Ein Kontaktformular kommt ohne Google reCAPTCHA aus, wenn stattdessen ein verstecktes Honeypot-Feld, eine Zeitprüfung zwischen Laden und Absenden sowie eine saubere serverseitige Validierung zum Einsatz kommen – alles Techniken ohne externe Skripte, ohne Cookies und damit ohne Einwilligungspflicht. Das ist mehr als eine reine Datenschutz-Vorsichtsmaßnahme: reCAPTCHA lädt bei jedem Seitenaufruf ein Google-Skript, das Nutzerverhalten auswertet und Daten überträgt – unabhängig davon, ob überhaupt ein Formular ausgefüllt wird.
Warum Google reCAPTCHA datenschutzrechtlich in der Kritik steht
Insbesondere reCAPTCHA v3 arbeitet unsichtbar im Hintergrund und bewertet Mausbewegungen, Tippverhalten und weitere Signale, um eine Wahrscheinlichkeit zu berechnen, ob ein Besucher ein Mensch oder ein Bot ist – ohne dass der Besucher aktiv etwas bestätigt. Zum 2. April 2026 stellt Google reCAPTCHA nach eigener Ankündigung auf ein neues Modell um: Google agiert dann als Auftragsverarbeiter statt wie bisher als eigenständig Verantwortlicher für die erhobenen Daten. Das ändert die vertragliche Einordnung, aber nicht zwangsläufig die inhaltliche Kritik – Dr. Datenschutz kommentiert die Umstellung entsprechend zurückhaltend: Ob reCAPTCHA dadurch tatsächlich mehr Transparenz bringt und ohne Bedenken genutzt werden kann, müsse weiterhin jeder Websitebetreiber für sich klären. In der Praxis bedeutet das: Ohne Einwilligung nach § 25 TDDDG bleibt der Einsatz riskant, unabhängig vom vertraglichen Etikett. Hinzu kommt ein praktischer Nachteil unabhängig von der rechtlichen Bewertung: reCAPTCHA fügt eine zusätzliche externe Anfrage an Google-Server hinzu, die gerade auf langsameren Mobilverbindungen spürbar zur Ladezeit des Formulars beiträgt – ausgerechnet an der Stelle, an der ein Kunde ohnehin schon kurz vor der Kontaktaufnahme steht.
Die Honeypot-Methode: der bewährte reCAPTCHA-Ersatz
Ein Honeypot ist ein zusätzliches Formularfeld, das per CSS unsichtbar gemacht wird – für Menschen ist es weder sichtbar noch über die Tab-Taste erreichbar, automatisierte Spam-Bots füllen es aber trotzdem aus, weil sie das HTML-Formular unabhängig vom Aussehen komplett auslesen. Ein Beispiel zur Einordnung: Ein zusätzliches Feld mit der Bezeichnung „Website“ oder „Betreff-Kopie“ wird eingebaut und per CSS auf Höhe und Breite null gesetzt. Ein menschlicher Besucher sieht dieses Feld nie und lässt es zwangsläufig leer. Ein Bot, der das Formular automatisiert ausfüllt, trägt dort in der Regel einen Wert ein. Ist das Feld beim Absenden nicht leer, verwirft der Server die Anfrage kommentarlos, ohne eine Fehlermeldung, die dem Bot verraten würde, woran die Einreichung gescheitert ist. Der Unterschied zu einer klassischen sichtbaren Sicherheitsabfrage: Ein Honeypot verändert nichts am Erscheinungsbild oder am Bedienkomfort des Formulars – ein menschlicher Besucher merkt überhaupt nicht, dass im Hintergrund ein Spamschutz aktiv ist, während ein einfach gestricktes Spam-Skript nach wie vor jedes Feld eines Formulars automatisch befüllt, unabhängig davon, ob es für Menschen sichtbar ist.
