Turnstile vs. reCAPTCHA vs. hCaptcha: Vollständiger Vergleich (2026)

Drei Werkzeuge beherrschen diese Entscheidung, und die meisten Vergleiche zwischen ihnen enden in Adjektiven: „schlechte Bedienung", „besserer Datenschutz", „hohe Genauigkeit". Adjektive sind billig. Dieser Artikel nennt Zahlen — Preise von den Seiten der Anbieter selbst und ein Seitengewicht, das am Tag des Schreibens im Browser gemessen wurde.

Zwei dieser Zahlen sind für uns unbequem. Sie stehen trotzdem hier, in einem eigenen Abschnitt, denn ein Vergleich, in dem der Autor jede Zeile gewinnt, ist keine Lektüre wert.

Der Vergleich in Zahlen

Die Angaben stammen von den offiziellen Seiten der Anbieter, abgerufen am 4. Oktober 2026 (reCAPTCHA: docs.cloud.google.com/recaptcha/docs/compare-tiers; hCaptcha: hcaptcha.com/pricing; Turnstile: developers.cloudflare.com/turnstile/plans/). Sie ändern sich; prüfen Sie das Datum, bevor Sie sich darauf verlassen.

Google reCAPTCHA ist in der Essentials-Stufe bis 10.000 Bewertungen im Monat kostenlos; ein Zahlungsmittel müssen Sie hinterlegen. In der Premium-Stufe kosten 10.001 bis 100.000 Bewertungen pauschal 8 $, darüber 1 $ je 1.000; dazu kommt Enterprise. hCaptcha hält einen kostenlosen Basic-Tarif; Pro kostet 99 $ im Monat bei jährlicher Zahlung oder 139 $ monatlich, Enterprise gibt es auf Anfrage. Den passiven Modus ohne sichtbare Aufgabe gibt es nur in Pro und Enterprise. Cloudflare Turnstile ist kostenlos, mit unbegrenzten Prüfungen — der kostenlose Tarif begrenzt Funktionen statt Verkehr: bis zu 20 Widgets, 10 Hostnamen je Widget, sieben Tage Auswertung. Einen Cloudflare-Proxy vor Ihrer Seite braucht es dafür nicht. Der kostenlose Tarif von SilentShield deckt 500 Anfragen im Monat auf einer Domain; Basic kostet 9 € im Monat für 5.000 Anfragen, Pro 29 € für 25.000 Anfragen auf fünf Domains.

Was jedes von ihnen tatsächlich in Ihre Seite lädt

Der Preis ist nur die halbe Rechnung. Die andere Hälfte kommt im Browser Ihres Besuchers an, und sie wird selten veröffentlicht. Also haben wir sie gemessen: Chromium, frisches Profil, die Demoseite jedes Anbieters und die übertragene Größe jeder Anfrage an diesen Anbieter — komprimiert, so wie sie über die Leitung geht. Gemessen am 4. September 2026.

Der Abstand ist größer, als es die Seiten der Anbieter vermuten lassen. Das api.js von reCAPTCHA ist ein Startskript von 1 KB; die Datei, die es nachlädt, recaptcha__en.js, wiegt allein 345 KB komprimiert. Die unsichtbare Variante v3 lädt dasselbe Kernskript — deren Demoseite kam auf 459 KB. „Unsichtbar" heißt also nicht „leicht". Die Demoseite von hCaptcha übertrug 742 KB, den größten Teil davon zwei Pakete von newassets.hcaptcha.com.

Lesen Sie das ehrlich: Turnstile ist das leichteste der vier, und der Abstand zu uns ist deutlich. Wir liegen auf Platz zwei bei 48,9 KB — 45,0 KB für das Verhaltensmodul plus 3,9 KB Ladeprogramm (nachgemessen am 23. September 2026). Gegenüber reCAPTCHA und hCaptcha läuft der Abstand in die andere Richtung, um rund das Neun- beziehungsweise Fünfzehnfache.

Google reCAPTCHA: der Platzhirsch

reCAPTCHA kann zwei Dinge gut: eine Erkennung, hinter der Googles Datenmenge steht, und eine Verbreitung, die niemandem mehr erklärt werden muss. An der Erfahrung scheitert es. Bilderrätsel sind Reibung, auf dem Handy sind sie eine Zumutung, und Besucher steigen aus, bevor das Formular fertig ist.

Dann ist da der Datenweg. reCAPTCHA lädt Skripte von Google in Ihre Seite und schickt das Ergebnis an Googles Infrastruktur. Seit dem 2. April 2026 tritt Google dabei laut eigener FAQ als Auftragsverarbeiter auf (docs.cloud.google.com/recaptcha/docs/faq). Ob Sie es ohne Einwilligung laden dürfen, bleibt eine Frage der rechtlichen Prüfung, und in der Praxis wird darüber oft diskutiert. Auch das Modell ist gealtert: Es setzt auf Aufgabe und Antwort, während Bots diese Aufgaben zunehmend mit demselben maschinellen Lernen lösen, das sie eigentlich fangen soll.

