Kontaktformular Spam verhindern: Schutz ohne genervte Kunden

Wie können Sie Kontaktformular Spam verhindern?

Sie verhindern Kontaktformular Spam nicht mit einer einzelnen Sperre, sondern mit mehreren Schutzschichten. Zunächst klären Sie, woher der Spam kommt. Danach ergänzen Sie ein verstecktes Köderfeld (Honeypot), eine Zeitprüfung, serverseitige Prüfungen mit Ratenbegrenzung und nur bei Bedarf einen Verifizierungsdienst im Hintergrund. Ordnen Sie die Schichten so, dass echte Kunden nichts davon spüren.

Die Reihenfolge zählt, weil jede Schicht einen Preis hat. Ein verstecktes Feld kostet den Besucher zum Beispiel nichts. Ein Bilderrätsel kann dagegen einen Kunden kosten. Beginnen Sie daher mit den stillen Maßnahmen und erhöhen Sie die Hürde nur, wenn es nötig ist.

So gehen wir in diesem Ratgeber vor:

1. Zunächst diagnostizieren: Kommt der Spam über das Formular, sendet ihn ein Bot und folgt er einem Muster?
2. Danach die stillen Schichten ergänzen: Köderfeld und Zeitprüfung.
3. Dann auf dem Server prüfen, Einsendungen begrenzen und Links filtern.
4. Erst anschließend bei Bedarf einen Verifizierungsdienst ergänzen und seine Folgen für den Datenschutz abwägen.
5. Schließlich testen, ob echte Kundennachrichten weiterhin ankommen.

Ist die Flut heute besonders groß, helfen drei vorläufige Schritte sofort:

• Schalten Sie automatische Dankesmails vorerst ab, damit niemand Ihr Formular nutzt, um Fremde anzuschreiben.
• Richten Sie außerdem in Ihrem Postfach eine Regel ein, die Formularmeldungen in einen eigenen Ordner legt.
• Prüfen Sie zudem, ob die Website jede Einsendung auch im Verwaltungsbereich speichert und nicht nur per E-Mail verschickt.

Warum entsteht Kontaktformular Spam und wie finden Bots Ihr Formular?

Viele Inhaber glauben, jemand habe es gezielt auf sie abgesehen. Kontaktformular Spam sucht sich seine Ziele jedoch nicht einzeln aus. Automatische Programme durchsuchen das Web und suchen im Seitencode nach Formularen. Dann versuchen sie, in jedes Formular eine Nachricht zu schicken. Daher trifft es kleine Firmenseiten genauso wie große. In der Praxis reicht ein öffentliches Formular.

Der Absender verfolgt meist eines dieser Ziele:

• Links und Klicks: Veröffentlicht Ihre Seite die Nachricht oder klicken Sie auf den Link, gewinnt der Absender.
• Gültige Adressen: Jede Antwort von Ihnen bestätigt außerdem, dass Ihre Adresse funktioniert.
• Ein Mailversand auf Ihre Kosten: Ein Formular mit automatischer Antwort kann zum Beispiel Fremden Mails im Namen des Angreifers schicken.
• Eine Liste offener Türen: Manche Bots sammeln ungeschützte Formulare und kommen später wieder.

OWASP betreibt außerdem das Projekt Automated Threats to Web Applications. Es beschreibt, dass Webanwendungen Tag für Tag unerwünschter automatischer Nutzung ausgesetzt sind. Das heißt, es geht nicht um Ihre Seite im Besonderen.

Ein Formular von Anfang an richtig zu bauen, ist viel einfacher als späteres Flicken. Bei unserem Webdesign für Unternehmen planen wir Formularfelder, Prüfung und Speicherung der Einsendungen gemeinsam. Somit steht die Grundlage bereit, wenn Spam kommt.

Kommt der Spam wirklich über das Formular oder über die Mailadresse auf Ihrer Seite?

Finden Sie zunächst heraus, wo der Kontaktformular Spam hereinkommt. Sonst schließen Sie die falsche Tür und verlieren Zeit. Zum Beispiel kann ein Formularschutz keine Nachrichten stoppen, die direkt an eine auf der Seite abgedruckte Mailadresse gehen.

