Formular-Spam stoppen: Schutz ohne nervige Captchas

Warum kommt überhaupt Spam über Kontaktformulare?

Bots durchsuchen Websites automatisiert nach Formularen. Sie füllen Felder aus, testen Links, verschicken Werbetexte oder prüfen, ob ein Formular als Einstieg für weiteren Missbrauch taugt. Das betrifft nicht nur große Shops. Auch eine kleine Handwerker-, Praxis- oder Beratungswebsite kann plötzlich 30 Spam-Mails pro Tag bekommen, wenn die Adresse in Bot-Listen landet.

Formular-Spam ist mehr als lästig. Er verdeckt echte Anfragen, kostet Zeit und kann die E-Mail-Zustellbarkeit verschlechtern, wenn automatische Bestätigungen an falsche Adressen gehen. Deshalb sollte ein Formular nicht nur hübsch aussehen, sondern serverseitig prüfen, begrenzen und protokollieren, ohne unnötig viele Daten zu sammeln.

• typische Muster: viele Links, englische Werbetexte, identische Nachrichten, Wegwerf-Mailadressen
• Risiko im Alltag: echte Kundenanfragen gehen zwischen Spam unter
• wichtig: Schutz muss auf dem Server greifen, nicht nur im Browser

Welche Anti-Spam-Maßnahmen stören Kunden nicht?

Der beste erste Schritt ist ein Honeypot-Feld. Das ist ein Feld, das normale Besucher nicht sehen und nicht ausfüllen. Viele Bots befüllen aber jedes gefundene Feld. Wird der Honeypot ausgefüllt, kann die Anfrage still verworfen oder als Spam markiert werden. Für echte Nutzer gibt es keine Rechenaufgabe, keine Bilder-Auswahl und keinen zusätzlichen Klick.

Dazu kommen Zeitprüfung und Plausibilitätsregeln. Wer ein Formular mit fünf Feldern in unter zwei Sekunden absendet, ist selten ein echter Kunde. Wer 15 Links in ein Nachrichtenfeld schreibt, ebenfalls nicht. Solche Regeln sollten aber maßvoll sein: Ein kurzer Satz wie „Bitte Rückruf“ darf nicht blockiert werden. Gute Formulare kombinieren mehrere schwache Signale statt eine harte Hürde für alle Besucher zu bauen.

• Honeypot: unsichtbares Feld muss leer bleiben
• Mindestzeit: extrem schnelle Absendevorgänge blockieren
• Link-Limit: zu viele URLs im Text markieren
• Pflichtfelder nur dort, wo sie wirklich nötig sind

Wann ist ein Captcha sinnvoll – und wann schadet es?

Ein sichtbares Captcha kann bei starkem Angriff sinnvoll sein, sollte aber nicht die erste Antwort sein. Jede zusätzliche Hürde kostet echte Anfragen: Menschen am Handy, ältere Nutzer oder Kunden mit Zeitdruck brechen eher ab, wenn sie Ampeln anklicken oder verzerrte Zeichen lesen müssen. Für eine lokale Firmenwebsite ist das Ziel nicht maximale Bot-Abwehr um jeden Preis, sondern ein guter Schutz bei möglichst wenig Reibung.

Datenschutzrechtlich ist besonders bei externen Captcha-Diensten Vorsicht nötig. Sobald ein Dienst Informationen aus dem Endgerät ausliest oder Daten an Dritte überträgt, greifen neben der DSGVO auch die Regeln des TDDDG; das frühere TTDSG wurde zum 14.05.2024 entsprechend umbenannt. Praktisch heißt das: Prüfen, welcher Dienst eingebunden wird, welche Daten fließen, ob Einwilligung, AV-Vertrag oder Drittlandtransfer relevant sind und ob die Datenschutzerklärung passt.

Welche Rolle spielen Server-Prüfung, Rate Limits und Logs?

Alles, was nur im Frontend geprüft wird, kann ein Bot umgehen. Deshalb gehören die entscheidenden Regeln auf den Server: Pflichtfelder, E-Mail-Format, maximale Textlänge, Honeypot, Zeitstempel und Spam-Score. Zusätzlich hilft ein Rate Limit, zum Beispiel nur wenige Absendeversuche pro IP-Adresse oder Session innerhalb kurzer Zeit. Das stoppt keine perfekt verteilten Botnetze, aber sehr viele einfache Spam-Wellen.

