3.3.9 Barrierefreie Authentifizierung (erweitert)

1. Was ist das Ziel dieses Kriteriums?

Passwörter vergessen gehört heute zum digitalen Alltag wie der Kaffee zum Morgen. Aber was, wenn du zusätzlich noch Rätsel lösen, Objekte erkennen oder komplizierte Aufgaben bewältigen musst, nur um dich anzumelden? Für Menschen mit kognitiven Einschränkungen kann das zum unüberwindbaren Hindernis werden.

Das Ziel von Erfolgskriterium 3.3.9 der WCAG ist es, Authentifizierung so zugänglich wie möglich zu machen – ohne dass du deine Gedächtnisleistung unter Beweis stellen oder visuelle Rätsel lösen musst. Kurz gesagt: Anmeldung soll funktionieren, ohne dass dein Gehirn Überstunden machen muss.

Das Kriterium ist neu in WCAG 2.2 und gehört zu Level AAA.

2. Was fordert das Erfolgskriterium genau?

Erfolgskriterium 3.3.9 ist die erweiterte Fassung von Barrierefreie Authentifizierung (Minimum) und damit noch strenger: Kognitive Funktionstests sind in keinem Schritt der Authentifizierung erlaubt – es sei denn, dieser Schritt bietet eine der folgenden Möglichkeiten:

Alternative Anmeldemethode: Eine andere Anmeldemöglichkeit, die ganz ohne kognitive Tests auskommt – z. B. Passkeys bzw. WebAuthn mit Fingerabdruck oder Hardware-Schlüssel oder die Anmeldung über einen Drittanbieter.

Unterstützender Mechanismus: Ein Hilfsmittel, das beim Bewältigen der kognitiven Aufgabe hilft – etwa automatisches Ausfüllen durch Browser oder Passwortmanager und das Einfügen aus der Zwischenablage.

Was im Vergleich zu Level AA (3.3.8) wegfällt:

• Keine Ausnahme mehr für Objekterkennung: „Klicke alle Bilder mit Autos an“ reicht nicht mehr.
• Keine Ausnahme mehr für persönliche Inhalte: „Wähle das Foto aus, das du hochgeladen hast“ geht nicht mehr.

Das bedeutet: Entweder du bietest eine Alternative ganz ohne kognitiven Test an, oder du hilfst dabei, die Aufgabe zu lösen.

3. Warum ist das wichtig für Barrierefreiheit?

Stell dir vor, du willst dich in dein Online-Banking einloggen, aber das System verlangt von dir, ein Puzzle zu lösen oder bestimmte Bilder zu erkennen. Für Menschen mit Legasthenie, Dyskalkulie oder Gedächtnisproblemen kann das frustrierend oder sogar unmöglich sein.

Barrierefreie Authentifizierung schafft Teilhabe, weil sie:

• Menschen mit kognitiven Einschränkungen ermöglicht, digitale Dienste selbstständig zu nutzen.
• Stress und Angst reduziert, die durch komplexe Anmeldeverfahren entstehen.
• älteren Menschen hilft, die Schwierigkeiten mit visuellen Rätseln haben können.
• Menschen mit Legasthenie oder anderen Lernbehinderungen unterstützt.
• Menschen mit Aufmerksamkeitsdefiziten entgegenkommt, die sich nur schwer auf komplexe Aufgaben konzentrieren können.

Und nicht zuletzt: Sie macht Authentifizierung für alle einfacher, schneller und benutzerfreundlicher.

