hCaptcha vs Turnstile bei Abstimmungen
Bevor eine Stimme überhaupt in eine Zählung eingeht, prüft bei vielen Voting-Systemen zunächst eine unsichtbare oder sichtbare Prüfung im Hintergrund, ob die Anfrage tatsächlich von einem Menschen stammt oder von einer automatisierten Software. Zwei verbreitete Anbieter für diese Prüfung sind hCaptcha und Cloudflare Turnstile, die technisch unterschiedlich vorgehen, obwohl sie demselben Zweck dienen.
Start › Technik
Der Vergleich hcaptcha vs turnstile betrifft für abstimmende Personen vor allem eine Frage: Muss ich selbst etwas tun, um zu beweisen, dass ich kein Bot bin, oder läuft die Prüfung ohne mein Zutun im Hintergrund ab? Beide Systeme können dieselbe Stelle in einem Formular besetzen, ihr Verhalten aus Sicht der abstimmenden Person unterscheidet sich aber deutlich.
Beide Dienste sind eigenständige Produkte unabhängiger Anbieter, kein Bestandteil des jeweiligen Voting-Systems selbst. Ein Voting-Anbieter bindet einen der beiden Dienste über eine Schnittstelle in das eigene Formular ein, wählt Aussehen und Verhalten der Prüfung dabei aber nur begrenzt selbst, weil die grundlegende Logik beim jeweiligen Anbieter der Prüfung liegt, nicht beim Voting-System.
Sichtbare Aufgabe oder unsichtbare Bewertung
Turnstile bewertet eine Anfrage meist anhand von Signalen wie Verhalten im Browser und technischen Merkmalen der Verbindung, ohne dass eine sichtbare Aufgabe erscheint. In den meisten Fällen läuft diese Prüfung vollständig im Hintergrund ab, und die abstimmende Person bemerkt sie gar nicht, solange die Bewertung unauffällig ausfällt.
hCaptcha kann ebenfalls im Hintergrund bewerten, schaltet bei einer als auffällig eingestuften Anfrage aber häufiger eine sichtbare Aufgabe dazwischen, etwa das Erkennen bestimmter Bildinhalte. Diese Unterbrechung kostet Zeit und einen zusätzlichen Klick, bevor die eigentliche Stimme überhaupt abgeschickt werden kann.
Wenn hCaptcha tatsächlich eine sichtbare Aufgabe zeigt, besteht diese in den meisten Fällen aus einem Raster mit mehreren Bildkacheln, auf denen ein bestimmtes Motiv angeklickt werden soll, etwa Ampeln, Fahrräder oder Zebrastreifen. Für Personen, die diese Bildaufgabe aus gesundheitlichen Gründen nicht lösen können, bietet der Dienst zusätzlich eine Audioalternative an, bei der stattdessen eine kurze, vorgelesene Zahlenfolge abgehört und eingetippt wird, ohne dass ein einziges Bild erkannt werden muss.
Turnstile lässt sich außerdem in unterschiedlichen Betriebsarten einbinden, die Cloudflare selbst als verwaltet, nicht interaktiv und unsichtbar bezeichnet. In der verwalteten Variante entscheidet der Dienst je nach eingeschätztem Risiko selbst, ob überhaupt etwas sichtbar wird. Die beiden anderen Varianten verzichten von vornherein auf eine sichtbare Aufgabe und zeigen höchstens einen kurzen Ladehinweis, während die eigentliche Bewertung im Hintergrund abläuft.
Auf einem kleinen Bildschirm wirken sich diese Unterschiede zusätzlich aus: Eine Bildaufgabe mit vielen kleinen Kacheln lässt sich auf einem Smartphone spürbar umständlicher bedienen als auf einem Desktop-Monitor, während eine rein unsichtbare Bewertung auf beiden Geräten technisch identisch abläuft und für die abstimmende Person keinen sichtbaren Unterschied macht.
Sowohl die sichtbare Bildaufgabe von hCaptcha als auch ein kurzer Ladehinweis von Turnstile passen ihre Sprache automatisch an die im Browser eingestellte Sprache an, eine Anleitung erscheint also auf Deutsch, wenn der Browser selbst auf Deutsch eingestellt ist. Ist die Browsersprache dagegen Englisch oder eine dritte Sprache, wechselt auch die Anleitung entsprechend, unabhängig von der Sprache der eigentlichen Abstimmungsseite darum herum.
Öffnet eine abstimmende Person das Voting-Formular nicht im normalen Browser, sondern innerhalb der eingebauten Ansicht einer anderen App, etwa direkt aus einer Story oder einem geteilten Link heraus, kann diese eingebaute Ansicht die Skripte von hCaptcha oder Turnstile anders laden als ein gewöhnlicher Browser. In solchen Fällen hilft es oft, denselben Link stattdessen bewusst im eigentlichen Browser der App zu öffnen, statt in der eingebetteten Ansicht zu bleiben.
