Spam im Kontaktformular stoppen: Honeypot, Captcha und Filter

Kaum ist ein Kontaktformular online, füllt sich das Postfach mit Werbung und Betrugsversuchen. Mit mehreren einfachen Schutzschichten lässt sich das meiste abfangen.

Hier erfährst du, wie Honeypot, Zeitprüfung, Captcha und Serverregeln zusammenspielen und worauf du bei Datenschutz achten musst.

Warum Kontaktformulare Spam anziehen

Jedes öffentliche Formular im Netz wird früher oder später von Programmen entdeckt, die automatisch Nachrichten einsenden. Diese Bots füllen Felder mit Werbung, Links zu dubiosen Seiten oder Betrugsversuchen. Das kostet Zeit, füllt das Postfach und kann schlimmstenfalls die Zustellung deiner Mails verschlechtern, wenn dein Server viele Nachrichten versendet. Die gute Nachricht: Mit wenigen Maßnahmen lässt sich der größte Teil abfangen, ohne echte Besucher zu verärgern. Entscheidend ist, mehrere einfache Schutzschichten zu kombinieren, statt nur auf eine Lösung zu setzen.

• Dieser Beitrag erklärt die wichtigsten Methoden gegen Formular-Spam, von versteckten Feldern bis zu Captchas, und was du dabei für Datenschutz und Barrierefreiheit beachten solltest.

Wenn viel Spam ankommt, dann ergänze einen Honeypot. Wenn es weiter anhält, dann füge Zeitprüfung und Serverregeln hinzu.

Honeypot: das unsichtbare Feld

Ein Honeypot ist ein zusätzliches Feld, das Menschen nicht sehen, weil es per Stil ausgeblendet ist. Bots füllen jedes Feld aus, auch dieses. Kommt die Nachricht mit ausgefülltem Honeypot an, verwirfst du sie. Gib dem Feld einen unauffälligen Namen, etwa "website", und blende es nicht mit offensichtlichen Mitteln aus, die Bots erkennen. Wichtig: Das Feld sollte für Screenreader nicht lesbar sein, damit sehbehinderte Besucher nicht versehentlich hineinschreiben. Ein Honeypot kostet keine Nerven und fängt viele einfache Bots.

• Verstecktes Feld ergänzen
• Ausgefüllt gleich verwerfen
• Für Screenreader ausblenden
• Unauffällig benennen

Wenn du ein Captcha nutzt, dann kläre den Datenschutz. Wenn es nervt, dann reduziere es auf Verdachtsfälle.

Zeitprüfung und Token

Bots senden Formulare oft in Sekundenbruchteilen ab. Speichere beim Laden der Seite einen Zeitstempel in einem verschlüsselten Feld und verlange eine Mindestzeit von einigen Sekunden bis zum Absenden. Ergänze einen zufälligen Token, der mit der Sitzung gekoppelt ist, so lassen sich Nachrichten von fremden Seiten abweisen. Beides läuft ohne sichtbare Hürde für echte Besucher. Setze die Mindestzeit nicht zu hoch an, damit kurze Formulare weiter funktionieren.

• Mindestzeit prüfen
• Token pro Sitzung
• Keine sichtbare Hürde
• Zeit nicht zu hoch ansetzen

Wenn echte Anfragen fehlen, dann prüfe den Spam-Ordner und die Regeln. Wenn Schutz zu streng ist, dann lockere ihn.

Captcha mit Augenmaß

Ein Captcha prüft, ob ein Mensch das Formular ausfüllt. Es gibt Varianten mit Bilderrätseln, Rechenaufgaben und unsichtbaren Prüfungen im Hintergrund. Externe Dienste laden Skripte von fremden Servern und können Daten der Besucher weitergeben, das gehört in die Datenschutzerklärung und verlangt je nach Dienst eine Einwilligung. Datensparsame Alternativen laufen auf dem eigenen Server. Achte außerdem auf Barrierefreiheit, denn Bilderrätsel schließen manche Menschen aus. Nutze ein Captcha als zusätzliche Schicht, nicht als erste Wahl.

