Erfolgskriterien

WCAG 3.3.8 Barrierefreie Authentifizierung (Minimum)

Erfolgskriterium 3.3.8 verlangt, dass ein kognitiver Funktionstest (sich ein Passwort merken, ein Rätsel lösen, einen Code abtippen) nicht die einzige Möglichkeit ist, einen Authentifizierungsprozess abzuschließen, es sei denn, eine alternative Methode, ein Unterstützungsmechanismus oder Objekterkennung/persönliche Inhaltsidentifikation steht zur Verfügung. Es ist ein Kriterium der Stufe AA unter Richtlinie 3.3 (Eingabehilfen), neu in WCAG 2.2.

Was als "kognitiver Funktionstest" gilt

Alles, was den Nutzer zwingt, sich rein aus dem Gedächtnis etwas zu merken, abzuschreiben oder zu berechnen, um sich anzumelden: ein Passwort auswendig lernen ohne Möglichkeit, es anzusehen oder einzufügen, ein Rätsel-CAPTCHA lösen, manuell einen Code von einem Bild oder einem separaten Gerät abtippen. Für Menschen mit bestimmten kognitiven oder gedächtnisbezogenen Behinderungen können diese Aufgaben eine echte Barriere sein, sich überhaupt anzumelden – nicht nur eine Unannehmlichkeit.

Die akzeptierten Alternativen (mindestens eine erforderlich)

Alternative Methode – ein Anmeldeweg, der den kognitiven Test nicht erfordert, wie biometrische Authentifizierung (Fingerabdruck, Gesichtserkennung) oder ein per E-Mail gesendeter Magic Link.

Unterstützungsmechanismus – Passwort-Managern erlauben, Zugangsdaten automatisch auszufüllen und einzufügen (statt das Einfügen in Passwortfeldern zu blockieren, ein Muster, das diese Erleichterung aktiv zunichtemacht), oder "Passwort anzeigen"-Umschalter anbieten, damit Nutzer visuell überprüfen können, was sie eingegeben haben, statt sich rein auf die Erinnerung zu verlassen, was sie eingeben wollten.

Objekterkennung – nicht-textliche Objekte identifizieren, die dem Nutzer bereits vertraut sind (etwa ein von ihm hochgeladenes persönliches Foto), statt eines abstrakt auswendig gelernten Geheimnisses.

Persönliche Inhaltsidentifikation – Inhalte identifizieren, die der Nutzer selbst bereitgestellt hat (kein systemgenerierter abstrakter Test).

Der häufigste reale Verstoß: Blockieren des Passwort-Einfügens

Das Einfügen in Passwortfelder zu deaktivieren – manchmal aufgrund der irrigen Annahme getan, dass dies die Sicherheit verbessert – wirkt aktiv gegen Passwort-Manager und zwingt Nutzer, lange, komplexe, nirgendwo gemerkte Passwörter manuell aus dem Gedächtnis erneut einzutippen. Dies ist einer der direktesten, häufigsten Verstöße gegen dieses Kriterium, und das Entfernen der Einfüge-Blockierung (damit Passwort-Manager normal funktionieren) ist meist die einzige Korrektur mit der größten Wirkung bei geringstem Aufwand.

Was nicht erforderlich ist

Dieses Kriterium verbietet Passwörter nicht vollständig – es verlangt, dass ein kognitiver Test nicht der einzige Weg ist und dass angemessene unterstützende Mechanismen (wie Einfügen-Unterstützung) nicht aktiv blockiert werden.

Häufige Fragen

Was ist WCAG 3.3.8?

Ein Kriterium der Stufe AA, neu in WCAG 2.2: Die Anmeldung darf nicht von einem kognitiven Funktionstest abhängen (Passwörter erinnern, Zeichen abtippen, Rätsel lösen), wenn keine barrierefreie Alternative existiert.

Wie erfüllt man das Kriterium?

Passwortmanager unterstützen (Einfügen und Browser-Autofill erlauben), passwortlose Anmeldung oder Anmeldung per E-Mail-Link anbieten oder Objekterkennung statt eines Gedächtnis- oder Rätseltests nutzen.

Verbietet das Kriterium CAPTCHAs?

Nicht grundsätzlich, aber ein CAPTCHA mit kognitivem Rätsel verstößt dagegen, sofern nicht zusätzlich eine alternative Methode oder eine Erkennung von Objekten bzw. Nicht-Text-Inhalten angeboten wird.