reCAPTCHA-Lücke: Googles Gesten-System mit Fotos ausgetrickst
Veröffentlicht am: 30.06.2026 um 15:54 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben Googles experimentelles Handgesten-System zur Bot-Abwehr mit simplen Standbildern ausgetrickst. Die Entdeckung wirft Fragen zur Zuverlässigkeit moderner Captcha-Verfahren auf.
Lücke in der Lebenderkennung
Das Team von RTF Labs Studio und unabhängige Forscher präsentierten ihre Ergebnisse Ende Juni. Das neue reCAPTCHA-System soll menschliche Nutzer durch bestimmte Handbewegungen identifizieren – die Software verfolgt dabei 21 Referenzpunkte. Doch die Tester stellten fest: Das System unterscheidet nicht zuverlässig zwischen einem lebenden Menschen und einem statischen Foto.
Mit einem Python-Skript sowie den Tools OpenCV und pyvirtualcam streamten die Forscher ein Archivfoto einer Handgeste als virtuelle Kamera in den Browser. Das Ergebnis: Googles System erkannte die Geste im unbewegten Bild und quittierte sie mit dem Status „PASSED". Ähnliche Resultate erzielten die Tester mit der Open Broadcaster Software (OBS), die Standbilder in das Verifikationsfenster einspeiste.
Das Feature befindet sich zwar noch in einer frühen Entwicklungsphase. Doch die Leichtigkeit, mit der es sich überlisten ließ, offenbart ein erhebliches Sicherheitsproblem: Die aktuelle Abhängigkeit von reiner Gestenerkennung ohne robuste Lebendprüfung.
Branche setzt auf neue Authentifizierungsprotokolle
Googles neues Handgesten-Captcha wurde mit simplen Fotos umgangen. Wie steht es um Ihre Bot-Abwehr? Der kostenlose Sicherheits-Check zeigt Schwachstellen und Alternativen. Sicherheits-Check per E-Mail anfordern
Die Sicherheitslücke kommt zu einem Zeitpunkt, an dem große Technologiekonzerne interaktive Herausforderungen ganz abschaffen wollen. Aktuelle Branchenberichte zeigen: Automatisierter Traffic macht inzwischen zwischen 45 und 58 Prozent aller Webaktivitäten aus – angetrieben vor allem durch KI-Agenten und Datensammler für das Training großer Sprachmodelle.
Als Antwort auf die zunehmende Raffinesse der Bots hat Cloudflare das PACT-Protokoll (Private Access Control Tokens) vorgeschlagen. Google Chrome, Microsoft Edge, Mozilla Firefox und Shopify unterstützen die Initiative bereits. PACT soll klassische Captchas durch anonyme Token ersetzen. Statt mühsamer Aufgaben wie dem Identifizieren von Objekten oder dem Ausführen von Handgesten prüft das Protokoll die Identität über vertrauenswürdige Sitzungen und gerätebasierte Bestätigungen.
KI-gestützte Verifikation bleibt Herausforderung
Betrifft Ihr Unternehmen das? Automatisierter Traffic macht bis zu 58 % aller Webaktivitäten aus. Mit der Checkliste im Sicherheits-Check prüfen Sie in 5 Minuten, ob Ihre Systeme betroffen sind. Checkliste anfordern
Während die Umgehung des Gesten-Systems die aktuellen Grenzen visueller Bot-Abwehr zeigt, treibt Google die Integration fortschrittlicher KI-Funktionen in anderen Bereichen voran. Erst Anfang der Woche erweiterte der Konzern die „Take notes for me"-Funktion in Google Meet und führte kostenlose KI-Bildgenerierung für ausgewählte Nutzer in den USA ein.
Die jüngsten Erkenntnisse zu reCAPTCHA deuten jedoch darauf hin, dass defensive KI – also Systeme, die Menschen von automatisierten Agenten unterscheiden sollen – vor anhaltenden Herausforderungen steht. Die Umgehungstechniken werden für Laien immer zugänglicher. Einen konkreten Termin für eine korrigierte Version der Gesten-Verifikation oder die breite Einführung des PACT-Protokolls gibt es bislang nicht.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