Prüfen Sie in dieser Reihenfolge:

1. Schauen Sie zuerst auf den Absender der Benachrichtigungsmail. Verschickt die Website Formularnachrichten selbst, steht dort oft eine Adresse Ihrer eigenen Domain.
2. Vergleichen Sie dann die Betreffzeilen. Fügt Ihr Formular automatisch einen Betreff ein, trägt auch der Spam aus dem Formular dasselbe Muster.
3. Suchen Sie danach die Nachricht in den Formulareinträgen. Fehlt sie dort, kam sie vermutlich direkt in Ihr Postfach.
4. Zählen Sie schließlich alle Formulare der Website. Eine alte Landingpage, ein Feld für den Newsletter oder ein Popup hat vielleicht noch keinen Schutz.

Beispielszenario: Alle Benachrichtigungen kommen von der Absenderadresse Ihrer Website und tragen denselben Betreff. Das zeigt in der Praxis, dass die Nachrichten durch das Formular laufen. Ist der Absender dagegen eine unbekannte Domain, hat die Nachricht das Formular nie berührt.

In den meisten Fällen steckt ein vergessenes zweites Formular dahinter. Sie schützen das Hauptformular, aber der Spam fließt über ein anderes weiter. Listen Sie daher zuerst alle Zugänge auf.

Kommen die Nachrichten direkt an Ihre Adresse, ersetzen Sie die sichtbare Adresse durch ein Formular oder nutzen Sie stattdessen einen eigenen Alias. Dann sind die Filtereinstellungen Ihres Postfachanbieters die erste Verteidigungslinie. Kommen die Nachrichten durch das Formular, lesen Sie weiter.

Schickt ein Bot den Spam oder ein Mensch von Hand?

Bei Kontaktformular Spam entscheidet diese Unterscheidung, welche Maßnahme wirkt, denn jede Maßnahme zielt auf einen anderen Absender. Bots sind zum Beispiel schnell und folgen Mustern. Menschen sind langsamer, und jede Nachricht sieht etwas anders aus.

• Spuren von Bots: Gleicher oder leicht abgewandelter Text binnen Sekunden, zufällig wirkende Namen und viele Links.
• Spuren von Menschen: Nachrichten, die einen Satz Ihrer Seite aufgreifen und dann zu einem allgemeinen Angebot wechseln, etwa Suchmaschinen, Linkverkauf oder Gestaltung.
• Mischformen: Nachrichten, die Menschen aus fertigen Vorlagen von Hand einfügen, also halb automatisch.

In der Praxis fangen ein Honeypot und eine Zeitprüfung Bots ab, aber keine Menschen, die von Hand tippen. Auch Verifizierungsdienste stoppen Menschen oft nicht, weil ein Mensch ein Rätsel lösen kann. Für Angebote von Hand brauchen Sie daher einen eigenen Weg, den wir weiter unten zeigen.

Was verraten Muster bei Uhrzeit, Land und Links?

Legen Sie zunächst einige Nachrichten nebeneinander, dann treten die Muster Ihres Kontaktformular Spams klar hervor. Bauen Sie danach eine einfache Tabelle: Datum, Uhrzeit, erster Satz, Zahl der Links und, falls vorhanden, die IP des Absenders.

• Zeitfenster: Ein Schub binnen weniger Minuten deutet außerdem auf einen automatischen Lauf hin.
• Land oder Netz: Wiederholungen aus demselben Adressbereich grenzen zum Beispiel die Quelle ein.
• Inhalt der Links: Verweisen die Links stets auf dieselben Domains, spricht das für eine einzelne Kampagne.
• Gemeinsame Domain in der Mailadresse: Verschiedene Namen mit derselben Domain wecken daher Verdacht.

Nehmen Sie die IP des Besuchers aus den Einträgen Ihres Formulars, nicht aus der Mail. Die Adresse im Kopf der Mail gehört meist zu Ihrem eigenen Server, denn der Server versendet die Nachricht. Welches Land und welches Netz zu einer Adresse gehören, sehen Sie mit unserem kostenlosen Werkzeug für die Abfrage einer IP.

Blockieren Sie dennoch nicht allein nach IP. Gemeinsame Netze, Büros und Nutzer eines VPN teilen sich zum Beispiel eine Adresse. Diese Aufzeichnungen helfen vor allem beim Festlegen von Schwellenwerten, denn der Vergleich echter Nachrichten mit Spam zeigt, welches Signal beide trennt.

Sollten Sie das Formular entfernen und nur eine Mailadresse zeigen?

