WCAG 3.3.8: Zugängliche Authentifizierung (Minimum)

WCAG 3.3.8 verlangt, dass kein Schritt einer Anmeldung einen kognitiven Funktionstest voraussetzt – also kein Auswendiglernen, kein Abtippen, kein Rechnen und kein Rätsel. Zulässig bleibt ein solcher Schritt nur, wenn es eine Alternative ohne Test gibt oder ein Mechanismus dabei hilft, etwa Einfügen aus der Zwischenablage oder ein Passwort-Manager.

(Englisch: Accessible Authentication (Minimum).)

Das Wichtigste in Kürze

• Kognitiver Funktionstest heißt: sich etwas merken, etwas abschreiben, etwas ausrechnen oder ein Rätsel lösen. Genau das darf keine Voraussetzung sein.
• Vier Ausnahmen nennt die Norm: Alternative, unterstützender Mechanismus, Objekterkennung und persönlicher Inhalt.
• Einfügen aus der Zwischenablage muss funktionieren – ein onpaste-Verbot am Passwortfeld ist der schnellste Weg, dieses Kriterium zu verletzen.
• Objekterkennung bleibt erlaubt: „Alle Ampeln auswählen“ ist auf Stufe AA zulässig, verzerrte Buchstaben abzutippen dagegen nicht.
• Sicherheitsfragen fallen durch. Der Mädchenname der Mutter ist ein reiner Gedächtnistest – ohne Alternative kein konformer Anmeldeweg.
• Der häufigste Verstoß in freier Wildbahn sind sechs getrennte Eingabefelder für den Einmalcode, in die sich der Code nicht am Stück einfügen lässt.
• Rechtsstand Juli 2026: Die EN 301 549 verweist in ihrer geltenden Fassung noch auf WCAG 2.1; 3.3.8 ist damit im deutschen Recht noch nicht unmittelbar verbindlich. Die Fortschreibung ist absehbar.
• Auf Stufe AAA verschärft 3.3.9 die Anforderung: Dort entfallen die Ausnahmen für Objekterkennung und persönlichen Inhalt.

Sind CAPTCHAs beim Login noch erlaubt?

Nur mit Alternative. Kein Anmeldeschritt darf einen kognitiven Funktionstest voraussetzen – Passwort-Manager und Copy-Paste müssen funktionieren.

Der Normtext benennt vier Arten kognitiver Funktionstests: sich etwas merken, etwas abschreiben oder transkribieren, etwas berechnen und ein Rätsel lösen. Verlangt ein Anmeldeschritt eines davon, ist er nur zulässig, wenn eine der folgenden Bedingungen erfüllt ist:

Die zweite Ausnahme ist in der Praxis die wichtigste, und sie ist erstaunlich niedrigschwellig: Ein ganz normales Anmeldeformular mit Benutzername und Passwort erfüllt 3.3.8 bereits, solange Browser und Passwort-Manager die Felder ausfüllen dürfen. Es braucht also keine Umstellung auf Passkeys – es braucht vor allem, dass man dem Passwort-Manager nicht im Weg steht.

Für CAPTCHAs bedeutet das Kriterium beinahe ein Aus: Verzerrte Zeichen abzutippen ist Transkription, eine Rechenaufgabe zu lösen ist Berechnung, ein Puzzle zusammenzuschieben ist ein Rätsel. Übrig bleiben Bild-CAPTCHAs mit Objekterkennung – und unsichtbare Verfahren, die im Hintergrund Signale auswerten, ohne die nutzende Person zu behelligen. Das ist ohnehin der bessere Weg.

Der Normtext steht im Understanding-Dokument des W3C zu 3.3.8, das deutsche Prüfvorgehen im Prüfschritt „3.3.8 Zugängliche Authentifizierung (Minimum)“ des BIK-BITV-Tests.

Wen betrifft es besonders?

Menschen mit Gedächtnis-Einschränkungen, Demenz, Legasthenie oder Dyskalkulie – für sie ist das Abtippen eines achtstelligen Codes keine Kleinigkeit, sondern eine Hürde, an der der Vorgang endet. Wer Ziffernfolgen nicht zuverlässig im Arbeitsgedächtnis halten kann, schafft es nicht vom SMS-Fenster zurück ins Eingabefeld, ohne die Hälfte zu verlieren.

