3.3.9 Zugängliche Authentifizierung (Enhanced)

1. Was ist das Ziel dieses Kriteriums?

Passwörter vergessen gehört heute zum digitalen Alltag wie der Kaffee zum Morgen. Aber was, wenn du zusätzlich noch Rätsel lösen, Objekte erkennen oder komplizierte Aufgaben bewältigen musst, nur um dich anzumelden? Für Menschen mit kognitiven Einschränkungen kann das zum unüberwindbaren Hindernis werden.

Das Ziel von Erfolgskriterium 3.3.9 der WCAG ist es, Authentifizierung so zugänglich wie möglich zu machen. Und zwar ohne dass Nutzer ihre Gedächtnisleistung unter Beweis stellen oder visuelle Rätsel lösen müssen. Kurz gesagt: Anmeldung soll funktionieren, ohne dass dein Gehirn Überstunden machen muss.

2. Was fordert das Erfolgskriterium genau?

Erfolgskriterium 3.3.9 ist die "Enhanced"-Version von 3.3.8 und damit noch strikter: Kognitive Funktionstests sind in keinem Schritt der Authentifizierung erlaubt – es sei denn, es gibt eine der folgenden Alternativen:

Alternative Authentifizierungsmethode: Eine andere Anmeldemöglichkeit, die ganz ohne kognitive Tests auskommt – z.B. Login mit Fingerabdruck, WebAuthn oder OAuth (Google, Facebook, etc.).

Unterstützungsmechanismus: Ein Hilfsmittel, das dem Nutzer beim Bewältigen der kognitiven Aufgabe hilft – etwa automatisches Ausfüllen durch den Browser oder Password-Manager.

Was im Vergleich zu Level AA (3.3.8) wegfällt:

• Keine Objekterkennung mehr erlaubt: "Klicke alle Bilder mit Autos an" ist tabu.
• Keine benutzerdefinierten Inhalte: "Wähle das Foto aus, das du hochgeladen hast" geht nicht.

Das bedeutet: Entweder du bietest eine vollständig kognitionsfreie Alternative an, oder du hilfst dabei, die Aufgabe zu lösen.

3. Warum ist das wichtig für Barrierefreiheit?

Stell dir vor, du willst dich in dein Online-Banking einloggen, aber das System verlangt von dir, ein Puzzle zu lösen oder bestimmte Bilder zu erkennen. Für Menschen mit Dyslexie, Dyskalkulie oder Gedächtnisproblemen kann das frustrierend oder sogar unmöglich sein.

Zugängliche Authentifizierung schafft Teilhabe, weil sie:

• Menschen mit kognitiven Einschränkungen ermöglicht, digitale Dienste selbstständig zu nutzen.
• Stress und Angst reduziert, die durch komplexe Anmeldeverfahren entstehen.
• Älteren Menschen hilft, die möglicherweise Schwierigkeiten mit visuellen Rätseln haben.
• Nutzer mit Legasthenie oder anderen Lernbehinderungen unterstützt.
• Menschen mit Aufmerksamkeitsdefiziten entgegenkommt, die sich nur schwer auf komplexe Aufgaben konzentrieren können.

Und nicht zuletzt: Sie macht Authentifizierung für alle einfacher, schneller und benutzerfreundlicher.

4. So setzt du das Kriterium erfolgreich um

Die gute Nachricht: Zugängliche Authentifizierung ist oft auch die bequemste. Hier ein paar bewährte Strategien:

Passwort-Manager freundlich gestalten:

• Verwende semantisch korrekte <input> Felder mit autocomplete-Attributen
• Blockiere niemals Copy & Paste bei Passwort-Feldern
• Nutze type="email" und type="password" für automatische Erkennung

Modern Authentication einsetzen:

• WebAuthn: Fingerabdruck, Face-ID oder Hardware-Schlüssel
• OAuth: Login mit Google, Microsoft, Apple oder anderen vertrauenswürdigen Anbietern
• Magic Links: Per E-Mail zugesendete Anmelde-Links
• SMS/Push-Benachrichtigungen: Bestätigung über das Smartphone

Zwei-Faktor-Authentifizierung richtig machen:

• Biete mehrere 2FA-Optionen an: SMS, E-Mail, Authenticator-Apps, Hardware-Token
• QR-Codes für einfache App-Einrichtung
• USB-Token, die nur einen Knopfdruck erfordern

Was du vermeiden solltest (Level AAA):

• ❌ Bildauswahlaufgaben ("Wähle alle Ampeln aus")
• ❌ Benutzerdefinierte Bilderkennungsaufgaben ("Welches ist dein hochgeladenes Profilbild?")
• ❌ Komplexe mathematische Aufgaben
• ❌ Gedächtnistests für beliebige Informationen

Technische Umsetzung:

<!-- Korrekte Semantic für Passwort-Manager -->

<input type="email" name="email" autocomplete="username" required>

<input type="password" name="password" autocomplete="current-password" required>


<!-- Alternative Login-Optionen anbieten -->

<button type="button" onclick="loginWithWebAuthn()">Mit Fingerabdruck anmelden</button>

<button type="button" onclick="loginWithGoogle()">Mit Google anmelden</button>

5. Warum dieses Erfolgskriterium für Unternehmen relevant ist

Auch bei Level AAA gilt: Zugängliche Authentifizierung ist nicht nur ethisch richtig – sie bringt handfeste Geschäftsvorteile.

1. Conversion-Rate steigern

Komplizierte Anmeldeverfahren sind Conversion-Killer. Eine Studie von Google zeigt: 25% der Nutzer brechen ab, wenn die Anmeldung zu kompliziert ist. Einfache Authentication erhöht die Erfolgsquote drastisch.

2. Support-Kosten reduzieren

"Ich komme nicht rein" ist einer der häufigsten Support-Anfragen. Zugängliche Anmeldeverfahren reduzieren Helpdesk-Tickets um bis zu 40% – und damit auch die Kosten.

3. Sicherheit erhöhen

Moderne Authentifizierungsmethoden wie WebAuthn oder Hardware-Token sind nicht nur zugänglicher, sondern auch sicherer als traditionelle Passwörter. Du verbesserst gleichzeitig UX und Security.

Und nicht zuletzt: Rechtssicherheit und Fördermöglichkeiten. Level AAA mag optional sein, aber wer proaktiv über die Mindestanforderungen hinausgeht, positioniert sich als innovativer, inklusiver Arbeitgeber und hat Vorteile bei öffentlichen Ausschreibungen.

6. Das Erfolgskriterium im Wortlaut der W3C

Success Criterion 3.3.9 Accessible Authentication (Enhanced)

(Level AAA)

A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following:

Alternative: Another authentication method that does not rely on a cognitive function test.

Mechanism: A mechanism is available to assist the user in completing the cognitive function test.

Link zum konkreten Erfolgskriterium

← Zurück zur WCAG-Übersicht