Barrierefreiheit · Prüfpunkt
Was macht eine Anmeldung auf einer Website barrierefrei?
Eine Anmeldung ist barrierefrei, wenn sie ohne Gedächtnis- oder Rätselleistung auskommt. Der Kunde darf sein Passwort aus einem Passwort-Manager einfügen, statt es auswendig zu wissen; niemand muss verzerrte Zeichen abtippen oder Zeichenfolgen zwischen Geräten übertragen. Das mit WCAG 2.2 neu eingeführte Kriterium 3.3.8 nennt solche Hürden kognitive Funktionstests — und verlangt, dass die Anmeldung ohne sie möglich ist oder eine Alternative bietet.
Merkaufgaben sperren Kunden aus
Sich ein Passwort zu merken und fehlerfrei einzutippen ist ein Gedächtnistest — für Menschen mit Demenz, Lernschwierigkeiten, Konzentrationsstörungen oder nach einem Schlaganfall oft ein unüberwindbarer. Dasselbe gilt für das Abtippen eines Codes vom Handy auf den Rechner oder das Lösen verzerrter Zeichenrätsel. Das Kriterium verbietet Passwörter nicht: Es verlangt, dass es einen Weg ohne eigene Merkleistung gibt. In der Praxis genügt oft wenig. Die Anmeldefelder erlauben das Einfügen aus der Zwischenablage und die automatische Ausfüllung durch Passwort-Manager. Alternativ tragen moderne Wege wie ein Anmeldelink per E-Mail oder ein Passkey die Anmeldung ganz ohne Gedächtnisleistung. Ein Anmeldefeld, das Einfügen sperrt, verstößt dagegen direkt gegen das Kriterium.
So prüft der Prüfservice die zugängliche Authentifizierung
Ob eine Anmeldung ohne Merkleistung möglich ist, entscheidet sich am vollständigen Anmeldeweg: Welche Schritte verlangt die Website, lässt jedes Feld das Einfügen zu, greift ein Passwort-Manager, gibt es einen alternativen Weg. Diesen Weg kann eine automatische Einzelseiten-Messung ohne echtes Kundenkonto nicht vollständig durchlaufen. Unser Bericht weist das Kriterium 3.3.8 deshalb offen als manuellen Prüfpunkt aus. Beim Gold-Standard prüft ein Mensch den Anmeldeablauf Schritt für Schritt: Er testet das Einfügen in die Felder, das Verhalten mit einem Passwort-Manager und das Vorhandensein von Rätsel- oder Abtipp-Aufgaben. Der Bericht sagt damit ehrlich, was gemessen und was menschlich beurteilt wurde.
So gehen Sie es an
- Testen Sie Ihr Anmeldeformular mit Kopieren und Einfügen — beide Felder müssen eingefügte Zeichen annehmen.
- Prüfen Sie, ob ein gängiger Passwort-Manager Ihre Felder erkennt und automatisch ausfüllt.
- Ersetzen Sie Rätselaufgaben mit verzerrten Zeichen durch unsichtbare Schutzverfahren oder eine einfache Bestätigung.
- Bieten Sie einen Anmeldeweg ohne Gedächtnisleistung an, etwa einen Anmeldelink per E-Mail oder einen Passkey.
- Verzichten Sie auf Abfragen, die Kunden Codes von einem Gerät auf ein anderes abtippen lassen — Einfügen und automatische Übernahme müssen möglich bleiben.
Häufige Fragen
Was ist ein kognitiver Funktionstest bei der Anmeldung?
Ein kognitiver Funktionstest ist jede Aufgabe, die Merken, Abtippen oder Rätsellösen verlangt: ein Passwort auswendig eingeben, verzerrte Zeichen erkennen, einen Code vom Handy abschreiben, Rechenaufgaben lösen. Das WCAG-Kriterium 3.3.8 verlangt, dass die Anmeldung ohne solche Tests möglich ist — oder dass eine Alternative wie Passwort-Manager-Unterstützung oder ein Anmeldelink bereitsteht.
Sind Passwörter nach WCAG 2.2 noch erlaubt?
Passwörter bleiben erlaubt. Entscheidend ist, dass niemand sie auswendig wissen und von Hand eintippen muss: Die Felder müssen Einfügen aus der Zwischenablage und automatisches Ausfüllen durch Passwort-Manager zulassen. Damit trägt das Werkzeug die Gedächtnisleistung, der Mensch entscheidet nur noch. Ein Feld, das Einfügen technisch sperrt, verstößt gegen das Kriterium 3.3.8.
Erfüllt ein Zeichenrätsel als Bot-Schutz das Kriterium?
Ein Rätsel mit verzerrten Zeichen ist ein kognitiver Funktionstest und macht die Anmeldung unzugänglich, wenn es der einzige Weg ist. Zulässig bleiben Schutzverfahren, die ohne Merk- und Erkennleistung auskommen — etwa unsichtbare Prüfungen im Hintergrund oder eine einfache Bestätigung per Klick. Bietet die Website neben dem Rätsel einen gleichwertigen rätselfreien Weg an, ist das Kriterium erfüllt.
Weiter im Prüfbereich Barrierefreiheit
- Was bedeutet Name, Rolle, Wert bei einer Website?Jedes Bedienelement muss Hilfsprogrammen Name, Rolle und Wert mitteilen — sonst hört ein blinder Besucher nur „Element“. So prüfen wir WCAG 4.1.2.
- Wie erfahren blinde Besucher von Statusmeldungen einer Website?Statusmeldungen wie „Artikel im Warenkorb“ müssen Vorleseprogramme automatisch ansagen. Was WCAG-Kriterium 4.1.3 verlangt und wie wir es prüfen.
- Warum braucht jedes Bild auf der Website einen Alternativtext?Alternativtexte machen Bilder für blinde Menschen und für die Google-Bildersuche lesbar. Fehlt das alt-Attribut, bleibt das Bild für beide unsichtbar.
- Welche Alternative brauchen reine Audio- und Videodateien auf der Website?Reine Audiodateien brauchen eine Textabschrift, stumme Videos eine Beschreibung. So erreicht der Inhalt auch Menschen, die schlecht hören oder sehen.
Dieser Prüfpunkt gehört zum Prüfbereich Barrierefreiheit — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.