Blinde Nutzerinnen und Nutzer scheitern an Bild-CAPTCHAs grundsätzlich; Audio-CAPTCHAs als Ersatz sind oft so verrauscht, dass sie auch mit gutem Gehör kaum lösbar sind.

Menschen mit motorischen Einschränkungen zahlen jede zusätzliche Transkription in Zeit und Anstrengung. Und Nutzer von Sprachsteuerung können ein Passwort nicht laut diktieren, ohne es preiszugeben – für sie ist der Passwort-Manager nicht Komfort, sondern der einzige praktikable Weg.

Nebenbei profitieren alle: Wer sich schon einmal auf dem Handy zwischen SMS-App und Browser hin- und hergehangelt hat, weiß, warum.

Richtig & falsch im Code

<!-- Falsch: Einfügen blockiert, Autofill verboten -->
<input type="password" onpaste="return false" autocomplete="off" />

<!-- Richtig: Passwort-Manager und Einfügen willkommen -->
<label for="benutzer">E-Mail-Adresse</label>
<input id="benutzer" type="email" autocomplete="username" />

<label for="pw">Passwort</label>
<input id="pw" type="password" autocomplete="current-password" />

Die autocomplete-Tokens sind hier kein Beiwerk: Genau an ihnen erkennen Passwort-Manager, welches Feld welchen Wert bekommt. Damit hängt 3.3.8 direkt an 1.3.5 Eingabezweck bestimmen.

<!-- Falsch: sechs Einzelfelder, in die sich der Code nicht einfügen lässt -->
<input maxlength="1" /><input maxlength="1" /><input maxlength="1" />
<input maxlength="1" /><input maxlength="1" /><input maxlength="1" />

<!-- Richtig: ein Feld, das den ganzen Code annimmt -->
<label for="otp">Bestätigungscode aus der SMS</label>
<input id="otp" inputmode="numeric" autocomplete="one-time-code"
       pattern="[0-9]{6}" />

autocomplete="one-time-code" bewirkt auf aktuellen Systemen, dass der Code aus der eingehenden SMS direkt als Vorschlag über der Tastatur erscheint – ein Tipp, und das Feld ist gefüllt. Wenn die einzelnen Kästchen aus Designgründen bleiben sollen, muss das Skript zumindest einen eingefügten sechsstelligen Wert auf die Felder verteilen.

<!-- Falsch: Sicherheitsfrage als einziger zweiter Faktor -->
<label for="frage">Wie hieß Ihre erste Schule?</label>

<!-- Richtig: Alternative ohne kognitiven Test anbieten -->
<button type="button">Mit Passkey anmelden</button>
<button type="button">Anmeldelink per E-Mail senden</button>

Ein Muster, das in deutschen Bankportalen noch vorkommt, ist die Abfrage einzelner Zeichen des Passworts – „Bitte geben Sie das 2., 5. und 7. Zeichen ein“. Das ist ein Gedächtnistest par excellence, weil kein Passwort-Manager ihn bedienen kann. Ohne Alternative fällt so ein Login durch.

So testest du es

1. Alle Anmeldewege auflisten: Passwort, zweiter Faktor, Wiederherstellung des Passworts, Erstregistrierung, erneute Anmeldung nach Zeitablauf. Jeder Schritt wird einzeln bewertet.
2. Einfüge-Test: Passwort und Einmalcode aus der Zwischenablage einfügen – sowohl mit Tastenkürzel als auch über das Kontextmenü. Wird das Einfügen irgendwo unterdrückt?
3. Passwort-Manager-Test: Erkennt ein üblicher Manager die Felder und füllt sie korrekt? Wenn nicht, liegt es fast immer an fehlenden oder falschen autocomplete-Tokens.
4. CAPTCHA-Inventur: Gibt es Transkriptions-, Rechen- oder Rätselaufgaben? Existiert dafür eine Alternative ohne kognitiven Test?
5. Einmalcode am Telefon prüfen: Erscheint der Code als Tastaturvorschlag? Lässt er sich am Stück einfügen, auch wenn das Feld in Kästchen unterteilt ist?
6. Kompletten Login mit NVDA durchspielen, inklusive Fehlerfall – dort tauchen zusätzlich Probleme mit 3.3.1 und 4.1.3 auf.