Zeitprüfung: die zweite Verteidigungslinie
Ergänzend lässt sich beim Laden der Seite ein Zeitstempel serverseitig hinterlegen und beim Absenden mit der aktuellen Zeit verglichen. Ein Mensch braucht für ein mehrfeldriges Kontaktformular realistisch mindestens drei bis vier Sekunden, ein automatisiertes Skript füllt und sendet dasselbe Formular oft in unter einer Sekunde. Wird das Formular schneller als etwa zwei Sekunden nach dem Laden abgeschickt, ist das ein starkes Indiz für einen Bot – kombiniert mit dem Honeypot-Feld lassen sich auf diese Weise nach eigener Erfahrung die allermeisten automatisierten Spam-Einreichungen zuverlässig abfangen, ganz ohne dass ein Besucher davon überhaupt etwas bemerkt.
Weitere Bausteine für mehr Sicherheit ohne Cookie-Pflicht
| Baustein | Wirkung |
|---|---|
| Serverseitige Validierung | Prüft Pflichtfelder und Formate serverseitig, nicht nur im Browser, wo sich Prüfungen leicht umgehen lassen |
| Rate-Limiting pro IP-Adresse | Begrenzt die Anzahl Formular-Einreichungen je Absender innerhalb einer Stunde |
| Einfache Keyword-Filterung | Blockt Nachrichten mit typischen Spam-Mustern wie massenhaften Links im Freitextfeld |
| Double-Opt-in bei kritischen Formularen | Bestätigungs-Link per E-Mail vor Weiterverarbeitung, sinnvoll bei Anmeldungen statt reinen Kontaktanfragen |
Keiner dieser Bausteine erfordert einen externen Dienst, ein zusätzliches Skript oder eine Cookie-Einwilligung – sie laufen vollständig auf dem eigenen Server und sind bereits in Kombination mit Honeypot und Zeitprüfung für die allermeisten Kontaktformulare lokaler Betriebe ausreichend.
Wann sich reCAPTCHA trotzdem als pragmatischer Kompromiss anbietet
Ausnahmen bestätigen die Regel: Bei einem stark frequentierten öffentlichen Formular mit tausenden Einreichungen täglich – etwa einer bundesweiten Registrierung statt eines lokalen Kontaktformulars – kann der zusätzliche Schutz automatisierter Bot-Erkennung einen echten Unterschied machen, den ein einfacher Honeypot allein nicht mehr auffängt. Läuft auf derselben Website ohnehin bereits Google Analytics oder ein anderer Google-Dienst, der schon einen Cookie-Banner erfordert, entfällt zudem der Hauptvorteil des Verzichts – ein zusätzlicher Google-Dienst ändert an der Zustimmungspflicht dann nichts mehr. Für die überwiegende Mehrheit lokaler Handwerksbetriebe mit einem überschaubaren, gezielten Kontaktformular ist dieser Sonderfall aber die Ausnahme, nicht die Regel.
Interaktiv: Ihr Spamschutz-Check
Haken Sie ab, was Ihr eigenes Kontaktformular bereits einsetzt:
Ein Blick in die Praxis: Wie growen das eigene Kontaktformular absichert
Auch das eigene Kontaktformular von growen verzichtet bewusst auf reCAPTCHA und setzt stattdessen genau auf die Kombination aus Honeypot-Feld und Zeitprüfung, wie unsere Seite zur Website-Erstellung beschreibt. Der praktische Nebeneffekt: Weil kein externes Skript geladen wird, entfällt dafür auch kein zusätzlicher Cookie-Banner-Grund – wie eng beide Themen zusammenhängen, zeigt unser separater Ratgeber zu Cookie-Bannern.
Fazit: Weniger Google, mehr Kontrolle über das eigene Formular
Ein Kontaktformular ohne reCAPTCHA ist keine Notlösung, sondern in den meisten Fällen die robustere Wahl: Honeypot-Feld und Zeitprüfung fangen die überwiegende Mehrheit automatisierter Spam-Einreichungen ab, ohne einen externen Dienst, ohne zusätzliches Skript und ohne Einwilligungspflicht. Worauf ein seriöses Angebot für eine neue Website insgesamt achten sollte, zeigt unser Ratgeber zum Website-Angebot.