Bild-Captchas kein Allheilmittel gegen Spam
iX: Rechnergestützte Testverfahren kombinieren

Hannover, 19. März 2008 - Bild-Captchas aus verzerrtem Text sind ein beliebter Sicherheitsmechanismus gegen Spam. Jedoch haben sie zwei Schwachpunkte: Anwendern bereiten die Testverfahren viel Mühe, und Computer können sie leichter überlisten als erwünscht. Für einen möglichst effizienten Schutz sollten mehrere Sicherheitsverfahren kombiniert werden, rät das IT-Profimagazin iX in seiner aktuellen Ausgabe 4/08.

Viele Dienste setzen ein Captcha als Schutz vor dem automatisierten Missbrauch ein. Dabei geht es ebenso um die Abwehr von Spam wie um den Schutz von Informationen, zum Beispiel bei einer Seite mit Börsenkursen oder einer Online-Umfrage. Das simple Prinzip: Ein oder mehrere Test(s) entscheiden, ob die Eingabe von einem Menschen oder einem Softwareroboter, einem sogenannten Bot stammt. So besteht ein Bild-Captcha häufig aus wirren Mustern und verzerrtem Text, aus denen der Anwender versteckte Buchstaben und Zahlen in ein Textfeld übertragen muss. Allerdings sind die Computer heutzutage in der Lage, mit "Optical Character Recognition" Texte aus einem Bild zu extrahieren.

Die Zwickmühle bei der Verbesserung der Bild-Captchas: Je aufwendiger es für den Computer ist, die Informationen zu erkennen, desto größer sind auch die Schwierigkeiten für den Menschen. Die Folge sind frustrierte Anwender, die unter Umständen die Webseite nicht wieder besuchen. Zudem diskriminieren diese Verfahren oftmals Menschen mit Sehschwächen.

Eine Kombination aus simplen Tests wie dem Lösen von einfachen Mathematikaufgaben und der Aufforderung, einen vorgegebenen Sicherheitscode abzutippen, ist für den Nutzer wesentlich komfortabler als ein kompliziert angelegtes Bild-Captcha. "Werden diese Tests dann noch mit den von W3C vorgeschlagenen Nutzungsbeschränkungen kombiniert, erhöht das die Sicherheit um ein Vielfaches", erläutert iX-Redakteur Christian Kirsch. Dabei überprüft unter anderem ein Programm, wie schnell der Benutzer das Formular absendet und ob das Gegenüber einen handelsüblichen Browser einsetzt.