Barrierefreie Authentifizierung: Anmeldung nach WCAG 2.2 und NIS-2

Barrierefreie Authentifizierung scheitert in Fachverfahren selten am Screenreader, sondern am Anmeldeschritt selbst: am Einmalcode, der abgetippt werden muss, oder am Passwortfeld, das kein Einfügen zulässt. Mit der NIS-2-Umsetzung kommt für viele Behörden und KRITIS-Betreiber die Zwei-Faktor-Authentisierung hinzu. Der Konflikt mit WCAG 2.2 löst sich auf, sobald klar ist, dass die sichersten Verfahren auch die zugänglichsten sind.
Ein Mann im Rollstuhl meldet sich am Laptop mit einem gelbgrünen Sicherheitsschlüssel an, eine Kollegin aus der IT zeigt daneben den Daumen nach oben. Sinnbild für barrierefreie Authentifizierung ohne Smartphone und ohne abgetippten Code.
© KI-generiert (TenMedia)

Was barrierefreie Authentifizierung nach WCAG 2.2 verlangt

Bei 116 geprüften Angeboten öffentlicher Stellen in Berlin lag die durchschnittliche Erfüllungsquote 2025 bei 40,73 Prozent (Überwachungsergebnisse 2025). Eine solche Lücke kann schon bei der Authentifizierung liegen, also bei dem Schritt, in dem ein System prüft, ob eine Person die ist, die sie vorgibt.

Barrierefreie Authentifizierung bedeutet, dass sich Menschen an einem digitalen Dienst anmelden können, ohne einen kognitiven Funktionstest zu bestehen, also ohne sich etwas zu merken, Zeichen abzuschreiben oder ein Rätsel zu lösen. WCAG 2.2 regelt das im Erfolgskriterium 3.3.8 auf Stufe AA. Ein solcher Test ist nur zulässig, wenn eine Alternative oder eine Hilfsfunktion bereitsteht oder er sich auf das Erkennen von Objekten oder eigenen Inhalten beschränkt.

Warum der Screenreader die Lücke nicht findet

Das Kriterium heißt im Original Accessible Authentication (Minimum) und kam erst mit WCAG 2.2 zu den WCAG-Richtlinien hinzu. Ein typischer Test der Anmeldemaske läuft dagegen mit einem Screenreader: Liest er alle Felder vor, gilt sie als barrierefrei. Kriterium 3.3.8 prüft nicht die Bedienbarkeit, sondern die Denkleistung. Betroffen sind Menschen mit eingeschränktem Gedächtnis, Legasthenie oder Rechenschwäche. Von den gut 7,8 Millionen schwerbehinderten Menschen in Deutschland war Ende 2025 rund ein Drittel 75 Jahre oder älter (Statistisches Bundesamt, 7,8 Millionen schwerbehinderte Menschen leben in Deutschland, 2026).

Barrierefreie Formulare genügen also nicht, denn auch eine fehlerfrei ausgezeichnete Maske verstößt gegen 3.3.8, wenn sie Abtippen verlangt. Für öffentliche Stellen folgt die Pflicht zur barrierefreien Authentifizierung aus der digitalen Barrierefreiheit nach BITV 2.0 und dem Gleichstellungsrecht der Länder, nicht aus dem BFSG.

Die vier Auswege des Kriteriums

Ganz verbietet 3.3.8 den kognitiven Funktionstest nicht, denn ein Passwort bleibt zulässig, solange der Anmeldeschritt mindestens einen der vier Auswege bietet, die das W3C im Normtext nennt:

Die beiden letzten Auswege helfen Menschen mit Sehbehinderung wenig, weil auch ein Bild erkannt werden muss. Ob ein zweiter Faktor auch für Beschäftigte ohne dienstliches Smartphone funktioniert, ist damit noch offen und klärt der Abschnitt zur Zwei-Faktor-Authentisierung ohne Smartphone.

