Was misst reCAPTCHA an der Hand?

Es handelt sich um 21 Messpunkte, die das Skelett einer Hand abbilden. Sie umfassen das Handgelenk, die Gelenke entlang der Finger und die Fingerspitzen. Das reCAPTCHA von Google gewinnt sie aus einem kurzen Video der Hand. Aus der Anordnung der Punkte erkennt das System die ausgeführte Geste.

Sind das biometrische Daten nach der DSGVO?

Daten, die die körperlichen Merkmale einer Person beschreiben, können biometrische Daten im Sinne der DSGVO sein. Solche Daten zur eindeutigen Identifizierung gelten nach Artikel 9 als besondere Kategorie mit erhöhtem Schutz. Ob das konkrete Verfahren von Google darunter fällt, hängt von der technischen Ausgestaltung ab. Juristisch ist das noch nicht abschließend geklärt.

Kann man die Hand-Verifikation umgehen?

Ja, das ist bereits gelungen. Das Team von RTF Labs Studio bestand die Prüfung am 29. Juni 2026 mit einem Stockfoto über eine virtuelle Kamera. Berichten zufolge lässt sich der Ablauf per Skript automatisieren. Eine alleinstehende biometrische Prüfung wird daher zunehmend als unsicher betrachtet.

claw:// SECURITY

Google will deine Hand sehen: Warum die neue reCAPTCHA-Prüfung ein Biometrie-Problem ist

Stephan Skrobisch 5. August 2026 9 Min.

KI-generiert mit ChatGPT

Google testet seit Mitte Juni eine Handgeste vor der Kamera als Ersatz für das bekannte reCAPTCHA. Ein kurzes Video einer winkenden oder geöffneten Hand wird ausgewertet, um zu prüfen, ob tatsächlich ein Mensch vor dem Gerät sitzt. Im Kern erfasst die Prüfung damit die Geometrie der Hand. Genau darin liegt das Datenschutzproblem. Zudem wurde die Prüfung rund zwei Wochen später mit einem Stockfoto und einer virtuellen Kamera umgangen.

Mehr als zwei Jahrzehnte lang bestand der Beweis, ein Mensch zu sein, darin, Ampeln anzuklicken oder verzerrte Buchstaben zu entziffern. Nun prüft der Suchmaschinenriese erstmals nicht mehr das Urteil über ein Bild, sondern den eigenen Körper. Google bezeichnet das Verfahren als harmlos und löscht die Aufnahme nach eigenen Angaben sofort.

Was Google da genau macht

Die Funktion gehört zu Google Cloud Fraud Defense, in das reCAPTCHA inzwischen integriert ist. Eingesetzt wird sie auf Login-Seiten, bei Registrierungen, beim Zurücksetzen von Passwörtern und an der Kasse von Online-Shops. Verlangt das System einen stärkeren Nachweis, bittet es um Kamera-Zugriff und zeigt eine Geste an.

Bislang läuft die Funktion nur in einem begrenzten Test. Sie ist zwar über Google Cloud verfügbar, dient auf den meisten Webseiten aber nicht als Standardprüfung. Einen Zeitplan für eine breitere Einführung hat Google nicht genannt.

Technisch steckt dahinter ein bekanntes Werkzeug. Die Dokumentation von Google verweist direkt auf den MediaPipe Hand Landmarker, die hauseigene Lösung für Hand-Tracking. Diese erzeugt aus dem Video genau 21 Hand-Knöchel-Koordinaten. Besagte Punkte bilden das Skelett der Hand ab, vom Handgelenk über die Fingergelenke bis zu den Fingerspitzen. Aus dieser Anordnung erkennt das System die Geste.

Google macht klare Zusagen beim Datenschutz. Nach eigenen Angaben werden die Videos niemals mit der Identität eines Nutzers verknüpft. Laut Google wird kein Ton aufgezeichnet. Die Aufnahme werde nach der Prüfung zudem sofort gelöscht. Der Kamera-Zugriff erfordert eine ausdrückliche Zustimmung, die sich jederzeit widerrufen lässt.

Die Zusagen lassen dennoch eine Lücke. Google verspricht, Bilder und Videos nach Abschluss der Prüfung zu löschen. Für die daraus gewonnenen 21 Handkoordinaten nennt die Dokumentation dagegen keine konkrete Speicherfrist und verweist lediglich auf die allgemeine Datenschutzerklärung. Auch dass kein Ton aufgezeichnet wird, ist bislang nur durch Google selbst bestätigt. Kamera und Mikrofon sind im Browser allerdings getrennte Berechtigungen.

Der Handlungsdruck wächst, denn KI-Agenten erzeugen inzwischen mehr Web-Traffic als Menschen.

claw://NEWS

KI-Agenten erzeugen mehr Web-Traffic als MenschenZum ersten Mal stammt die Mehrheit des Internet-Traffics nicht mehr von Menschen, sondern von Bots. Das sagt Matthew Prince, Chef des Infrastruktur-Anbieters Cloudflare, der rund…10. Juni 2026

Warum die bisherige Prüfung nicht mehr ausreicht

Der Grund für den Schritt liegt im Wettrüsten gegen Bots. Klassische Bildrätsel, etwa das Anklicken von Ampeln, sind für moderne KI-Systeme kaum noch eine Hürde. Die alten Verfahren prüfen ein Urteilsvermögen, das Maschinen längst beherrschen.

Belege dafür liegen seit Jahren vor. Bereits 2024 berichteten Forscher, reCAPTCHA v2 mit handelsüblicher Objekterkennung in 100 % der Fälle überwunden zu haben. Ein Jahr später klickte ein Agent von OpenAI durch eine Bot-Prüfung von Cloudflare und kommentierte dabei jeden Schritt. Der Bildrätsel-Ansatz hat damit ausgedient.

Google selbst nennt als Ziel den Schutz im sogenannten agentic web. Gemeint ist eine Zukunft, in der autonome KI-Agenten Aufgaben eigenständig erledigen. Diese Agenten füllen Formulare aus, klicken, vergleichen und schließen mehrstufige Vorgänge ab. Eine bloße Checkbox hält die Agenten nicht auf. Dass Google einen stärkeren Nachweis verlangt, ist daher nachvollziehbar.

Welche Risiken solche Agenten mit weitreichenden Rechten mit sich bringen, hat ClawNews am Beispiel des MIT-lizenzierten KI-Agenten OpenClaw ausführlich eingeordnet. Wie sehr sich die Identitätsfrage für Maschinen zuspitzt, zeigt auch der Markt. Ein Start-up sammelte zuletzt 66 Millionen US-Dollar für eine Identität für KI-Agenten.