Fazit: die größte Verbreitung, 423 KB Fracht und ein Datenweg zu Google, der rechtlich geprüft werden will.

hCaptcha: Datenschutz mit Haken

hCaptcha lädt kein Google-Skript und bietet einen kostenlosen Basic-Tarif. Dort ist die Bedienung dieselbe wie bei reCAPTCHA: dieselben Bilderraster, derselbe Ärger, dieselben Abbrüche. Den passiven Modus ohne sichtbare Aufgabe gibt es nur in Pro und Enterprise (hcaptcha.com/pricing).

In unserer Messung war es zudem das schwerste der vier, mit 742 KB.

Fazit: kein Google-Skript, aber im kostenlosen Tarif weiterhin eine sichtbare Prüfung.

Cloudflare Turnstile: das Beste der alten Welt

Turnstile ist dasjenige, das sich wirklich verbessert hat. Es verlangt keine Bilder oder Texte zum Entziffern — im Modus Managed zeigt es bei Risiko eine Checkbox —, geht datenschutzfreundlich vor, und mit 27,5 KB ist es mit klarem Abstand das leichteste in diesem Vergleich. Wenn die Frage lautet „welches CAPTCHA", ist die Antwort Turnstile — und dieser Artikel wird nicht so tun, als wäre es anders.

Zwei Dinge sollten Sie wissen. Im Zweifel fragt es den Besucher — erkennen, zweifeln, nachfragen —, an einem schlechten Tag wird also eine echte Kundin kurz aufgehalten; das gilt bei uns ebenso, nur dass wir eine kurze Rechenaufgabe zeigen. Und Cloudflare ist ein US-Unternehmen — nicht dasselbe wie ein Anbieter mit Sitz in der EU.

Fazit: das beste CAPTCHA — und immer noch ein CAPTCHA.

Das Kernproblem: Systeme mit Aufgaben sind aus der Zeit gefallen

Alle drei teilen dieselbe Erbanlage: erkennen — zweifeln — den Besucher prüfen lassen. Dieses Modell ergab 2010 Sinn. 2026 lösen Bots Bilderrätsel mit KI, Menschen brechen Formulare ab, wenn sie befragt werden, und das Datenschutzrecht verlangt weniger Nachverfolgung, nicht mehr.

Das Risiko ist das Schlechteste aus beiden Welten: Der automatisierte Verkehr, auf den es ankommt, kommt durch — und ein Teil Ihrer echten Kunden nicht.

So sieht moderner Bot-Schutz aus

Die nächste Generation fragt den Besucher im Normalfall nichts. Sie sieht sich an, wie das Formular tatsächlich ausgefüllt wird — Zeitabstände, Bewegung, der Rhythmus des Tippens —, bewertet das im Hintergrund und liefert beim Absenden ein Urteil. Standardmäßig kein Rätsel, kein Cookie, keine Unterbrechung.

Genau das tut SilentShield — und zwar standardmäßig, nicht in jedem Fall: Ist das Ergebnis unklar, zeigt es eine kurze Rechenaufgabe. Deshalb steht in der Spalte „sichtbare Aufgabe" oben „standardmäßig keine“ und nicht „keine“.

Der Einbau: der Code, um den es geht

Ein Skript-Tag in Ihrer Seite, ein Aufruf auf Ihrem Server. Mehr ändert sich nicht.

Das Widget kommt in die Seite, die das Formular trägt:

<script src="https://api.silentshield.io/client.js?k=IHR_API_SCHLUESSEL" crossorigin="anonymous" defer></script>

Es startet sich selbst, holt seine Einstellungen (Erscheinungsbild, Sprache, Abzeichen) aus Ihrem Dashboard und schreibt ein Feld namens behavior_nonce in Ihr Formular. Ihr Server prüft dieses Feld beim Absenden. In PHP:

use SilentShield\Client;

$client = new Client(getenv('SILENTSHIELD_API_KEY'));

if (!$client->verify($_POST['behavior_nonce'] ?? '')) {
    http_response_code(403);
    exit('Pruefung fehlgeschlagen.');
}
// Mensch — Absendung verarbeiten.

In Node:

const { human } = await shield.verify(req.body.behavior_nonce);
if (!human) return res.status(403).send("Pruefung fehlgeschlagen");

Eine Einzelheit ist mehr wert als der Rest dieses Abschnitts: false heißt nicht immer „Bot". Die Prüfung ist im Zweifel abweisend, sie antwortet also auch dann mit false, wenn wir gar keine Antwort geben konnten — unter anderem, wenn Ihr Monatskontingent aufgebraucht ist. Beide SDKs sagen Ihnen, welcher Fall vorliegt (lastFailure() in PHP, reason in Node). Ist es das Kontingent, greifen Sie auf Ihre eigenen Prüfungen zurück, statt bis zum Ersten des Folgemonats jeden echten Besucher abzuweisen. Anbieter schreiben das selten auf; es ist der Fehlerfall, der tatsächlich zubeißt.

