Keycloak reCAPTCHA Alternative für europäische Teams (2026)

Keycloak wird mit reCAPTCHA ausgeliefert, das in den Registrierungsablauf integriert ist. Für europäische Organisationen führt diese Voreinstellung zu Cookies, US-Datentransfers und einer Belastung der Datenschutzdokumentation bei den drei wichtigsten Abläufen: Anmeldung, Registrierung und Passwortrücksetzung. Dieser Leitfaden erklärt, wie man reCAPTCHA in Keycloak durch eine cookielose, in der EU gehostete Alternative ersetzt und geht die genaue Konfiguration für jeden Authentifizierungsfluss durch.

Geschätzte Lesezeit: 14 Minuten

---

Auf einen Blick

---

---

Warum reCAPTCHA bestimmte Probleme in Keycloak verursacht

Die meisten reCAPTCHA Diskussionen konzentrieren sich auf Kontaktformulare. Keycloak ist eine völlig andere Situation. Es ist ein Identitäts- und Zugriffsmanagementsystem: die Schicht, die kontrolliert, wer sich anmelden, ein Konto erstellen oder ein Passwort in Ihren Anwendungen wiederherstellen kann. Das bedeutet, dass reCAPTCHA hier auf Authentifizierungsflüssen sitzt, nicht auf Marketingseiten.

Für europäische Organisationen, die Keycloak in der Produktion einsetzen, ergeben sich daraus drei Probleme, die schwerwiegender sind als bei einem typischen Website-Formular.

Der Einsatz von Keycloak in Unternehmen und im öffentlichen Sektor wird am strengsten geprüft. Datenschutzbeauftragte, Beschaffungsausschüsse und Sicherheitsarchitekten stellen auf Authentifizierungsseiten mehr Fragen zu Skripten von Drittanbietern als auf jedem anderen Teil einer Website. Ein CAPTCHA, das keine Cookies, keine Weiterleitung von US-Daten und ein viel einfacheres Überprüfungsprofil für Dritte einführt, ist strukturell leichter zu verteidigen und schneller zu genehmigen.

Das _grecaptcha-Cookie wird auf Authentifizierungsseiten verwendet. Google hat bestätigt, dass dieses Cookie auch nach der Änderung des Prozessormodells im April 2026 bestehen bleibt. Auf einer Anmeldeseite, die Mitarbeiter oder Kunden ausfüllen müssen, bevor sie auf einen Dienst zugreifen können, können sie sich nicht sinnvoll von einem Cookie abmelden, das genau den Datenfluss schützt, den sie nutzen müssen. Dies ist schwieriger zu lösen als das gleiche Cookie in einem Kontaktformular.

Überprüfungsrouten durch die Google-Infrastruktur. Für Organisationen in regulierten Sektoren wie dem Gesundheitswesen, dem Finanzwesen oder dem öffentlichen Sektor erfordert die Verarbeitung personenbezogener Daten über die US-Infrastruktur eine aktive Übermittlungsdokumentation gemäß DSGVO. Für ein Authentifizierungssystem, das Anmeldeinformationen verarbeitet, bedeutet dies einen zusätzlichen Verwaltungsaufwand, den Sicherheits- und Compliance-Teams lieber ganz vermeiden würden.

---

Keycloak CAPTCHA Alternativen im Vergleich

Mehrere CAPTCHA-Anbieter bieten Keycloak-Plugins an, aber der Markt ist hier viel eingeschränkter als bei WordPress oder TYPO3. Die meisten Community-Erweiterungen gehen bei größeren Versions-Upgrades von Keycloak kaputt und werden nur begrenzt gewartet. Das Keycloak CAPTCHA-Ökosystem ist viel kleiner als das WordPress- oder TYPO3-Ökosystem. In der Praxis sehen sich die meisten Teams, die eine moderne Keycloak-CAPTCHA-Schicht evaluieren, CAPTCHA.eu, Friendly Captcha, das alte reCAPTCHA und eine kleine Anzahl von Community-gepflegten Optionen wie ALTCHA- oder hCaptcha-Integrationen an.