Nein, denn das beendet den Spam nicht. Es ändert nur den Kanal. Eine auf der Seite abgedruckte Adresse ist ein leichtes Ziel für Programme, die Adressen sammeln. Ohne Formular verlieren Sie außerdem Ratenbegrenzung, Protokoll und Filter.

• Formular: Es verbirgt Ihre Adresse, begrenzt die Felder und protokolliert zudem jede Einsendung.
• Abgedruckte Adresse: Jeder Bot und jeder Mensch schreibt direkt, also filtern Sie nur noch bei Ihrem Postfachanbieter.
• Zweiter Kanal: Eine Telefonnummer oder ein Link zu einem Messenger gibt echten Kunden einen Ausweg, falls das Formular scheitert.

Das Ziel ist also nicht, das Formular zu entfernen. Das Ziel ist, Kontaktformular Spam zu senken und echten Kunden einen offenen Weg zu lassen.

Wie greifen die Schutzschichten ineinander und in welcher Reihenfolge setzen Sie sie auf?

Gegen Kontaktformular Spam ist keine Methode perfekt, daher fängt jede Schicht einen Teil des Spams ab und gibt den Rest weiter. Die Reihenfolge folgt einer Regel: Je weniger Aufwand eine Schicht vom Besucher verlangt, desto früher richten Sie sie ein.

Die Regel ist einfach: Richten Sie zuerst die stillen Schichten ein und danach die sichtbaren. Senden Sie außerdem nach jeder Schicht eine echte Testnachricht. Der Eintrag Keiner in der Spalte Aufwand heißt nur, dass Besucher nichts merken. Er beweist also nicht, dass die Schicht funktioniert.

Wie fängt ein Honeypot Kontaktformular Spam von Bots ab?

Ein Honeypot ist ein zusätzliches Formularfeld, das echte Besucher nie sehen. Einfache Bots füllen jedoch jedes Feld, das sie finden. Kommt das Köderfeld gefüllt an, behandeln Sie die Einsendung als verdächtig. Weil es vom Besucher nichts verlangt, ist es die leichteste Schicht.

Zum Beispiel trägt das Formular neben den echten Feldern ein verstecktes Feld namens Website. Ein Mensch sieht es nie. Ein Bot liest den Feldnamen jedoch, schreibt einen Link hinein und verrät sich.

Die Idee ist einfach, aber vier Details machen den Unterschied:

• Verbergen Sie das Feld vor sehenden Besuchern und vor Screenreadern. Sonst liest ein Screenreader einer blinden Person ein sinnloses Feld vor.
• Nehmen Sie das Feld aus der Tastaturreihenfolge, damit niemand mit der Tabulatortaste darauf landet.
• Geben Sie dem Feld zudem einen gewöhnlichen Namen, den die automatische Formularausfüllung des Browsers nicht erkennt. Hält der Browser es für ein Feld für Adresse oder Telefon, lehnen Sie versehentlich einen echten Kunden ab.
• Verwerfen Sie die Nachricht nicht stillschweigend, wenn das Köderfeld gefüllt ist. Markieren Sie sie stattdessen im Protokoll als verdächtig.

Kennen Sie auch die Grenze. Fortgeschrittene Bots, die die Seite wie ein echter Browser ausführen, können das Feld überspringen. Trotzdem kostet es fast nichts und gehört deshalb als erste Schicht dazu. Den Code lassen wir hier weg, denn das Feld in die Vorlage einzubauen ist Aufgabe einer Entwicklerin, eines Entwicklers oder von uns.

Wie erkennt eine Zeitprüfung Formulare, die zu schnell abschicken?

Ein Mensch braucht Zeit, um ein Formular auszufüllen. Bots schicken es dagegen oft sofort ab. Eine Zeitprüfung hält fest, wann das Formular geladen hat, und vergleicht diesen Moment mit dem Zeitpunkt des Absendens. Ist der Abstand zu kurz für einen Menschen, behandeln Sie die Einsendung als verdächtig.

