eines Unternehmens läuft, das ohnehin schon einen großen Teil des Internets technisch absichert, nicht als Werbe-Nebenprodukt eines Werbekonzerns. Cloudflare verdient sein Geld mit Sicherheits- und Infrastruktur-Dienstleistungen für Unternehmen, nicht mit personalisierter Werbung für Endnutzer:innen. Dieser Unterschied im Geschäftsmodell erklärt auch, warum die Anreize bei Turnstile anders liegen als bei reCAPTCHA: Es gibt für Cloudflare schlicht keinen wirtschaftlichen Grund, Verhaltensdaten aus Formularen für Werbeprofile weiterzuverwenden.

So läuft die technische Einrichtung grob ab

Die Einrichtung von Turnstile ist überschaubar, auch wenn am Ende natürlich etwas Entwicklungsarbeit nötig ist. Wer mit einer Agentur zusammenarbeitet, muss die folgenden Schritte nicht selbst durchführen, sollte aber grob verstehen, was passiert.

Schritt eins ist das Cloudflare-Konto. Man legt (falls noch nicht vorhanden) ein kostenloses Cloudflare-Konto an und öffnet dort den Bereich für Turnstile. Dort wird ein neues Widget angelegt, das heißt, man trägt den Domainnamen der eigenen Website ein und erhält danach zwei Schlüssel: einen Site-Key und einen Secret-Key.

Der Site-Key ist öffentlich. Er wird direkt im Formular auf der Website eingebunden und darf ruhig im Quelltext sichtbar sein, so wie eine Hausnummer öffentlich sichtbar ist. Der Secret-Key dagegen ist geheim und darf niemals im Browser landen. Er wird ausschließlich auf dem Server gespeichert, zum Beispiel als Umgebungsvariable (eine versteckte Konfigurationseinstellung, die nicht im sichtbaren Code steht).

Schritt zwei ist das Einbinden des Widgets im Formular. Turnstile zeigt dort ein kleines Element, das im Hintergrund die Prüfung durchführt und am Ende ein Bestätigungs-Token erzeugt, eine Art digitalen Nachweis "das war höchstwahrscheinlich ein Mensch". Dieses Token ist nur sehr kurz gültig und genau an diesen einen Formular-Versand gebunden, es lässt sich also nicht einfach kopieren und für eine zweite Anfrage wiederverwenden.

Schritt drei ist die wichtigste und am häufigsten vergessene: Dieses Token muss serverseitig geprüft werden, bevor die Formular-Daten verarbeitet werden. Wird nur im Browser geprüft, kann ein Bot diese Prüfung einfach umgehen, indem er die Browser-Prüfung komplett überspringt und die Formular-Daten direkt an den Server schickt. Erst die serverseitige Prüfung mit dem geheimen Secret-Key macht den Schutz wirklich wirksam. Ohne diesen Schritt ist das ganze Widget nur hübsche Dekoration ohne echten Nutzen.

Ein wichtiger Praxis-Hinweis am Rande: Turnstile sollte idealerweise erst dann laden, wenn Besucher:innen das Formular tatsächlich nutzen, also zum Beispiel erst beim Fokussieren eines Eingabefeldes, nicht schon beim bloßen Aufruf der Seite. Das spart unnötige externe Verbindungen zu Cloudflare und ist damit insgesamt datensparsamer, ein Prinzip, das grundsätzlich zu einer sauberen, datensparsamen Website passt. Wie datensparsames Arbeiten noch weitergehen kann, zeigen wir in unserem Beitrag Website ohne Cookie-Banner.

Ein letzter Hinweis betrifft das Testen. Nach der Einrichtung sollte das Formular einmal bewusst mit und ohne gültiges Token ausprobiert werden, am besten direkt von der Agentur oder IT-Abteilung. So lässt sich schnell prüfen, ob die serverseitige Validierung wirklich greift und ob eine Anfrage ohne gültiges Token tatsächlich zurückgewiesen wird. Dieser kurze Test kostet wenige Minuten, verhindert aber, dass ein Konfigurationsfehler erst auffällt, wenn das Postfach schon wieder voller Spam ist.

Turnstile im Vergleich zu hCaptcha und Honeypot-Feldern

Turnstile ist nicht die einzige Alternative zu reCAPTCHA. Zwei weitere Werkzeuge tauchen in der Praxis häufig auf: hCaptcha und sogenannte Honeypot-Felder. Ein ehrlicher Vergleich hilft bei der Einordnung.

hCaptcha funktioniert technisch ähnlich wie Turnstile und wird ebenfalls oft als datenschutzfreundlichere Alternative zu reCAPTCHA genannt. In der kostenlosen Version zeigt hCaptcha allerdings häufiger sichtbare Bilderrätsel als Turnstile, was für Besucher:innen etwas umständlicher ist. Auch hCaptcha muss, wie jeder externe Dienst, in der Datenschutzerklärung genannt werden, und die Datenverarbeitung sollte im Einzelfall geprüft werden.

Honeypot-Felder sind ein ganz anderer Ansatz. Dabei wird ein zusätzliches Formularfeld eingebaut, das für Menschen unsichtbar ist, zum Beispiel per CSS (eine Technik zur optischen Gestaltung von Websites) ausgeblendet. Ein Bot, der das Formular blind ausfüllt, füllt auch dieses versteckte Feld aus. Ein Mensch sieht es gar nicht und lässt es automatisch leer. Wird das Feld trotzdem ausgefüllt, verwirft der Server die Anfrage einfach. Der große Vorteil: Honeypot-Felder brauchen keinen externen Dienst, keine zusätzliche Datenübertragung und keine Erwähnung in der Datenschutzerklärung.

