Internet-Abfragen: Cloudflare will Fido-Sticks statt Captchas

Das Klicken durch sogenannte Captcha-Abfragen ist laut Cloudflare Zeitverschwendung und sollte ersetzt werden.

Artikel veröffentlicht am 14. Mai 2021, 9:39 Uhr, Sebastian Grüner

Geht es nach Cloudflare, könnten Security Keys künftig Captcha-Abfragen ersetzen. (Bild: Martin Wolf/Golem.de)

Nutzer sehen laut dem Internetdienstanbieter Cloudflare alle 10 Tage eine Captcha-Abfrage, für deren Bearbeitung sie mehr als 30 Sekunden benötigen. Damit werde täglich die Zeit von 500 Jahren "verschwendet" und zwar "nur, damit wir unsere Menschlichkeit beweisen können". Das will Cloudflare überwinden und teilt mit: "Heute starten wir ein Experiment, um diesen Wahnsinn zu beenden."

Eigentlich wolle das Unternehmen die Captcha-Abfrage komplett abschaffen, denn: "Ein echter Mensch sollte in der Lage sein, sein Gerät zu berühren oder zu betrachten, um zu beweisen, dass er ein Mensch ist, ohne seine Identität preiszugeben." Die Umsetzung dazu beginnt Cloudflare mit Fido-Sticks wie dem Yubikey.

Zwar stärkten Captchas die Sicherheit vieler Onlinedienste und dienten dazu, Missbrauch zu verhindern. Auch sei ihr Einsatz inzwischen weitgehend automatisiert und skaliere so gut. Die Begründung zur Abschaffung von Captchas ist für Cloudflare jedoch schlicht: "Wir hassen sie." Sie schadeten der Produktivität, seien nicht barrierefrei, setzten bestimmtes Kulturwissen voraus - etwa wie Hydranten in New York aussähen - und funktionierten auf Mobilgeräten nicht besonders gut.

Zur Unterstützung seiner Captcha-Alternative mit Hardware-Security-Tokens setzt Cloudflare auf Web Authentication (Webauthn) Attestation, das Teil der W3C-Webstandards der Fido-Technik ist. Der neue Ablauf zum Beweis, dass man ein Mensch und kein Bot ist, ist einfach: Die Webseite sendet eine sogenannte Challenge, diese wird mit dem Einstecken des Sticks oder dem Anhalten an das Smartphone per NFC beantwortet. So wird die Präsenz eines Nutzers bestätigt. Das soll nur fünf Sekunden dauern.

Cloudflare setzte eine kleine Demo-Seite für die neue Technik um. Unterstützt werde dafür bisher nur die Nutzung von Yubikeys, HyperFIDO-Keys und Thetis FIDO U2F Keys, da Cloudflare seinen Dienst damit getestet habe. Die Nutzung standardisierter Technik solle aber künftig auch alle anderen Fido-Keys nutzbar machen.