Cloudflare Turnstile statt reCAPTCHA: Spam ohne Cookies

Würdigung — reCAPTCHA ist verbreitet, aber teuer erkauft#

Dass so viele Kanzlei-Formulare ein reCAPTCHA tragen, ist nachvollziehbar: Es ist bekannt, kostenlos und schnell eingebaut. Niemand handelt fahrlässig, der es einsetzt — das Problem liegt unter der Oberfläche. reCAPTCHA lädt bei jedem Seitenaufruf Code von Google und sendet dabei Daten in die USA. Damit wird in aller Regel eine Einwilligung nötig, der Cookie-Banner zur Pflicht, und die Datenschutzerklärung muss eine US-Drittland-Übermittlung sauber abbilden. Dazu kommt die Nutzererfahrung: Die Variante mit den Bilderrätseln zwingt jeden Besucher zum Klick, die unsichtbare Variante bewertet ihn dafür im Hintergrund und liefert Google ein Stück Browsing-Profil.

Für eine Kanzlei, die Vertrauen und Datensparsamkeit verkauft, ist das ein unnötiger Widerspruch direkt am wichtigsten Kontaktpunkt. Die gute Nachricht: Es geht deutlich sauberer — und in vielen Fällen sogar ganz ohne Captcha.

Drei gestaffelte Linien — und was bei uns wirklich läuft#

Spam-Abwehr ist kein Entweder-oder, sondern eine Staffelung von Verteidigungslinien:

1. Honeypot: ein für Menschen unsichtbares Feld, das Bots ausfüllen, echte Besucher aber nie. Ist es ausgefüllt, wird die Anfrage stillschweigend verworfen. Das fängt einen Großteil des automatisierten Spams ab.
2. Rate-Limit: eine Obergrenze an Anfragen pro IP und Zeitraum, die Brute-Force-Versuche ausbremst.
3. Turnstile: die Captcha-Schicht für den Rest, der durch die ersten beiden Linien kommt.

Ehrlich gesagt: Auf fahoch2.de selbst läuft bewusst kein Captcha. Unser Kontaktformular nutzt einen serverseitigen Honeypot und ein IP-Rate-Limit über einen EU-gehosteten Dienst — und das reicht für das reale Spam-Aufkommen einer B2B-Seite vollständig aus. Wie diese beiden Linien konkret gebaut sind, zeigen die Insights zur Spam-Abwehr ohne reCAPTCHA und zu Server-Actions im Kontaktformular. Turnstile ist für uns die dokumentierte nächste Stufe — nicht eingebaut, weil noch nicht nötig.

Warum Turnstile der sauberere reCAPTCHA-Ersatz ist#

Wenn eine Kanzlei spürbaren Bot-Verkehr hat und eine Captcha-Schicht wirklich braucht, ist Turnstile gegenüber reCAPTCHA in drei Punkten überlegen:

• Datenschutz: Turnstile setzt keine Tracking-Cookies und ist darauf ausgelegt, ohne personenbezogenes Profiling auszukommen. Dadurch löst es den Cookie-Banner nicht aus, den reCAPTCHA fast immer erzwingt. Die Cookie-Banner-Frage selbst vertieft der Insight zum Cookie-Recht nach TDDDG.
• Nutzererfahrung: Die „Managed Challenge" zeigt legitimen Besuchern in aller Regel gar kein Rätsel — nur verdächtige Sitzungen bekommen eine kurze Verifikation. Das ist deutlich weniger Reibung als reCAPTCHAs Pflicht-Klick.
• Ökosystem: Turnstile fügt sich in den Cloudflare-Stack ein, den viele Seiten ohnehin für CDNCDN · zum GlossarContent Delivery Network — globales Netzwerk an Edge-Servern, das statische Inhalte ortsnah ausliefert. und Schutz nutzen — beschrieben im Insight zum Cloudflare-Einsatz.

Wann Honeypot + Rate-Limit reicht — und wann Turnstile sich lohnt#

Die wichtigste Entscheidung ist nicht „welches Captcha", sondern „überhaupt ein Captcha?". Ein Kanzlei-Kontaktformular mit einer Handvoll echter Anfragen im Monat braucht in aller Regel kein Captcha — Honeypot plus Rate-Limit fangen das reale Aufkommen ab, ohne irgendeinen Besucher zu behelligen oder eine Drittland-Frage aufzuwerfen. Erst wenn trotz dieser beiden Linien spürbar Spam durchkommt, verdient eine dritte Stufe ihren Platz. Dann — und erst dann — ist Turnstile die richtige Wahl, nicht reCAPTCHA.

Diese Reihenfolge ist wichtig, weil jede zusätzliche Schicht einen Preis hat: mehr Code, mehr Abhängigkeit, mehr zu erklärende Verarbeitung in der Datenschutzerklärung. Man fügt sie hinzu, wenn das Problem es rechtfertigt — nicht auf Verdacht.