LÖSUNG	COOKIES	DATEN LOKATION	ERFASSTE STRÖME	PLUGIN-TYP	VERSIONSANFORDERUNG
CAPTCHA.eu	Nein	Österreich (EU)	Anmeldung, Registrierung, Passwort zurücksetzen	Offizielles JAR	Keycloak 22.0.3+
Freundliches Captcha	Nein	Dedizierter, auf die EU beschränkter Endpunkt aus dem Advanced-Tarif. Niedrigere Stufen können die globale Infrastruktur nutzen.	Anmeldung, Registrierung, Passwort zurücksetzen	Offizielles Plugin	Keycloak 26.1.0+ und Java 17+ erforderlich
hCaptcha	Ja	US-basierte	Nur Anmeldung	Gemeinschaft JAR	Begrenzte Wartung
ALTCHA	Nein	Ihre eigene Infrastruktur	Nur Anmeldung	Gemeinschaft JAR	Selbstgehostetes Backend erforderlich
reCAPTCHA v2	Ja (_grecaptcha)	US-basierte	Registrierung (nur eingebaut)	Eingebaut	Login und Reset erfordern eigene Erweiterungen

---

Die drei zu schützenden Ströme

Keycloak organisiert die Authentifizierung als konfigurierbare Abläufe, die unabhängige Sequenzen sind, die Sie separat in der Admin-Konsole ändern. Wenn Sie verstehen, was jeder Ablauf tut, können Sie entscheiden, welche Abläufe zuerst geschützt werden sollen und warum.

Der Browser (Login) Fluss ist die Standard-Anmeldeseite, die Benutzer sehen, wenn sie auf eine Keycloak-geschützte Anwendung zugreifen. Sie hat das höchste Traffic-Volumen und ist das primäre Ziel für Credential Stuffing und Brute-Force-Attacken: automatisierte Versuche, auf Konten mit gestohlenen oder erratenen Anmeldedaten in großem Umfang zuzugreifen.

Der Registrierungsablauf deckt die Kontoerstellung ab. Ohne CAPTCHA-Schutz erstellen Bots massenhaft gefälschte Konten, was die Qualität des Dienstes verschlechtert, die Nutzeranalyse verzerrt und den Missbrauch von Testphasen, Empfehlungsprogrammen oder kostenlosen Stufen ermöglicht.

Der Fluss der Anmeldeinformationen zurücksetzen kümmert sich um die Wiederherstellung von Passwörtern. Angreifer zielen darauf ab, Wiederherstellungs-E-Mails in großem Umfang auszulösen, die E-Mail-Infrastruktur zu überlasten, die im System vorhandenen Benutzernamen zu ermitteln oder nach Möglichkeiten der Kontoübernahme zu suchen. Sie ist die am wenigsten diskutierte der drei und oft die letzte, die Teams zu schützen gedenken. Wenn man sie offen lässt, während man die anderen beiden schützt, entsteht eine Lücke.

Eine wichtige Einschränkung, die Sie im Voraus wissen sollten: Keycloak's eingebautes reCAPTCHA schützt nur den Registrierungsfluss nativ. Um Login und Passwort-Reset mit reCAPTCHA zu schützen, benötigen Sie eigene Erweiterungen. CAPTCHA.eu deckt alle drei mit der gleichen JAR ab und folgt dem gleichen Konfigurationsmuster für jede, was ein Grund dafür ist, dass Teams die Migration als einfach empfinden.

---

Welche Keycloak-Version verwenden Sie?

Bevor Sie etwas installieren, überprüfen Sie Ihre Keycloak-Version. Sie beeinflusst, welche Alternativen Ihnen zur Verfügung stehen.

Wenn Sie Keycloak 26.1.0 oder höher mit Java 17 oder höher betreiben, sind sowohl CAPTCHA.eu als auch Friendly Captcha verfügbar. Beide bieten offiziell gepflegte Plugins an, die alle drei Abläufe abdecken. CAPTCHA.eu unterstützt auch Keycloak 22.0.3 und höher, was es für Teams mit älteren Installationen interessant macht.

