Kontaktformular-Spam stoppen – ohne nervige Captchas

Jeden Morgen dasselbe Bild: zwanzig neue Nachrichten über das Kontaktformular, und keine davon ist echt. Angebote für Suchmaschinenoptimierung, Links auf zweifelhafte Seiten, Texte in fremden Schriftzeichen. Zwischen all dem Müll geht die eine echte Kundenanfrage schnell unter.

Das Problem ist verbreitet und hat nichts mit der Größe oder Bekanntheit Ihrer Website zu tun. Bots suchen automatisch nach Formularen und füllen sie aus, rund um die Uhr. Gegen das, was Sie nervt, lässt sich aber eine Menge tun – Schritt für Schritt und ohne Ihre Besucher abzuschrecken.

Schritt 1: Herausfinden, woher der Spam kommt

Bevor Sie etwas einbauen, schauen Sie sich die Spam-Nachrichten kurz an. Sie verraten, welche Art von Absender dahintersteckt:

• Viele Nachrichten in kurzer Zeit, oft mit Links – typische Bots, die Formulare automatisch ausfüllen. Hier helfen die Maßnahmen aus Schritt 2 bis 4 sehr gut.
• Wenige, aber sinnvoll formulierte Werbenachrichten – häufig Menschen, die Formulare von Hand für Akquise nutzen. Technische Sperren helfen hier nur begrenzt, ein Inhaltsfilter eher.
• Neue Kundenkonten mit seltsamen Namen oder Bestellungen, die nie bezahlt werden – Spam im Shop. Weiter bei Schritt 5.

Prüfen Sie außerdem, ob Spam nur über das Kontaktformular kommt oder auch über Kommentare, Newsletter-Anmeldungen oder die Registrierung. Jede dieser Stellen ist ein eigenes Einfallstor.

Schritt 2: Unsichtbare Fallen – Honeypot und Zeitprüfung

Die wirksamsten Maßnahmen gegen einfache Bots sind die, die Ihre Besucher nie bemerken.

Honeypot. Das Formular erhält ein zusätzliches Feld, das per Gestaltung versteckt ist. Menschen sehen es nicht und lassen es leer. Viele Bots füllen dagegen alles aus, was sie im Quelltext finden. Ist das versteckte Feld ausgefüllt, wird die Nachricht verworfen. Bekannte Formular-Plugins wie Contact Form 7, WPForms oder Gravity Forms bieten diese Funktion direkt oder über eine Erweiterung an.

Zeitprüfung. Ein Mensch braucht einige Sekunden, um Name, E-Mail und Nachricht einzutippen. Ein Bot schickt das Formular oft im Bruchteil einer Sekunde ab. Eine Zeitprüfung merkt sich, wann die Seite geladen wurde, und verwirft Einsendungen, die unrealistisch schnell kommen. Die Schwelle sollte großzügig gewählt sein, damit Besucher mit automatischem Ausfüllen im Browser nicht hängen bleiben.

Beide Maßnahmen zusammen halten bereits einen großen Teil des automatischen Spams ab.

Schritt 3: Auf dem Server prüfen, nicht nur im Browser

Viele Schutzmechanismen laufen ausschließlich im Browser des Besuchers, etwa über JavaScript. Das reicht nicht. Bots können ein Formular auch direkt an den Server schicken und den Browser dabei komplett umgehen.

Achten Sie darum darauf, dass die wichtigen Prüfungen serverseitig stattfinden:

• Pflichtfelder werden auf dem Server noch einmal geprüft, nicht nur im Formular.
• Die E-Mail-Adresse muss ein gültiges Format haben.
• Honeypot und Zeitprüfung werden auf dem Server ausgewertet.
• Ein Rate-Limit begrenzt, wie viele Einsendungen von derselben IP-Adresse in kurzer Zeit angenommen werden. Das bremst Massenangriffe aus.

Ob Ihr Formular-Plugin das alles leistet, steht meist in seiner Dokumentation. Bei selbst programmierten Formularen ist das Aufgabe des Entwicklers.

