Was ist reCAPTCHA v3 und warum benötigt Ihre Website es

Spam über Kontaktformulare bereitet jedem Betreiber einer WordPress-Seite Kopfzerbrechen. Contact Form 7 ist kostenlos und flexibel, filtert Bots jedoch nicht von Haus aus. Einige Wochen nach dem Start Ihrer Website wird Ihr Postfach mit „Testformular"-Einsendungen und Links zu Online-Casinos überflutet.

Google reCAPTCHA v3 löst dieses Problem ohne einen einzigen Klick des Nutzers. Anders als v2, bei dem Sie ein Kästchen mit „Ich bin kein Roboter" anhaken oder Bilderrätsel mit Ampeln lösen müssen, arbeitet Version drei im Hintergrund. Der Algorithmus analysiert das Besucherverhalten auf der Seite und gibt eine Bewertung von 0,0 (Bot) bis 1,0 (Mensch) zurück. Keine Captchas, keine Reibung, einfach nur Schutz.

Seit 2021 unterstützt Contact Form 7 nativ reCAPTCHA v3, beginnend mit Version 5.1. Und 2026 hat Google eine verpflichtende Schlüsselmigration zu Google Cloud gestartet. Auch das behandle ich, damit Ihr Schutz nicht im ungünstigsten Moment ausfällt.

💡 Kurzer Überblick:

• Registrieren Sie Ihre Website in der Google reCAPTCHA-Administrationskonsole und erhalten Sie ein Schlüsselpaar (Site Key + Secret Key)
• Tragen Sie die Schlüssel im Bereich „Kontakt → Integration" Ihres WordPress-Adminbereichs ein
• Contact Form 7 verifiziert jede Formularübermittlung automatisch über reCAPTCHA v3, sodass [recaptcha]-Tags nicht mehr benötigt werden
• Blenden Sie das reCAPTCHA-Badge optional per CSS aus und fügen Sie den erforderlichen Schutzhinweis hinzu
• Wenn Sie alte Schlüssel besitzen, migrieren Sie diese zur Google Cloud Console, andernfalls stellen sie ihre Funktion ein

Schritt 1: reCAPTCHA v3-Schlüssel beziehen

Der Dienst ist an ein Google-Konto gebunden. Melden Sie sich in Ihrem Google-Konto an und rufen Sie die reCAPTCHA-Administrationsseite auf.

Das Registrierungsformular ist selbsterklärend. Geben Sie im Feld „Label" einen beliebigen, für Sie nachvollziehbaren Namen ein, zum Beispiel die Domain Ihrer Website. Wählen Sie den Typ reCAPTCHA v3 und tragen Sie Ihre Domain im Feld „Domains" ein (ohne https:// und Pfad, nur example.com).

Klicken Sie auf „Absenden", und Google zeigt eine Seite mit zwei Schlüsseln an. Der Site Key wird im Frontend verwendet, der Secret Key serverseitig. Sie benötigen beide im nächsten Schritt.

Wichtiger Hinweis: v2- und v3-Schlüssel sind nicht austauschbar. Falls Sie bereits Schlüssel für die alte Version hatten, registrieren Sie Ihre Website erneut, denn die alten Schlüssel funktionieren nicht.

Schritt 2: Schlüssel in Contact Form 7 integrieren

Öffnen Sie im WordPress-Adminbereich „Kontakt → Integration". Sie sehen einen reCAPTCHA-Block mit einer Schaltfläche „Integration einrichten".

Klicken Sie darauf, und es erscheinen zwei Felder: „Site Key" und „Secret Key". Kopieren Sie den im ersten Schritt erhaltenen Site Key und Secret Key hier hinein und klicken Sie auf „Änderungen speichern".

Fertig. Ab diesem Zeitpunkt durchlaufen alle mit Contact Form 7 erstellten Formulare automatisch die reCAPTCHA v3-Prüfung. Sie müssen keine zusätzlichen Tags in die Formularvorlage einfügen, denn [recaptcha] wird nicht mehr verwendet. CF7 ignoriert diesen Tag einfach, falls er aus einer alten Konfiguration übrig geblieben ist.

Wie überprüfen Sie, ob der Schutz funktioniert? Öffnen Sie eine beliebige Seite mit einem Formular im Inkognito-Modus und prüfen Sie die DevTools. Ein schwebendes reCAPTCHA-Badge sollte in der unteren rechten Ecke erscheinen. Ist es vorhanden, funktionieren die Schlüssel.

So blenden Sie das reCAPTCHA v3-Badge aus

Das Badge in der unteren rechten Ecke stört. Es überlagert Inhalte, gerät mit Schaltflächen in Konflikt und wirkt in einem cleanen Design schlicht fehl am Platz. Google erlaubt das Ausblenden, allerdings unter einer Bedingung.

Wenn Sie das Badge entfernen, müssen Sie den folgenden Text irgendwo in der Nähe des Formulars (oder im Footer) platzieren:

Diese Website ist durch reCAPTCHA geschützt und es gelten die Datenschutzerklärung und Nutzungsbedingungen von Google.

Ohne diesen Hinweis verstoßen Sie gegen die Nutzungsbedingungen von Google. Die Moderation schläft nicht.

Der einfachste Weg, das Badge auszublenden, ist CSS. Fügen Sie diese Regeln zum Stylesheet Ihres Themes hinzu (oder über „Design → Customizer → Zusätzliches CSS"):

1
/* Hide reCAPTCHA v3 badge */
2
 
3
.grecaptcha-badge {
4
    visibility: hidden !important;
5
}

Verwenden Sie visibility: hidden anstelle von display: none. Der Unterschied ist subtil, aber wichtig: display: none entfernt das Element vollständig aus dem DOM-Fluss, was bei einigen Themes zu instabilem Verhalten von reCAPTCHA führen kann. visibility: hidden erhält den belegten Platz, das Skript funktioniert weiter, aber das Auge sieht das Badge nicht.

