WCAG 3.3.8 Barrierefreie Authentifizierung (Minimum)

Das Erfolgskriterium 3.3.8 ist neu in WCAG 2.2. Es hilft Menschen mit kognitiven Beeinträchtigungen, Gedächtnis- oder Lernschwierigkeiten und Legasthenie, die sich durch das Merken eines Passworts, das Abtippen eines Codes oder das Lösen eines Rätsels aus ihrem Konto aussperren können. Im Shop betrifft das Login, Registrierung, Passwort-Zurücksetzen, Zwei-Faktor-Codes und CAPTCHAs. Es gehört zur Konformitätsstufe AA und steht in EN 301 549 als Abschnitt 9.3.3.8. Das BFSG verweist über die harmonisierte Norm EN 301 549 auf diese Anforderungen.

Was das Erfolgskriterium verlangt

Für keinen Schritt eines Authentifizierungsprozesses darf ein kognitiver Funktionstest verlangt werden, es sei denn, dieser Schritt bietet mindestens eines davon:

• Alternative: eine andere Authentifizierungsmethode, die nicht auf einem kognitiven Funktionstest beruht;
• Mechanismus: einen Mechanismus, der den Nutzer unterstützt, etwa Unterstützung für Passwortmanager oder Kopieren und Einfügen;
• Objekterkennung: der Test besteht darin, Objekte zu erkennen;
• Persönliche Inhalte: der Test besteht darin, Nicht-Text-Inhalte zu erkennen, die der Nutzer der Website bereitgestellt hat (zum Beispiel ein Foto, das er hochgeladen hat).

Ein kognitiver Funktionstest ist eine Aufgabe, bei der der Nutzer Informationen merken, verarbeiten oder abschreiben muss: sich ein Passwort oder Muster merken, auf dem Bildschirm angezeigte Zeichen eintippen, buchstabieren, rechnen, Rätsel lösen. Einen Namen, eine E-Mail-Adresse oder eine Telefonnummer einzugeben, ist kein kognitiver Funktionstest.

Die Ausnahmen für Objekterkennung und persönliche Inhalte gelten nur auf Stufe AA; das AAA-Kriterium 3.3.9 lässt sie nicht zu.

Typische Fehler in Onlineshops

• das Passwortfeld blockiert das Einfügen oder setzt Attribute und Skripte, die Passwortmanager am Ausfüllen hindern, ohne andere Login-Methode;
• ein Zwei-Faktor-Code, der auf sechs einzelne Kästchen aufgeteilt ist, die einen eingefügten Code ablehnen;
• ein Text-CAPTCHA (verzerrte Buchstaben abtippen) oder eine Rechenaufgabe als einzige Option;
• ein Audio-CAPTCHA, bei dem man als „Alternative“ das Gehörte abschreiben muss;
• die Abfrage „des 2., 5. und 7. Zeichens“ eines Passworts;
• eine Sicherheitsfrage wie „Name Ihres ersten Haustiers“ als einziger Weg zur Wiederherstellung.

So prüfen Sie es

Automatisch: Unser Checker hat für dieses Kriterium keine Regel. Er meldet sich nicht an, deshalb ist eine manuelle Prüfung nötig.

Manuell: Testen Sie Login, Registrierung, Passwort-Zurücksetzen und jeden Zwei-Faktor-Schritt. Versuchen Sie, das Passwort mit einem Passwortmanager zu speichern und ausfüllen zu lassen. Fügen Sie ein Passwort und einen Einmalcode aus der Zwischenablage ein. Notieren Sie jedes CAPTCHA und was es von Ihnen verlangt. Suchen Sie bei jedem Schritt mit einer Gedächtnis- oder Abschreibaufgabe nach einer Alternative (Login-Link per E-Mail, Passkey) oder einem Mechanismus (Einfügen, Autofill).

So beheben Sie es

• Erlauben Sie Einfügen und Autofill: Verwenden Sie autocomplete="current-password", new-password und one-time-code und blockieren Sie das Einfügen nicht.
• Verwenden Sie für Einmalcodes ein einziges Eingabefeld oder sorgen Sie dafür, dass aufgeteilte Felder einen eingefügten Code annehmen.
• Bieten Sie einen Login-Link per E-Mail, Passkeys oder Social Login als Alternative an.
• Ersetzen Sie Text- und Rechen-CAPTCHAs durch eine Option ohne kognitiven Test; das W3C rät, wo möglich auch Objekterkennung zu vermeiden.

Verwandte Kriterien

• 3.3.7 Redundante Eingabe — Nutzer sollen Daten in einem Prozess nicht erneut eintippen müssen.
• 1.3.5 Bestimmung des Eingabezwecks — autocomplete an Eingabefeldern.
• WCAG-2.2-Checkliste — die anderen neuen Kriterien in WCAG 2.2.

Häufige Fragen

Sind Passwörter nach WCAG 3.3.8 noch erlaubt?

Ja, wenn der Nutzer dabei unterstützt wird: Passwortmanager können das Feld ausfüllen, und Einfügen ist erlaubt. Einfügen oder Autofill im Passwortfeld zu blockieren, ist ein Verstoß, es sei denn, es wird eine andere Login-Methode ohne kognitiven Test angeboten.

Ist ein CAPTCHA nach WCAG 2.2 AA erlaubt?

Ein CAPTCHA, bei dem Nutzer nur Objekte erkennen müssen (zum Beispiel die Bilder mit einem Fahrrad auswählen), ist auf Stufe AA durch die Ausnahme für Objekterkennung erlaubt. CAPTCHAs mit Textabschrift, Rechenaufgaben oder Rätseln brauchen eine Alternative.

Ist ein Einmalcode per SMS oder E-Mail akzeptabel?

Ja, wenn Nutzer den Code einfügen oder vom Browser ausfüllen lassen können. Getrennte Kästchen pro Ziffer, die einen eingefügten Code ablehnen, sind ein Verstoß. Ein Login-Link per E-Mail ist laut W3C eine hinreichende Technik.

Ist die Eingabe meiner E-Mail-Adresse ein kognitiver Funktionstest?

Nein. Laut W3C gelten die gängigen Kennungen Name, E-Mail-Adresse und Telefonnummer nicht als kognitive Funktionstests.