Wenn Sie eine ältere Keycloak-Version verwenden (Keycloak 24.x, 25.x, oder irgendetwas unter 26.1.0), ist das Keycloak-Plugin von Friendly Captcha nicht kompatibel. Ihr Plugin erfordert ausdrücklich Keycloak 26.1.0+ und Java 17+. CAPTCHA.eu unterstützt eine breitere Versionspalette.

Wenn Sie Red Hat Build of Keycloak (RHBK) oder das ältere Red Hat SSO-Produkt einsetzen, unterscheidet sich die Versionszuordnung von Upstream Keycloak. RHBK 24 entspricht in etwa der Version 24 von Upstream Keycloak. Überprüfen Sie die dokumentierte Kompatibilität des Plugins, bevor Sie es in die Produktion einführen.

---

Installation: Hinzufügen des Plugins CAPTCHA.eu zu Keycloak

Die Installation ist ein einmaliger Schritt, der für alle drei Abläufe gilt. Sobald das JAR installiert ist, konfigurieren Sie jeden Fluss separat in der Admin-Konsole.

---

Konfigurieren Sie den Browser-Anmeldevorgang

Wenn Sie es vorziehen, Ihr Theme nicht manuell zu bearbeiten, verwenden Sie das vorgefertigte Theme, das im Quellcode der CAPTCHA.eu-Erweiterung unter /theme/captcha enthalten ist.

---

Konfigurieren Sie den Registrierungsablauf

---

Konfigurieren Sie den Ablauf der Passwortrücksetzung

---

Hinweise zum Einsatz: Docker, Kubernetes und Red Hat SSO

Wie Sie das JAR installieren, hängt davon ab, wie Sie Keycloak ausführen. Die Konfigurationsschritte der Admin-Konsole sind in allen Fällen identisch. Nur die Platzierung der Dateien ist unterschiedlich.

Standardinstallation (Bare-Metal oder VM): Kopieren Sie keycloak-captcha.jar direkt in das providers/ Verzeichnis Ihrer Keycloak-Installation und starten Sie neu. Keycloak nimmt den neuen Provider beim Start automatisch auf.

Docker: Fügen Sie das JAR zur Erstellungszeit mit einer COPY-Anweisung in Ihr Dockerfile ein, oder mounten Sie es zur Laufzeit über ein Volume. Das Provider-Verzeichnis innerhalb des Containers befindet sich normalerweise unter /opt/keycloak/providers/. Ein minimaler Dockerfile-Ansatz sieht wie folgt aus:

FROM quay.io/keycloak/keycloak:latest
COPY keycloak-captcha.jar /opt/keycloak/providers/
RUN /opt/keycloak/bin/kc.sh build

Kubernetes: Mounten Sie das JAR mithilfe eines initContainers, der es in ein gemeinsames Volume kopiert, oder verwenden Sie eine ConfigMap, wenn Ihr Cluster binäre Daten unterstützt. Der zuverlässigste Ansatz für die Produktion ist die Erstellung eines benutzerdefinierten Keycloak-Images mit dem JAR, auf das Sie dann in Ihrem Bereitstellungsmanifest verweisen. Auf diese Weise wird die Komplexität der Volume-Montage vermieden und Ihre Bereitstellung bleibt reproduzierbar.

Red Hat Build von Keycloak (RHBK) und Red Hat SSO: RHBK folgt demselben Ansatz für das Anbieterverzeichnis wie Upstream Keycloak, aber die Versionsnummern unterscheiden sich. RHBK 24 entspricht ungefähr der Upstream-Version von Keycloak 24. Wenn Sie Red Hat SSO 7.x einsetzen, das ältere Produkt, das auf einer anderen Keycloak-Version basiert, sollten Sie die Plugin-Kompatibilität sorgfältig prüfen, bevor Sie es in der Produktion einsetzen. Die CAPTCHA.eu-Plugin-Seite dokumentiert die aktuelle Kompatibilität; im Zweifelsfall sollten Sie zuerst auf einem Staging-Realm testen.