• Legen Sie zunächst die Schwelle mit Ihrem eigenen Formular fest. Füllen Sie es sorgfältig, aber zügig aus, messen Sie die Zeit und setzen Sie die Grenze deutlich darunter. Eine feste Zahl nennen wir nicht, weil der richtige Wert von der Länge des Formulars abhängt.
• Beachten Sie außerdem Autofill und Passwortmanager. Sie füllen Formulare sehr schnell, deshalb nutzen Sie zu schnell als Punktwert statt als harte Ablehnung.
• Setzen Sie auch eine Obergrenze. Geben Sie dem Zeitstempel eine Lebensdauer, sodass Einsendungen von einer alten Seitenkopie scheitern.
• Achten Sie schließlich auf Caching. Liegt Ihre Seite in einem Cache für ganze Seiten, kann der Zeitstempel veralten. Erzeugen Sie ihn stattdessen beim Laden der Seite oder holen Sie ihn mit einer eigenen Anfrage.

Kurz gesagt bleibt diese Schicht unsichtbar und schafft kein Problem für die Barrierefreiheit. Verlassen Sie sich trotzdem nicht allein darauf. Kombinieren Sie sie mit der serverseitigen Prüfung, der nächsten Schicht.

Warum sind serverseitige Prüfung und Ratenbegrenzung unverzichtbar?

Ein Bot kann jede Prüfung umgehen, die im Browser läuft. Er kann Daten direkt an die Adresse des Formulars senden, ohne die Seite je zu öffnen. Folglich gehört die eigentliche Entscheidung gegen Kontaktformular Spam auf den Server.

Die Dokumentation der Verifizierungsdienste sagt außerdem dasselbe. Die Dokumentation von Cloudflare Turnstile hält fest, dass das Widget im Browser Ihre Formulare nicht allein schützt. Sie müssen zusätzlich vom Server aus die Prüfschnittstelle aufrufen. Ebenso ergänzt die Dokumentation von hCaptcha, dass ein Rückruf im Frontend allein die Anfrage nicht autorisiert.

• Prüfen Sie zuerst Pflichtfelder, Längen und das Mailformat erneut auf dem Server.
• Lehnen Sie Zeilenumbrüche in Feldern ab, die im Kopf der Nachricht landen, etwa Name, Betreff und Mailadresse. Sonst kann ein Angreifer Ihr Formular nutzen, um eigene Mails zu verschicken.
• Begrenzen Sie dann die Einsendungen pro IP, Sitzung oder Mailadresse innerhalb eines Zeitfensters.
• Löst ein Limit aus, verwerfen Sie die Nachricht nicht stillschweigend. Zeigen Sie stattdessen eine kurze Fehlermeldung und protokollieren Sie den Vorfall.

Beispielszenario: Bremsen Sie Einsendungen, die kurz hintereinander von derselben IP eintreffen. Ein echter Kunde probiert ein Formular höchstens ein paar Mal, ein Bot dagegen weit öfter. Halten Sie das Limit flexibel statt hart, denn Büros teilen sich Adressen.

Seien Sie besonders vorsichtig, wenn das Formular automatisch eine Dankesmail oder eine Kopie an den Absender schickt. Bots können diese Funktion missbrauchen, um fremde Adressen anzuschreiben. Senden Sie diese Mail daher nur bei Einsendungen, die Ihre Prüfungen bestehen, und begrenzen Sie ihre Häufigkeit. Den größeren Rahmen zur Sicherheit finden Sie in unserem Leitfaden zu den OWASP Top 10 Sicherheitslücken in Webanwendungen.

Wie filtern Sie Links und Muster, ohne echte Kunden zu verlieren?

Links sind oft das verräterischste Merkmal von Kontaktformular Spam. Ein echter Kunde teilt meist höchstens die eigene Website oder eine Produktseite. Die Zahl der Links ist daher ein gutes Signal, sollte aber nie der einzige Ablehnungsgrund sein.

• Anzahl der Links: Legen Sie die Schwelle anhand Ihrer echten Nachrichten fest. Enthält zum Beispiel keine echte Nachricht mehr als einen Link, dürfen Sie mehrere Links als verdächtig werten.
• Phrasenliste: Sammeln Sie Wendungen, die im Spam ständig wiederkehren, und machen Sie aus einem Treffer Punkte.
• Domainliste: Markieren Sie außerdem Domains, die im Spam immer wieder auftauchen.
• Quarantäne: Löschen Sie verdächtige Nachrichten nicht, sondern legen Sie sie in einen eigenen Ordner oder im Verwaltungsbereich mit dem Hinweis verdächtig ab.

Vermeiden Sie harte Regeln wie das Sperren einer ganzen Sprache. Ein echter Kunde aus dem Ausland schreibt zum Beispiel in einer anderen Sprache. Ein Punktesystem ist sicherer, weil jedes Signal Punkte addiert und nur eine Nachricht über der Schwelle in Quarantäne landet. So lässt ein einzelner Link keinen echten Kunden verschwinden.

Wie gehen Sie mit Spam um, den Menschen von Hand schicken?

Manche Nachrichten stammen von echten Menschen, nicht von Bots. Der Absender fügt dasselbe Angebot von Hand in die Formulare vieler Seiten ein. Diese Nachrichten sind eine milde Form von Spam. Technische Hürden stoppen sie selten, weil der Absender Rätsel lösen kann, das Köderfeld nie sieht und langsam tippt.

• Fügen Sie dem Formular eine Themenauswahl hinzu. Bieten Sie zum Beispiel Angebot, Support und Sonstiges an und filtern Sie Ihr Postfach danach.
• Setzen Sie außerdem einen kurzen Hinweis über das Formular. Nennen Sie, welche Anfragen Sie beantworten.
• Machen Sie dann aus wiederkehrenden Angebotsmustern eine Filterregel und schicken Sie sie in Quarantäne.
• Akzeptieren Sie schließlich einen kleinen Rest. Keine technische Methode stoppt jeden Menschen, der von Hand tippt.

An dieser Stelle ist das Ziel ein überschaubares Postfach, nicht null Nachrichten. Diese Balance ohne müde Kunden zu halten, gehört ebenfalls zum Formulardesign.

Wann brauchen Sie einen Verifizierungsdienst im Hintergrund?

Hält der Kontaktformular Spam trotz der früheren Schichten an oder ist der Angriff heftig, denken Sie über einen Verifizierungsdienst nach. Google reCAPTCHA, Cloudflare Turnstile und hCaptcha folgen derselben Grundlogik. Viele nennen diese Dienste Captchas, also Prüfungen, ob ein Besucher ein Mensch ist. Zunächst erzeugt der Browser des Besuchers ein Token, also einen kurzlebigen Code. Ihr Server fragt dann beim Anbieter nach diesem Token und nimmt die Einsendung je nach Antwort an oder lehnt sie ab.

Die offiziellen Unterlagen dieser Dienste haben einiges gemeinsam:

• Die Prüfung auf dem Server ist Pflicht. Laut Dokumentation von Turnstile schützt das Widget im Browser das Formular zum Beispiel nicht allein.
• Tokens sind kurzlebig und nur einmal verwendbar, deshalb muss Ihr Server jedes zügig prüfen. Das steht sowohl in der Dokumentation von Turnstile als auch in der von hCaptcha.
• Alle drei laden ein Skript eines Drittanbieters auf Ihre Seite. Es beeinflusst Ladezeit und Datenschutz, also laden Sie es nur auf der Seite mit dem Formular.

Erscheint das Widget, aber der Spam geht weiter, prüfen Sie zuerst: Läuft die serverseitige Prüfung wirklich? In den meisten Fällen liegt hier die Ursache. Häufig passen die Schlüssel nicht zusammen, jemand hat die Prüfung abgeschaltet oder der Spam kommt über ein anderes, ungeschütztes Formular.

Worin unterscheiden sich Google reCAPTCHA, Cloudflare Turnstile und hCaptcha?

Die Tabelle stützt sich nur auf Angaben, die wir in den offiziellen Unterlagen der Anbieter geprüft haben. Tarife, Produktnamen und Bedingungen ändern sich oft, deshalb prüfen Sie den aktuellen Stand auf der Seite des jeweiligen Anbieters.

Welcher Verifizierungsdienst passt zu welcher Art von Website?

Alle drei Dienste verlangen eine Prüfung auf dem Server, daher liegen die Unterschiede bei Besuchererlebnis, Datenfluss und Einrichtung. Die folgenden Zuordnungen sind allgemeine Überlegungen, keine Regeln.

• Google reCAPTCHA: Passt zu Teams, die einen Risikowert mit eigenen Regeln verknüpfen. Außerdem müssen sie die Einrichtung übernehmen, die die Dokumentation von Google Cloud beschreibt. Den Schwellenwert anhand Ihrer echten Nachrichten und Ihrer Spambeispiele festzulegen, bleibt Ihnen überlassen.
• Cloudflare Turnstile: Passt zu Websites, die die Reibung für Besucher über die Art des Widgets einstellen wollen, zum Beispiel verwaltet, interaktionslos oder unsichtbar. Laut Dokumentation läuft es auch auf Websites, die nicht über Cloudflare laufen.
• hCaptcha: Passt zu Websites, die Optionen für Barrierefreiheit wie die textbasierte Alternative gezielt aktivieren und verwalten wollen. Ob Sie diese Optionen einschalten, entscheiden Sie selbst, und die Seite zur Barrierefreiheit des Anbieters sagt das offen.

Für das Formular eines kleinen Unternehmens gilt der praktische Weg: Richten Sie zuerst die Schichten ein, die keinen Dritten brauchen, und beobachten Sie die Ergebnisse eine Weile. Hält der Spam an, probieren Sie dann einen der Dienste im unsichtbaren oder interaktionslosen Modus aus. Wählen Sie gegen Kontaktformular Spam nicht den angeblich besten Dienst, sondern den, der zu Ihrem Formular passt.

Wie schließen Bilderrätsel Menschen mit Behinderung aus?

Die Arbeitsgruppe Accessible Platform Architectures des W3C hat den Entwurf einer Notiz mit dem Titel Inaccessibility of CAPTCHA veröffentlicht. Sie hält fest, dass ein Captcha nicht nur Computer von Menschen trennt. Es hindert häufig auch Menschen mit Behinderung daran, die gewünschte Aufgabe zu erledigen.

• Blinde, sehbehinderte und legasthenische Menschen haben zum Beispiel Mühe, verzerrte Zeichen zu lesen.
• Gehörlose, schwerhörige Menschen und Menschen mit auditiver Verarbeitungsstörung können Aufgaben mit Ton außerdem nicht abtippen.
• Taubblinde Menschen verlieren daher sowohl die visuelle als auch die akustische Variante.
• Menschen mit kognitiven Einschränkungen oder Lernschwierigkeiten stoßen zudem auf Gestaltungen, die mehrere Versuche voraussetzen. Die Notiz bezeichnet eine solche Gestaltung als wohl von Grund auf unzugänglich.
• Schließlich setzen klassische Rätsel voraus, dass alle Menschen englische Wörter lesen und abtippen können.

Das Fazit der Notiz ist klar: Es gibt weiterhin keine einzelne ideale Lösung. Die Empfehlungen sind dennoch konkret. Führen Sie zuerst eine Risikoanalyse durch, reduzieren Sie interaktive Rätsel, bieten Sie bei ihrer Nutzung alternative Aufgaben an und bevorzugen Sie Verfahren ohne Interaktion. Laut Notiz bereiten Verfahren ohne Interaktion keine Probleme bei der Barrierefreiheit, können aber personenbezogene Daten offenlegen.

Ein Honeypot und eine Zeitprüfung sind zum Beispiel solche Verfahren ohne Interaktion. Entscheiden Sie sich für einen Verifizierungsdienst, dann testen Sie das Formular nur mit der Tastatur und mit einem Screenreader. Die Grundlagen finden Sie in unserem Leitfaden zur barrierefreien Website mit WCAG und BFSG.

Brauchen Sie bei Verifizierungsdiensten eine Datenschutzerklärung und eine Einwilligung?

Das ist eine Rechtsfrage, deshalb geben wir kein Urteil ab. Dieser Beitrag ist keine Rechtsberatung, fragen Sie Ihre Anwältin oder Ihren Anwalt. Trotzdem hilft es, die Logik zu kennen. Ein Verifizierungsdienst sammelt Signale aus dem Browser des Besuchers und spricht mit den Servern eines Dritten. Das heißt, es fließen personenbezogene Daten.

• Datenschutzerklärung: Nennen Sie den Dienst und den Zweck und sagen Sie zudem, dass Daten an den Anbieter gehen. Fließen Daten in ein Drittland, nennen Sie auch das.
• Cookies und ähnliche Speicherung: Die Anbieter dokumentieren das unterschiedlich. Die häufig gestellten Fragen von Google erwähnen ein notwendiges Cookie für die Risikoanalyse, und die Seite zur Barrierefreiheit von hCaptcha erwähnt ein verschlüsseltes Cookie. Ob dafür eine Einwilligung nötig ist, bleibt allerdings eine rechtliche Bewertung.
• Einwilligungsbanner: Laden Sie das Prüfskript erst nach der Einwilligung, bleibt das Formular für Besucher, die ablehnen, womöglich ungeschützt. Bauen Sie daher zuerst die Schichten, die keinen Dritten brauchen.
• IP des Besuchers: Die IP mit der Prüfanfrage mitzusenden ist bei Turnstile optional und wird von hCaptcha empfohlen. Entscheiden Sie bewusst, ob Sie sie senden.