Der Nachteil von reinen Honeypot-Feldern: Hartnäckigere, besser programmierte Bots erkennen solche versteckten Felder inzwischen häufig und lassen sie gezielt leer. Gegen einfache Massen-Bots reicht ein Honeypot oft aus, gegen gezieltere Spam-Wellen nicht mehr zuverlässig.

Für die meisten Business-Websites ist Turnstile deshalb der pragmatischste Mittelweg. Es ist deutlich wirksamer als ein reiner Honeypot gegen hartnäckige Bots, gleichzeitig einfacher einzubinden und aus Datenschutzsicht unkritischer als klassisches reCAPTCHA. Wer maximale Datensparsamkeit will und ein überschaubares Spam-Aufkommen hat, kann auch mit einem Honeypot-Feld beginnen und bei Bedarf später Turnstile ergänzen. Beide Ansätze lassen sich außerdem kombinieren, was den Schutz zusätzlich erhöht, ohne dass Besucher:innen etwas davon merken.

Auch beim Thema Kosten lohnt sich ein kurzer Blick: Alle drei Lösungen, Turnstile, hCaptcha in der Basis-Version und ein selbst gebautes Honeypot-Feld, sind für normale Website- und Shop-Formulare kostenlos. Der Unterschied liegt also nicht im Preis, sondern in der Zuverlässigkeit gegen Bots, im Aufwand bei der Einrichtung und in der datenschutzrechtlichen Einordnung. Genau diese drei Kriterien sollten bei der Entscheidung für ein Projekt im Vordergrund stehen, nicht die Frage, welches Werkzeug gerade am bekanntesten ist.

Was in die Datenschutzerklärung gehört

Auch wenn Cloudflare Turnstile aus Datenschutzsicht deutlich unkritischer ist als Google reCAPTCHA, gilt ein wichtiger Grundsatz: Jeder externe Dienst, der beim Besuch einer Website Daten verarbeitet, gehört in die Datenschutzerklärung. Das betrifft Turnstile genauso wie jeden anderen eingebundenen Dienst.

In der Praxis bedeutet das: Ein eigener Absatz beschreibt, dass Turnstile zur Spam-Abwehr beim Kontaktformular eingesetzt wird, welche Art von Daten dabei technisch verarbeitet wird und auf welcher rechtlichen Grundlage das passiert. Weil Turnstile laut Cloudflare ausschließlich zu Sicherheitszwecken arbeitet und nicht für Werbe-Profile, lässt sich die Einbindung in der Regel über ein berechtigtes Interesse rechtfertigen, ohne dass vorher eine gesonderte Einwilligung der Besucher:innen eingeholt werden muss. Das ist einer der praktischen Vorteile gegenüber reCAPTCHA, wo diese Einordnung deutlich schwieriger und umstrittener ist.

Wichtig ist uns an dieser Stelle Ehrlichkeit statt pauschaler Rechtsberatung: Wir sind eine Webagentur, keine Anwaltskanzlei. Die endgültige rechtliche Einordnung hängt immer vom Einzelfall ab, zum Beispiel davon, welche weiteren Dienste auf derselben Website laufen und wie das Gesamtkonzept der Datenschutzerklärung aufgebaut ist. Wer sich unsicher ist, sollte die konkrete Formulierung von einer Rechtsanwältin, einem Rechtsanwalt oder einer betrieblichen Datenschutzbeauftragten prüfen lassen. Wir unterstützen bei der technischen Umsetzung gerne, die rechtliche Feinabstimmung gehört aber in juristische Hände.

Unabhängig von der exakten Formulierung gilt: Wer schon beim Cookie-Banner und bei der Cookie-Einwilligung sauber aufgestellt ist, tut sich bei der Einordnung von Turnstile deutlich leichter, weil die Grundprinzipien dieselben sind: nur das einbinden, was wirklich gebraucht wird, und transparent darüber informieren.

Ein praktischer Tipp zum Abschluss: Die Datenschutzerklärung sollte nicht als einmalige Pflichtübung verstanden werden, sondern als lebendiges Dokument. Wird später ein neuer Dienst eingebunden oder ein bestehender Dienst wie Turnstile ausgetauscht, muss die Datenschutzerklärung mit aktualisiert werden. Ein kurzer Blick in die eigene Datenschutzerklärung, sobald sich an der technischen Einbindung von Formularen etwas ändert, gehört deshalb in jeden Website-Relaunch und in jedes größere Update mit dazu.

Fazit

Spam-Schutz am Kontaktformular ist Pflicht, Google reCAPTCHA ist dafür aber nicht die einzige und aus Datenschutzsicht nicht die unkritischste Lösung. Cloudflare Turnstile bietet denselben Nutzen, nämlich zuverlässige Bot-Abwehr, ohne die Datenübertragung in die Google-Werbeinfrastruktur. Wir setzen Turnstile selbst produktiv ein und richten es für Kund:innen auf Astro-Websites ein, inklusive der wichtigen serverseitigen Prüfung, ohne die kein Spam-Schutz wirklich wirkt.