4. So setzt du das Kriterium erfolgreich um

Die gute Nachricht: Barrierefreie Authentifizierung ist oft auch die bequemste. Hier ein paar bewährte Strategien:

Passwortmanager-freundlich gestalten:

• Verwende beschriftete <input>-Felder mit passenden autocomplete-Attributen
• Blockiere niemals das Einfügen in Passwort- und Code-Felder
• Nutze type="email" und type="password", damit Browser die Felder erkennen

Moderne Anmeldeverfahren einsetzen:

• Passkeys/WebAuthn: Fingerabdruck, Gesichtserkennung oder Hardware-Schlüssel
• Single Sign-on: Anmeldung über vertrauenswürdige Anbieter
• Anmeldelinks per E-Mail: ein Klick statt Passwort
• Push-Bestätigung: Freigabe per Tipp auf dem Smartphone

Zwei-Faktor-Authentifizierung richtig machen:

• Biete mehrere Optionen an: Authenticator-App, Push-Bestätigung, Hardware-Token, Codes per SMS oder E-Mail
• Codes müssen sich einfügen oder automatisch ausfüllen lassen (autocomplete="one-time-code") – reines Abtippen ist ein kognitiver Test
• Hardware-Token, die nur einen Knopfdruck erfordern, sind besonders zugänglich

Was du für Level AAA vermeiden solltest:

• Bildauswahlaufgaben („Wähle alle Ampeln aus“) ohne Alternative
• Wiedererkennen eigener Bilder („Welches ist dein hochgeladenes Profilbild?“) ohne Alternative
• Rechenaufgaben oder Logikrätsel
• Gedächtnistests für beliebige Informationen

Technische Umsetzung:

<!-- Korrekte Auszeichnung für Passwortmanager -->
<label for="email">E-Mail-Adresse</label>
<input id="email" type="email" name="email" autocomplete="username" required>
<label for="password">Passwort</label>
<input id="password" type="password" name="password" autocomplete="current-password" required>

<!-- Alternative Anmeldeoptionen anbieten -->
<button type="button" onclick="loginWithPasskey()">Mit Passkey anmelden</button>
<button type="button" onclick="sendLoginLink()">Anmeldelink per E-Mail senden</button>

5. Warum dieses Erfolgskriterium für Unternehmen relevant ist

Auch bei Level AAA gilt: Barrierefreie Authentifizierung ist nicht nur ethisch richtig – sie bringt handfeste Vorteile für dein Business.

1. Weniger Abbrüche

Komplizierte Anmeldeverfahren sind ein typischer Grund, warum Menschen aufgeben. Eine einfache Anmeldung senkt die Hürde – bei jedem Besuch aufs Neue.

2. Support-Kosten reduzieren

„Ich komme nicht rein“ gehört zu den typischen Support-Anfragen. Zugängliche Anmeldeverfahren ohne vergessene Passwörter und gesperrte Konten reduzieren diese Anfragen – und damit die Kosten.

3. Sicherheit erhöhen

Moderne Verfahren wie Passkeys oder Hardware-Token sind nicht nur zugänglicher, sondern gelten auch als sicherer als klassische Passwörter. Du verbesserst gleichzeitig Nutzungserlebnis und Sicherheit.

Zur rechtlichen Einordnung: 3.3.9 ist ein AAA-Kriterium und neu in WCAG 2.2. Es wird vom Barrierefreiheitsstärkungsgesetz (BFSG) und der BITV 2.0 nicht ausdrücklich gefordert – die zugrunde liegende EN 301 549 verweist für Webinhalte auf WCAG 2.1 Level AA. Wer Passkeys oder Anmeldelinks ohnehin einführt, erfüllt es aber oft fast nebenbei. Dieser Abschnitt informiert allgemein und ersetzt keine Rechtsberatung.

6. Das Erfolgskriterium im Wortlaut des W3C

Success Criterion 3.3.9 Accessible Authentication (Enhanced) (Level AAA)

A cognitive function test (such as remembering a password or solving a puzzle) is not required for any step in an authentication process unless that step provides at least one of the following:

• Alternative: Another authentication method that does not rely on a cognitive function test.
• Mechanism: A mechanism is available to assist the user in completing the cognitive function test.

Kurz gesagt: Kein Schritt einer Anmeldung darf einen kognitiven Test erzwingen – es sei denn, es gibt eine Alternative ohne Test oder eine Hilfe, die ihn lösen hilft. Objekterkennung und persönliche Inhalte gelten hier nicht mehr als Ausnahme.