Häufiger Fehler in der Praxis

Der mit Abstand häufigste Verstoß sind die sechs Kästchen für den Einmalcode. Sie sehen modern aus, springen automatisch weiter, und sie machen das Einfügen kaputt: Der Code landet komplett im ersten Kästchen oder wird nach dem ersten Zeichen abgeschnitten. Wer den Code dann von Hand abtippt, macht genau das, was das Kriterium verhindern soll. Ich sag’s mal so: Ein einzelnes Feld mit autocomplete="one-time-code" ist die bessere Lösung und spart obendrein den ganzen Skriptaufwand.

Der zweite ist das Einfüge-Verbot aus Sicherheitsgründen. Die Begründung war schon vor zehn Jahren fragwürdig und ist es heute erst recht: Wer nicht einfügen darf, nimmt kürzere Passwörter, die er tippen kann. Das NCSC hat dazu einen lesenswerten Beitrag geschrieben. Manchmal steckt das Verbot auch gar nicht im Code, sondern in einem Sicherheits-Plugin – dann findet man es nur, wenn man es selbst ausprobiert.

Der dritte ist die Sicherheitsfrage als Wiederherstellungsweg. Sie ist ein reiner Gedächtnistest, und sie hat kein Passwort-Manager-Äquivalent. Wenn sie bleiben soll, muss daneben ein Weg ohne kognitiven Test stehen – ein Link per E-Mail genügt.

Häufige Fragen

Sind CAPTCHAs durch 3.3.8 verboten?

Nicht pauschal, aber die meisten Bauarten fallen weg. Verzerrte Zeichen abzutippen ist Transkription, Rechenaufgaben sind Berechnung, Schiebepuzzles sind Rätsel – all das verstößt ohne Alternative gegen das Kriterium. Zulässig bleibt die Objekterkennung („alle Ampeln auswählen“) sowie jedes Verfahren, das ohne Interaktion auskommt. Auf Stufe AAA entfällt auch die Objekterkennungs-Ausnahme.

Erfüllt ein normales Passwort-Login das Kriterium?

Ja, sofern Browser und Passwort-Manager die Felder ausfüllen dürfen und das Einfügen erlaubt ist. Das Passwort selbst ist zwar ein Gedächtnistest, aber der Passwort-Manager ist genau der „Mechanismus“, den die Ausnahme meint. Voraussetzung sind korrekte autocomplete-Tokens und kein autocomplete="off".

Ist Zwei-Faktor-Authentifizierung ein Problem?

Nicht grundsätzlich. Ein Code per SMS oder aus einer Authenticator-App ist zwar Transkription, aber der Mechanismus rettet den Fall: Der Code muss sich einfügen lassen, und autocomplete="one-time-code" sollte gesetzt sein. Problematisch wird es erst, wenn das Formular das Einfügen verhindert.

Gilt 3.3.8 in Deutschland schon?

Stand Juli 2026 nicht unmittelbar. Die EN 301 549 verweist in ihrer geltenden Fassung auf WCAG 2.1, und 3.3.8 kam erst mit WCAG 2.2 – damit ist das Kriterium weder über das BFSG noch über die BITV 2.0 direkt einklagbar. Eine Fortschreibung der Norm gilt als absehbar; wer jetzt einen Login baut, sollte das Kriterium einplanen. Dies ist keine Rechtsberatung.

Was ist der Unterschied zu 3.3.9?

3.3.9 Zugängliche Authentifizierung (Erweitert) steht auf Stufe AAA und streicht zwei Ausnahmen: Objekterkennung und persönlicher Inhalt zählen dort ebenfalls als kognitive Funktionstests. Praktisch bleiben damit nur noch Verfahren übrig, die ganz ohne Rätselaufgabe auskommen – Passkeys, Anmeldelinks, Gerätebiometrie.

Verwandte Themen

• 1.3.5 Eingabezweck bestimmen – die autocomplete-Grundlage für Passwort-Manager
• 3.3.7 Redundante Eingabe – Eingaben sparen, auch beim Login
• 3.3.1 Fehlererkennung – der Fehlerfall im Anmeldeformular
• Die neuen WCAG-2.2-Kriterien – 3.3.8 im Kontext der Neuerungen
• Aktuelles zum BFSG – Stand der Normfortschreibung