---

So überprüfen Sie, ob die Migration funktioniert hat

Sobald alle drei Abläufe konfiguriert sind, wird in einem kurzen Überprüfungsdurchlauf bestätigt, dass alles funktioniert, bevor Sie die Migration als abgeschlossen betrachten.

In der CAPTCHA.eu Dashboard, öffnen Sie Ihre Domäne und überprüfen Sie das Verifizierungsprotokoll. Nach dem Absenden jedes geschützten Vorgangs (Anmeldung, Registrierung, Zurücksetzen des Passworts) sollten die entsprechenden Überprüfungsereignisse innerhalb weniger Sekunden im Protokoll erscheinen. Wenn ein Vorgang im Protokoll fehlt, ist der CAPTCHA.eu-Schritt für diesen Vorgang nicht aktiv. Kehren Sie zur Verwaltungskonsole zurück und überprüfen Sie, ob der Vorgang korrekt gebunden ist.

Auf der Vorderseite, Senden Sie einen Testeintrag für jeden Fluss sowohl auf dem Desktop als auch auf dem Handy. Die Überprüfung sollte still im Hintergrund ablaufen, ohne dass eine Herausforderung sichtbar ist. Wenn ein Fehler auftritt oder das Formular nicht übermittelt werden kann, überprüfen Sie, ob der öffentliche Schlüssel in den Plugin-Einstellungen mit dem in Ihrem CAPTCHA.eu-Dashboard übereinstimmt und ob Ihr FTL-Snippet auf die richtige Formularelement-ID für jeden Ablauf verweist.

Für Kubernetes-Einsätze, Überprüfen Sie auch, ob das JAR nach einem Pod-Neustart korrekt geladen wird, indem Sie in den Keycloak-Startprotokollen nach der Bestätigung der Provider-Registrierung suchen. Wenn der Provider nicht in den Protokollen erscheint, wird das JAR nicht abgeholt. Überprüfen Sie erneut den Volume-Mount oder die Image-Erstellung.

---

DSGVO-Checkliste nach der Umstellung

Die technische Migration umfasst die CAPTCHA-Schicht. Diese Schritte vervollständigen das Bild der Konformität.

Aktualisieren Sie Ihren Datenschutzhinweis. Entfernen Sie den reCAPTCHA-Eintrag und ersetzen Sie ihn durch einen kurzen CAPTCHA.eu-Eintrag, der Österreich als Verarbeitungsort und den Bot-Schutz bei Authentifizierungsströmen als Zweck nennt.

Überprüfen Sie Ihre Einwilligungsmanagement-Einstellungen. Wenn Ihr Keycloak-Einsatz eine Cookie-Offenlegung für reCAPTCHA enthielt, entfernen oder überarbeiten Sie diesen Eintrag. Für CAPTCHA.eu wird kein Cookie-basierter Zustimmungsmechanismus für die CAPTCHA-Schicht selbst benötigt. Sitzungscookies und OIDC-Tokens sind separat und nicht betroffen.

Aktualisieren Sie Ihre Verarbeitungsunterlagen. Ersetzen Sie Google als den CAPTCHA-bezogenen Auftragsverarbeiter in Ihren Artikel 30-Aufzeichnungen. Eine Standard-DPA ist zu diesem Zweck bei CAPTCHA.eu erhältlich.

Bestätigen Sie dies mit Ihren Sicherheits- und DSB-Teams. Bei Installationen in Unternehmen und im regulierten Sektor sollten Sie die Änderungen am Authentifizierungsablauf vor der Inbetriebnahme mit Ihrem Sicherheitsarchitekten und dem Datenschutzbeauftragten abstimmen. Dies ist ein Standardverfahren für jede Änderung am Authentifizierungssystem.

---

Häufig gestellte Fragen

---

Verwandte Lektüre

---