Fügen Sie den Schutzhinweis im Footer der Website oder direkt unter dem Formular ein, zum Beispiel über einen kurzen Absatz in den Widget-Einstellungen.

ReCAPTCHA v3 und Migration zu Google Cloud im Jahr 2026

Ab April 2026 führt Google eine verpflichtende Migration klassischer reCAPTCHA-Schlüssel auf die Google Cloud-Plattform durch. Alte, über google.com/recaptcha/admin erstellte Schlüssel stellen nach und nach ihre Funktion ein und müssen in ein Google Cloud Console-Projekt übertragen werden.

Der Migrationsprozess ist unkompliziert und dauert 5 bis 10 Minuten. Rufen Sie die reCAPTCHA-Administrationskonsole auf, wählen Sie Ihre Website aus und klicken Sie auf „Migrieren". Das System fordert Sie auf, ein Google Cloud-Projekt zu erstellen oder auszuwählen, und überträgt die Schlüssel automatisch. Sie müssen keinen Code ändern. Contact Form 7 arbeitet ohne jegliche Anpassung der Vorlagen mit den neuen Schlüsseln weiter.

Wenn Sie 2026 zum ersten Mal Schlüssel erstellen, lesen Sie die aktuelle Dokumentation zu Google Cloud Fraud Defense. Dies ist die neue Bezeichnung für reCAPTCHA im Google Cloud-Ökosystem. Für WordPress und CF7 ändert sich grundlegend nichts: dasselbe Schlüsselpaar, dieselbe API.

Das Video zeigt eine Schritt-für-Schritt-Einrichtung von reCAPTCHA v3 von Grund auf: von der Registrierung der Schlüssel bis zur Überprüfung der Formularfunktion. Wenn Sie ein visueller Lerner sind und lieber zuschauen als lesen, beantworten 6 Minuten Bildschirmzeit alle Ihre Fragen.

⁉️🤔 Häufig gestellte Fragen

Muss ich Contact Form 7 aktualisieren, um mit reCAPTCHA v3 zu arbeiten?

Ja. Die Unterstützung für reCAPTCHA v3 wurde mit Contact Form 7 5.1 eingeführt. Wir empfehlen, das Plugin stets aktuell zu halten. Stand Juni 2026 ist dies Version 6.1.6, die mit WordPress 7.0 getestet wurde und Sicherheitskorrekturen für Datei-Uploads enthält.

Kann ich reCAPTCHA v2 und v3 gleichzeitig verwenden?

Nein, Contact Form 7 arbeitet entweder mit v2 oder mit v3, nicht mit beiden gleichzeitig. Die Versionswahl richtet sich danach, welche Schlüssel Sie im Bereich „Kontakt → Integration" eingetragen haben. Benötigen Sie v2 für ein bestimmtes Formular, müssen Sie die Schlüssel für das gesamte Plugin wechseln, was sich auf alle Formulare der Website auswirkt.

Wird das Badge ausgeblendet, wenn ich display: none verwende?

Es wird ausgeblendet, aber Sie sollten dies nicht tun. display: none entfernt das Element aus dem Rendering-Fluss, und einige Themes verlieren dann den Ausführungskontext von reCAPTCHA, wodurch das Skript Besucher nicht mehr korrekt bewertet. Verwenden Sie visibility: hidden: Das Badge ist nicht sichtbar, aber reCAPTCHA funktioniert normal.

Was passiert, wenn ich Schlüssel nicht zu Google Cloud migriere?

Schlüssel, die über die klassische Administrationskonsole google.com/recaptcha/admin erstellt wurden, verarbeiten keine Anfragen mehr. Formulare werden weiterhin abgesendet, aber reCAPTCHA filtert sie nicht mehr, und der Spam kehrt zurück. Die Migration ist für die meisten Websites mit moderatem Traffic kostenlos, Sie sollten sie also nicht aufschieben.

Funktioniert reCAPTCHA v3 ohne Contact Form 7?

Ja, reCAPTCHA v3 ist eine eigenständige Google-API. Sie können es in jedes beliebige Formular integrieren: individuell, über ein anderes Plugin oder in reinem HTML. Contact Form 7 bietet lediglich eine fertige Integration ohne Programmierung.

Was tun gegen Spam in Contact Form 7: der abschließende Algorithmus

Die Basiskombination Contact Form 7 + reCAPTCHA v3 blockiert den Großteil automatisierten Spams, ohne echte Besucher zu beeinträchtigen. Das Formular bleibt exakt, wie es war; es gibt lediglich eine intelligente Prüfung unter der Haube.

Die Einrichtung dauert 5 Minuten: Registrieren Sie Ihre Website bei Google, kopieren Sie zwei Schlüssel in den WordPress-Adminbereich, überprüfen Sie das Badge. Wenn das Badge Ihr Design stört, blenden Sie es per CSS aus und fügen Sie den erforderlichen Schutzhinweis in Formularnähe hinzu.

Vergessen Sie nicht, alte Schlüssel zur Google Cloud Console zu migrieren. Der Prozess läuft automatisch, der Code ändert sich nicht, und der Schutz arbeitet ohne Unterbrechung weiter.

Für Websites mit besonders aggressivem Spam reicht reCAPTCHA allein möglicherweise nicht aus. Ziehen Sie Cloudflare Turnstile als leichtere Alternative in Betracht oder fügen Sie eine zweite Ebene über Akismet hinzu, um den Inhalt der Nachrichten selbst zu filtern.