Warum schlechte UX die IT-Sicherheit (und Inklusion) gefährdet
Ein Captcha-Fail der Bundesnetzagentur zeigt: Wenn wir Security, UX und Barrierefreiheit trennen, bauen wir unsichere und exkludierende Systeme.
Manchmal spült einem der Algorithmus Dinge in die Timeline, die man erst für Satire hält. So ging es mir neulich bei einem Fundstück von Pascal Wegner auf X. Er zeigte einen Screenshot der Bundesnetzagentur, der zu absurd wirkte, um wahr zu sein.
Ich musste das selbst sehen. Also ab auf die Webseite, Entwicklertools geöffnet, und da war er: dieser Moment ungläubigen Staunens. Da grinste mich ein Captcha an. Diese nervigen Buchstabenrätsel, die beweisen sollen, dass man kein Roboter ist.
Die Anweisung: „Bitte geben Sie den Text in Großbuchstaben und ohne Leerzeichen ein.“
Klingt standardmäßig, oder? Der Hintergrund war aber alles andere als das: Ein Blick in den Quellcode bestätigte den Verdacht. Die Lösung des Rätsels stand direkt daneben. Im Klartext.
Im Code standen lediglich unsichtbare Trennzeichen zwischen den Buchstaben.
Das Ergebnis war ein „Anti-Captcha“: Ein Task, der für Menschen mühsam ist, aber für Maschinen in Millisekunden lösbar.
Ich habe das auf LinkedIn geteilt, und der Post ging mit mittlerweile über 150.000 Impressions und mehr als 50 Kommentaren durch die Decke. Aber genau wie bei der AOK, über deren „Mein Leben beenden“-Fail ich hier schon mal ausführlich geschrieben habe, steckt da mehr dahinter als ein lustiger Fail.
Wir investieren massive Ressourcen in Compliance und Datenschutz-Erklärungen. Aber bei der praktischen Umsetzung bauen wir uns digitale Potemkinsche Dörfer. Sicherheit wird oft als etwas betrachtet, das „weh tun muss“, damit es wirkt. Und genau deshalb entstehen Systeme, die weder sicher noch barrierefrei sind.
Das ist eine kulturelle Frage: Wer entscheidet, ob ein digitaler Dienst gut genug ist, wenn die Person, die ihn benutzen muss, nicht im Raum sitzt?
Werden Sicherheit und Barrierefreiheit getrennt geplant, geht beides schief. Dieses Captcha zeigt das in Reinform: Bots kamen trivial rein, Menschen mit Screenreader blieben draußen.
1. Verstecken ist keine Strategie
In der physischen Welt würde niemand seinen Haustürschlüssel unter die Fußmatte legen und hoffen, dass der Einbrecher nicht drunter schaut. Digital tun wir genau das, wenn wir Validierungs-Logik in den Client (den Browser) verlagern.
Die Lösung stand im Frontend, ergänzt um unsichtbare Steuerzeichen (‌ / Zero-Width Non-Joiner).
Das Problem: Ein Bot „schaut“ nicht auf die Seite wie ein Mensch. Er parst den Code. Für ein Skript ist das Entfernen von Steuerzeichen ein Einzeiler.
Das ist ein Frontend-Patch für ein Problem, das serverseitig gelöst werden müsste. Bei einer Behörde, die für kritische Infrastruktur zuständig ist, wiegt eine solche Lücke besonders schwer.
2. Barrierefreiheit ist nicht mehr verhandelbar
Für Produkte und Dienstleistungen im Anwendungsbereich des BFSG gelten seit dem 28. Juni 2025 konkrete Barrierefreiheitsanforderungen; für Bundesbehörden gilt die BITV 2.0. Barrierefreiheit ist damit keine optionale Zugabe.
Dieses Captcha ist für Menschen mit Behinderung ein absoluter Showstopper:
- Screenreader-Barriere: Je nach Browser und Screenreader kann ein Label wie
W‌T‌T...buchstabenweise, mit unklaren Pausen oder fehlerhaft ausgegeben werden. Die Anweisung „Abtippen ohne Leerzeichen“ wird dann zu einer unnötig hohen kognitiven Belastung. - Kognitive Barriere: Die Anweisung verlangt Transferleistung (Großbuchstaben beachten, Leerzeichen ignorieren, kryptische Zeichenfolgen erkennen). Für Menschen mit Lernschwierigkeiten oder Dyslexie ist das eine unnötige Hürde.
