Sicherheitsmodell — ehrlich erklärt

simplecaptcha ist ein Proof-of-Work-Captcha mit passiven Signalen. Wir sagen Ihnen genau, was das leistet — und was nicht.

Was simplecaptcha tut

1. Arbeit erzwingen. Jede Formular-Submission erfordert eine memory-harte Berechnung (Argon2id, RFC 9106; standardmäßig 4 Puzzles à 8 MiB Speicher) im Browser des Besuchers. Für Menschen: unsichtbar, ~0,5–1,5 s im Hintergrund während des Ausfüllens. Für Angreifer: echte Rechenkosten pro Versuch, die sich nicht durch GPUs wegoptimieren lassen — Argon2id ist absichtlich speichergebunden.
2. Verdächtigen Traffic verteuern. Passive Signale — kurzlebige, gehashte IP-Zähler, fehlende Browser-Header, Lösungszeit-Muster — erhöhen die Schwierigkeit automatisch um das 2- bis 8-fache. Ohne Cookies, ohne Fingerprinting, ohne Gerätezugriff (§ 25 TDDDG-konform ohne Einwilligung).
3. Replay verhindern. Jedes Token ist an Ihre Domain gebunden (Ed25519-signiert), 5 Minuten gültig und exakt einmal einlösbar.

Was simplecaptcha nicht behauptet

Kein Captcha „erkennt Bots“. Auch Bilderrätsel werden maschinell gelöst oder für Centbeträge an Klickfarmen delegiert. simplecaptcha verfolgt einen ökonomischen Ansatz: Massenhafter Missbrauch (Spam, Credential Stuffing, Karten-Testing) lohnt sich nur, wenn ein Versuch praktisch nichts kostet. Wir sorgen dafür, dass jeder Versuch etwas kostet — und verdächtige Versuche deutlich mehr.

Ein gezielter, menschlicher Angriff auf genau Ihr Formular wird dadurch nicht verhindert. Das verhindert auch kein anderes Captcha.

Warum das DSGVO-konform ohne Banner funktioniert

• Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO (Erwägungsgrund 49: Netz- und Informationssicherheit); keine Einwilligung erforderlich.
• Kein Zugriff auf Endgeräte-Informationen im Sinne von § 25 TDDDG: keine Cookies, kein localStorage, kein Canvas-/Audio-/WebGL-Fingerprinting.
• Besucherdaten werden ausschließlich flüchtig in Deutschland verarbeitet: IP-Adressen nur als gesalzener Hash in Zählern mit Minuten-TTL, Salt prozess-lokal — nach Neustart technisch unverknüpfbar. Es existiert keine Datenbanktabelle mit Besucherdaten.
• Ihre Statistiken bestehen ausschließlich aus anonymen Stundenzählern pro Website.