Spam im Checkout und in Kontaktformularen nervt. Viele Shops greifen deshalb zu Google reCAPTCHA. Das Problem: reCAPTCHA schickt Daten an Google und damit in die USA, setzt teilweise Cookies und ist datenschutzrechtlich umstritten. Es geht auch anders. Cloudflare Turnstile macht denselben Job, ohne deine Besucher zu tracken.
Warum reCAPTCHA heikel ist
reCAPTCHA bewertet das Verhalten deiner Besucher und gleicht das im Hintergrund mit Google ab. Dabei werden personenbezogene Daten an einen US-Konzern übertragen. Für diese Übertragung brauchst du eine saubere Rechtsgrundlage und in der Praxis oft eine Einwilligung über dein Cookie-Banner. Genau das macht reCAPTCHA umständlich: Lädst du es erst nach Zustimmung, ist dein Formular für alle ohne Klick ins Banner ungeschützt.
Was Turnstile anders macht
Cloudflare Turnstile prüft, ob ein echter Mensch oder ein Bot am Werk ist, ohne nervige Bilderrätsel und ohne deine Besucher über Seiten hinweg zu verfolgen. Turnstile setzt keine Tracking-Cookies und ist auf Datensparsamkeit ausgelegt. Das macht die DSGVO-Bewertung deutlich einfacher.
Wichtig zur Ehrlichkeit: Auch Turnstile ist ein Dienst von Cloudflare, einem US-Anbieter. Du solltest den Dienst also in deiner Datenschutzerklärung nennen und in dein Verarbeitungsverzeichnis aufnehmen. Der entscheidende Unterschied ist, dass kein Verhaltensprofil über Google entsteht und keine Tracking-Cookies gesetzt werden.
Turnstile einrichten
- Melde dich in deinem Cloudflare-Konto an und öffne den Bereich Turnstile.
- Lege ein neues Widget an und trag deine Domain ein.
- Wähle als Widget-Modus Managed. Das ist der beste Kompromiss zwischen Schutz und Komfort.
- Cloudflare gibt dir einen Site Key und einen Secret Key. Den Site Key braucht das Formular, den Secret Key braucht die Prüfung im Hintergrund.
In WooCommerce einbinden
Du musst Turnstile nicht selbst programmieren. Es gibt Plugins, die Turnstile in die typischen Stellen einbauen: Login, Registrierung, Passwort-Zurücksetzen, Checkout und Kontaktformular. Der Ablauf ist meist gleich:
- Plugin installieren und aktivieren.
- Site Key und Secret Key aus Cloudflare eintragen.
- Auswählen, an welchen Formularen Turnstile erscheinen soll.
- Jedes Formular einmal selbst durchtesten, damit du sicher bist, dass echte Bestellungen nicht blockiert werden.
Nicht auf das Cookie-Banner vergessen
Weil Turnstile keine Tracking-Cookies setzt, lässt es sich in der Regel als technisch notwendiger Schutz einordnen und ohne vorherige Einwilligung laden. Trotzdem gehört der Dienst transparent in deine Datenschutzerklärung. Damit bleibt dein Formular von der ersten Sekunde an geschützt und ist sauber dokumentiert.
Tipp: Wenn du bisher reCAPTCHA genutzt hast, entferne es nach der Umstellung wirklich vollständig. Oft bleiben alte Snippets oder ein zweites Plugin aktiv und laden reCAPTCHA weiter im Hintergrund. Prüf das im Quelltext deiner Seite, indem du nach google und recaptcha suchst.
Dieser Beitrag ist eine technische Anleitung und ersetzt keine Rechtsberatung.