mathguard für TYPO3

Mathe-CAPTCHAs sind der barrierearme Spam-Schutz, den die meisten Websites nicht kennen

Spam in Kontaktformularen ist ein Dauerthema. Die populärste Lösung ist Google reCAPTCHA, das aber Nutzerdaten an Google sendet und die DSGVO-Compliance verkompliziert. Bild-basierte CAPTCHAs (“Klicken Sie alle Ampeln an”) frustrieren Nutzer und sind für Screenreader unzugänglich. mathguard geht einen anderen Weg: Die Extension zeigt eine einfache Rechenaufgabe (“Was ist 3 + 7?”) im Formular an. Menschen lösen das in Sekunden, automatisierte Bots scheitern in der Mehrzahl. Kein externes JavaScript, keine Cookies, keine Datenübertragung an Dritte.

Für öffentliche Einrichtungen, Hochschulen und Unternehmen mit Barrierefreiheits-Anforderungen (BITV 2.0, WCAG 2.1) ist ein Mathe-CAPTCHA eine der wenigen CAPTCHA-Formen ohne Bildrätsel, vorausgesetzt, die Aufgabe steht als Text im Formular. Die Spam-Reduktion liegt bei 85 bis 95% des eingehenden Bot-Traffics. Im Vergleich: Google reCAPTCHA v3 erreicht ähnliche Werte, überträgt aber bei jedem Seitenaufruf Daten an Google-Server, auch ohne Formular-Interaktion.

Typische Einsatzszenarien sind Kontaktformulare, Kommentarfunktionen und Registrierungen

Das Standardszenario ist das Kontaktformular auf einer Unternehmenswebsite. Ohne Spam-Schutz landen täglich 20 bis 200 Bot-Einreichungen im Postfach der Redaktion. mathguard fügt ein Rechenfeld hinzu, das im Formular zwischen E-Mail-Feld und Absende-Button platziert wird. Die Rechenaufgabe wird bei jedem Seitenaufruf zufällig generiert, sodass Bots die Lösung nicht vorberechnen können.

Zweites Szenario: Kommentarfunktionen auf Blogs und News-Seiten. Wenn Besucher Kommentare zu Artikeln hinterlassen können, ist Spam unvermeidlich. mathguard schützt das Kommentarformular, ohne dass Besucher ein Google-Account oder eine spezielle App brauchen.

Drittes Szenario: Benutzer-Registrierungen. Wenn eine Website Frontend-Accounts anbietet (z.B. für ein Kundenportal oder einen geschützten Download-Bereich), schützt mathguard das Registrierungsformular vor automatisierten Account-Erstellungen. Die Rechenaufgabe ist die letzte Hürde vor dem Absenden, zusätzlich zum Double-Opt-In.

Technische Architektur generiert serverseitige Rechenaufgaben mit Hash-Validierung

mathguard arbeitet komplett serverseitig. Bei jedem Formular-Aufruf generiert die Extension eine zufällige Rechenaufgabe, die Summe zweier Zahlen von 0 bis 9. Die Lösung steht nicht im Klartext im Formular, sondern als MD5-Hash aus Ergebnis, aktueller Stunde und einer festen Zahl in einem versteckten Feld; beim Absenden vergleicht mathguard den Hash der Eingabe damit. Session und Cookie braucht das Verfahren nicht.

Die Integration in TYPO3-Formulare läuft über eine PHP-Schnittstelle: Eine Formular-Extension ruft getCaptcha() auf, um die Aufgabe auszugeben, und validateCaptcha(), um die Antwort zu prüfen. Per TypoScript lassen sich Fragetext und Farbe anpassen. Fertige Anbindungen oder Beispiele für powermail und das TYPO3 Form Framework bringt die Extension aus dem Jahr 2009 nicht mit; das Form Framework gab es damals noch nicht.

mathguard zeichnet die Rechenaufgabe als kleine Grafik aus Zufallszeichen in einem <pre>-Block, nicht als lesbaren Text. Vorlese-Software liest dabei nur eine Zeichenfolge vor; screenreaderfreundlich wird ein Mathe-CAPTCHA erst, wenn die Aufgabe als Text im Formular steht. Für Menschen mit Dyskalkulie bleibt auch dann jede Rechenaufgabe eine Hürde, darauf weist das W3C ausdrücklich hin.

Für zusätzliche Sicherheit kann mathguard mit einem Honeypot-Feld kombiniert werden: Ein unsichtbares Formularfeld, das von Bots ausgefüllt wird, aber von echten Nutzern ignoriert. Ergänzend lässt sich eine Zeitstempel-Validierung einsetzen: Wenn ein Formular in unter 3 Sekunden ausgefüllt wird, ist es mit hoher Wahrscheinlichkeit ein Bot. Die Kombination aus Mathe-CAPTCHA, Honeypot und Zeitstempel-Check erreicht eine Spam-Reduktion von über 99%.

Häufige Probleme sind clevere Bots, der Stundenwechsel und UX-Irritation

Problem eins: Fortgeschrittene Bots, die Rechenaufgaben lösen. Einfache Text-Parsing-Bots können “Was ist 3 + 7?” interpretieren und die richtige Antwort “10” eingeben. Die Lösung: Die Aufgabe als leicht obfuskierten Text darstellen (“Drei plus sieben ergibt?”) oder die Aufgabe um einen Kontext erweitern (“Wie viele Beine hat ein Stuhl minus eins?”). mathguard in der Standardkonfiguration nutzt numerische Aufgaben, was für 85 bis 95% der Bots ausreicht.

Problem zwei: der Stundenwechsel. Weil die aktuelle Stunde in den Hash eingeht, schlägt die Validierung fehl, wenn zwischen Formular-Aufruf und Absenden eine volle Stunde wechselt, obwohl der Nutzer die richtige Antwort eingegeben hat. Die Lösung: Den Validator so anpassen, dass er auch den Hash der Vorstunde akzeptiert.

Problem drei: UX-Irritation bei Nutzern. Manche Besucher empfinden eine Rechenaufgabe als herablassend (“Muss ich beweisen, dass ich rechnen kann?”). Die Lösung: Einen freundlichen Hinweis über dem Feld platzieren (“Spam-Schutz: Bitte lösen Sie diese kurze Aufgabe”) und die Aufgabe visuell unauffällig in das Formular-Design integrieren.

Die Technik ist minimal, die Extension selbst stammt aus dem Jahr 2009

Die Extension hat keine tiefen API-Abhängigkeiten zum TYPO3-Core: Aufgabe, Hash und Prüfung sind wenige Zeilen Standard-PHP. Die letzte Version 1.0.0 ist allerdings von 2009 und unterstützt laut TER keine der heute gepflegten TYPO3-Versionen. Für Projekte, die komplett ohne Extension auskommen wollen, lässt sich die gleiche Logik als Custom Validator im TYPO3 Form Framework oder als powermail-Finisher in unter einer Stunde nachbauen. Gosign implementiert in eigenen Projekten eine Kombination aus Honeypot, Zeitstempel-Validierung und optionalem Mathe-CAPTCHA als dreistufigen Spam-Schutz, der ohne externe Dienste auskommt und bei über 99% der automatisierten Angriffe wirksam ist. Die Entscheidung, ob das Mathe-CAPTCHA sichtbar ist oder nur als unsichtbarer Fallback greift, treffen wir projektspezifisch basierend auf dem erwarteten Spam-Volumen und den Barrierefreiheits-Anforderungen.