Logs sind nützlich, müssen aber sparsam bleiben. Für die Fehlersuche reichen oft Zeit, Formularname, grobe Fehlerart und gekürzte oder gehashte technische Merkmale. Wenn vollständige IP-Adressen gespeichert werden, braucht es einen klaren Zweck, kurze Aufbewahrung und einen Hinweis in der Datenschutzerklärung. Kleine Unternehmen sollten hier nicht mehr sammeln als nötig.

• serverseitig prüfen: nie nur JavaScript vertrauen
• Rate Limits gegen Massenversand einsetzen
• Fehler sauber behandeln: keine technischen Details an Bots ausgeben
• Logs begrenzen und regelmäßig löschen

Wie bleibt das Kontaktformular DSGVO-sauber?

Ein Kontaktformular verarbeitet personenbezogene Daten: Name, E-Mail, Telefonnummer, Nachricht und manchmal besondere Angaben. Deshalb gehören Zweck, Pflichtfelder, Speicherort, Empfänger und Löschfristen in die Datenschutzerklärung. Bei normalen Anfragen ist die Verarbeitung meist zur Bearbeitung der Anfrage erforderlich; bei zusätzlichen Tools, Tracking oder externen Captchas muss genauer geprüft werden.

Datensparsamkeit ist der einfachste Datenschutz. Fragen Sie nur ab, was Sie für den ersten Kontakt brauchen. Für viele Betriebe reichen Name, E-Mail oder Telefon, Anliegen und eine freiwillige Nachricht. Budget, Adresse oder Kundennummer können sinnvoll sein, sollten aber begründet werden. Wenn das Formular sensible Themen berührt – etwa Gesundheit, Rechtsberatung oder Bewerbungen – braucht es besondere Vorsicht bei Transport, Speicherung und Zugriff.

• HTTPS ist Pflicht, sonst keine Formulardaten übertragen
• Pflichtfelder reduzieren, freiwillige Felder klar kennzeichnen
• Datenschutzerklärung an Formular und Dienstleister anpassen
• bei externen Diensten AV-Vertrag und Drittlandtransfer prüfen

Was kostet professioneller Formularschutz?

Für einfache Websites ist Formularschutz oft keine große Zusatzbaustelle. Ein sauber gebautes Formular mit Honeypot, serverseitiger Validierung, Spam-Regeln und SMTP-Versand lässt sich meist im Rahmen einer normalen Website-Pflege einrichten. Externe Dienste können zusätzliche Kosten auslösen: Google reCAPTCHA nennt aktuell eine kostenlose Stufe bis 10.000 Assessments pro Monat; darüber können Gebühren entstehen. Entscheidend ist nicht nur der Preis, sondern ob der Dienst zur Datenschutz- und Wartungsstrategie passt.

Bei bezahlbare-webseite.de ist Formulartechnik in der Regel Teil eines betreuten Website-Setups. Das Starter-Paket ab 79 € monatlich passt für einfache Kontaktwege, Business ab 149 € monatlich für mehrere Formulare und saubere Anfrageprozesse, Premium ab 299 € monatlich für umfangreichere Betreuung. Wichtig ist: Ein Formular ist kein einmaliges Bauteil. Wenn Spam-Muster sich ändern, müssen Regeln nachgezogen werden.

Welche Reihenfolge ist für kleine Unternehmen sinnvoll?

Starten Sie nicht mit dem härtesten Captcha, sondern mit einer ruhigen Analyse. Wie viel Spam kommt an? Welche Muster wiederholen sich? Gibt es automatische Antwortmails? Danach bauen Sie Schutz in Stufen auf: Honeypot, Zeitprüfung, Link-Limit, serverseitige Validierung, Rate Limit, saubere SMTP-Zustellung. Erst wenn das nicht reicht, kommt ein zusätzlicher Captcha- oder Challenge-Dienst in Frage.

Diese Reihenfolge hält die Website kundenfreundlich. Echte Interessenten sollen schnell anfragen können; Bots sollen leise aussortiert werden. Genau hier lohnt sich ein betreutes Modell: Technik, Datenschutztext, E-Mail-Zustellung und laufende Anpassung bleiben zusammen, statt dass jedes Plugin einzeln installiert und vergessen wird.

• 1. Spam-Muster ansehen und echte Anfragen schützen
• 2. unsichtbare Maßnahmen aktivieren
• 3. serverseitige Limits und SMTP prüfen
• 4. Datenschutztext aktualisieren
• 5. Captcha nur bei Bedarf ergänzen