CAPTACH: Schutz für Webformulare

Oft sind Kommentare unter einem Blogbeitrag der beste Anlass für ein Update. In unserem Beitrag „Bots und Crawler aussperren“ vom 25. September 2025 hatten wir auch Google reCAPTCHA erwähnt. Darauf kam der berechtigte Hinweis: Nicht alle möchten Google-Dienste auf der eigenen Website einsetzen. Viele sind datenschutzrechtlich und im Sinne europäischer Datensouveränität nicht wirklich unproblematisch.

Weiterlesen: Anubis, CAPTCHAs und was auf Shared Hosting geht

Manche Webseitenbetreiber blockieren sie bewusst im Netzwerk, – meist aus Gründes des Selbstverständnosses oder als Schutz ihrer Familie vor Tracking.

In einem Kommentar zu diesem Artikel wurden Alternativen wie FriendlyCaptcha, Matomo als Alternative zu Google Services genannt. Vor allem Anubis wäre für Profis hochinteressant. Danke für den Hinweis. Wir haben uns Anubis genauer angesehen. Die kurze Antwort für alle, die einfach nur ihr Kontaktformular auf klassischem Shared Hosting absichern möchten, lautet:

Nein, Anubis lässt sich auf normalem Shared Hosting in der Regel nicht direkt wie ein klassisches Formular-CAPTCHA einsetzen.

Das ist keine Kritik an Anubis. Im Gegenteil: Das Tool ist technisch spannend. Es löst nur ein anderes Problem als ein CAPTCHA-Widget im Formular.

Was Anubis eigentlich macht

Anubis von Techaro beschreibt sich als „Web AI Firewall Utility“. Ziel ist es, eingehende HTTP-Anfragen zu prüfen und Ressourcen vor aggressiven Scrapern, AI-Crawlern und automatisiertem Traffic zu schützen. Laut Projektbeschreibung sitzt Anubis dabei zwischen Reverse Proxy, zum Beispiel Nginx oder Caddy, und der eigentlichen Anwendung. Eine Anubis-Instanz wird vor den Dienst gesetzt, den du schützen möchtest.

Das ist der entscheidende Punkt: Anubis ist nicht einfach ein kleines JavaScript-Snippet, das du neben das Nachrichtenfeld in dein Formular kopierst. Anubis arbeitet auf der Ebene des Web-Traffics. Es entscheidet, ob eine Anfrage durchgelassen wird, bevor sie beim eigentlichen Backend ankommt.

In der offiziellen Installationsbeschreibung heißt es sinngemäß: Anubis gehört zwischen Reverse Proxy und Zielservice. Die Integration erfolgt zum Beispiel über Docker, Nginx, Caddy, Traefik, Kubernetes, Apache oder ähnliche Serverumgebungen. Genau dafür brauchst du Kontrolle über die Server- oder Proxy-Konfiguration.

CAPTCHA als vorgeschaltete Prüfung: Erst wenn die Anfrage plausibel menschlich wirkt, erreicht sie das geschützte Webformular.

Warum das auf klassischem Shared Hosting schwierig ist

Shared Hosting ist bewusst einfach gehalten: Du bekommst Webspace, Datenbanken, E-Mail, PHP, meist auch FTP/SFTP und ein Kundencenter. Du musst dich nicht um Betriebssystem, Webserver, TLS-Terminierung, Reverse Proxy, Systemdienste oder Container kümmern. Das ist für viele Websites genau der Vorteil.

Für Anubis brauchst du aber typischerweise Dinge, die du auf klassischem Shared Hosting nicht hast:

• einen dauerhaft laufenden Hintergrunddienst,
• Docker, Systemd oder eine vergleichbare Laufzeitumgebung,
• Zugriff auf die Nginx-, Apache-, Caddy- oder Traefik-Konfiguration,
• die Möglichkeit, HTTP-Anfragen vor der eigentlichen Website durch einen Filter-Proxy zu schicken,
• Kontrolle über interne Ports, Sockets oder Upstream-Ziele.

Genau diese Ebene ist bei Shared Hosting aus gutem Grund nicht für einzelne Kunden geöffnet. Sonst wäre es kein bequem verwalteter Webspace mehr, sondern eine eigene Serverumgebung mit Administrationsaufwand.

