Wie kann man Website-Formulare vor Spam schützen?

Du machst morgens den Rechner an, bist noch etwas müde und träge. Du öffnest dein E-Mail-Programm und schaust in den Posteingang. Und du traust deinen Augen nicht: da sind plötzlich hunderte seltsame ungelesene Mails drin, alle mit dem gleichen Betreff "Neue Nachricht von deiner Website" und ständig kommen weitere an!

So oder so ähnlich spielt es sich ab, wenn du Opfer von Formular-Spam auf deiner Website geworden bist. Irgendwelche Spam-Bots haben die Struktur deines Web-Formulars verstanden und füllen es nun fleißig mit Inhalt und senden es ab.

Warum missbrauchen Spam-Bots eigentlich Web-Formulare?

Es kann ganz verschiedene Gründe haben, wieso ein Spam-Bot dein Formular missbraucht. Und ganz genau, kann man es natürlich nie sagen, aber auf folgende Gründe stößt man häufig:

• Du sollst durch die Nachrichten mit Werbebotschaften zum Kauf angeregt werden (klassischer Spam auf anderem Wege), man könnte dich z.B. überzeugen wollen, in zweifelhafte Krypto-Projekte zu investieren.
• Der Bot weiß meist nicht genau, was nach dem Versenden des Formulars passiert. Er könnte hoffen, dass es ein Formular ist, dessen Inhalt danach irgendwo im Netz veröffentlich wird, z.B. ein Kommentar, eine Bewertung o.Ä. Der Bot könnte auf diese Weise Backlinks zu Spam-Produkten/-Angeboten im Web platzieren, die sich (kurzfristig) positiv auf die SEO auswirken (Blackhat-SEO).
• Es könnte auch sein, dass der Bot erstmal "nur" deine Infrastruktur testet: gibt es Sicherheitslücken, fehlerhafte Konfiguration – und wären diese Probleme für den Bot zu missbrauchen? Es ist nämlich auch möglich, ein nicht korrekt konfiguriertes Web-Formular als Spam-Relay zu missbrauchen – also als Spam-Schleuder direkt ausgehend von deiner Website. Das wäre für den Bot aber nur interessant, wenn die Mails nicht alle nur dich erreichen.

Was kann ich gegen Formular-Spam tun?

WordPress

Die Standardformulare deines Page Builders (z.B. Enfold, Elementor, Divi, Avada) haben häufig einen Spamschutz integriert, den man aber aktivieren muss. Halte nach entsprechenden Konfigurationsmöglichkeiten Ausschau. Unsere Erfahrung ist aber, dass die Formular-Elemente der verschiedenen Page Builder häufig nur rudimentäre Spamschutz-Möglichkeiten integriert haben.

Unsere Best Practice, die wir selbst regelmäßig erfolgreich anwenden, ist wie folgt:

• ein spezifisches Formular-Plugin nutzen, um die Formulare der Website aufzubauen – und nicht auf die Formular-Funktion des Page Builders zu setzen
• empfehlenswerte und verbreitete Formular-Plugins wären zum Beispiel: WP Forms, Contact Form 7 oder Gravity Forms (ausschließlich kostenpflichtig verfügbar)
• diese spezifischen Formular-Plugins bringen oft einen deutlich besseren Spamschutz mit, als die des Page Builders (diesen Spamschutz in der Konfiguration aber auch aktivieren!)

Es kommt trotzdem noch Spam: was kann ich tun?

Manchmal reicht nicht mal der Einsatz eines spezifisches Formular-Plugin mit aktiviertem Spamschutz aus, um dem Formularspam Herr zu werden. Wenn das auch bei dir der Fall ist, kannst du noch Folgendes tun:

• noch wirkungsvoller ist der zusätzliche Einsatz eines speziellen Antispam-Zusatz-Plugins, das eine weitere Schicht an Spamschutz zur Verfügung stellt (aber besser keine Captchas, siehe unten!)
• WP Armour – Honeypot Anti Spam: hiermit machen wir die besten Erfahrungen, es unterstützt zahlreiche verschiedene Formular-Plugins und bietet einen niedrigschwelligen Honeypot-Schutz, der i.d.R. gut funktioniert und den Großteil des Spamaufkommens verhindert

Pro-Tipp

Bei den verschiedenen Antispam-Features von Formularen können oft auch sog. "Captchas" aktiviert werden, z.B. "Google reCaptcha" (der bekannteste Captcha-Dienst) oder auch "Turnstile von Cloudflare".

Ich würde auf Dienste wie diese nur im äußersten Notfall zurückgreifen, denn oft bringen sie DSGVO-Probleme mit, die nicht "mal eben so auf die Schnelle" handlebar sind. Außerdem haben Captchas einfach keine gute Usability und schaffen zusätzliche Hürden, die es erschweren, dein Formular abzusenden – und Hürden bei der Leadgenerierung sollten man immer soweit es geht vermeiden!

Contao

Hier ist es kurz gesagt: der bei Contao mitgelieferte Formular-Builder ist Mittel der Wahl. Dieser hat auch einen zuverlässigen Spamschutz integriert, den man nur als Element in jedes der Formulare ganz unten einbauen sollte: "Sicherheitsfrage".

Das native Antispam-Feature von Contao wird regelmäßig weiterentwickelt. Als der Schutz vor einiger Zeit einmal von den Bots am Markt geknackt wurde, gab es kurzfristig eine verbesserte Version des Spamschutzes – einfach mit einem der regulären Contao-Updates.

Contao: ALTCHA

Für diejenigen, die einen noch stärkeren Spamschutz für ein Contao-Formular benötigen, ist das Plugin "Contao Altcha Antispam" von Marko Cupic Mittel der Wahl. Dieses stellt komfortabel den fortschrittlichen ALTCHA-Spamschutz bei Contao zur Verfügung.

ALTCHA basiert auf dem "Proof-of-Work"-Ansatz, Das heißt, der Browser (oder eben auch der Spam-Bot) muss für eine rechentechnische Aufgabe ordentlich Rechenleistung einsetzen, um die Barriere zu überwinden. Der Wirksamkeit dieses Ansatzes baut darauf, dass Spam-Bots Millionen von Formularen abarbeiten und dabei gerne möglichst effizient vorgehen. Denn zu hoher Ressourceneinsatz treibt die Kosten in die Höhe und ein weniger gut geschütztes Formular ist nur eine URL entfernt.

Entsprechen meiden Spam-Bots Formulare, bei denen der Ressourceneinsatz zu hoch ist. Für den User hingegen bedeutet es in der Regel nur das Setzen eines Häkchens und der Verbrauch von ein wenig mehr Strom, den der Browser für die Berechnung benötigt.

Fazit

Um Formularspam wirksam zu bekämpfen, nutze spezifisches Formular-Plugins, aktiviere dort relevante Spamschutz-Features und ergänze im Notfall noch um ein zusätzliches Antispam-Plugin.

Und bedenke: die wirst den Spam nicht unbedingt zu 100% los. Ein paar einzelne Spammails pro Woche sind nicht unüblich und solltest du ertragen. Besser, als die Hürde für Kontaktanfragen zu hoch zu setzen – z.B. durch Captchas – und dadurch potenzielle Neukunden zu vergrätzen.

Hast du Fragen zu dem Thema oder benötigst Unterstützung vom Profi, so sprich mich gerne an: robert@webaffin.de.