KI besteht den „Ich bin kein Roboter“-Test: Warum das Captcha auf deiner Website 2026 nichts mehr beweist

Am 7. September 2026 hat Sharif Shameem von OpenAI ein Video veröffentlicht, das in der Branche seither die Runde macht: GPT-6 Astra, das neue Modell von OpenAI, löst alle 48 Level des Browserspiels „I’m Not a Robot“ von Neal Agarwal. Das Spiel ist eine Parodie auf Captchas – jede Stufe ist ein absurderes Rätsel als die vorherige. Und laut Entwickler schaffen nicht einmal ein Prozent der menschlichen Spieler den Durchlauf.

Ich habe mir das Video mehrmals angesehen, und mein erster Gedanke war nicht „beeindruckend“, sondern: Das ist der offizielle Schlusspunkt einer Entwicklung, die seit zwei Jahren läuft. Captchas wurden gebaut, um Maschinen von Menschen zu unterscheiden. Wenn eine Maschine den Test besser besteht als der Mensch, prüft der Test nichts mehr.

Für kleine und mittlere Unternehmen in der Wetterau, in Mittelhessen und im gesamten DACH-Raum ist das keine Tech-Nachricht aus dem Silicon Valley, sondern eine Frage für die eigene Website: Was schützt eigentlich dein Kontaktformular, deinen Shop, deine Bewertungsfunktion – und schützt es überhaupt noch? Ich ordne in diesem Beitrag ein, welche Modelle den Test inzwischen bestehen, warum Captchas grundsätzlich das Falsche messen und was ein Betrieb 2026 stattdessen braucht.

Video: © Sharif Shameem (OpenAI), Erstveröffentlichung am 7. September 2026 auf X (Originalbeitrag); geteilt von Jens Bohse (bakedwith.com) am 8. September 2026 auf LinkedIn. Gezeigt wird das Browserspiel „I’m Not a Robot“ von Neal Agarwal (neal.fun). Aufzeichnung unverändert übernommen, ohne Ton, 4:01 Min. Alle Rechte am Video und am Spiel liegen bei den genannten Urhebern; die Wiedergabe dient der Berichterstattung und Einordnung in diesem Beitrag.

Was im Video passiert – und warum es mehr ist als ein Gimmick

„I’m Not a Robot“ ist seit September 2025 online. Entwickler Neal Agarwal spricht von über 2,5 Millionen Spielern. Unabhängig geprüft sind diese Zahlen nicht. Es beginnt harmlos mit der bekannten Checkbox und steigert sich in 48 Stufen: Waldo am Strand finden, einen Kreis mit 94 Prozent Genauigkeit freihand zeichnen, in einer Börsensimulation 2.500 Dollar Gewinn erwirtschaften, ein Möbelstück nach Anleitung zusammenbauen, eine Partie Schach gewinnen, am Ende ein Rhythmusspiel mit Pfeiltasten bestehen. Neal Agarwal schätzt die Spielzeit auf rund zwei Stunden und die Abschlussquote auf unter ein Prozent.

Genau das macht den Durchlauf relevant. Es geht nicht um ein einzelnes Bilderrätsel, das ein Bildmodell erkennt. Es geht um 48 völlig verschiedene Aufgabentypen – Wahrnehmung, Motorik, Strategie, Timing – die ein einziges Modell ohne Spezialwerkzeug hintereinander löst, indem es den Bildschirm sieht, versteht und mit Maus und Tastatur bedient. OpenAI nennt das Computer Use. Jede dieser Aufgaben ist im Kern das, was ein Captcha tut: eine Handlung verlangen, die nur ein Mensch können soll.

Welche Modelle den Test bestehen – eine kurze Chronologie

GPT-6 Astra ist das prominenteste Beispiel, aber nicht das erste. Die Geschichte ist wichtig, weil sie zeigt, dass es hier nicht um einen Ausreißer geht, sondern um eine Linie.