Anmeldung und CAPTCHA barrierefrei gestalten

Barrierefreie Authentifizierung kostet kein Sicherheitsniveau. Dieser Abschnitt zeigt, warum das Einfügen von Passwörtern zur Lösung gehört, welche Verfahren ganz ohne Merken auskommen und wie sich ein CAPTCHA barrierefrei ersetzen lässt. Alle Punkte gehören zur Umsetzung digitaler Barrierefreiheit in einem Fachverfahren, auch wenn die Anmeldung vor der Anwendung liegt.

Passwortmanager und Einfügen statt Merken

Manche IT-Sicherheitsrichtlinie verbietet noch, Passwörter in das Anmeldefeld einzufügen. Nach WCAG ist das ein Fehler: Das W3C führt das Unterbinden der erneuten Eingabe als Failure F109. Ein Einfügeverbot macht Passwörter schwächer, nicht stärker, weil sich lange, einzigartige Passwörter niemand merken kann. Genau solche Passwörter empfiehlt das BSI in seiner Pressemitteilung vom 30.01.2026.

Für die Richtlinie heißt das: Passwort einfügen erlauben, auch für Einmalcodes. Der BIK BITV-Test erkennt auch die Anmeldung über die Autovervollständigung des Browsers ausdrücklich an. Zeitlimits und Sitzungen gehören zu den übrigen Prüfpunkten der BITV-2.0-Checkliste für Fachverfahren.

Welche Anmeldung kommt ohne kognitiven Funktionstest aus?

Am wenigsten Hürden bauen Verfahren auf, bei denen nichts gemerkt oder abgetippt wird. Der BIK BITV-Test nennt Zwei-Faktor-Systeme ohne Codes ausdrücklich, etwa die Anmeldung über einen USB-Sicherheitsschlüssel, der Besitz statt Wissen prüft. Passkeys nach dem Standard WebAuthn ersetzen das Passwort durch einen kryptografischen Schlüssel auf dem Gerät, freigegeben mit der Entsperrung, die die Person ohnehin nutzt. Ob eine barrierefreie biometrische Authentifizierung per Fingerabdruck für alle funktioniert, hängt vom Gerät ab, deshalb braucht sie immer eine zweite Entsperrmöglichkeit.

Bei der Anmeldung über das Verzeichnis, etwa ein Active Directory, übernimmt das Fachverfahren die Anmeldung am Arbeitsplatz. Ein eigenes Passwort für das Fachverfahren entfällt dann ganz. Für eine zugängliche Authentifizierung ist das der einfachste Weg.

Ein Magic Link schickt einen Anmeldelink per E-Mail, das W3C führt dieses Verfahren als Technik G218. Anders das Einmalpasswort per SMS oder App: Muss die Person sechs Ziffern von einem Gerät ins andere abtippen, ist der Dienst nach W3C nicht konform, solange sich der Code nicht wenigstens einfügen lässt. Ein Einmalpasswort bleibt also nutzbar, wenn das Feld Einfügen und Autovervollständigung zulässt.

Login-CAPTCHA barrierefrei ersetzen

Ob ein CAPTCHA im Login barrierefrei sein kann, entscheidet 3.3.8 wie bei jedem anderen Anmeldeschritt. Ein CAPTCHA barrierefrei nachzubessern, ist meist mühsamer, als es ganz zu ersetzen, denn jede Bildaufgabe braucht zusätzlich eine Alternative für Menschen mit Sehbehinderung.

Als CAPTCHA-Alternative dienen Schutzmechanismen auf dem Server ohne Mitwirkung der Nutzenden: begrenzte Anmeldeversuche je Konto, wachsende Wartezeiten nach Fehlversuchen und ein zweiter Faktor, der gestohlene Passwörter wertlos macht. Bots scheitern dann an der Anmeldung, nicht die Menschen davor.

Mehr-Faktor-Pflicht und Barrierefreiheit zusammen nachweisen

Besonders wichtige und wichtige Einrichtungen müssen nach § 30 Abs. 2 Nr. 10 BSIG Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung verwenden. Damit treffen MFA-Pflicht nach NIS-2 und Barrierefreiheit aufeinander. Dieser Abschnitt zeigt, wann ein zweiter Faktor Menschen ausschließt, welche Faktoren ohne Smartphone funktionieren und wie ein Rückfallverfahren ohne Schlupfloch aussieht.