Schritt 4: Inhalte filtern – mit Plugin oder eigenen Regeln

Was durch die Fallen schlüpft, kann ein Inhaltsfilter abfangen. Für WordPress gibt es zwei bekannte Plugins:

• Antispam Bee – kommt aus Deutschland, arbeitet ohne Konto und prüft Kommentare und, je nach Formular-Plugin, auch Formulareinsendungen anhand verschiedener Merkmale.
• Akismet – vom WordPress-Hersteller Automattic, gleicht Einsendungen mit einem zentralen Dienst ab. Dabei werden Daten an Server des Anbieters übertragen, das gehört in die Datenschutzerklärung.

Zusätzlich lassen sich in vielen Formular-Plugins eigene Regeln festlegen:

• Links begrenzen. Echte Anfragen enthalten selten mehrere Links. Nachrichten mit vielen Adressen sind fast immer Spam.
• Fremde Schriftzeichen. Bedienen Sie nur deutschsprachige Kunden, können Nachrichten etwa in kyrillischer oder chinesischer Schrift aussortiert werden.
• Sperrwörter. Begriffe, die immer wieder in Spam-Nachrichten auftauchen, kommen auf eine Liste.

Bei allen Regeln gilt: lieber in einen Spam-Ordner verschieben als kommentarlos löschen. So können Sie gelegentlich nachsehen, ob dort eine echte Anfrage gelandet ist.

Schritt 5: Wenn eine Prüfung nötig ist – Turnstile statt Bilderrätsel

Reicht das alles nicht, kommt eine zusätzliche Prüfung infrage. Das klassische Captcha mit verzerrten Buchstaben oder Ampel-Bildern hält Bots zwar ab, kostet aber auch echte Anfragen. Wer am Smartphone dreimal Zebrastreifen anklicken muss, bricht schnell ab.

Eine unsichtbare Alternative ist Cloudflare Turnstile. Es prüft im Hintergrund, ob ein Mensch vor dem Bildschirm sitzt, und zeigt in den meisten Fällen keine Aufgabe an. Für WordPress gibt es Plugins, die Turnstile in gängige Formulare einbinden. Auch hier werden Daten an einen externen Anbieter übertragen; das gehört in die Datenschutzerklärung.

Zu Google reCAPTCHA: Der Dienst ist weit verbreitet, überträgt aber Daten Ihrer Besucher an Google. Ob und unter welchen Voraussetzungen Sie ihn einsetzen dürfen, etwa mit vorheriger Einwilligung, klären Sie bitte mit Ihrem Datenschutzbeauftragten oder einem Anwalt. Dieser Artikel ist keine Rechtsberatung.

Schritt 6: Spam im WooCommerce-Shop

Im Onlineshop zeigt sich Spam anders: Es entstehen Fake-Kundenkonten oder Bestellungen, die nie bezahlt werden. Manchmal nutzen Betrüger den Bestellprozess auch, um gestohlene Kreditkartendaten auszuprobieren.

Diese Schritte helfen:

1. Registrierung einschränken. Unter WooCommerce → Einstellungen → Konten & Datenschutz legen Sie fest, ob und wo Kunden ein Konto anlegen dürfen. Brauchen Sie keine Kundenkonten, erlauben Sie Bestellungen als Gast und schalten Sie die freie Registrierung ab.
2. Allgemeine WordPress-Registrierung prüfen. Unter Einstellungen → Allgemein sollte „Jeder kann sich registrieren“ nur aktiv sein, wenn Sie das wirklich brauchen.
3. Honeypot und Turnstile auch für Registrierung und Kasse einsetzen, sofern Ihr Plugin das unterstützt.
4. Auffällige Bestellungen nicht automatisch bearbeiten. Unbezahlte Bestellungen mit Fantasienamen sollten keinen Versand auslösen.
5. Zahlungsanbieter informieren, wenn Sie vermuten, dass Ihr Shop zum Testen von Kartendaten missbraucht wird. Viele Anbieter haben eigene Schutzfunktionen.

Vorsicht: Zu scharfe Filter kosten echte Anfragen

Der größte Fehler beim Spamschutz ist unsichtbar: Echte Kunden schreiben Ihnen, die Nachricht wird aussortiert, und niemand bemerkt es. Sie wundern sich nur, warum über die Website kaum noch Anfragen kommen.

Testen Sie Ihr Formular deshalb nach jeder Änderung selbst, am besten vom Smartphone im Mobilfunknetz und mit einer Nachricht, die ein echter Kunde schreiben würde. Wiederholen Sie diesen Test regelmäßig. Kommt Ihre Testnachricht nicht an, liegt das nicht immer am Spamschutz – manchmal verschickt die Website gar keine Mails. Wie Sie das prüfen, lesen Sie im Ratgeber Kontaktformular-Mails kommen nicht an. Landen die Anfragen in Ihrem eigenen Spam-Ordner, hilft der Beitrag Mails landen im Spam.

Umsetzungsplan

Sofort

1. Spam-Nachrichten sichten: Bots, menschliche Werbung oder Shop-Spam?
2. Alle Einfallstore auflisten: Kontaktformular, Kommentare, Newsletter, Registrierung, Kasse.
3. Im Formular-Plugin Honeypot und Zeitprüfung aktivieren.

Danach

4. Antispam Bee oder Akismet einrichten und in der Datenschutzerklärung ergänzen, falls nötig.
5. Eigene Regeln für Links, Schriftzeichen und Sperrwörter festlegen – Treffer in einen Spam-Ordner statt löschen.
6. Prüfen, ob die Prüfungen auf dem Server laufen, und ein Rate-Limit setzen.
7. Bei anhaltendem Spam Cloudflare Turnstile ergänzen.
8. Im Shop: freie Registrierung abschalten, Gastbestellung erlauben, Schutz auch an der Kasse einbauen.

Vorbeugen

9. Nach jeder Änderung eine Testanfrage vom Smartphone abschicken.
10. Den Spam-Ordner des Filters regelmäßig auf echte Anfragen durchsehen.
11. Formular- und Schutz-Plugins aktuell halten oder die Website-Pflege abgeben.

Wir richten den Spamschutz für Sie ein

Sie wollen den Spam los sein, ohne zu riskieren, dass echte Kundenanfragen verloren gehen? Wir prüfen Ihr Formular und Ihren Shop, richten den passenden Schutz ein und testen ihn mit echten Einsendungen.

Lieber direkt sprechen? Rufen Sie uns an: 0 33 41 - 35 66 146.

Häufige Fragen

Warum bekomme ich plötzlich so viel Spam über mein Kontaktformular?

Spam-Bots durchsuchen das Internet automatisch nach Formularen und füllen sie massenhaft aus. Ihre Seite muss dafür nicht besonders bekannt sein – es reicht, dass sie auffindbar ist. Ist ein Formular einmal in den Listen solcher Programme gelandet, nimmt der Spam oft schlagartig zu. Mit einem Fehler Ihrerseits hat das in der Regel nichts zu tun.

Was ist ein Honeypot im Kontaktformular?

Ein Honeypot ist ein zusätzliches Formularfeld, das für Menschen unsichtbar ist. Echte Besucher sehen es nicht und lassen es leer. Viele Bots füllen dagegen jedes Feld aus, das sie im Quelltext finden. Ist das versteckte Feld ausgefüllt, wird die Nachricht verworfen. Für Ihre Besucher ändert sich dabei nichts.

Brauche ich zwingend ein Captcha gegen Spam?

Nein. In vielen Fällen reichen unsichtbare Maßnahmen wie Honeypot, Zeitprüfung und ein Spamfilter-Plugin aus. Captchas mit Bilderrätseln halten zwar Bots ab, kosten aber auch echte Anfragen, weil manche Besucher genervt abbrechen. Wenn eine Prüfung nötig ist, gibt es unsichtbare Varianten wie Cloudflare Turnstile.

Ist Google reCAPTCHA datenschutzrechtlich problematisch?

reCAPTCHA ist ein Dienst von Google, bei dem Daten der Besucher an Google übertragen werden. Ob und wie Sie ihn datenschutzkonform einsetzen können, etwa mit Einwilligung und Hinweis in der Datenschutzerklärung, sollten Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt klären. Das ist keine Rechtsberatung. Viele Seitenbetreiber weichen auf Lösungen aus, die ohne Google auskommen.

Kann ein Spamschutz auch echte Anfragen blockieren?

Ja, das ist das größte Risiko. Ein zu scharf eingestellter Filter sortiert auch echte Nachrichten aus – und Sie merken es nicht, weil die Anfrage einfach nie ankommt. Testen Sie Ihr Formular deshalb nach jeder Änderung und danach regelmäßig selbst, am besten von einem Smartphone im Mobilfunknetz.