• Datenschutz klären
• Barrierefreiheit beachten
• Eigene Lösung erwägen
• Als zusätzliche Schicht

Wenn dein Hoster die Mails begrenzt, dann beobachte das Limit. Wenn es erreicht wird, dann prüfe die Schutzschichten.

Serverseitig prüfen

Die verlässlichste Schicht liegt auf dem Server: Prüfe jede Eingabe, begrenze Längen, erlaube nur sinnvolle Zeichen, lehne Nachrichten mit mehreren Links ab und begrenze die Zahl der Absendungen pro Adresse und Zeitraum. Verwende ein Formular-Skript, das Header-Injektion verhindert, damit niemand über das Feld für die Absenderadresse eigene Mails versenden kann. Viele Baukästen und Plugins bieten diese Schutzfunktionen ab Werk an, wie bei Eigene Website erstellen beschrieben.

• Eingaben validieren
• Links begrenzen
• Rate-Limit setzen
• Header-Injektion verhindern

Wenn du Daten speicherst, dann halte sie sparsam. Wenn die Anfrage erledigt ist, dann lösche sie.

Absender und Versand sichern

Sende Formularnachrichten über ein eigenes Postfach deiner Domain mit korrekter Konfiguration und nicht über den allgemeinen Webserver-Versand. Der Hintergrund steht in Spam-Mails stoppen.

• Eigenes Postfach
• Technische Einträge
• Antwortadresse prüfen
• Verdächtiges blockieren

Filter im Postfach

Lege Regeln an, die Nachrichten mit typischen Spam-Wörtern oder vielen Links in einen eigenen Ordner sortieren. Prüfe den Ordner regelmäßig, damit echte Anfragen nicht untergehen.

• Regeln anlegen
• Ordner prüfen
• Echte Anfragen retten
• Regeln anpassen

Datenschutz im Formular

Frage nur nötige Daten ab, weise auf die Datenschutzerklärung hin und lösche Anfragen nach Abschluss. Protokolliere IP-Adressen nur, wenn du sie wirklich brauchst, und beachte die Speicherdauer.

• Wenige Felder
• Hinweis verlinken
• Löschfristen
• IP-Speicherung prüfen

Bestätigung für den Absender

Eine automatische Bestätigung an den Absender schafft Vertrauen, kann aber missbraucht werden, um fremde Adressen zuzuspammen. Sende sie nur nach Prüfung und begrenze die Zahl.

• Nur nach Prüfung
• Zahl begrenzen
• Kein Inhalt aus Eingabe
• Absender klar

Nachrichten sicher speichern

Wenn Anfragen in einer Datenbank landen, sichere sie gegen Zugriff und Einschleusung von Code. Speichere nie ungeprüft, was Besucher eintippen, und gib es im Backend maskiert aus.

• Eingaben maskieren
• Zugriff beschränken
• Backups anlegen
• Regelmäßig aufräumen

Schutz testen

Sende selbst eine Nachricht mit mehreren Links, eine sehr schnelle Absendung und eine mit ausgefülltem Honeypot und prüfe, was ankommt. Kontrolliere auch, ob echte Nachrichten nicht abgewiesen werden.

• Spam simulieren
• Echte Nachricht senden
• Protokoll lesen
• Regeln nachbessern

Alternativen zum Formular

Eine sichtbare E-Mail-Adresse zieht ebenfalls Spam an. Schütze sie, indem du sie als Grafik oder per Skript ausgibst, und nutze für Kontakte eher ein Formular mit Schutz.

• Adresse nicht offen zeigen
• Formular bevorzugen
• Skript nutzen
• Alternativen testen

Spam beobachten

Zähle, wie viele Spam-Nachrichten pro Woche ankommen. Ein plötzlicher Anstieg zeigt eine neue Welle und ist ein Anlass, die Schutzschichten zu prüfen.

• Wöchentlich zählen
• Trends erkennen
• Schutz anpassen
• Notizen führen

Zugang zum Backend sichern

Schütze die Verwaltung mit starkem Passwort und zweitem Faktor, siehe Passwort-Manager, Passkeys und 2FA. Ein gehacktes Backend ist gefährlicher als jeder Spam.

• Starkes Passwort
• Zweiter Faktor
• Updates einspielen
• Zugriffe prüfen

Hosting und Grenzen

Viele Hoster begrenzen die Zahl der versendeten Mails pro Stunde. Spam-Wellen können das Limit erreichen und echte Nachrichten blockieren. Prüfe die Grenzen in deinem Tarif.

• Limit kennen
• Warnungen aktivieren
• Protokolle lesen
• Bei Bedarf wechseln

Was dieser Schutz nicht leistet

• Kein Schutz hält alle Angriffe ab.
• Captchas lösen nicht jedes Problem.
• Dieser Beitrag zeigt keine Programmierung im Detail.
• Er ersetzt keine Prüfung durch Fachleute.

Wenn es nicht klappt: typische Stolperfallen

Echte Anfragen kommen nicht mehr an

Das siehst du: Kunden melden, dass sie geschrieben haben, aber bei dir ist nichts angekommen.

Mögliche Ursache: Der Schutz ist zu streng eingestellt oder die Nachrichten landen im Spam-Ordner.

So löst du es: Prüfe Spam-Ordner und Protokolle, lockere die Zeitprüfung und die Wortfilter, teste mit einer eigenen Anfrage und bitte betroffene Kunden, es erneut zu versuchen.

Der Honeypot fängt nichts

Das siehst du: Trotz verstecktem Feld kommen weiterhin viele Spam-Nachrichten an.

Mögliche Ursache: Die Bots erkennen das Feld oder umgehen das Formular und senden direkt an den Server.

So löst du es: Ergänze Zeitprüfung, Token und serverseitige Regeln, benenne das Feld unauffälliger und begrenze die Zahl der Absendungen pro Adresse und Stunde.

Das Captcha vertreibt Besucher

Das siehst du: Weniger Anfragen als früher und Beschwerden über schwere Rätsel.

Mögliche Ursache: Das Rätsel ist zu schwer oder nicht barrierefrei und schreckt echte Besucher ab.

So löst du es: Wechsle zu einer unauffälligen Variante, nutze das Captcha nur bei Verdacht, biete eine barrierefreie Alternative an und prüfe die Zahl der Anfragen nach der Änderung.

Das Mail-Limit des Hosters ist erreicht

Das siehst du: Der Hoster meldet zu viele versendete Mails oder blockiert den Versand.

Mögliche Ursache: Spam-Wellen lösen über das Formular massenhaft Mails aus.

So löst du es: Schalte das Formular vorübergehend ab, aktiviere strengere Regeln und ein Limit pro Adresse, prüfe Protokolle auf die Quelle und bitte den Hoster um Freischaltung, wenn der Schutz greift.

Fremde nutzen das Formular zum Versand

Das siehst du: Mails mit deiner Adresse als Absender gehen an unbekannte Empfänger.

Mögliche Ursache: Das Formular lässt Zeilenumbrüche in Feldern zu und ermöglicht Header-Injektion.

So löst du es: Entferne Umbrüche aus Feldern wie Absender und Betreff, nutze eine sichere Versandbibliothek, setze feste Empfänger und prüfe das Formular auf bekannte Lücken, bevor du es wieder aktivierst.

Häufige Fragen

Hilft ein Honeypot wirklich?

Gegen einfache Bots ja, gegen gezielte Angriffe nicht. Kombiniere ihn mit anderen Schutzmaßnahmen.

Brauche ich ein Captcha?

Nicht immer. Oft genügen Honeypot, Zeitprüfung und serverseitige Regeln.

Ist ein externes Captcha datenschutzkonform?

Das hängt vom Dienst ab. Prüfe Einbindung und Einwilligung.

Wie erkenne ich Spam?

Viele Links, Werbung, seltsame Texte und extrem kurze Absendezeit.

Soll ich die Adresse verstecken?

Ja, ein geschütztes Formular ist besser als eine offene Adresse.