--- title: "Barrierefreie Authentifizierung (Minimum)" url: "https://barrierefreihochzwei.de/de/wcag/3-3-8-barrierefreie-authentifizierung-minimum" language: "de" description: "WCAG 3.3.8 verbietet Gedächtnis- und Rätseltests beim Login ohne Hilfe oder Alternative – hier lernst du, wie barrierefreie Anmeldung funktioniert." published: "2025-01-01T08:00:00+01:00" updated: "2026-10-15T09:42:00+02:00" --- # Barrierefreie Authentifizierung (Minimum) Wenn Anmelden nicht zur Gedächtnisübung wird. - **Erfolgskriterium:** 3.3.8 - **Prinzip:** Verständlich - **Konformitätsstufe:** Level AA - **Erklärung beim W3C:** [www.w3.org/WAI/WCAG22/Understanding/acce...](https://www.w3.org/WAI/WCAG22/Understanding/accessible-authentication-minimum.html) Erfolgskriterium 3.3.8 # 3.3.8 Barrierefreie Authentifizierung (Minimum) Level AAVerständlich Wenn Anmelden nicht zur Gedächtnisübung wird. ## 1. Was ist das Ziel dieses Kriteriums? Stell dir vor, du willst dich schnell in dein Online-Banking einloggen – aber anstatt einfach dein Passwort aus dem Passwortmanager einzufügen, musst du ein Rätsel lösen, dir eine komplizierte Zahlenfolge merken oder die 3., 6. und 12. Stelle deines Passworts einzeln eingeben. Frustrierend? Für Menschen mit kognitiven Einschränkungen kann so etwas der Grund sein, warum sie wichtige Online-Dienste gar nicht nutzen können. Das Ziel von Erfolgskriterium 3.3.8 der WCAG ist es, sicherzustellen, dass Anmeldeprozesse für alle Menschen zugänglich sind – ohne dass sie zu Gedächtnistests oder Rätselspielen werden. Authentifizierung soll sicher **und** benutzerfreundlich sein. Das Kriterium ist neu in WCAG 2.2 und gehört zu Level AA. ## 2. Was fordert das Erfolgskriterium genau? Ganz konkret: In keinem Schritt eines Anmeldeprozesses darf ein kognitiver Funktionstest verlangt werden – es sei denn, dieser Schritt bietet mindestens eine der folgenden Möglichkeiten: **Alternative:** Eine andere Anmeldemethode, die ohne kognitiven Test auskommt (z. B. Passkeys bzw. WebAuthn, Anmeldung über einen Drittanbieter oder ein Link per E-Mail). **Unterstützender Mechanismus:** Es gibt Hilfen, etwa das Einfügen per Zwischenablage oder die Unterstützung von Passwortmanagern und Browsern beim automatischen Ausfüllen. **Objekterkennung:** Der Test besteht nur darin, Objekte zu erkennen (z. B. „Wähle alle Bilder mit Autos aus“ bei einem CAPTCHA). **Persönliche Inhalte:** Der Test verlangt nur, Nicht-Text-Inhalte wiederzuerkennen, die du selbst bereitgestellt hast (z. B. ein Bild, das du bei der Registrierung hochgeladen hast). Als kognitiver Funktionstest gilt alles, was du dir merken, abschreiben oder lösen musst: Passwörter auswendig wissen, Codes abtippen, Rechenaufgaben, Rätsel oder einzelne Zeichen eines Passworts eingeben. **Wichtig:** Das gilt für jeden Schritt – auch für den zweiten Faktor, für CAPTCHAs, die nur nach mehreren Fehlversuchen erscheinen, und für die Wiederherstellung des Kontos. Ein Audio-CAPTCHA, bei dem du Gehörtes abtippen musst, ist dagegen keine gültige Alternative. Die Erstellung eines neuen Kontos deckt das Kriterium nicht ab, es geht um die Anmeldung bestehender Nutzer:innen. ## 3. Warum ist das wichtig für Barrierefreiheit? Stell dir vor, du hast Schwierigkeiten, dir Dinge zu