🤖 9 Beste Captcha-Plugins für WordPress 2026 (kostenlos und Pro)

Spam-Bots machen niemals Urlaub. Während Sie schlafen, attackieren sie Ihr Login-Formular, fluten Kommentare mit Casino-Links und registrieren dutzende Fake-Accounts über den WooCommerce-Checkout. Einen CAPTCHA-Schutz einzurichten, sollte eine der ersten Maßnahmen nach der Installation von WordPress sein, doch viele lassen diesen Schritt aus. Das ist ein Fehler.

Der Markt für WordPress-CAPTCHA-Plugins umfasst über tausend Lösungen im WordPress.org-Verzeichnis. Darunter finden sich aktiv gepflegte Projekte mit wöchentlichen Updates, verlassene Plugins mit offenen Sicherheitslücken und schlichter Schrott. Captcha Bank, das vor nicht allzu langer Zeit in ähnlichen Übersichten auftauchte, wurde aufgrund einer ungepatchten Schwachstelle seit Oktober 2024 geschlossen.

Wir haben das Verzeichnis durchforstet und neun Plugins ausgewählt, die 2026 tatsächlich funktionieren. Vom unsichtbaren Cloudflare Turnstile bis hin zu einem klassischen textbasierten Code ohne externe APIs. Jedes wurde praktisch getestet: installiert, konfiguriert und mit gängigen WordPress-Formularen geprüft.

💡 Kurzer Überblick:

• Identifizieren Sie, welche Formulare Schutz benötigen: nur das Login oder auch Kommentare, Registrierung, WooCommerce, Contact Form 7.
• Wählen Sie den CAPTCHA-Typ, der zu Ihrer Priorität passt: unsichtbar (Turnstile), datenschutzorientiert (hCaptcha, Friendly Captcha), vertraut (reCAPTCHA) oder vollständig selbst gehostet ohne externe Dienste (Captcha Code).
• Installieren Sie nicht zwei CAPTCHA-Plugins gleichzeitig. Doppelte Verifikation verdoppelt nicht den Schutz, sie verärgert nur Besucher und verursacht Konflikte.
• Überwachen Sie nach der Installation in der ersten Woche die Protokolle: Wenn Sie Fehlblockaden sehen, senken Sie die Empfindlichkeit oder aktivieren Sie ein Failover.

1. Google Captcha (reCAPTCHA): Standardschutz für alle Formulare

Google Captcha von BestWebSoft ist ein Veteran des Verzeichnisses mit über 100.000 aktiven Installationen. Das Plugin unterstützt reCAPTCHA v2 („Ich bin kein Roboter"-Checkbox) und v3 (unsichtbare verhaltensbasierte Bewertung) und deckt die Standardformulare ab: Login, Registrierung, Kommentare und Passwort-Reset.

In der Praxis ist das für die meisten WordPress-Seiten ausreichend. Sie registrieren Ihre Website bei Google reCAPTCHA, erhalten einen Site Key und Secret Key, fügen diese in die Plugin-Einstellungen ein, und der Schutz ist aktiv. Das Admin-Panel bleibt übersichtlich ohne zusätzliche Menüs, und wir haben keine Konflikte mit gängigen Themes festgestellt.

Zu den netten Details gehören Multisite-Unterstützung, dunkle und helle Widget-Themes sowie die Möglichkeit, direkt im Admin-Panel zwischen v2 und v3 zu wechseln. WooCommerce-Formulare sind ebenfalls abgedeckt; aktivieren Sie einfach die entsprechenden Seiten in den Einstellungen.

• Vorteile: Die kostenlose Version deckt alle Standardformulare ab, minimale Konfiguration, kompatibel mit WooCommerce und Multisite, aktiv aktualisiert (v1.87, April 2026).
• Nachteile: Nur Google reCAPTCHA; hCaptcha und Turnstile werden nicht unterstützt; für nicht standardmäßige, benutzerdefinierte Formulare ist die Pro-Version erforderlich.
• Preis: Kostenlos (Basisversion im WordPress.org-Verzeichnis), Pro ab $23,90 auf der BestWebSoft-Website.
• Download: 🔗 Google Captcha auf WordPress.org

2. Really Simple CAPTCHA: ein textbasiertes Modul für Entwickler

Really Simple CAPTCHA ist weniger ein eigenständiges Plugin als vielmehr ein Modul, das andere Plugins nutzen, um textbasierte CAPTCHAs zu generieren. Sein Entwickler, Takayuki Miyoshi, ist auch der Autor von Contact Form 7. Die über 300.000 Installationen sind leicht zu erklären: Das Modul wird in der Regel mit CF7, dem beliebtesten Formular-Plugin für WordPress, gebündelt.

