1. Was ist das Ziel dieses Kriteriums?
Stell dir vor, du willst dich schnell in deinen Online-Banking-Account einloggen – aber anstatt einfach dein Passwort aus dem Password Manager zu kopieren, musst du ein Puzzle lösen, dich an eine komplizierte Zahlenfolge erinnern oder die 3., 6. und 12. Ziffer deines Passworts einzeln eingeben. Frustrierend? Für Menschen mit kognitiven Einschränkungen kann sowas der Grund sein, warum sie wichtige Online-Services gar nicht nutzen können.
Das Ziel von Erfolgskriterium 3.3.8 der WCAG ist es, sicherzustellen, dass Anmeldeprozesse für alle Menschen zugänglich sind – ohne dass sie zu Gedächtnistests oder Rätselspielen werden. Authentifizierung soll sicher UND benutzerfreundlich sein.
2. Was fordert das Erfolgskriterium genau?
Ganz konkret geht es darum, dass bei jedem Schritt eines Anmeldeprozesses keine kognitiven Funktionstests erforderlich sein dürfen – es sei denn, es gibt mindestens eine der folgenden Alternativen:
Alternative Anmeldemethode: Eine andere Anmeldemöglichkeit, die keinen kognitiven Test erfordert (z.B. WebAuthn, OAuth, Fingerabdruck).
Unterstützender Mechanismus: Es gibt Hilfen wie Copy & Paste für Passwörter oder Browser-/Password-Manager-Unterstützung.
Objekterkennung: Der Test besteht nur darin, Objekte zu erkennen (z.B. "Klicken Sie auf alle Bilder mit Autos" bei CAPTCHAs).
Persönliche Inhalte: Der Test erfordert nur die Erkennung von Inhalten, die der Nutzer selbst bereitgestellt hat (z.B. das eigene Profilbild auswählen).
Was als kognitiver Funktionstest gilt: Passwörter merken, Rätsel lösen, Codes abtippen, Berechnungen durchführen oder komplexe Zeichenfolgen eingeben.
3. Warum ist das wichtig für Barrierefreiheit?
Stell dir vor, du hast Schwierigkeiten, dir Dinge zu merken, oder leidest an Dyslexie – und jedes Mal, wenn du dich irgendwo anmelden willst, wird es zur Tortur. Genau das passiert vielen Menschen täglich.
Barrierefreie Authentifizierung hilft:
- Menschen mit kognitiven Beeinträchtigungen, Gedächtnisproblemen oder Lernschwierigkeiten beim Zugang zu Online-Services.
- Älteren Menschen, die sich schwer mit komplexen Passwort-Anforderungen tun.
- Menschen mit Dyslexie oder Dyskalkulie, die Probleme beim Abtippen oder Rechnen haben.
- Allen Nutzern in stressigen Situationen, wo die Konzentration eingeschränkt ist.
- Menschen, die assistive Technologien nutzen und auf Copy & Paste oder automatisches Ausfüllen angewiesen sind.
Und nicht zuletzt: Barrierefreie Anmeldung ist oft auch die sicherere Anmeldung – Password Manager und Zwei-Faktor-Authentifizierung über Geräte sind sicherer als merkbare, schwache Passwörter.
4. So setzt du das Kriterium erfolgreich um
Die gute Nachricht: Moderne, sichere Authentifizierung ist oft automatisch barrierefreier als alte Methoden. Hier ein paar bewährte Tipps:
Grundregeln für barrierefreie Anmeldung:
- Lass Nutzer Passwörter aus Password Managern kopieren und einfügen.
- Blockiere nicht das automatische Ausfüllen von Anmeldefeldern durch Browser.
- Verwende korrekte HTML-Markup für Anmeldefelder (autocomplete="username", autocomplete="current-password").
- Biete moderne Alternativen wie WebAuthn (Fingerabdruck, FaceID, Hardware-Keys).
- Ermögliche Single Sign-On über vertrauenswürdige Anbieter (OAuth mit Google, Microsoft, etc.).
Bei Zwei-Faktor-Authentifizierung:
- Lass Codes aus SMS oder Authenticator-Apps kopieren und einfügen.
- Nutze Push-Benachrichtigungen statt manueller Code-Eingabe.
- Biete Hardware-Token oder biometrische Alternativen.
- Vermeide es, nur einzelne Ziffern aus Codes abzufragen.
Bei CAPTCHAs:
- Biete Audio-Alternativen zu visuellen Rätseln.
- Verwende moderne, unsichtbare CAPTCHA-Technologien (reCAPTCHA v3).
- Setze auf Objekterkennung statt auf Text-Eingabe ("Klicke auf alle Ampeln").
Was du vermeiden solltest:
- Verbot von Copy & Paste in Passwort-Feldern.
- Komplexe Mathe-Aufgaben oder Logik-Rätsel.
- Eingabe einzelner Passwort-Zeichen in separaten Feldern.
- Zeitlimits bei Anmeldeversuchen ohne Warnung.
5. Warum dieses Erfolgskriterium für Unternehmen relevant ist
Barrierefreie Authentifizierung ist nicht nur eine Frage der Inklusion – sie bringt messbare Business-Vorteile.
1. Zielgruppe erweitern Schwer zugängliche Anmeldeprozesse kosten Kunden. Studies zeigen: Nutzer brechen Registrierungen und Käufe ab, wenn der Login zu kompliziert ist. Barrierefreie Anmeldung reduziert Abbruchquoten und macht deine Services für mehr Menschen nutzbar – inklusive älterer Zielgruppen mit wachsender Kaufkraft.
2. Sicherheit UND Benutzerfreundlichkeit verbessern Moderne Authentifizierungsmethoden wie WebAuthn oder OAuth sind nicht nur barrierefreier, sondern auch sicherer als traditionelle Passwort-Systeme. Password Manager reduzieren schwache Passwörter, Zwei-Faktor-Auth über Push-Nachrichten ist sicherer als SMS-Codes. Du verbesserst also gleichzeitig Sicherheit und Accessibility.
3. Support-Kosten senken Komplizierte Anmeldeverfahren führen zu mehr Support-Anfragen wegen vergessener Passwörter, gesperrter Accounts und Login-Problemen. Barrierefreie, moderne Authentifizierung reduziert diese Kosten spürbar.
Und nicht zuletzt: Rechtssicherheit und Fördermöglichkeiten. Viele öffentliche Projekte fordern digitale Barrierefreiheit bereits verpflichtend – wer vorbereitet ist, hat klare Vorteile bei Ausschreibungen und Förderanträgen.
6. Das Erfolgskriterium im Wortlaut der W3
Success Criterion 3.3.8 Accessible Authentication (Minimum) (Level AA)
A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following:
Alternative: Another authentication method that does not rely on a cognitive function test.
Mechanism: A mechanism is available to assist the user in completing the cognitive function test.
Object Recognition: The cognitive function test is to recognize objects.
Personal Content: The cognitive function test is to identify non-text content the user provided to the website.
Note 1: "Object recognition" and "Personal content" may be represented by images, video, or audio.
Note 2: Examples of mechanisms that satisfy this criterion include:
- support for password entry by password managers to reduce memory need, and
- copy and paste to reduce the cognitive burden of re-typing.