Anubis schützt eher Wege zur Website als einzelne Formularfelder

Für Webformulare ist das wichtig: Wenn du nur verhindern möchtest, dass dein Kontaktformular mit Spam geflutet wird, denkst du vermutlich an ein CAPTCHA direkt im Formular. Also: Formular anzeigen, Besucher füllt es aus, vor dem Absenden wird geprüft, ob die Anfrage plausibel menschlich ist.

Anubis setzt früher an. Es kann eine ganze Website, einen Hostnamen oder bestimmte Pfade absichern. Praktisch bedeutet das: Du schützt zum Beispiel /kontakt, /login oder sogar die gesamte Seite. Der Besucher muss dann die Anubis-Prüfung passieren, bevor die eigentliche Seite oder der Pfad geladen wird.

Das kann sinnvoll sein, wenn Scraper massiv Ressourcen verbrauchen oder wenn automatisierte Clients komplette Seitenbereiche abgreifen. Für ein einzelnes Kontaktformular auf normalem Webspace ist es aber meistens eine Nummer zu groß und technisch nicht passend angebunden.

Wann Anubis trotzdem eine Option ist

Anubis wird interessant, wenn du eine Umgebung kontrollierst, in der du einen Reverse Proxy betreiben kannst. Das kann ein eigener VPS, ein Root-Server, ein Container-Setup oder eine Plattform sein, bei der du Nginx, Caddy, Traefik oder Apache entsprechend konfigurieren darfst.

Dann sieht das Prinzip vereinfacht so aus:

1. Der Besucher ruft deine Website auf.
2. Der Reverse Proxy nimmt die Anfrage entgegen.
3. Die Anfrage läuft durch Anubis.
4. Anubis prüft, ob die Anfrage durch darf.
5. Erst danach erreicht sie deine eigentliche Website oder Anwendung.

Für Projekte mit eigener Serverkontrolle kann das ein spannender Baustein sein, besonders wenn es nicht nur um Formularspam geht, sondern um Scraping, AI-Crawler und viele automatisierte Seitenaufrufe. Du solltest dann aber bewusst testen, welche Bots du blockierst und welche du erlauben willst. Selbst das Anubis-Projekt weist darauf hin, dass die Lösung auch „gute“ Bots wie Archivierungsdienste beeinträchtigen kann, wenn du sie nicht passend erlaubst.

Was ist dann besser für Shared Hosting?

Wenn du auf Shared Hosting bleibst und gezielt Formulare schützen möchtest, sind klassische formularnahe Lösungen meist sinnvoller. Damit meinen wir nicht zwangsläufig Google reCAPTCHA. Es gibt inzwischen einige Alternativen, die datenschutzfreundlicher und transparenter arbeiten.

ALTCHA

ALTCHA ist ein Open-Source-CAPTCHA, das mit Proof-of-Work arbeitet. Der Browser löst dabei im Hintergrund eine kleine kryptografische Aufgabe. Für echte Besucher soll das möglichst unauffällig bleiben. Dein Server prüft anschließend, ob die Aufgabe korrekt gelöst wurde. Der Vorteil: Es braucht keine Bildrätsel, keine Google-Abfrage und keinen Third-Party-Trackingdienst. Für PHP-Projekte ist ALTCHA besonders interessant, weil es Server-Bibliotheken und Beispiele für die Verifikation gibt.

Für klassisches Webhosting ist das näher an dem, was man in der Praxis braucht: ein Widget im Formular plus eine serverseitige Prüfung in PHP, bevor die Nachricht verschickt oder gespeichert wird.

Cap

Cap verfolgt ebenfalls einen Open-Source- und Self-Hosting-Ansatz. Es kombiniert Proof-of-Work mit weiteren Browserprüfungen und wirbt damit, ohne Google, ohne Telemetrie und ohne visuelle Rätsel auszukommen. Allerdings braucht Cap in der Self-Hosted-Variante ebenfalls eine eigene Serverkomponente. Für reines Shared Hosting kann das je nach Setup also wieder zu viel sein. Wenn du aber irgendwo einen kleinen separaten Dienst betreiben kannst, kann Cap interessant werden.

FriendlyCaptcha

FriendlyCaptcha ist eine bekannte Alternative zu reCAPTCHA und wird häufig genannt, wenn Datenschutz, Barrierearmut und weniger Nutzerfrust wichtig sind. Je nach Einsatzmodell nutzt du dabei allerdings wieder einen externen Dienst. Das kann völlig in Ordnung sein, sollte aber bewusst geprüft und in der Datenschutzerklärung sauber beschrieben werden.