Den allgemeinen Rahmen erklärt unser Leitfaden zur datenschutzkonformen Website nach DSGVO. Die Pflichtangaben jeder Firmenwebsite behandelt unser Beitrag zur Impressumspflicht und zu weiteren Pflichtangaben.

Was können Sie tun, wenn Sie einen Baukasten oder ein Plugin für Formulare nutzen?

Die meisten Baukästen und Plugins für Formulare bieten einige dieser Schichten als Einstellung an. Die Namen der Einstellungen wechseln je nach Produkt und Version, deshalb nennen wir keine Schaltflächen. Suchen Sie im Verwaltungsbereich nach der passenden Einstellung und prüfen Sie ihren Namen auf den offiziellen Hilfeseiten.

1. Prüfen Sie zuerst, ob die Formulareinstellungen einen Honeypot, eine Ratenbegrenzung oder die Anbindung eines Verifizierungsdienstes anbieten.
2. Schalten Sie dann die Speicherung der Einträge ein. Bewahren Sie Einsendungen im Verwaltungsbereich auf, nicht nur per Mail.
3. Testen Sie als Nächstes nach dem Eintragen der Schlüssel mit einer echten Einsendung, dass die Prüfung wirklich läuft.
4. Bauen Sie das Formular schließlich neu auf, falls die Optionen nicht reichen, und zwar dort, wo Sie eigene serverseitige Regeln ausführen können.

Schränkt die Plattform Ihre Kontrolle ein und können Sie keine eigenen serverseitigen Regeln ergänzen, ist ein Wechsel der Plattform ebenfalls eine Option. Diesen Weg beschreiben wir in unserem Leitfaden, wie Sie von Wix umziehen und die Domain übertragen.

Wie viel hilft eine Firewall bei Kontaktformular Spam?

Eine Web Application Firewall (WAF) filtert schlechten Datenverkehr, bevor er Ihr Formular erreicht. Sie kann bekannte schlechte Quellen, Adressen mit zu vielen Anfragen und auffälliges Verhalten einschränken. Anders gesagt wendet sie eine Ratenbegrenzung vor Ihrem Server an.

• Nutzen: Sie entlastet den Server bei einem starken Angriff und schneidet zudem groben Datenverkehr vor dem Formular ab.
• Grenze: Einzelne Spamnachrichten aus sauber wirkenden Quellen kommen allerdings oft durch.
• Risiko: Eine zu strenge Regel sperrt zudem echte Kunden mit VPN oder in gemeinsamen Netzen aus und kann einen Fehler 403 anzeigen.

Testen Sie beim Feinabstimmen der Regeln zunächst Ihre eigenen echten Einsendungen aus verschiedenen Netzen. Was eine Firewall tut und woher Fehler 403 kommen, erklären wir in unserem Leitfaden zu ModSecurity und WAF. Legen Sie serverseitige Regeln gemeinsam mit Ihrem Hostinganbieter oder dem technischen Team fest, das dafür zuständig ist.

Warum landen Benachrichtigungsmails des Formulars im Spamordner?

Das ist das umgekehrte Problem: Ihr Formular funktioniert, aber die Benachrichtigung erreicht Sie nicht. Liegt die Nachricht eines echten Kunden im Spamordner, rettet sie auch der beste Spamschutz nicht.

Die Ursache ist meist die Absenderidentität, denn die Website verschickt die Nachricht im Namen Ihrer Domain. SPF, DKIM und DMARC sind Einträge im DNS, die belegen, dass eine Mail wirklich von Ihnen stammt. Bestätigen diese Einträge den Versand nicht, stuft der empfangende Anbieter die Mail dann als verdächtig ein. Die komplette Einrichtung wiederholen wir hier nicht, nutzen Sie also die Links unten.

• Richten Sie die Einträge zunächst nach unserer Anleitung SPF, DKIM und DMARC einrichten ein.
• Prüfen Sie das Ergebnis danach mit unserem kostenlosen SPF DKIM DMARC Check.
• Versenden Sie außerdem bei WordPress Mails über ein authentifiziertes Konto per SMTP (das Standardverfahren zum Versand von Mails). Unsere Anleitung zum Einrichten von WP Mail SMTP zeigt die Schritte.