2024: reCAPTCHA v2 fällt im Labor

Forscher der ETH Zürich haben im September 2024 gezeigt, dass ein trainiertes Bilderkennungsmodell (YOLO) die Bildaufgaben von Googles reCAPTCHA v2 zu 100 Prozent löst. Frühere Arbeiten lagen bei 68 bis 71 Prozent. Der Clou war nicht nur die Bilderkennung, sondern die Tarnung: VPN, realistische Mausbewegungen, plausible Browserdaten. Das Verhalten wurde simuliert, nicht nur das Rätsel gelöst.

2025: Der ChatGPT Agent umgeht seine eigene Regel

OpenAI trainiert seine Agenten ausdrücklich darauf, Captchas nicht zu lösen und die Aufgabe an den Menschen zurückzugeben. Im September 2025 zeigte das Sicherheitsunternehmen SPLX, dass diese Regel per Prompt Injection ausgehebelt werden kann: Dokumentiert sind reCAPTCHA v2 Enterprise, reCAPTCHA v2 Callback und ein einfaches Click Captcha, also Text- und Bildaufgaben. Bei Slider- und Rotationspuzzles scheiterte der Agent noch. Anthropic geht mit Claude denselben Weg: Captcha-Lösen wird standardmäßig verweigert.

September 2026: GPT-6 Astra sieht und klickt

Der Unterschied bei Astra ist, dass das Modell die Oberfläche visuell wahrnimmt und mit Klicken, Ziehen und Tippen bedient – so, wie du es tun würdest. OpenAI gibt für das Modell auf dem Computer-Use-Benchmark OSWorld 2.0 einen Wert von 72,6 Prozent an, gegenüber 65,7 Prozent beim Vorgänger GPT-5.6 Sol. Die Zahl stammt aus einer Latenzsimulation auf OSWorld V2-Offline, einer Teilmenge ohne Internetzugriff, bei rund 40 statt 75 Minuten pro Aufgabe. Astra wurde am 3. September 2026 vorgestellt. Der Zugang lief gestaffelt an, zuerst für ausgewählte Organisationen, danach für ChatGPT Plus, Pro, Business und Enterprise sowie über die API. OpenAI selbst hat sich zum Captcha-Video nicht offiziell geäußert; die genaue Konfiguration des Durchlaufs ist nicht dokumentiert. Fairerweise gilt: Das Video ist eine Demonstration, kein reproduzierbarer Benchmark.

Trotzdem ist die Richtung eindeutig. 2024 brauchte es ein eigens trainiertes Modell für einen Captcha-Typ. 2026 reicht ein allgemeines Modell, das man im Abo bekommt. Das ist der Punkt, an dem aus einem Forschungsergebnis eine Alltagsrealität für jede Website wird.

Was das konkret für deine Website heißt

Ich sehe bei Kundenprojekten drei typische Stellen, an denen Captchas hängen: Kontakt- und Anfrageformulare, Kundenkonten und Checkouts in Shops, und Kommentar- oder Bewertungsfunktionen. An allen drei Stellen ändert sich die Lage, aber unterschiedlich.

Beim klassischen Formular-Spam ist das Captcha ohnehin längst nur eine von mehreren Schichten. Wer heute noch ein Bilderrätsel als einzigen Schutz hat, bekommt entweder Spam oder verliert echte Anfragen – Bilderrätsel kosten nachweislich Conversion, weil Menschen abbrechen. Hier ist der KI-Durchbruch weniger die Ursache als der Anlass, endlich aufzuräumen.

Bei Shops und Konten wird es ernster. Gefälschte Registrierungen, Account-Übernahmen, automatisierte Gutschein-Tests: Diese Angriffe laufen über Bots, und die Hürde für Bots ist gerade drastisch gesunken. Wenn dein WooCommerce-Shop nur auf ein Captcha vertraut, ist das 2026 fahrlässig.

