Spam im Kontaktformular: Was wirklich schützt — und was Kunden vergrault

Das Kontaktformular ist auf den meisten Websites kleiner Betriebe der wichtigste Punkt überhaupt: Hier wird aus einem Besucher eine Anfrage. Und genau hier passiert auch das Ärgerlichste: Kaum ist eine neue Website online, füllt sich das Postfach — nicht mit Kunden, sondern mit Spam. Angebote für dubiose SEO-Dienste, Kryptowährungen, angebliche Design-Agenturen. Wir betreuen Websites von Praxen, Handwerksbetrieben und Selbstständigen, und das Muster ist immer gleich: Die ersten Bots finden ein neues Formular oft schneller als der erste echte Kunde.

Die reflexartige Antwort vieler Baukästen und Plugins ist ein Bild-Rätsel vor dem Absenden. Das ist aus unserer Sicht die schlechteste Lösung von allen. In diesem Beitrag zeigen wir, welche Schutz-Werkzeuge auf unseren Seiten wirklich funktionieren — und warum die besten davon für Ihre Besucher komplett unsichtbar sind.

Warum landet überhaupt Spam in Ihrem Formular?

Formular-Spam ist fast nie persönlich gemeint. Bots durchsuchen das Web automatisiert nach Seiten mit Eingabefeldern und schicken überall dieselben Botschaften ab. Ihre Website muss dafür weder bekannt noch gut besucht sein — es reicht, dass sie existiert. Ein Formular ohne Schutz ist eine offene Tür.

„Dann lasse ich das Formular eben weg" ist trotzdem keine Lösung. Ihre E-Mail-Adresse steht ohnehin im Impressum, dort kommt der Spam also sowieso an. Das Formular streichen würde nur echte Anfragen kosten: Viele Interessenten füllen abends um 22 Uhr lieber drei Felder aus, als eine E-Mail zu formulieren. Die Aufgabe ist also nicht, die Tür zu schließen — sondern sie so zu bauen, dass Menschen durchkommen und Bots nicht.

Was Kunden vergrault: Bild-Rätsel und Rechenaufgaben

Die älteste Antwort auf Spam sind klassische Captchas: Ampeln anklicken, verzerrte Buchstaben abtippen, „Wie viel ist 3 + 4?". Damit kaufen Sie sich gleich mehrere Probleme ein:

• Die Hürde steht an der teuersten Stelle. Der Besucher war schon überzeugt und wollte gerade anfragen. Jeder zusätzliche Schritt kostet an genau diesem Punkt Anfragen — und auf dem Handy ist das Herumtippen auf kleinen Bildkacheln besonders mühsam.
• Bild-Rätsel sind eine Barriere. Für Menschen mit Sehbehinderung sind viele Captchas schlicht unlösbar. Welche Hürden wir auf kleinen Websites sonst noch regelmäßig finden, haben wir im Beitrag über Barrierefreiheits-Fehler auf kleinen Websites aufgeschrieben.
• Der Schutz nervt die Falschen. Automatisierte Captcha-Löser gibt es längst als Dienstleistung, und moderne Bots kommen mit vielen klassischen Rätseln erstaunlich gut zurecht. Übrig bleibt eine Hürde, die vor allem Ihre echten Besucher trifft.

Ein Sonderfall ist Google reCAPTCHA: technisch verbreitet, aber datenschutzrechtlich umstritten, weil bei der Einbindung Daten an Google übertragen werden. Wer es einsetzt, muss es in der Datenschutzerklärung und im Consent-Banner sauber abbilden. Wie Sie so etwas auf Ihrer eigenen Seite überprüfen, zeigt unser Datenschutz-Check in 15 Minuten.

Was wirklich funktioniert — unsichtbar für Ihre Besucher

Die gute Nachricht: Die wirksamsten Werkzeuge bekommt Ihr Besucher gar nicht zu sehen. Sie prüfen im Hintergrund, ob sich das Gegenüber wie ein Mensch verhält — statt dem Menschen ein Rätsel aufzugeben.

1. Das Honeypot-Feld

Ein zusätzliches Eingabefeld, das per Stylesheet unsichtbar gemacht wird. Menschen sehen es nicht und lassen es leer. Einfache Bots füllen stur jedes Feld aus — steht im Honeypot etwas drin, wird die Nachricht verworfen. Kostet nichts, braucht keine Einwilligung, bremst niemanden.

2. Die Zeit-Falle

Ein Mensch braucht zum Lesen und Ausfüllen eines Formulars deutlich länger als ein Skript. Wird das Formular wenige Sekunden nach dem Laden der Seite abgeschickt, war das kein Kunde. Solche Einsendungen lassen sich gefahrlos verwerfen — kein echter Interessent tippt seine Anfrage in drei Sekunden.

3. Unsichtbare Bot-Prüfung, zum Beispiel Cloudflare Turnstile

Turnstile ist eine Captcha-Alternative, die im Hintergrund technische Signale des Browsers auswertet, statt Rätsel zu stellen. Die allermeisten Besucher werden unbemerkt geprüft; nur in Zweifelsfällen erscheint ein einfaches Häkchen zum Anklicken — Bild-Rätsel oder verzerrte Buchstaben gibt es nie. Der Dienst ist kostenlos nutzbar und gehört — wie jeder externe Dienst — in die Datenschutzerklärung.

4. Prüfung auf dem Server

Egal welche Technik vorne läuft: Entschieden werden muss auf dem Server, nicht nur im Browser. Dort lassen sich Pflichtfelder prüfen und typische Spam-Muster abweisen — etwa Nachrichten, die im Wesentlichen aus Links bestehen. Ein Schutz, der nur im Browser lebt, ist für Bots keiner: Sie schicken ihre Daten einfach direkt am Formular vorbei.

Wie kombinieren wir das in der Praxis?

Auf den Websites, die wir bauen und betreuen, arbeitet der Schutz als Staffel: Honeypot und Zeit-Falle fangen die einfachen Bots ab, die unsichtbare Bot-Prüfung übernimmt die hartnäckigeren, und der Server entscheidet am Ende. Seit wir so vorgehen, erreicht uns über unsere Formulare praktisch kein Spam mehr — und keine einzige Beschwerde über ein nerviges Rätsel.

Ein Detail, das oft übersehen wird: das Verhalten im Fehlerfall. Wenn die Bot-Prüfung technisch gerade nicht erreichbar ist, sollte das Formular im Zweifel ablehnen und den Besucher bitten, es gleich noch einmal zu versuchen — statt ungeprüft alles durchzuwinken. Sonst fällt der Schutz genau in dem Moment aus, in dem er gebraucht wird.

Und WordPress? Die meisten Formular-Plugins bringen einen Honeypot bereits mit; beim weit verbreiteten Contact Form 7 genügt dafür ein kleines Zusatz-Plugin, Turnstile lässt sich dort sogar direkt anbinden. Achten Sie darauf, dass dabei nicht drei Spam-Plugins parallel laufen — welche Erweiterungen eine Seite wirklich braucht, haben wir im Beitrag WordPress-Plugins ausmisten sortiert.

Was bedeutet das für Ihre Website?

1. Bild-Captchas und Rechenaufgaben entfernen. Sie kosten Anfragen und halten moderne Bots kaum noch auf.
2. Honeypot und Zeit-Falle aktivieren. In den meisten Formular-Lösungen ist das ein Haken in den Einstellungen oder ein kleines Zusatzmodul.
3. Unsichtbare Bot-Prüfung ergänzen. Zum Beispiel Turnstile — und den Dienst in der Datenschutzerklärung erwähnen.
4. Am Handy testen. Eine echte Anfrage sollte in unter einer Minute abgeschickt sein, ohne Rätsel und ohne Fehlermeldung.
5. Nach zwei Wochen nachschauen. Kommt noch Spam durch? Kommt Ihre eigene Test-Anfrage zuverlässig an? Erst dann ist das Thema erledigt.

Formular-Spam ist lästig, aber lösbar — und zwar ohne Ihre Kunden mit Ampel-Bildern zu ärgern. Wer beim nächsten Website-Projekt von Anfang an auf unsichtbaren Schutz setzt, bekommt beides: ein ruhiges Postfach und ein Formular, das Anfragen bringt statt sie zu verhindern.