Prüfpunkt 1.3.5Stufe AAFormulare ausfüllen
Wann darf ich autocomplete abschalten?
Abschalten passt zu Feldern, deren Wert nach dem Absenden nichts mehr nützt oder besonders heikel ist: ein Einmal-Code, die Prüfziffer einer Karte, eine amtliche Kennnummer. Für Name, Adresse, E-Mail und Telefon bleibt es an, denn dort spart es Besuchern das meiste Tippen. Bei Anmeldefeldern übergehen viele Browser ein „off“ ohnehin.
Was autocomplete="off" bewirkt
Das Attribut sagt dem Browser, dass er den Wert für spätere Formulare nicht speichern und nicht im Sitzungsverlauf behalten soll. Beim Zurück-Knopf erscheint der Wert dann auch nicht wieder. Es lässt sich für ein einzelnes Feld oder für das ganze Formular setzen. Laut MDN, der Web-Dokumentation von Mozilla, kommt es trotzdem vor, dass ein Browser weiter Vorschläge macht; dann hilft ein geänderter Feldname im Attribut name.
Bei Anmeldefeldern übergehen Browser das „off“
Viele aktuelle Browser unterstützen „off“ bei Benutzername und Passwort nicht. Sie bieten an, die Anmeldung zu speichern, und füllen sie beim nächsten Besuch aus, wenn der Besucher zugestimmt hat. MDN nennt den Grund: Wer sich Passwörter nicht merken muss, kann stärkere wählen. Für Anmeldeformulare gibt es eigene Werte: username, current-password für das bestehende Passwort, new-password für ein neues. Das Google-Portal web.dev empfiehlt username auch für ein E-Mail-Feld, das als Benutzername dient. Für Einmal-Codes gibt es one-time-code.
Das Kriterium 1.3.5 bleibt erfüllbar
WCAG verlangt nicht, dass das Ausfüllen funktioniert. Verlangt ist, dass der Zweck von Feldern mit Angaben zur Person im Code steht. W3C und MDN beschreiben deshalb diesen Weg: Das Formular erhält „off“, die einzelnen Felder nennen ihren Zweck, etwa email. Erfundene Werte, die das Ausfüllen austricksen sollen, helfen dagegen nicht: Der Zweck ist dann für kein Programm mehr erkennbar, und die Anforderung bleibt offen.
NIST verlangt, dass Passwort-Manager arbeiten dürfen
Das US-Normeninstitut NIST schreibt in seiner Richtlinie SP 800-63B: Dienste müssen Passwort-Manager und automatisches Ausfüllen zulassen, und sie sollen das Einfügen von Passwörtern erlauben. Die Begründung dort: Mit Passwort-Managern wählen Menschen eher starke Passwörter. Das Open Worldwide Application Security Project (OWASP), eine Fachgemeinschaft für Anwendungssicherheit, rät ebenso zum Einfügen in Felder für Benutzername, Passwort und zweiten Faktor. Für Unternehmen in Österreich und Deutschland sind das Empfehlungen ohne Gesetzeskraft. Sie zeigen, wohin die Fachwelt die Anmeldung entwickelt.
Wer das Abschalten am stärksten spürt
MDN nennt Menschen mit kognitiven Einschränkungen, die sich auf das Ausfüllen verlassen, um persönliche Angaben abzurufen, und Menschen mit motorischen Einschränkungen, denen jedes eingesparte Tippen hilft. Das W3C ergänzt Gedächtnisprobleme und Legasthenie. Für diese Besucher macht „off“ auf einem Adressformular aus einer Bestätigung wieder eine Tippaufgabe.
Beispiele
Anmeldeformular
<input type="email" name="email" autocomplete="off">
<input type="password" name="pw" autocomplete="off" onpaste="return false"><input type="email" name="email" autocomplete="username">
<input type="password" name="pw" autocomplete="current-password">Der Passwort-Manager erkennt beide Felder, und das Einfügen bleibt möglich.
So gehen Sie es an
- Gehen Sie Ihre Formulare durch und entfernen Sie „off“ überall dort, wo Name, Adresse, E-Mail oder Telefon abgefragt werden.
- Behalten Sie „off“ dort, wo ein Wert nur einmal gilt oder besonders heikel ist, etwa bei der Prüfziffer einer Karte.
- Lassen Sie Sperren gegen das Einfügen aus Passwortfeldern entfernen.
Mehr zu diesem Thema
Weiter im Prüfbereich Barrierefreiheit
- Welche Regel gilt für meine Website: WCAG 2.1, WCAG 2.2 oder EN 301 549?WCAG 2.2 ist seit Dezember 2024 die Empfehlung, im EU-Amtsblatt steht noch EN 301 549 mit WCAG 2.1. Stand November 2026 für Österreich und Deutschland.
- Wer verlangt von mir die Stufe AAA?Kein Gesetz in Österreich oder Deutschland verlangt die Stufe AAA als Ganzes. Einzelne Kriterien verlangen Behörden, Ausschreibungen und Ihr Publikum.
- Warum brauchen Fehlermeldungen und Links mehr als nur eine Farbe?Viele Menschen sehen Farben eingeschränkt. Information muss deshalb immer doppelt vermittelt werden: durch Farbe plus Text, Symbol oder Unterstreichung.
- Wie stoppen Besucher automatisch startende Musik auf einer Website?Ton, der länger als drei Sekunden automatisch spielt, braucht einen Stopp- oder Lautstärkeregler direkt auf der Seite. Sonst ist er ein echtes Hindernis.
Dieser Prüfpunkt gehört zum Prüfbereich Barrierefreiheit; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