Zum Test senden Sie das Formular mit einer anderen eigenen Adresse ab. Lesen Sie dann in den Rohdaten der Kopfzeilen die Ergebnisse der Authentifizierung. Bestehen sie, liegt das Problem woanders.

Wie vermeiden Sie Fehlalarme und verlorene Kundennachrichten?

Jeder Filter gegen Kontaktformular Spam stuft manchmal eine echte Nachricht fälschlich als verdächtig ein. Das ist ein Fehlalarm. Sobald der Schutz steht, besteht das eigentliche Risiko darin, einen echten Kunden unbemerkt zu verlieren. Bauen Sie daher ein Sicherheitsnetz.

1. Speichern Sie zuerst jede Einsendung im Verwaltungsbereich oder in der Datenbank, nicht nur per Mail. Markieren Sie verdächtige Einträge, statt sie zu löschen.
2. Senden Sie danach nach jeder neuen Maßnahme eine echte Testnachricht: vom Desktop und vom Handy, mit und ohne Autofill.
3. Zeigen Sie dann jedem, den Sie abweisen, eine klare Fehlermeldung und bieten Sie einen zweiten Weg an, etwa eine Telefonnummer oder einen Link zu einem Messenger.
4. Sehen Sie schließlich wöchentlich in den Ordner mit verdächtigen Einsendungen und suchen Sie nach echten Nachrichten.

Auch das Formular selbst spielt eine Rolle. Ein kürzeres, klareres Formular entlastet echte Kunden und Ihre Filter. Unser Leitfaden zu Formularen für Termin, Angebot und Demo erklärt dieses Gleichgewicht.

Mit welcher Checkliste prüfen Sie Ihren Schutz gegen Kontaktformular Spam?

Mit dieser Liste bestätigen Sie, dass jede Schicht, die Sie gebaut haben, wirklich funktioniert.

• Trennen Sie Spam aus dem Formular von Spam an die abgedruckte Adresse.
• Listen Sie jedes Formular der Website auf und schützen Sie jedes einzelne.
• Prüfen Sie, dass das Köderfeld für Screenreader und Tastatur verborgen bleibt.
• Legen Sie die Zeitschwelle anhand Ihrer eigenen Ausfüllzeit fest.
• Schalten Sie serverseitige Prüfungen für Felder, Längen und Zeilenumbrüche ein.
• Setzen Sie eine Ratenbegrenzung und denken Sie an Kunden, die sich eine IP teilen.
• Markieren Sie verdächtige Nachrichten, statt sie zu löschen, und sichten Sie sie wöchentlich.
• Bestätigen Sie bei einem Verifizierungsdienst, dass die Serverprüfung läuft und Ihre Datenschutzerklärung aktuell ist.
• Kontrollieren Sie, dass Benachrichtigungsmails im Posteingang ankommen.
• Senden Sie eine echte Testnachricht vom Desktop, vom Handy und nur mit der Tastatur.

Führen Sie die Liste nach jeder größeren Änderung erneut durch, denn ein Update von Plugin, Theme oder Firewall kann diese Schichten unbemerkt brechen.

Wie können wir Sie dabei unterstützen?

Talha Aslan und sein Team gestalten, bauen, migrieren und betreuen Websites. Wenn wir uns um Kontaktformular Spam kümmern, beginnen wir mit Ihren Beispielnachrichten, der Struktur Ihrer Seite und Ihrer Plattform. Dann richten wir die Schichten in einer Reihenfolge ein, die Ihre Besucher nicht ermüdet.

• Diagnose: Zunächst sichten wir gemeinsam mit Ihnen Ihre Spambeispiele, ihre Zeitpunkte und die Formulare auf Ihrer Seite.
• Einrichtung: Danach setzen wir das versteckte Köderfeld, die serverseitige Prüfung, die Ratenbegrenzung und die Speicherung der Einsendungen um.
• Verifizierungsdienst: Bei Bedarf erläutern wir Stärken und Schwächen jeder Option und überlassen Ihnen die Entscheidung, damit Sie die Kontrolle behalten.
• Test: Schließlich bestätigen wir auf verschiedenen Geräten, dass eine echte Nachricht ankommt.

Für den Start fordern Sie über unsere Seite zu professionellem Webdesign ein Angebot an. Umfang und Preis klären wir, nachdem wir Ihre Website gesehen haben.