Es gibt SDKs für PHP, Node, Go und Edge-Laufzeiten, dazu ein WordPress-Plugin, das Ihnen beide Schritte abnimmt.

Umzug von reCAPTCHA: was ersetzt wird, was bleibt

Der Wechsel ist kleiner, als er aussieht, denn ein CAPTCHA berührt genau drei Stellen in Ihrem Code.

Was ersetzt wird: das <script>-Tag in Ihrer Seite, der serverseitige Aufruf von siteverify und der Feldname — aus g-recaptcha-response wird behavior_nonce. Was bleibt: Ihr Formular, Ihre eigene Prüfung, Ihre Honigtopf-Felder, Ihre Ratenbegrenzung. Bot-Schutz ist eine Schicht, kein Ersatz für das, was Sie schon haben.

Gehen Sie in dieser Reihenfolge vor. Bauen Sie das neue Skript ein, während reCAPTCHA noch läuft, und vergleichen Sie die Urteile ein paar Tage lang; dann sehen Sie Ihren eigenen Verkehr, statt einer Tabelle zu glauben. Danach ziehen Sie die serverseitige Prüfung um. Und erst dann entfernen Sie das reCAPTCHA-Skript sowie den Google-Eintrag aus Ihrer Datenschutzerklärung und Ihrem Verarbeitungsverzeichnis — dieser letzte Schritt ist der, den Teams vergessen, und der, auf den eine Aufsichtsbehörde schaut.

Wo SilentShield die schwächere Wahl ist

Drei Zeilen, auf denen wir verlieren, offen ausgesprochen.

Unser Skript ist größer als das von Turnstile. 48,9 KB gegen 27,5 KB — wir laden asynchron nach dem Seitenaufbau und blockieren nichts, worauf ein Besucher wartet; wenn auf Ihrer Seite aber um jedes Kilobyte gerungen wird, ist das ein echtes Argument gegen uns.

Wir sind im Volumen nicht kostenlos. Turnstile kostet bei jeder Menge nichts. Unser kostenloser Tarif endet bei 500 Anfragen im Monat. Wenn der Preis Ihr einziges Kriterium ist, sind wir nicht die Antwort.

Wir sind jünger. reCAPTCHA läuft seit über einem Jahrzehnt und hat Angriffsmuster gesehen, die wir nicht gesehen haben. Das ist keine Kleinigkeit, und keine Positionierung ändert daran etwas.

Was Sie für die 9 € stattdessen bekommen, ist ein anderer Handel: Es lädt kein Google-Skript, es wird kein Cookie gesetzt, der Besucher sieht standardmäßig keine Aufgabe — nur bei unklarem Ergebnis eine kurze Rechenaufgabe —, und mit dem EU-Endpunkt läuft die Prüfung direkt auf unseren Servern in Deutschland, ohne CDN. Ist Ihnen das mehr wert als kostenlos, sind wir die bessere Wahl. Ist es das nicht, nehmen Sie Turnstile — das ist eine vertretbare Entscheidung, und dieser Artikel wird nicht so tun, als wäre sie es nicht.

Was das für Ihr Geschäft bedeutet

Jeder zusätzliche Schritt in einem Formular kostet Umsatz, und eine Aufgabe ist der teuerste Schritt, den Sie einbauen können: Sie kommt genau in dem Moment, in dem jemand sich entschieden hat, Sie anzusprechen. Abgebrochene Formulare, verlorene Bestellungen, verpasste Anfragen und eine mobile Bedienung, die schlechter ist als die getestete am Schreibtisch — selbst Turnstile, das beste der drei, nimmt dieses Risiko nicht vollständig weg, weil es sich weiterhin entscheiden kann zu fragen — und auch wir fragen bei unklarem Ergebnis, mit einer kurzen Rechenaufgabe.

Die Frage ist nicht, welches CAPTCHA Ihre Kunden am wenigsten ärgert. Die Frage ist, wie selten Ihre Kunden überhaupt befragt werden müssen.

Das Fazit

• reCAPTCHA — größte Verbreitung, 423 KB, Daten an Google. Für eine EU-Seite ein Fall für die rechtliche Prüfung, oft mit Diskussion um eine Einwilligung.
• hCaptcha — kein Google-Skript, mit 742 KB das schwerste der vier, im kostenlosen Tarif für den Besucher dasselbe Rätsel (passiv nur in Pro/Enterprise).
• Turnstile — das beste CAPTCHA: kostenlos, 27,5 KB, meistens still. Weiterhin ein US-Unternehmen und darunter weiterhin ein CAPTCHA.
• SilentShield — standardmäßig keine Aufgabe (bei unklarem Ergebnis eine kurze Rechenaufgabe), kein Cookie, Datenhaltung auf Servern in Deutschland, 48,9 KB. 9 € im Monat, sobald Sie 500 Anfragen überschreiten.

Alle vier fragen im Zweifel den Besucher; der Unterschied liegt darin, wie oft und womit.

SilentShield ausprobieren — Bot-Schutz, der standardmäßig unsichtbar bleibt