Zwei-Faktor-Authentisierung ohne Abschreiben

Ein zweiter Faktor schließt nur dann aus, wenn er selbst ein kognitiver Funktionstest ist, etwa ein Code, der abgeschrieben werden muss. Die Barrierefreiheit von Zwei-Faktor-Authentifizierung entscheidet sich also an der Art des Faktors, nicht an seiner Anzahl.

Eine Zwei-Faktor-Authentisierung mit Sicherheitsschlüssel oder Passkey erfüllt BSIG und WCAG 2.2 zugleich, weil sie keinen Code verlangt. Sicherheit und Barrierefreiheit zeigen hier in dieselbe Richtung. Für die Barrierefreiheit der Authentifizierung zählt außerdem, wie der Faktor eingerichtet wird.

Zwei-Faktor-Authentisierung für Beschäftigte ohne Smartphone

Laut Cybersicherheitsmonitor 2026 des BSI nutzen 40 Prozent der Befragten die Zwei-Faktor-Authentisierung, der zweite Faktor ist also noch keine Routine. Zudem haben nicht alle Beschäftigten ein dienstliches Smartphone, und nicht jede Authenticator-App lässt sich mit einem Screenreader bedienen. Schon die Einrichtung per QR-Code setzt voraus, dass jemand den Code sehen und mit der Kamera erfassen kann. Für eine 2-Faktor-Authentifizierung ohne Handy und für Menschen mit Sehbehinderung eignen sich diese Faktoren:

Rückfallverfahren ohne Sicherheitsverlust

Geht ein Sicherheitsschlüssel verloren oder fällt ein Dienstrechner aus, schleicht sich im Rückfallverfahren leicht wieder ein Code zum Abschreiben ein. Tragfähiger ist ein zweiter registrierter Schlüssel je Person oder eine Freischaltung durch die Benutzerverwaltung nach Prüfung der Identität. Beide Wege erhalten die barrierefreie Authentifizierung auch im Notfall und gehören ins Berechtigungskonzept.

Barrierefreie Authentifizierung in Ausschreibung und Abnahme

Ein heute beschafftes Fachverfahren läuft meist viele Jahre. Barrierefreie Authentifizierung gehört deshalb schon jetzt in die Leistungsbeschreibung, auch wenn die rechtliche Verbindlichkeit von 3.3.8 noch aussteht. Dieser Abschnitt ordnet den Rechtsstand ein, zeigt, wie der Prüfschritt des BITV-Tests zum Abnahmekriterium wird, und was sich bei bestehenden Fachverfahren zuerst ändert.

Gilt Kriterium 3.3.8 für Behörden schon heute?

Formal noch nicht, denn barrierefreie Authentifizierung nach 3.3.8 setzt WCAG 2.2 voraus. Die BITV 2.0 verweist für öffentliche Stellen des Bundes auf die Norm EN 301 549, deren maßgebliche Fassung V3.2.1 auf WCAG 2.1 beruht. Die im September 2026 veröffentlichte Fassung V4.1.1 übernimmt WCAG 2.2, wird aber erst mit ihrer Zitierung im Amtsblatt der EU zur rechtlichen Referenz (AccessibleEU, The European accessibility standard EN 301 549 has been updated, 2026). Für Landes- und Kommunalbehörden gilt das jeweilige Landesrecht.

Ein 2026 beauftragtes Fachverfahren erlebt diesen Wechsel wahrscheinlich im Betrieb. Die Stufenlogik der WCAG-Konformität bleibt dabei gleich, geprüft wird weiterhin auf Stufe AA.

Prüfschritt 9.3.3.8 als Abnahmekriterium

Der BIK BITV-Test führt das Kriterium als Prüfschritt 9.3.3.8 „Zugängliche Authentifizierung (Minimum)“. Ob ein CAPTCHA barrierefrei ist, prüft er im Login unter diesem Schritt, außerhalb der Anmeldung unter Schritt 9.1.1.1d. Bei der Barrierefreiheit im Vergabeverfahren lässt sich der Prüfschritt als Abnahmekriterium in die Leistungsbeschreibung übernehmen.

Die Verantwortung für eine sichere und barrierefreie Authentifizierung liegt damit beim Hersteller, nicht bei den Beschäftigten. BSI-Präsidentin Claudia Plattner sagt dazu: „Zugleich dürfen wir die Verantwortung nicht allein bei den Nutzerinnen und Nutzern abladen: Hersteller und Anbieter digitaler Geräte und Anwendungen müssen sichere Produkte und Dienste zum Standard machen.“ (BSI, Pressemitteilung „Cyberkriminalität im Alltag“, 2026). Das Abnahmeprotokoll belegt deshalb diese Punkte:

☝ je Faktor eine Alternative ohne Test
☝ Passwort einfügen erlauben, auch bei Codes
☝ Einrichtung des zweiten Faktors mitgeprüft
☝ Rückfallverfahren ohne Abschreiben dokumentiert
☝ Test mit Screenreader und Passwortmanager

Bestehende Fachverfahren nachrüsten

Ein laufendes Fachverfahren muss für barrierefreie Authentifizierung nicht neu gebaut werden. Die Änderungen betreffen vor allem die Anmeldemaske und die Anbindung an die Benutzerverwaltung. Ein barrierefreier Login im Fachverfahren entsteht meist so:

TenMedia hat für die Bezirksregierung Köln eine barrierefreie Intranet-Fachanwendung entwickelt, deren Anmeldung direkt gegen das behördliche Active Directory läuft. Auf demselben Weg lässt sich die Anmeldung bestehender Fachverfahren an das Verzeichnis einer Behörde anbinden.

Hinweis: Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für verbindliche Auskünfte zu regulatorischen Anforderungen empfehlen wir die Konsultation einer spezialisierten Rechtsberatung.

FAQs

Wann ist ein CAPTCHA im Login barrierefrei und nach WCAG 2.2 zulässig? keyboard_arrow_down keyboard_arrow_up
Nur unter Bedingungen. Ein CAPTCHA mit Objekterkennung erfüllt Kriterium 3.3.8 auf Stufe AA, braucht nach Kriterium 1.1.1 aber eine Alternative für Menschen mit Sehbehinderung. Rätsel, Rechenaufgaben und verzerrte Zeichen ohne Alternative verstoßen gegen 3.3.8. Ein CAPTCHA barrierefrei zu gestalten, bleibt damit aufwendig.
Wie lässt sich die Mehr-Faktor-Pflicht erfüllen, ohne Beschäftigte mit Behinderung auszuschließen? keyboard_arrow_down keyboard_arrow_up
Paragraf 30 BSIG verlangt Lösungen zur Multi-Faktor-Authentifizierung, schreibt aber kein bestimmtes Verfahren vor. Ausschließend wirkt erst ein Faktor, der Abschreiben oder Merken verlangt. Die Umsetzung beginnt deshalb mit einer Bestandsaufnahme: Wer arbeitet mit Screenreader, Bildschirmvergrößerung oder Spracheingabe, und wer hat kein dienstliches Smartphone? Für diese Beschäftigten werden Sicherheitsschlüssel oder Passkeys als gleichwertige Faktoren registriert, nicht als Ausnahme mit eigenem Antrag. Weil solche Besitzfaktoren keinen Code übertragen, der abgefangen werden kann, sinkt das Sicherheitsniveau dabei nicht. Der Nachweis gegenüber Leitung und Aufsicht dokumentiert beide Pflichten in einem Konzept.
Was kostet es, die Anmeldung eines bestehenden Fachverfahrens nachzurüsten? keyboard_arrow_down keyboard_arrow_up
Der Aufwand hängt davon ab, ob die Anmeldung zentral gebaut ist. Einfügen und Autovervollständigung freizugeben ist eine kleine Änderung, eine Anbindung an Verzeichnis oder Passkeys ein eigenes Arbeitspaket. TenMedia schätzt den Aufwand nach Sichtung des Codes und rüstet barrierefreie Authentifizierung in laufenden Fachverfahren nach.