Cloudflare Turnstile: CAPTCHA-Ersatz ist trotzdem ein Drittanbieter

Cloudflare Turnstile kann Bots ohne klassische CAPTCHA-Aufgaben prüfen. Das macht die Integration benutzerfreundlicher, aber nicht zu einer rein lokalen Funktion.

Browser kommuniziert mit Cloudflare

Das Turnstile-Widget wird über Cloudflare eingebunden und erzeugt eine Challenge beziehungsweise ein Token, das serverseitig über Siteverify validiert wird. Damit ist Cloudflare technisch an der Prüfung beteiligt.

Nur laden, wo es gebraucht wird

Turnstile nicht global auf jeder Seite einbinden, wenn nur ein einzelnes Formular geschützt werden muss. Für einfache Formulare zunächst lokale Honeypot-/Zeit-/Rate-Limit-Verfahren erwägen.

Scanner richtig interpretieren

Eine tatsächliche Turnstile-Netzwerkverbindung ist eine Drittanbieter-Verbindung. Sie ist etwas anderes als ein bloßer Textlink zu Cloudflare und sollte vom Scanner entsprechend getrennt behandelt werden.

Quellen und Kontrolle

Die Anleitung stützt sich auf mehrere aktuelle Quellen. Herstellerangaben werden nicht als Beweis dafür verstanden, dass jede konkrete Installation automatisch datenschutzkonform ist.

Wichtig: IP-Verarbeitung ist nicht IP-Speicherung

Die IP-Adresse wird für die Netzwerkverbindung technisch verarbeitet. Zusätzlich können Hoster, Firewall oder DDoS-Schutz sie zeitlich begrenzt zur Sicherheit verarbeiten oder speichern. „Wir speichern nicht!“ trennt diese Sicherheitsebene von unnötiger dauerhafter Besucherprotokollierung durch Website, Anwendung und normale Access-Logs.