Und Matomo?

Kommentare erwähnten auch Matomo als Alternative zu Google Analytics. Das passt gut zur Grundfrage: Welche externen Dienste muss ich auf meiner Website wirklich einbinden?

Bei Formularschutz und Webanalyse gilt dasselbe Prinzip: Je weniger personenbezogene Daten an Dritte fließen, desto einfacher wird oft die datenschutzfreundliche Umsetzung. Matomo kann selbst gehostet werden und ist deshalb für viele Website-Betreiber eine attraktive Alternative zu externen Trackingdiensten. Trotzdem bleibt auch hier wichtig: datensparsam konfigurieren, IP-Anonymisierung nutzen, Cookies bewusst einsetzen oder vermeiden und die Datenschutzhinweise aktuell halten.

Empfehlung für die Praxis

Wenn du ein Kontaktformular, Kommentarformular oder Login auf Shared Hosting absichern möchtest, würden wir pragmatisch so vorgehen:

1. Erst einfache Maßnahmen prüfen: Honeypot-Feld, serverseitige Zeitprüfung, Rate-Limits im Formularskript, Plausibilitätsprüfung der Eingaben und saubere Validierung.
2. Dann formularnahes CAPTCHA ergänzen: Zum Beispiel ALTCHA, FriendlyCaptcha oder eine vergleichbare Lösung, die zu deinem Datenschutzanspruch passt.
3. Bei starkem Missbrauch stärker absichern: Wenn Bots nicht nur Formulare, sondern die ganze Website belasten, lohnt sich der Blick auf serverseitige Schutzmechanismen, Firewalls, Reverse Proxies oder eine eigene Serverumgebung.
4. Anubis für passende Umgebungen testen: Wenn du einen VPS, Root-Server oder eine Container-/Proxy-Umgebung kontrollierst, kann Anubis ein sinnvoller Baustein gegen aggressive Crawler sein.

Mini-Beispiel: Was auf Shared Hosting geht

Auf klassischem PHP-Webspace kannst du ein Formular zum Beispiel so absichern:

• Ein zusätzlicher unsichtbarer Honeypot bleibt für Menschen leer, wird aber von einfachen Bots ausgefüllt.
• Ein Zeitstempel verhindert, dass ein Formular nach 0,2 Sekunden automatisiert abgeschickt wird.
• Eine serverseitige Prüfung verwirft Nachrichten mit auffälligen Mustern, zu vielen Links oder fehlenden Pflichtfeldern.
• Ein Proof-of-Work-CAPTCHA wie ALTCHA ergänzt diese Prüfung, ohne dass Google eingebunden werden muss.

Das ist weniger spektakulär als eine Web AI Firewall, passt aber sehr gut zu vielen kleinen Websites, Vereinsseiten, Freelancer-Projekten und Unternehmensseiten auf Shared Hosting.

Fazit: Anubis ist spannend, aber nicht das Formular-CAPTCHA für jeden Webspace

Anubis ist ein interessantes Open-Source-Werkzeug für Website-Betreiber, die aggressiven automatisierten Traffic schon vor der Anwendung ausbremsen möchten. Es ist aber kein Drop-in-Ersatz für reCAPTCHA im Kontaktformular.

Für Shared Hosting gilt deshalb: Wenn du nur dein Formular schützen willst, schaue dir lieber ALTCHA, FriendlyCaptcha oder andere formularnahe Lösungen an. Wenn du dagegen eine eigene Server- oder Proxy-Umgebung betreibst und Scraper deine Website stark belasten, lohnt sich ein genauer Blick auf Anubis.

Und ja: Der Hinweis aus dem Kommentar war absolut berechtigt. Google reCAPTCHA ist nicht alternativlos. Gerade bei datenschutzbewussten Webprojekten lohnt es sich, genauer hinzuschauen, welche Dienste man einbindet, welche Daten wohin fließen und welche Lösung wirklich zum eigenen Hosting-Setup passt.

Quellen und weiterführende Links

• TecharoHQ Anubis auf GitHub
• Anubis Installation: Reverse-Proxy-Ansatz und Docker-Image
• Anubis mit Nginx
• ALTCHA: How it works
• ALTCHA Open Source Captcha
• Cap: Self-hosted CAPTCHA

Fragen und Antworten zu diesem Thema