Für Personen, die ein Formular ausschließlich über die Tastatur bedienen, lässt sich sowohl das Kästchen von hCaptcha als auch ein interaktives Element von Turnstile in aller Regel auch ohne Maus per Tabulatortaste erreichen und mit der Leertaste oder der Eingabetaste auslösen. Diese Bedienbarkeit hängt allerdings zusätzlich davon ab, wie sauber die einbindende Voting-Seite selbst das umliegende Formular technisch umgesetzt hat.
Warum Veranstalter überhaupt einen dieser Dienste einsetzen
Ohne eine solche Prüfung könnte ein automatisiertes Skript in kurzer Zeit sehr viele Formularanfragen an ein Voting-System senden, weit schneller, als ein Mensch klicken kann. Beide Dienste sollen genau das verhindern, indem sie automatisierten Zugriff von echtem Nutzerverhalten unterscheiden, bevor eine Anfrage überhaupt als Stimme akzeptiert wird.
Welchen der beiden Dienste ein Veranstalter einsetzt, ist eine technische Entscheidung des jeweiligen Voting-Anbieters, keine, die die abstimmende Person selbst beeinflussen kann. Aus Sicht des Ergebnisses zählen am Ende beide Systeme dieselbe Anfrage nur dann als gültig, wenn die jeweilige Prüfung bestanden wurde.
Eine bestandene Prüfung erzeugt bei beiden Diensten einen kurzlebigen Bestätigungscode, der zusammen mit der eigentlichen Stimme an das Voting-System übermittelt und dort ein zweites Mal gegen den Server des jeweiligen Anbieters geprüft wird. Bleibt ein Formular länger geöffnet, bevor es tatsächlich abgeschickt wird, kann dieser Code bereits abgelaufen sein, sodass die Prüfung beim Absenden erneut durchlaufen werden muss, obwohl sie kurz zuvor schon einmal bestanden wurde.
Eine einmal nicht bestandene Bildaufgabe bei hCaptcha schließt eine Person nicht dauerhaft von der Abstimmung aus. Die Aufgabe erscheint erneut, meist mit anderen Bildern oder einer veränderten Anordnung der Kacheln, und lässt sich mehrfach neu versuchen, solange tatsächlich ein Mensch vor dem Bildschirm sitzt und die Anfragen nicht selbst wie automatisierte Wiederholungen wirken.
Beide Prüfungen sind an das jeweilige Formular und den einzelnen Sendevorgang gebunden, nicht an ein Nutzerkonto oder eine dauerhafte Identität. Bestanden hCaptcha oder Turnstile eine Anfrage, sagt das allein noch nichts darüber aus, ob dieselbe Person zuvor bereits über einen anderen Browser oder ein anderes Gerät für denselben Wettbewerb abgestimmt hat, das prüft ein Voting-System, falls überhaupt, über getrennte Mechanismen.
Scheitert dieselbe Anfrage kurz hintereinander mehrfach an einer sichtbaren Bildaufgabe, stufen beide Dienste die nachfolgenden Versuche desselben Browsers tendenziell strenger ein und zeigen häufiger erneut eine Aufgabe, statt zur unsichtbaren Bewertung zurückzukehren. Diese vorübergehend strengere Einstufung betrifft ausschließlich diesen einen Browser für eine begrenzte Zeit, nicht das Konto oder die Person dahinter.
Manche Voting-Betreiber konfigurieren einen der beiden Dienste bewusst strenger als technisch nötig, etwa indem sie durchgehend eine interaktive Prüfung erzwingen, selbst wenn eine unsichtbare Bewertung ausreichen würde. Diese Entscheidung tauscht Bequemlichkeit für abstimmende Personen gegen ein höheres Vertrauen in das Ergebnis, eine Abwägung, die allein beim jeweiligen Betreiber liegt.
Was von außen nicht erkennbar ist
Nach welchen genauen Kriterien eine Anfrage als auffällig eingestuft wird und wie oft dadurch echte, unschuldige Nutzer eine zusätzliche Aufgabe lösen müssen, veröffentlichen weder hCaptcha noch Turnstile im Detail. Beide Systeme behandeln ihre Bewertungslogik als internes Geschäftsgeheimnis, nachvollziehbar ist für Außenstehende nur das sichtbare Ergebnis.
Blockiert ein Browser mit strengen Datenschutzeinstellungen, eine Erweiterung gegen Tracker oder ein Netzwerkfilter im Firmennetz die Skripte, über die hCaptcha oder Turnstile geladen werden, erscheint überhaupt keine Prüfung, weder sichtbar noch unsichtbar. Das Formular lässt sich dann häufig gar nicht erst absenden, nicht weil die Person als Bot eingestuft wurde, sondern weil die Prüfung selbst nie fertig geladen hat.