Die Funktionsweise ist unkompliziert: Ein PNG-Bild mit zufälligem Text wird generiert, und eine temporäre Datei mit dem Hash der richtigen Antwort wird daneben erstellt. Keine PHP-Sessions, nur Dateien auf der Festplatte. Das bedeutet, es gibt praktisch keine Konflikte mit Caching-Plugins.

Es gibt jedoch einen Vorbehalt: Die Sicherheit ist hier „wirklich einfach", wie die Plugin-Beschreibung ehrlich feststellt. Das Modul blockiert einfache Spam-Bots, keine gezielten Angriffe. Für einen Online-Shop oder eine Website, die sensible Daten verarbeitet, ist das nicht ausreichend.

• Vorteile: 300.000+ Installationen, native Kompatibilität mit Contact Form 7, keine PHP-Sessions (keine Cache-Konflikte), keine API-Schlüssel erforderlich.
• Nachteile: Keine eigenständige Schutzlösung (benötigt ein konsumierendes Plugin); einfache Sicherheit, nicht für ernsthafte Angriffe geeignet; seit einem Jahr keine größeren Updates (v2.4).
• Preis: Kostenlos.
• Download: 🔗 Really Simple CAPTCHA auf WordPress.org

3. Simple Cloudflare Turnstile: unsichtbarer Schutz ohne Datenerfassung

Cloudflare Turnstile ist der neueste Akteur auf dem CAPTCHA-Markt und verändert die Spielregeln. Anders als reCAPTCHA sammelt Turnstile keine personenbezogenen Daten, setzt keine Cookies und verlangt von Besuchern nicht, eine Checkbox anzuklicken oder Bilderrätsel zu lösen. Die Verifikation erfolgt vollständig im Hintergrund: Ein JavaScript-Aufruf auf Cloudflares Seite analysiert Verhaltenssignale des Browsers in Sekundenbruchteilen.

Das Simple Cloudflare Turnstile Plugin von Elliot Sowersby (RelyWP) ist der beliebteste Weg, Turnstile zu WordPress hinzuzufügen: 100.000+ Installationen, 248 Bewertungen und eine 4,9-Bewertung im Verzeichnis. Es unterstützt standardmäßig WordPress-Formulare, WooCommerce, Contact Form 7, WPForms, Gravity Forms und Elementor.

Unserer Erfahrung nach dauert die Einrichtung genau zwei Minuten: Registrieren Sie Ihre Website bei Cloudflare (kostenlos), erhalten Sie einen Site Key und Secret Key, fügen Sie diese im Plugin ein, wählen Sie die Formulare aus, fertig. Kein Google, keine Datenschutzerklärungen von Drittanbietern.

• Vorteile: vollständig unsichtbare Verifikation, keinerlei Erhebung personenbezogener Daten, 100% kostenlos, unterstützt gängige Formular-Plugins, Bewertung 4,9.
• Nachteile: ein Cloudflare-Konto ist erforderlich (an sich kostenlos, aber ein zusätzlicher Schritt); benutzerdefinierte Formulare erfordern manuelle Integration.
• Preis: vollständig kostenlos.
• Download: 🔗 Simple Cloudflare Turnstile auf WordPress.org

4. CAPTCHA 4WP: Multi-Provider-Lösung mit detaillierten Konfigurationsmöglichkeiten

Dieses Plugin hieß früher Advanced NoCaptcha & Invisible Captcha und gehörte Melapress. 2025 wurde es von WPKube übernommen. Jetzt firmiert es als CAPTCHA 4WP und zählt mit über 100.000 aktiven Installationen zu den flexibelsten CAPTCHA-Plugins für WordPress.

Das Hauptverkaufsargument ist die Unterstützung von drei Anbietern in einem einzigen Plugin. Die kostenlose Version arbeitet mit Google reCAPTCHA (v2 Checkbox, v2 unsichtbar, v3 scorebasiert). Die Premium-Version ergänzt hCaptcha und Cloudflare Turnstile sowie eine Ein-Klick-Integration mit WooCommerce, Contact Form 7, Gravity Forms, WPForms und Elementor.

Ein nützliches Feature ist das Failover für reCAPTCHA v3. Wenn Google einen niedrigen Score zurückgibt und einen Besucher als Bot einstuft, blendet das Plugin als Fallback eine v2-Checkbox ein. In der Praxis verhindert dies Situationen, in denen eine echte Person sich aufgrund eines falsch-positiven Ergebnisses von v3 nicht anmelden oder ein Formular absenden kann.

• Vorteile: drei Anbieter in einem Plugin, Failover für v3, visueller Einrichtungsassistent, automatische Erkennung der Besuchersprache, Geo-Blocking (Premium).
• Nachteile: hCaptcha und Turnstile nur in der Premium-Version; letzte Aktualisierung liegt ein Jahr zurück (v7.6.0); einige negative Bewertungen erwähnen Konflikte nach Updates.
• Preis: kostenlos (Basisversion mit reCAPTCHA), Premium auf der WPKube-Website.
• Download: 🔗 CAPTCHA 4WP auf WordPress.org

5. HCaptcha: Datenschutz und Einnahmen aus jeder CAPTCHA-Lösung

hCaptcha ist ein direkter Wettbewerber von Google reCAPTCHA mit zwei Besonderheiten. Erstens: Datenschutz. hCaptcha erstellt kein Werbeprofil des Nutzers und ist von Haus aus DSGVO- und CCPA-konform. Zweitens: Der Seitenbetreiber erhält Mikrozahlungen, sobald ein Besucher ein CAPTCHA löst. Die Beträge sind gering, aber für eine Website mit tausenden Formularübermittlungen pro Tag summieren sie sich.

Das Plugin hCaptcha for Forms and More deckt praktisch jedes Formular ab: Standard-Login, Registrierung, Kommentare, WooCommerce, Contact Form 7, WPForms, BuddyPress, bbPress. Die kostenlose Version ist für eine typische Website mehr als ausreichend.

Ein interessantes Detail: Das Plugin nutzt maschinelles Lernen, um Bots von Menschen zu unterscheiden, und wird mit der Zeit genauer. Erweiterte Berichte in der Pro-Version zeigen, wie viele Besucher die Prüfung bestanden haben und wie hoch die Wahrscheinlichkeit von Bots unter ihnen ist.

• Vorteile: Beeinträchtigt die Privatsphäre nicht, vergütet den Seitenbetreiber für gelöste CAPTCHAs, deckt die gängigsten Formular-Plugins ab, wird aktiv aktualisiert.
• Nachteile: Erfordert eine Registrierung auf hCaptcha.com; das Widget ist sichtbarer als unsichtbare Alternativen; benutzerdefinierte Formulare erfordern manuelle Integration.
• Preis: Kostenlos (Basis), Pro auf der hCaptcha-Website.
• Download: 🔗 hCaptcha auf WordPress.org

6. Simple Login Captcha: Ein dreistelliger Code für die Login-Seite

Das minimalistischste Plugin in dieser Übersicht. Simple Login Captcha macht genau eine Sache: Es fügt der WordPress-Login-Seite ein Feld mit einer dreistelligen Zahl hinzu. Keine Einstellungen, API-Schlüssel, Bilder, Cookies oder Server-Sitzungen. Installieren, und es funktioniert.

Eine Zufallszahl wird per JavaScript generiert und über dem Eingabefeld angezeigt. Der Besucher gibt die korrekte Zahl ein, und der Zugriff wird gewährt. Es unterstützt WooCommerce-Login und Multisite.

Das Plugin warnt ehrlich: Der Schutz ist für Gelegenheits-Bots gedacht, die Brute-Force-Passwortangriffe versuchen. Wenn jemand den Code des Plugins gezielt analysiert und einen darauf zugeschnittenen Bot schreibt, kann der Schutz umgangen werden. Aber für eine Website ohne Formulare, bei der Sie nur einen Login-Schutz gegen das Grundrauschen von Brute-Force-Angriffen benötigen, ist es eine einfache und funktionale Lösung.

• Vorteile: Null Konfiguration, sammelt keine Daten, funktioniert sofort nach der Aktivierung, kompatibel mit WooCommerce.
• Nachteile: Schützt nur die Login-Seite; kann bei einem gezielten Angriff umgangen werden; Bewertung 3,9, einige Nutzer berichten von Fehlblockaden.
• Preis: Kostenlos.
• Download: 🔗 Simple Login Captcha auf WordPress.org

7. Login no Captcha reCAPTCHA: Leichtgewichtiges reCAPTCHA für Login und Registrierung

Ein weiteres eng spezialisiertes Plugin, dieses Mal von Robert Peake. Login No Captcha reCAPTCHA fügt Google reCAPTCHA (v2-Checkbox) zu Login-, Registrierungs- und Passwort-Zurücksetzen-Seiten hinzu, sowohl für Standard-WordPress als auch für WooCommerce.

Anders als Google Captcha von BestWebSoft löst dieses Plugin genau eine Aufgabe und versucht nicht, jedes Formular auf der Website abzudecken. Es ist minimal im Umfang, fügt dem Admin-Bereich keine Menüs hinzu (nur eine Einstellungsseite) und funktioniert direkt nach Eingabe der Schlüssel.

Der Entwickler hat der eigenen Sicherheit des Plugins große Aufmerksamkeit gewidmet: Version 1.8.1 schloss mehrere potenzielle XSS-Vektoren, entfernte einen unsicheren cURL-Fallback und hob die mindestens erforderliche PHP-Version auf 7.4 an.

• Vorteile: Minimalistisch, bewährt (über 60.000 Installationen), regelmäßige Sicherheitsupdates, WooCommerce serienmäßig.
• Nachteile: Nur reCAPTCHA v2-Checkbox; schützt keine Kommentare oder benutzerdefinierten Formulare; IP-Whitelist ist bei Fehlkonfiguration eine potenzielle Schwachstelle.
• Preis: Kostenlos.
• Download: 🔗 Login No Captcha reCAPTCHA auf WordPress.org

8. Friendly Captcha: Arbeitsnachweis ohne Benutzerinteraktion

Friendly Captcha verfolgt einen grundlegend anderen Ansatz: Anstatt Besucher auf Ampeln klicken oder verzerrten Text abtippen zu lassen, löst das Plugin ein kryptografisches Rätsel im Hintergrund. Dies ist ein Arbeitsnachweis (Proof of Work): Der Browser des Besuchers verwendet einige Sekunden Rechenzeit, um das Rätsel zu lösen, und belegt so, dass ein Mensch und kein Skript vor dem Bildschirm sitzt.

Für den Nutzer ist der Vorgang vollkommen unsichtbar. Keine Checkboxen, kein Auswählen von Busbildern, kein Abtippen verzerrter Texte. Und, entscheidend: keine Erhebung personenbezogener Daten. Friendly Captcha ist von Grund auf DSGVO-konform: Es verwendet keine Cookies, speichert keine IP-Adressen und erstellt keine Verhaltensprofile.

Mit über 10.000 aktiven Installationen und 18 Bewertungen ist es noch kein Riese, aber der Ansatz verdient Aufmerksamkeit. Besonders für europäische Projekte, bei denen Datenschutz eine strenge regulatorische Anforderung ist.

• Vorteile: keinerlei Nutzerinteraktion, vollständige Privatsphäre, datenschutzkonform nach DSGVO von Grund auf, keine Drittanbieter-Cookies.
• Nachteile: erfordert JavaScript (ohne funktioniert der Schutz nicht); weniger Installationen und Bewertungen als Wettbewerber; auf leistungsschwachen Geräten kann die Hintergrundberechnung spürbar sein.
• Preis: Kostenlos (Basic), Pro-Tarife auf der Friendly Captcha-Website.
• Download: 🔗 Friendly Captcha auf WordPress.org

9. Captcha Code: ein klassischer visueller Code ohne externe Dienste

Captcha Code von WebFactory ist ein klassisches textbasiertes CAPTCHA ohne externe Dienste. Das Plugin generiert ein Bild mit Buchstaben und Zahlen; der Besucher gibt den Code ein, und das Formular wird abgeschickt. Keine Google-Schlüssel, keine externen APIs, keine Registrierungen; alles läuft auf Ihrem Server.

Über 100.000 Installationen und ein aktuelles Update (v3.31, April 2026) bestätigen, dass das Plugin aktiv und gepflegt ist. Die Konfiguration ist unkompliziert: Wählen Sie die Formulare (Login, Registrierung, Kommentare, Passwort-Reset), den Codetyp (Buchstaben, Zahlen oder beides), die Groß- und Kleinschreibung, und schon sind Sie fertig.

Das Plugin ist vollständig autark. Das ist sowohl ein Plus (keine Abhängigkeit von Google oder Cloudflare) als auch ein Minus (kein maschinelles Lernen, um Bots von Menschen zu unterscheiden, wie bei hCaptcha oder reCAPTCHA v3). Aber für Projekte, bei denen Unabhängigkeit von externen Diensten zählt, ist es eine ausgezeichnete Option.

• Vorteile: vollständig autark (keine externen API-Abhängigkeiten), kürzlich aktualisiert, über 100.000 Installationen, Unterstützung der russischsprachigen Oberfläche.
• Nachteile: nur visuelle Prüfung (kann mit OCR umgangen werden), kein unsichtbarer Modus, einige Bewertungen erwähnen sich wiederholende Codes.
• Preis: Kostenlos.
• Download: 🔗 Captcha Code auf WordPress.org

⁉️🤔 Häufig gestellte Fragen

Ist ein CAPTCHA für eine Website im Jahr 2026 noch notwendig?

Ja. Spam-Bots sind intelligenter geworden, und Massen-Spam über Kontaktformulare und Kommentare ist nicht verschwunden. Laut dem Akismet-Bericht 2025 blockieren automatisierte Systeme über 99% der Spam-Kommentare bei WordPress, und CAPTCHA bleibt die erste Verteidigungslinie für Formulare, die nicht über Akismet laufen. Wenn Ihre Website ein Kontaktformular, eine Registrierung oder Kommentare hat, ist ein CAPTCHA ein Muss.

Welches CAPTCHA ist besser: reCAPTCHA, hCaptcha oder Turnstile?

Das hängt von Ihrer Priorität ab. Wenn Datenschutz an erster Stelle steht, nehmen Sie Turnstile (unsichtbar, keine Datenerfassung). Wenn Sie mit Ihrem CAPTCHA Geld verdienen möchten, zahlt hCaptcha für jede Lösung. Wenn Sie maximale Abdeckung und eine vertraute Oberfläche benötigen, reCAPTCHA. In der Praxis ist der Unterschied beim Schutz für eine typische Website minimal: Alle drei gehen sehr gut mit Bots um. Turnstile punktet bei der Benutzerfreundlichkeit (der Besucher sieht überhaupt nichts), hCaptcha bei Datenschutz plus Mikrozahlungen und reCAPTCHA beim Ökosystem und der Anzahl der Integrationen.

Kann man zwei CAPTCHAs gleichzeitig verwenden?

Technisch ja, aber in der Praxis verschlechtert es die Benutzererfahrung und erzeugt Konflikte zwischen Plugins. Doppelte Überprüfung bietet keinen doppelten Schutz: Ein Bot, der ein CAPTCHA umgangen hat, wird sehr wahrscheinlich auch das zweite umgehen. Es ist besser, ein zuverlässiges Plugin zu installieren und es durch eine CAPTCHA-freie Anti-Spam-Lösung wie Akismet oder CleanTalk zu ergänzen.

Was tun, wenn ein CAPTCHA echte Benutzer blockiert?