So würden wir Turnstile einbinden#

Wäre die dritte Stufe nötig, sähe eine saubere Einbindung so aus: Im Formular läuft eine kleine Client-Komponente, die das Turnstile-Widget anzeigt und ein kurzlebiges Token erzeugt. Beim Absenden geht dieses Token mit an den Server, der es gegen den Verifizierungs-Endpunkt von CloudflareCloudflare · zum GlossarUS-Anbieter für CDN, WAF, DDoS-Schutz und Turnstile — Privacy-by-Design-Ausrichtung. prüft — der geheime Schlüssel bleibt dabei ausschließlich auf dem Server, nie im Browser.

Der entscheidende Punkt ist die Fehlertoleranz: Fällt Cloudflare einmal aus oder schlägt die Verifizierung aus technischen Gründen fehl, darf das Formular nicht blockieren. Stattdessen fällt es weich auf die ersten beiden Linien — Honeypot und Rate-Limit — zurück. Eine Spam-Abwehr, die im Störungsfall echte Mandanten aussperrt, wäre schlimmer als das Problem, das sie löst. Diese Disziplin — degradieren statt blockieren — ist derselbe Gedanke, der eine moderne Bau-Pipeline insgesamt robust macht.

Was dann in die Datenschutzerklärung gehört#

Sobald Turnstile live ginge, wäre eine eigene Sektion in der Datenschutzerklärung Pflicht: der Verarbeitungszweck (Spam-Abwehr am Formular), das Drittland (Cloudflare, USA, abgesichert über das EU-US Data Privacy Framework und ergänzende Standardvertragsklauseln), der Auftragsverarbeiter (Cloudflare Inc., mit vorliegendem Auftragsverarbeitungsvertrag) und die Rechtsgrundlage. Bei uns erzwingt ein eigener Konsistenz-Linter, dass eine im Code eingebundene Verarbeitung auch eine passende Sektion in der Datenschutzerklärung hat — eine fehlende Sektion würde den Commit blockieren. So bleibt die Datenschutzerklärung mit dem realen Stand der Technik konsistent statt hinterherzuhinken.

Was Kanzleien davon haben#

• Kein erzwungener Cookie-Banner am Kontaktpunkt: Datensparsamkeit genau dort, wo Vertrauen entsteht — statt eines US-Requests bei jedem Seitenaufruf.
• Weniger Reibung für echte Mandanten: Legitime Besucher sehen meist gar kein Rätsel, statt sich durch Bilderaufgaben zu klicken.
• Die richtige Stufe zur richtigen Zeit: Oft reicht Honeypot plus Rate-Limit; eine Captcha-Schicht kommt erst dazu, wenn das Problem real ist — kein Schutz auf Verdacht.
• Konsistente Datenschutzerklärung: Eine neu eingebundene Verarbeitung zieht die passende Datenschutz-Sektion strukturell nach sich.

Für eine strukturierte Bewertung, ob Ihr Formular ein Captcha braucht und welches, empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

reCAPTCHA ist verbreitet, aber teuer erkauft: US-Request bei jedem Seitenaufruf, faktischer Cookie-Banner-Zwang, holprige Bedienung. Die erste Frage ist allerdings nicht „welches Captcha", sondern „überhaupt eines": Für die meisten Kanzlei-Formulare reichen ein serverseitiger Honeypot und ein Rate-Limit — so läuft es auch auf fahoch2.de, bewusst ohne Captcha. Wird wegen spürbaren Bot-Verkehrs doch eine dritte Stufe nötig, ist Cloudflare Turnstile der saubere reCAPTCHA-Ersatz: cookielos, ohne Cookie-Banner, für legitime Besucher meist unsichtbar. Eine gute Einbindung verifiziert serverseitig, hält den geheimen Schlüssel beim Server und degradiert im Störungsfall weich auf Honeypot und Rate-Limit, statt Mandanten auszusperren — und zieht eine passende Sektion in der Datenschutzerklärung nach sich.

Quellen#

• Cloudflare — Turnstile Dokumentation — abgerufen 2026-06-08
• TDDDG § 25 — Schutz der Endeinrichtungen (Speichern/Auslesen von Informationen)
• DSGVO Art. 44 ff. — Datenübermittlung an Drittländer (VO EU 2016/679) — abgerufen 2026-06-08

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung, keine Rechtsberatung. Auf fahoch2.de ist aktuell kein Captcha im Einsatz; die beschriebene Turnstile-Einbindung ist eine Architektur-Skizze, kein Live-Stand. Datenschutz-Texte zu Drittanbietern gehören anwaltlich endabgenommen; die Bewertung hängt vom konkreten Einsatz ab.