merken, oder hast eine Legasthenie – und jedes Mal, wenn du dich irgendwo anmelden willst, wird es zur Tortur. Genau das erleben viele Menschen täglich. Barrierefreie Authentifizierung hilft: - Menschen mit kognitiven Beeinträchtigungen, Gedächtnisproblemen oder Lernschwierigkeiten beim Zugang zu Online-Diensten. - Älteren Menschen, die sich mit komplexen Passwortanforderungen schwertun. - Menschen mit Legasthenie oder Dyskalkulie, die Probleme beim Abtippen oder Rechnen haben. - Allen in stressigen Situationen, in denen die Konzentration eingeschränkt ist. - Menschen, die assistive Technologien nutzen und auf Einfügen aus der Zwischenablage oder automatisches Ausfüllen angewiesen sind. Und nicht zuletzt: Barrierefreie Anmeldung ist oft auch die sicherere Anmeldung – Passwortmanager und Passkeys schützen besser als merkbare, schwache Passwörter. ## 4. So setzt du das Kriterium erfolgreich um Die gute Nachricht: Moderne, sichere Authentifizierung ist oft automatisch barrierefreier als alte Methoden. Hier ein paar bewährte Tipps: **Grundregeln für barrierefreie Anmeldung:** - Erlaube das Einfügen von Benutzername und Passwort aus der Zwischenablage. - Blockiere nicht das automatische Ausfüllen durch Browser und Passwortmanager. - Verwende korrektes HTML für Anmeldefelder: `autocomplete="username"` und `autocomplete="current-password"` (siehe [Eingabezweck bestimmen](https://barrierefreihochzwei.de/de/wcag/1-3-5-eingabezweck-bestimmen)) sowie eindeutige zugängliche Namen. - Biete moderne Alternativen wie Passkeys bzw. WebAuthn (Fingerabdruck, Gesichtserkennung, Hardware-Schlüssel). - Ermögliche Single Sign-on über vertrauenswürdige Anbieter. - Biete einen Button an, mit dem das Passwort optional im Klartext angezeigt werden kann. **Bei Zwei-Faktor-Authentifizierung:** - Lass Codes aus SMS oder Authenticator-Apps einfügen und unterstütze `autocomplete="one-time-code"`. - Verteile Codes nicht auf einzelne Eingabefelder pro Ziffer – oder sorge dafür, dass Einfügen trotzdem den ganzen Code übernimmt. - Nutze Bestätigungen per Push-Benachrichtigung statt manueller Code-Eingabe. - Biete Hardware-Token oder biometrische Alternativen an. - Frage nie nur einzelne Stellen eines Codes oder Passworts ab. **Bei CAPTCHAs:** - Vermeide CAPTCHAs im Login möglichst ganz und setze stattdessen auf unsichtbare Schutzmaßnahmen wie Ratenbegrenzung. - Audio-Alternativen, bei denen etwas abgetippt werden muss, erfüllen das Kriterium nicht. - Objekterkennung („Wähle alle Ampeln aus“) ist auf Level AA erlaubt, bleibt aber für viele Menschen eine Hürde – und ist bei [Barrierefreie Authentifizierung (erweitert)](https://barrierefreihochzwei.de/de/wcag/3-3-9-barrierefreie-authentifizierung-erweitert) nicht mehr zulässig. **Was du vermeiden solltest:** - Einfügeverbot in Passwort- und Code-Feldern. - Rechenaufgaben oder Logikrätsel. - Abfrage einzelner Passwortzeichen („Gib das 1., 3. und 5. Zeichen ein“). - Zu knappe Zeitlimits ohne Möglichkeit zur Verlängerung (siehe [Zeitbegrenzungen anpassbar](https://barrierefreihochzwei.de/de/wcag/2-2-1-zeitbegrenzungen-anpassbar)). ## 5. Warum dieses Erfolgskriterium für Unternehmen relevant ist Barrierefreie Authentifizierung ist nicht nur eine Frage der Inklusion – sie bringt handfeste