Überprüfen Sie die Empfindlichkeitseinstellungen. Bei reCAPTCHA v3 senken Sie den Score-Schwellenwert (Standard ist 0,5; versuchen Sie 0,3). Bei hCaptcha wechseln Sie von „Immer abfragen" auf „Auto". Bei CAPTCHA 4WP aktivieren Sie das Failover: Wenn der v3-Score niedrig ist, zeigt das Plugin eine v2-Checkbox an, anstatt zu blockieren. Und überwachen Sie unbedingt die Protokolle in den ersten Tagen nach der Installation; das löst die meisten Probleme.

Ersetzt ein CAPTCHA andere Sicherheitsmaßnahmen?

Nein. Ein CAPTCHA schützt Formulare vor automatisierten Einsendungen, aber nicht vor der Ausnutzung von Plugin-Schwachstellen, dem Erraten von Passwörtern per XML-RPC oder Session-Hijacking. Ein CAPTCHA ist eine Schicht in einer Verteidigungsstrategie. Der minimale Sicherheits-Stack für WordPress: CAPTCHA auf Formularen + eine Firewall (Wordfence oder Solid Security) + XML-RPC deaktiviert (falls nicht genutzt) + automatische Updates für Plugins und Core.

Welches CAPTCHA-Plugin belastet den Server am wenigsten?

Simple Login Captcha: unter 10 KB Code, null Einstellungen, erstellt keine Datenbanktabellen. Aber es schützt nur die Login-Seite. Unter den universellen Optionen: Simple Cloudflare Turnstile, bei dem die Überprüfung auf der Seite von Cloudflare stattfindet und Ihr Server die Antwort nur über eine leichtgewichtige API-Anfrage validiert.

Brauche ich ein CAPTCHA, wenn ich bereits Akismet habe?

Akismet schützt nur Kommentare. Registrierung, Login, Passwort-Zurücksetzen und Kontaktformulare bleiben offen. Ein CAPTCHA beim Login schützt vor Brute-Force, bei der Registrierung blockiert es Fake-Accounts und bei Kontaktformularen stoppt es Spam-Einsendungen. Das sind unterschiedliche Verteidigungsschichten; sie ergänzen sich, ersetzen sich aber nicht.

Was Sie 2026 auf WordPress installieren sollten: die abschließende Übersicht

Neun Plugins decken das gesamte Spektrum an Szenarien ab, von „nur das Login schützen" bis zu „volle Kontrolle über jedes Formular mit Analyse und Geo-Blocking". Hier eine kurze Entscheidungsmatrix:

• Wenn Sie minimalen Aufwand wünschen, nehmen Sie Simple Cloudflare Turnstile. Zwei Minuten Einrichtung, völlig kostenlos, unsichtbar für Besucher. Unsere Top-Empfehlung für eine typische Website im Jahr 2026.
• Wenn Datenschutz und DSGVO wichtig sind, wählen Sie Friendly Captcha oder hCaptcha. Beide erfassen keine personenbezogenen Daten; Friendly Captcha zeigt dem Besucher nicht einmal etwas an.
• Wenn Sie maximale Funktionen in einem einzigen Plugin benötigen, nehmen Sie CAPTCHA 4WP. Drei Anbieter, Failover, Geo-Blocking, ein Flaggschiff-Funktionsumfang.
• Wenn Sie bereits Contact Form 7 haben, läuft Really Simple CAPTCHA höchstwahrscheinlich schon. Überprüfen Sie es und ergänzen Sie es mit etwas aus der Hauptliste für Ihre übrigen Formulare.
• Wenn Sie nur Login-Schutz benötigen, wählen Sie Simple Login Captcha oder Login No Captcha reCAPTCHA. Ersteres erfordert null Konfiguration, letzteres nutzt die vertraute Google-Checkbox.

Beginnen Sie mit der kostenlosen Version eines beliebigen Plugins aus dieser Liste auf einer Testseite. Stellen Sie sicher, dass Formulare abgesendet werden, Benutzer nicht blockiert werden und kein Spam mehr hereinkommt. Aktivieren Sie es dann auf Ihrer Produktivseite und überwachen Sie die Protokolle einige Tage lang. Welches CAPTCHA-Plugin verwenden Sie? Teilen Sie es in den Kommentaren mit; es wäre interessant, Erfahrungen aus der Praxis zu vergleichen.