Ist JavaScript im Browser vollständig deaktiviert, laden beide Dienste in aller Regel gar nicht erst, weil ihre Bewertung technisch darauf angewiesen ist. Für eine abstimmende Person bedeutet das in der Praxis, dass sich das Formular ohne aktiviertes JavaScript oft überhaupt nicht abschicken lässt, unabhängig davon, welcher der beiden Dienste eingebunden wurde.
Ob ein Voting-Betreiber die strengere oder die nachsichtigere Konfiguration gewählt hat, lässt sich von außen an der bloßen Häufigkeit sichtbarer Aufgaben nur ungefähr ablesen, eine genaue Einsicht in die tatsächlich gewählten Einstellungen bleibt Außenstehenden verwehrt.
Fast jeder deutsche Wettbewerb verbietet in den Teilnahmebedingungen gekaufte, künstlich erzeugte und automatisierte Stimmen. Veranstalter können solche Stimmen für ungültig erklären, Teilnehmer ausschließen und bereits zugesprochene Gewinne aberkennen. Ein offener Aufruf an das eigene Publikum, regulär abzustimmen, ist dagegen bei den meisten Organisatoren ausdrücklich erlaubt. Lesen Sie die Bedingungen, bevor Sie handeln.
Abstimmungssysteme prüfen Doppelabstimmungen über Konten, E-Mail-Adressen, Geräte und IP-Adressen. Wer sein Publikum offen zum Abstimmen aufruft, erzeugt genau das Muster, das diese Systeme erwarten: echte Konten, verschiedene Geräte, Stimmen verteilt über den Zeitraum. Massenhafte Stimmen aus einer Quelle fallen dagegen auf und werden häufig gar nicht erst gewertet.
Bei Wahlen und Abstimmungen in einer Volksvertretung ist der Kauf oder Verkauf einer Stimme strafbar. Solche Abstimmungen lehnen wir grundsätzlich ab. Bei privaten Gewinnspielen, Leserwahlen und Publikumspreisen entscheidet der Veranstalter über die Regeln; er muss die Teilnahmebedingungen klar und eindeutig angeben und kann Verstöße sanktionieren.
Wir verkaufen nichts und garantieren daher kein Ergebnis. Diese Seite dokumentiert, wie Abstimmungen funktionieren. Kein Anbieter kann verhindern, dass ein Veranstalter Stimmen verwirft oder einen Teilnehmer disqualifiziert. Wenn ein Wettbewerb gekaufte Stimmen ausschließt, ist die Teilnahme verloren, und dagegen gibt es keinen Schutz.
deutscher-engagementpreis.de psd-nachbarschaftspreis.de landwirtschaft-verstehen.at
Fragen
Meist nicht. Turnstile bewertet eine Anfrage in vielen Fällen unsichtbar im Hintergrund, ohne dass eine sichtbare Aufgabe erscheint, solange die Bewertung unauffällig ausfällt.
Wenn eine Anfrage als möglicherweise automatisiert eingestuft wird, schaltet hCaptcha häufiger eine sichtbare Aufgabe dazwischen, etwa das Erkennen bestimmter Bildinhalte, bevor die Stimme akzeptiert wird.
Nein. Welchen Dienst ein Voting-System einsetzt, entscheidet ausschließlich der Anbieter oder Veranstalter technisch im Vorfeld, nicht die einzelne abstimmende Person.
Nein. Beide Dienste erschweren automatisierten Massenzugriff, verhindern aber nicht, dass eine Person mit mehreren echten Konten oder Geräten mehrfach abstimmt.
Ja. Wer die Bildaufgabe nicht lösen kann, kann stattdessen eine Audioversion abrufen und eine kurze, vorgelesene Zahlenfolge eintippen, um die Prüfung auf diesem Weg zu bestehen.
Dann erscheint häufig gar keine Prüfung, weder sichtbar noch unsichtbar, und das Formular lässt sich meist nicht absenden. Abhilfe schafft in der Regel nur, die Blockade für diese eine Seite gezielt aufzuheben.
Die eingebaute Ansicht mancher Apps lädt die Skripte von hCaptcha oder Turnstile teils anders als ein gewöhnlicher Browser. Wird derselbe Link stattdessen bewusst im eigentlichen Browser geöffnet, löst das dieses Problem in den meisten Fällen.
Frage zu einem konkreten Wettbewerb?
Schicken Sie den Link und die Deadline. Wir lesen die Teilnahmebedingungen und sagen, wie dieser Wettbewerb zählt und was das praktisch bedeutet — auch dann, wenn die Antwort lautet, dass sich hier nichts machen lässt.
Frage stellenZuletzt geprüft: