Spam über das Kontaktformular stoppen – ohne nerviges Captcha
Jeden Tag Werbung für Kryptowährungen und SEO-Dienste über Ihr Kontaktformular? Welche Maßnahmen Spam zuverlässig bremsen, ohne echte Kunden mit Bilderrätseln zu vergraulen.
Kurz gesagt: Der größte Teil des Formular-Spams kommt von automatischen Programmen. Die lassen sich mit unsichtbaren Maßnahmen gut abfangen: einem versteckten Feld, das nur Bots ausfüllen (Honeypot), einer Mindestzeit zum Ausfüllen und einer Begrenzung der Anfragen pro Minute. Reicht das nicht, helfen datenschutzfreundliche Prüfungen ohne Bilderrätsel. Google reCAPTCHA ist wirksam, überträgt aber Daten an Google und braucht in der Regel eine Einwilligung.
Spam über das Kontaktformular ist mehr als nur lästig. Er verschüttet echte Anfragen, belastet den Mailversand und kann dazu führen, dass Ihre eigenen Mails als Spam eingestuft werden, wenn das Formular automatische Bestätigungen an die angegebene Adresse verschickt.
Unsichtbare Maßnahmen zuerst
Honeypot
Ein zusätzliches Formularfeld, das für Menschen per CSS unsichtbar ist. Echte Besucher lassen es leer, viele Bots füllen jedes Feld aus. Ist das Feld gefüllt, wird die Nachricht verworfen. Das stört niemanden und fängt einen Großteil des einfachen Spams ab. Für die meisten Formular-Plugins gibt es diese Funktion eingebaut oder als Erweiterung.
Zeitprüfung
Ein Mensch braucht für ein Kontaktformular mindestens einige Sekunden. Bots schicken es oft im Bruchteil einer Sekunde ab. Wer schneller als zum Beispiel drei Sekunden ist, wird abgewiesen.
Begrenzung
Mehr als eine Handvoll Anfragen von derselben IP-Adresse in wenigen Minuten ist fast nie ein Mensch. Eine Begrenzung bremst Massenangriffe, bevor sie Ihr Postfach fluten.
Inhalt prüfen
Typische Spam-Merkmale: viele Links, kyrillische oder chinesische Schrift auf einer deutschen Seite, bestimmte Begriffe. WordPress hat unter „Einstellungen → Diskussion“ eine Liste unerwünschter Begriffe, die manche Formular-Plugins mitnutzen.
Wenn das nicht reicht: Prüfungen ohne Bilderrätsel
- Friendly Captcha: ein Anbieter aus Deutschland, der ohne Bilderrätsel und ohne Cookies arbeitet. Der Browser löst im Hintergrund eine Rechenaufgabe.
- Cloudflare Turnstile: ebenfalls meist ohne Rätsel, kostenlos, aber ein Dienst eines US-Anbieters.
- Google reCAPTCHA: sehr verbreitet und wirksam. Es überträgt aber Daten der Besucher an Google, was in der Datenschutzerklärung erklärt werden muss und in der Regel eine Einwilligung erfordert.
Jeder externe Dienst gehört in die Datenschutzerklärung. Klären Sie im Zweifel mit Ihrer Datenschutzberatung, ob eine Einwilligung nötig ist.
Was Sie lieber lassen
- Bestätigungsmails an die eingegebene Adresse ohne Schutz. Bots tragen fremde Adressen ein, und Ihr Server verschickt dann Spam in Ihrem Namen.
- Das Formular abschaffen und nur die E-Mail-Adresse zeigen. Das hilft wenig, denn Adressen auf Webseiten werden ebenfalls automatisch gesammelt.
- Jede Anfrage manuell löschen. Das kostet auf Dauer mehr Zeit als eine einmalige Einrichtung.
Spam kommt trotzdem durch?
Dann tippen dahinter oft echte Menschen, die billig für das Absenden bezahlt werden. Dagegen helfen technische Maßnahmen nur begrenzt. Ein Inhaltsfilter und ein separates Postfach für Formular-Anfragen halten das Hauptpostfach sauber. Und wenn zwar kein Spam, aber auch keine echten Anfragen mehr ankommen, liegt das Problem oft woanders, siehe Kontaktformular sendet keine E-Mails.
Professionelle Hilfe
Ich richte Spamschutz so ein, dass Bots draußen bleiben, echte Kunden nichts davon merken und die Datenschutzerklärung dazu passt. Das ist Teil der WordPress-Reparatur oder der laufenden WordPress-Wartung.
