Ein Captcha über einen Proxy ist keine Bestrafung für den Proxy selbst, sondern eine Frage des Schutzsystems „Ist das ein Mensch?“. Über einen Proxy tritt es aus drei Gründen häufiger auf: Die Adresse wird mit anderen Personen und Programmen geteilt, sie hat bereits eine Vorgeschichte, und die übrigen Browser-Signale widersprechen ihr oft. Vollständig lässt sich das Captcha nicht vermeiden — dafür wurde es schließlich erfunden — aber man kann erreichen, dass es deutlich seltener erscheint. Wir schauen uns an, was Google, Yandex und Cloudflare selbst dazu sagen, warum Proxys die Wahrscheinlichkeit einer Prüfung erhöhen und welche Maßnahmen tatsächlich helfen und welche die Situation nur verschlimmern.
Was die Dienste selbst sagen
Google: „Ungewöhnlicher Traffic aus Ihrem Netzwerk“
Google zeigt diese Seite, wenn aus dem Netzwerk automatische Suchanfragen eingehen. In der Hilfe werden die Ursachen aufgeführt: Schadsoftware auf dem Computer, ein gemeinsames Netzwerk in der Schule oder im Büro, in dem jemand automatische Anfragen sendet, VPN, dessen andere Nutzer dasselbe tun, IPv6-Tunnel und ein Provider, dessen Kunden sich Adressen teilen. Die Empfehlungen dort: reCAPTCHA lösen, den Computer auf Schadsoftware prüfen, den Netzwerkadministrator kontaktieren, VPN entfernen oder ersetzen — laut Google erlauben manche VPNs nicht, seriösen Traffic von Missbrauch zu unterscheiden — und den Provider kontaktieren.
Proxys werden in der Hilfe nicht direkt genannt, aber der Mechanismus ist derselbe: Sie teilen die Adresse mit anderen, und Google sieht nicht Sie, sondern den gesamten Traffic von dieser Adresse.
Yandex: „Viele gleichartige Anfragen“
In der Yandex-Hilfe gibt es nur einen Grund für das Captcha: Der Dienst erhält viele gleichartige Anfragen und möchte sicherstellen, dass sie von einem Menschen und nicht von einem Roboter gesendet werden. Für Proxys bedeutet das, dass nicht nur Ihr Tempo zählt, sondern auch das Tempo aller, die dieselbe Adresse nutzen.
reCAPTCHA v3: Bewertung statt Bilderrätsel
Die dritte Version von reCAPTCHA zeigt überhaupt keine Aufgaben: Laut Google-Dokumentation unterbricht sie den Nutzer nie, sondern vergibt eine Bewertung von 0,0 bis 1,0, wobei 1,0 — wahrscheinlich eine seriöse Interaktion und 0,0 — wahrscheinlich ein Bot bedeutet. Standardmäßig empfiehlt Google den Websites einen Schwellenwert von 0,5. Was bei einer niedrigen Bewertung geschieht — eine Prüfung anzeigen, die Bestätigung der Anmeldung verlangen oder blockieren — entscheidet die Website selbst.
Cloudflare: Bewertung und drei Arten der Prüfung
Cloudflare bewertet jede Anfrage auf einer Skala von 1 bis 99: 1 — die Anfrage ist automatisch, 99 — sie stammt von einem Menschen. In die Bewertung fließen Heuristiken (Abgleich mit einer Datenbank bekannter Fingerabdrücke), maschinelles Lernen, das die meisten Bewertungen vergibt, und JavaScript-Prüfungen ein, die Headless-Browser und andere Automatisierungswerkzeuge erkennen. Eine Prüfung erhält der Besucher, wenn eine Firewall-Regel, das Bot-Schutzmodul oder eine Ratenbegrenzung greift. Es gibt drei Arten der Prüfung:
- nicht interaktiv — der Browser führt JavaScript aus, normalerweise unter fünf Sekunden, vom Menschen ist nichts erforderlich;
- verwaltet — Cloudflare wählt die Art der Prüfung selbst; die meisten Menschen bestehen sie automatisch und sehen „Erfolgreich“;
- interaktiv — erfordert eine Aktion; Cloudflare selbst empfiehlt den Websites statt dieser die verwaltete Variante.