Und dann gibt es die dritte Kategorie, die neu ist: erwünschte Maschinen. Ein Kunde lässt sich von einem KI-Agenten einen Termin buchen, ein Angebot einholen oder ein Produkt vergleichen. Ich habe im Beitrag zu WebMCP und dem agentischen Internet beschrieben, dass Agenten Websites nicht mehr nur lesen, sondern benutzen. Ein Captcha, das jeden Agenten aussperrt, sperrt künftig auch Kunden aus. Die Frage ist also nicht mehr „Mensch oder Maschine?“, sondern „Erwünscht oder nicht?“.

Barrierefreiheit: Bild-Captchas sind seit dem BFSG ein Rechtsrisiko

Ein Punkt, der in der Diskussion um das Video fast untergeht: Bild-Captchas waren schon vor GPT-6 Astra ein Problem, nämlich für Menschen mit Seh- oder kognitiven Einschränkungen. Das WCAG-Kriterium 1.1.1 verlangt für Captchas eine Textalternative, die den Zweck beschreibt, sowie alternative Formen für unterschiedliche Sinne. WCAG 2.2 geht mit dem Kriterium zur barrierefreien Authentifizierung noch weiter und will kognitive Tests bei Anmeldungen ganz vermeiden.

Seit dem 28. Juni 2025 gilt in Deutschland das Barrierefreiheitsstärkungsgesetz, und es erfasst Dienstleistungen im elektronischen Geschäftsverkehr – also Shops, Buchungen, Verträge. Ich habe in meinem BFSG-Realitätscheck beschrieben, was seither wirklich passiert ist. Ein Bilderrätsel vor dem Checkout ist genau die Art von Barriere, die dort auffällt. Mit anderen Worten: Das Captcha, das Bots nicht mehr aufhält, hält Menschen sehr wohl auf – und zwar die, die das Gesetz schützt.

Was du stattdessen tun solltest

Die richtige Antwort ist kein schwereres Rätsel. Sie ist ein Schutz, der in Schichten arbeitet und den Menschen möglichst gar nicht mehr behelligt. So gehe ich das bei Kundenprojekten an:

Erstens: unsichtbare Prüfung statt Rätsel. Cloudflare Turnstile, Friendly Captcha oder das selbst gehostete Open-Source-Werkzeug ALTCHA prüfen im Hintergrund, verlangen keine Bildaufgaben und sind deutlich datenschutzfreundlicher als reCAPTCHA. Turnstile ist kostenlos, ALTCHA lässt sich ohne Drittanbieter betreiben. Beides ist mit WCAG vereinbar, wenn es sauber eingebaut ist.

Zweitens: Honeypot-Felder und Zeitmessung im Formular. Ein unsichtbares Feld, das nur Bots ausfüllen, plus die Prüfung, ob ein Formular in zwei Sekunden abgeschickt wurde, filtert den Großteil des einfachen Spams – ohne dass ein Mensch etwas merkt. Das ist kein Ersatz, aber eine billige erste Schicht.

Drittens: Schutz auf Server- und Netzwerkebene. Rate-Limiting, eine Web Application Firewall, serverseitige Validierung und bei Shops Double-Opt-in für Konten. Genau das gehört in eine ordentliche WordPress-Wartung und nicht in ein Plugin, das man einmal installiert und vergisst.

Viertens, und das ist der Blick nach vorn: Agenten identifizieren statt aussperren. Cloudflare und die IETF arbeiten mit Web Bot Auth an einem Standard, bei dem sich KI-Agenten kryptografisch ausweisen. Amazon hat für seinen Agenten-Browser bereits eine Vorschau dafür angekündigt. Für dich als Betreiber heißt das perspektivisch: Der Anwalts-Agent deines Kunden darf einen Termin buchen, der Scraper nicht – und deine Website muss beides unterscheiden können. Das ist eine Architekturfrage, keine Plugin-Frage, und sie gehört auf den Tisch, bevor der nächste Website-Relaunch geplant wird.