Vorteile für dein Business. **1. Zielgruppe erweitern** Schwer zugängliche Anmeldeprozesse kosten Kund:innen. Wer am Login scheitert, kauft nicht, bucht nicht und nutzt dein Angebot nicht. Barrierefreie Anmeldung macht deine Dienste für mehr Menschen nutzbar – auch für ältere Menschen. **2. Sicherheit und Benutzerfreundlichkeit zugleich verbessern** Moderne Verfahren wie Passkeys sind nicht nur barrierefreier, sondern gelten auch als sicherer als klassische Passwörter. Passwortmanager fördern lange, einzigartige Passwörter. Du verbesserst also gleichzeitig Sicherheit und Barrierefreiheit. **3. Support-Kosten senken** Komplizierte Anmeldeverfahren führen zu mehr Support-Anfragen wegen vergessener Passwörter, gesperrter Konten und Login-Problemen. Barrierefreie, moderne Authentifizierung reduziert diesen Aufwand. Zur rechtlichen Einordnung: 3.3.8 ist neu in WCAG 2.2. Die EN 301 549, auf die sich das Barrierefreiheitsstärkungsgesetz (BFSG) und die BITV 2.0 stützen, verweist für Webinhalte derzeit auf WCAG 2.1 Level AA – 3.3.8 ist dort also noch nicht ausdrücklich gefordert. Gerade für Online-Shops und Bankdienstleistungen, die unter das BFSG fallen, ist ein zugänglicher Login aber zentral: Ohne Anmeldung ist der ganze Dienst unerreichbar. Dieser Abschnitt informiert allgemein und ersetzt keine Rechtsberatung. ## 6. Das Erfolgskriterium im Wortlaut des W3C > **Success Criterion 3.3.8 Accessible Authentication (Minimum) (Level AA)** > > A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following: > > - **Alternative:** Another authentication method that does not rely on a cognitive function test. > - **Mechanism:** A mechanism is available to assist the user in completing the cognitive function test. > - **Object Recognition:** The cognitive function test is to recognize objects. > - **Personal Content:** The cognitive function test is to identify non-text content the user provided to the website. > > Note 1: “Object recognition” and “Personal content” may be represented by images, video, or audio. > > Note 2: Examples of mechanisms that satisfy this criterion include: > > - support for password entry by password managers to reduce memory need, and > - copy and paste to reduce the cognitive burden of re-typing. Kurz gesagt: Kein Schritt einer Anmeldung darf einen kognitiven Test wie Passwort-Merken oder Rätsellösen erzwingen – außer es gibt eine Alternative, eine Hilfe wie Passwortmanager und Einfügen, oder der Test besteht nur im Erkennen von Objekten oder eigenen Inhalten. **Offizielle Erklärung beim W3C** Das W3C erklärt jedes Erfolgskriterium ausführlich – mit Absicht, Beispielen und Techniken (auf Englisch). [Understanding 3.3.8](https://www.w3.org/WAI/WCAG22/Understanding/accessible-authentication-minimum.html) ## Weitere Kriterien aus „Verständlich“ [ 3.1.1 Level A ### Sprache der Seite Damit Screenreader die richtige Stimme finden. ](https://barrierefreihochzwei.de/de/wcag/3-1-1-sprache-der-seite) [ 3.1.2 Level AA ### Sprache von Teilen Wenn Websites polyglott werden. ](https://barrierefreihochzwei.de/de/wcag/3-1-2-sprache-von-teilen) [ 3.1.3 Level AAA ### Ungewöhnliche Wörter Wenn Fachsprache Barrieren schafft. ](https://barrierefreihochzwei.de/de/wcag/3-1-3-ungewoehnliche-woerter)