Formulare brauchen Schutz vor automatisiertem Missbrauch – doch klassische CAPTCHAs wie reCAPTCHA lösen das oft auf Kosten der Nutzenden und des Datenschutzes: Bilderrätsel, Drittanbieter-Cookies und Tracking über Google-Infrastruktur. ALTCHA verspricht denselben Zweck ohne diese Nebenwirkungen. Wir ordnen ein, wie das technisch funktioniert, was die MIT-Lizenz konkret bedeutet und wo die Grenzen liegen.
Das Wichtigste vorab
Der ALTCHA-Kern ist ein MIT-lizenziertes Open-Source-Widget, das Bots per Proof-of-Work statt per Rätsel ausbremst und dabei ohne Cookies oder Fingerprinting auskommt. Er lässt sich selbst hosten und kostenlos einsetzen. Für erweiterte Erkennung, Analytics und Bedrohungsdaten bietet der Hersteller mit „Sentinel“ zusätzlich eine kommerzielle Erweiterung an – der freie Kern bleibt davon unabhängig nutzbar.
Wie ALTCHA funktioniert
Statt Nutzende Ampeln, Zebrastreifen oder verzerrten Text erkennen zu lassen, setzt ALTCHA auf einen automatisierten Proof-of-Work-Mechanismus: Der Browser löst im Hintergrund eine kryptografische Rechenaufgabe, bevor das Formular abgesendet wird. Für einzelne Absendungen ist dieser Rechenaufwand vernachlässigbar; für automatisiertes Massen-Spamming steigen die Kosten spürbar. Menschen bemerken im Idealfall nur ein kurzes Ladehäkchen statt eines Rätsels.
Der Ansatz kommt ohne Cookies, Fingerprinting oder Nutzerverfolgung aus und ist nach WCAG auf Barrierefreiheit ausgelegt. Für Machine-to-Machine-Szenarien – etwa APIs, die absichtlich von Software statt von Menschen angesprochen werden – gibt es mit „M2M-ALTCHA“ eine eigene Variante.
Datenschutz als Designentscheidung
Der Verzicht auf Cookies und Tracking ist bei ALTCHA kein nachträgliches Zugeständnis, sondern die zentrale Abgrenzung zu reCAPTCHA und vergleichbaren Diensten, die Formularaufrufe an Drittanbieter-Infrastruktur außerhalb der eigenen Kontrolle melden. Der Hersteller benennt auf der Produktseite Übereinstimmung mit DSGVO, HIPAA, CCPA, LGPD, DPDPA und PIPL sowie eine EU-gehostete Cloud-Variante als Option. Diese Einordnungen stammen vom Hersteller selbst; für regulierte Einsatzfälle ersetzt das keine eigene Prüfung der jeweils anwendbaren Anforderungen.
Open Source, Lizenz und Integration
Der Quellcode liegt unter der permissiven MIT-Lizenz im GitHub-Repository altcha-org/altcha offen und lässt sich damit kostenfrei einsetzen, selbst hosten und anpassen – ohne Abhängigkeit von einer externen Cloud. Frontend-seitig stehen Widgets für Web, Flutter und React Native bereit, ergänzt um vorgefertigte Starter-Projekte für React, Vue, Svelte, Solid, Lit und Angular. Für die serverseitige Prüfung gibt es Validierungs-Bibliotheken in TypeScript, Dart, PHP, Go, Python, Java, Ruby, Elixir, Rust und C++ – die eigentliche inhaltliche Arbeit findet ohnehin auf dem Server statt, das Frontend-Widget liefert nur den Nachweis.
Offener Kern und kommerzielles Sentinel-Upgrade
ALTCHA folgt einem in Open-Source-Projekten verbreiteten Modell: Ein frei nutzbarer Kern deckt die Grundfunktion ab, ein kommerzielles Zusatzangebot adressiert weitergehende Anforderungen. Der Vergleich zeigt, welche Funktionen ausschließlich in Sentinel enthalten sind.
| Funktion | Open-Source-Kern | ALTCHA Sentinel |
|---|---|---|
| Proof-of-Work-Verifizierung | Ja | Ja |
| Lizenz / Kosten | MIT, kostenfrei | Kommerziell |
| Selbst hostbar | Ja | Nach Angaben des Herstellers |
| Risikoadaptives CAPTCHA | Nein | Ja |
| Echtzeit-Bedrohungsdaten, IP-Geofencing | Nein | Ja |
| Rate Limiting, Replay-Schutz | Nein | Ja |
| ML-gestützte Spam-/Textklassifizierung | Nein | Ja |
| Analytics-Dashboard | Nein | Ja |
Sicherheitseinordnung: ein Baustein, kein Rundumschutz
Proof-of-Work erhöht die Kosten für automatisierten Massenmissbrauch, ist aber kein hartes Ausschlusskriterium: Wer gezielt einzelne Formulare mit echten, headless gesteuerten Browsern angreift, umgeht den Mechanismus grundsätzlich – dieses Risiko benennt der Proof-of-Work-Ansatz an sich nicht. ALTCHA ersetzt deshalb keine serverseitigen Grundmaßnahmen wie Rate Limiting, Eingabevalidierung und Monitoring auffälliger Formularaktivität, sondern ergänzt sie um eine zusätzliche, datensparsame Hürde.
Wer sich für den Open-Source-Kern statt für die gehostete Cloud-Variante entscheidet, übernimmt zudem den Betrieb selbst: Updates, Verfügbarkeit und die Einbindung in das eigene Sicherheitskonzept liegen dann in eigener Verantwortung – ein Punkt, der bei jeder selbst gehosteten Open-Source-Komponente vorab eingeplant werden sollte, nicht nur bei ALTCHA.
Für wen sich der Open-Source-Kern eignet
Der freie Kern passt gut, wenn Formulare vor einfachem, automatisiertem Spam geschützt werden sollen, ohne zusätzliche Cookie-Banner-Pflichten oder Drittanbieter-Datenflüsse in Kauf zu nehmen, und wenn Selbsthosting technisch tragbar ist. Wer darüber hinaus Echtzeit-Bedrohungsdaten, adaptive Risikobewertung oder Analytics benötigt, sollte Sentinel oder vergleichbare kommerzielle Angebote gezielt gegen den eigenen Bedarf prüfen. In beiden Fällen bleibt Formularschutz nur ein Teil eines vollständigen Sicherheitskonzepts.
Quelle
- ALTCHA: Open Source CAPTCHA – Produktbeschreibung, Funktionsweise, Lizenz und Sentinel-Funktionsumfang.
Quelle abgerufen am 2. August 2026. Produktumfang, Lizenzbedingungen und Compliance-Angaben stammen vom Hersteller und können sich ändern; dieser Beitrag ist keine Rechts- oder Sicherheitsberatung für den Einzelfall.