Nach einer erfolgreichen Prüfung erhält der Browser das Cookie cf_clearance, und für eine gewisse Zeit wird er nicht erneut geprüft. Das ist für Proxys wichtig, und weiter unten wird klar, warum.
Warum über einen Proxy häufiger ein Captcha erscheint
- Die Adresse wird geteilt und hat eine Vorgeschichte. Derselbe Mechanismus wie beim VPN in der Google-Hilfe: Wenn von der Adresse vor Ihnen automatische Anfragen gesendet wurden, fällt der Verdacht auf alle, die sie nutzen. Günstige gemeinsame Proxys leiden darunter am meisten.
- Der Adresstyp. Schutzsysteme wissen, welche Adressen zu Hosting-Anbietern gehören. Eine Server-IP ist für eine Suchmaschine oder ein soziales Netzwerk bereits ein Grund, genauer hinzuschauen: Menschen aus Rechenzentren sitzen dort nicht. Wie die Adresstypen aufgebaut sind, erklärt der Artikel Residential-, Datacenter- und Mobile-Proxys.
- Die Frequenz. „Viele gleichartige Anfragen“ — das ist die direkte Formulierung von Yandex. Ein Programm, das Seiten schneller als ein Mensch öffnet, erhält von jeder Adresse ein Captcha.
- Widersprüche zwischen den Signalen. IP aus Deutschland, aber Zeitzone und Browsersprache aus Moskau; eine mobile Adresse, aber der Fingerabdruck eines Desktop-Browsers. Jeder solche Widerspruch senkt die Bewertung. Welche Signale Schutzsysteme zusammenführen, steht in den Artikeln wie Anti-Bot-Systeme funktionieren und was ein TLS-Fingerabdruck ist.
- Keine Vorgeschichte und keine Cookies. Ein Browser, der jedes Mal „mit weißer Weste“ und von einer neuen Adresse kommt, wirkt bei jedem Besuch wie ein neuer Besucher. Er verliert sowohl
cf_clearanceals auch das angesammelte Vertrauen. - Automatisierung. Headless-Browser und programmgesteuerte Browser verraten sich über JavaScript — Cloudflare nennt das ausdrücklich einen eigenen Erkennungsmechanismus.
Was wirklich hilft
- Den passenden Adresstyp wählen. Für Websites mit strengem Schutz — Residential-, Mobile- oder statische Residential-Proxys (ISP) statt Datacenter-Proxys. Mobile Adressen von Mobilfunkbetreibern teilen Tausende von Teilnehmern, und es lohnt sich für Websites nicht, sie zu blockieren.
- Keine gemeinsamen Proxys verwenden. Eine dedizierte Adresse steht nur für Ihr Verhalten ein, nicht für das fremde.
- Die Adresse behalten, statt sie bei jeder Anfrage zu wechseln. Eine Sticky-Session bewahrt sowohl die Adresse als auch die Cookies nach einer bestandenen Prüfung. Eine Rotation bei jeder Anfrage bedeutet für Websites mit Cloudflare eine neue Prüfung bei jeder Anfrage (IP-Rotation und Sticky-Sessions).
- Das Tempo senken. Pausen zwischen den Anfragen und eine vernünftige Parallelität beseitigen die Hauptursache aus Sicht von Yandex. Allgemeine Regeln stehen im Artikel robots.txt, Limits und höfliches Datensammeln.
- Die Signale abstimmen. Zeitzone, Sprache und Geolokalisierung des Browsers sollten zum Land der IP passen, WebRTC darf Ihre echte Adresse nicht verraten. Antidetect-Browser erledigen das automatisch (was ein Antidetect-Browser ist).
- Cookies zwischen den Sitzungen speichern. Ein Browserprofil mit Vorgeschichte besteht Prüfungen leichter als jedes Mal ein neues.
- Die Adresse vor der Arbeit prüfen. Blacklists, IP-Typ in Datenbanken, Leaks — die Vorgehensweise bei der Prüfung ist im Artikel wie man einen Proxy prüft beschrieben.
Was nicht hilft
- Die Adresse nach jedem Captcha wechseln. Eine neue Adresse aus demselben Pool hat meist dieselbe Reputation, und der ständige Wechsel wirkt an sich schon verdächtig.
- Die günstigsten Proxys „auf Vorrat“ kaufen. Tausend gemeinsame Serveradressen ergeben tausend Captchas.
- Das Captcha automatisch unter Umgehung des Schutzes lösen. Solche Dienste existieren, aber das ist eine direkte Umgehung des Schutzes der Website und oft ein Verstoß gegen ihre Regeln: Google zählt beispielsweise automatische Suchanfragen zu den ohne Erlaubnis verbotenen Handlungen. Wenn eine Website so hartnäckig Menschen von Programmen unterscheidet, sollte man für automatisierte Aufgaben eine offizielle API suchen.
Wenn das Captcha ohne Proxy erscheint
Die Google-Hilfe gibt Hinweise, wo man suchen sollte: Schadsoftware auf dem Computer, ein gemeinsames Netzwerk bei der Arbeit oder im Studium, ein VPN oder ein Provider, der viele Kunden über eine Adresse ausleitet. Auch mobiles Internet leitet Tausende von Menschen über gemeinsame Adressen, daher bekommt man manchmal ein Captcha für die Aktivität anderer. Prüfen Sie den Computer, deaktivieren Sie VPN und Erweiterungen, die in Ihrem Namen Anfragen senden, und versuchen Sie ein anderes Netzwerk.
Kurz: Symptom, Ursache, was zu tun ist
| Symptom | Wahrscheinliche Ursache | Was zu tun ist |
|---|---|---|
| Google zeigt sofort „Ungewöhnlicher Traffic“ | Gemeinsame Adresse mit schlechter Vorgeschichte | Dedizierte Adresse; anderer Proxy-Typ |
| Yandex zeigt nach einigen Anfragen ein Captcha | Viele gleichartige Anfragen | Tempo senken; Anfragen verteilen |
| Cloudflare prüft bei jedem Aufruf | Die Adresse wechselt oder Cookies werden nicht gespeichert | Sticky-Session; Cookies speichern |
| Die Prüfung wird nicht automatisch bestanden | Widersprüche in den Signalen oder Anzeichen von Automatisierung | Zeitzone und Sprache mit der IP abstimmen; normaler Browser |
| Captcha auf allen Adressen des Pools gleichzeitig | Der Pool ist komplett markiert (zum Beispiel ein Subnetz) | Anderer Anbieter oder Adressen aus verschiedenen Subnetzen |
Zum Sonderfall der IPv6-Subnetze, die Websites komplett einschränken, siehe den Artikel IPv6-Proxys.
Häufige Fragen
Warum zeigt Google ein Captcha, obwohl ich nur ein paar Anfragen mache?
Weil Google den gesamten Traffic von Ihrer Adresse bewertet und nicht nur Ihren. Wenn die Adresse geteilt wird — VPN, Proxy, Büronetzwerk, Provider — treffen die automatischen Anfragen anderer auch Sie. Das sagt die Google-Hilfe ausdrücklich.
Hilft ein IP-Wechsel, das Captcha loszuwerden?
Einmalig manchmal ja, aber wenn die neue Adresse aus demselben Pool stammt, hat sie meist dieselbe Reputation. Der ständige Adresswechsel setzt auf Websites mit Cloudflare zudem die bestandene Prüfung zurück.
Welche Proxys fangen am seltensten ein Captcha?
Dedizierte Residential-, Mobile- und statische Residential-Adressen mit dauerhafter Session. Datacenter- und gemeinsame Proxys erhalten am häufigsten ein Captcha.
Warum prüft mich Cloudflare immer wieder?
Nach der Prüfung gibt Cloudflare das Cookie cf_clearance aus. Wenn die Adresse bei jeder Anfrage wechselt oder der Browser keine Cookies speichert, geht diese Markierung verloren, und die Prüfung wiederholt sich.
Was bedeutet die Bewertung von reCAPTCHA v3?
Es ist eine Zahl von 0,0 bis 1,0: Je näher an 1,0, desto wahrscheinlicher ein Mensch. Standardmäßig empfiehlt Google den Websites einen Schwellenwert von 0,5, und was bei einer niedrigen Bewertung geschieht, entscheidet die Website selbst.