- Fehlende Alternative: Wo ist der Audio-Button? Wo ist die Alternative für Menschen, die das Bild nicht sehen können?
Die Ironie ist bitter: Wir sperren echte Menschen mit Behinderungen aus, um Bots abzuwehren, und die Bots sind die einzigen, die dank des Quelltext-Fails barrierefrei hereinkommen.
3. Gute Security fühlt man nicht
Der Irrglaube: Sicherheit und UX schließen sich aus.
Das Denkmuster, das viele Produktentscheidungen durchwirkt: „Wenn es sicher sein soll, muss der Nutzer leiden.“ Deshalb akzeptieren wir Ampeln-Klicken und kryptische Texteingaben, obwohl beides längst überholt ist.
Die Realität 2026 sieht anders aus. Moderne Bot-Abwehr (wie Cloudflare Turnstile oder Proof-of-Work-Ansätze) passiert im Hintergrund.
Gute Security behindert den Nutzer nicht. Sie validiert still und leise.
Das BNetzA-Beispiel zeigt die Grenze einer selbstgebauten Lösung: Datenschutz, Sicherheit und Barrierefreiheit müssen gemeinsam geprüft werden. Hier war die Maßnahme sicherheitstechnisch wirkungslos und für Menschen mit Einschränkungen eine zusätzliche Hürde.
Vier Schritte weg vom „Fax-Mindset“
Wer heute noch Texte abtippen lässt, setzt auf eine schwache Barriere. Moderne OCR- und Vision-Systeme können viele solcher Aufgaben automatisiert lösen.
Make the Browser do the work.
Du brauchst keine 700.000 Euro Beraterbudget. Starte mit den Basics:
- Serverseitige Validierung ist Pflicht Die richtige Antwort darf niemals den Server verlassen, bevor der User sie eingegeben hat. Vertraue niemals dem Client (Browser).
- Accessibility First Prüfe jede Sicherheitsmaßnahme: Kann ein blinder Nutzer sie bedienen? Wenn nein, muss sie überarbeitet werden. Moderne „Invisible Challenges“ können barriereärmer sein, wenn sie sauber implementiert und mit assistiven Technologien getestet werden.
- Don't roll your own Crypto Die goldene Regel der IT-Sicherheit. Baue keine eigenen Sicherheitsmechanismen, wenn du kein Kryptograph bist. Wenn du das Rad neu erfindest, wird es meistens viereckig, und stolpert über Screenreader.
- Pentesting & User Testing Lade externe Experten ein. Ein einziger Test mit einem Screenreader oder ein Blick eines Security-Studenten hätten gereicht, um dieses Kartenhaus einstürzen zu lassen. Betriebsblindheit ist das größte Sicherheitsrisiko.
Was bleibt
Der Fail der Bundesnetzagentur sorgt für Lacher auf LinkedIn („Halt mal kurz mein Faxgerät“). Aber er zeigt schmerzhaft deutlich, dass wir Digitalisierung oft noch falsch verstehen.
Ein digitales Formular im Jahr 2026 muss sicher und für alle zugänglich sein. Das ist der Mindeststandard.
Wer Security, UX und Accessibility als getrennte Disziplinen plant, bekommt genau das: drei Silos, die jeweils für sich okay sind, aber zusammen versagen.
Die Haustür muss wirklich abgeschlossen sein. Nicht dekorativ. Und nicht so, dass Bots leichter reinkommen als Menschen.
Weiterführende Links & Lösungen
- Original-Fundstück: Pascal Wegners Post auf X
- Cloudflare Turnstile: Eine datenschutzfreundliche Alternative zu CAPTCHA
- Google reCAPTCHA v3: Unsichtbare Betrugserkennung
- mCaptcha: Proof-of-Work basierte Captcha-Lösung (Open Source)
- W3C Web Accessibility Initiative (WAI): CAPTCHA Alternatives and Thoughts