So schützen Sie Ihr Kontaktformular vor Spam
Bots füllen automatisch jedes Formular aus, das sie finden. Sie stoppen sie ohne lästiges CAPTCHA: ein unsichtbares Fallenfeld (Honeypot), eine Zeitprüfung und, falls nötig, ein dezentes CAPTCHA. Hier sind die Methoden, in der Reihenfolge, in der wir sie empfehlen.
Sie erhalten Spam über Ihr Kontaktformular, weil automatisierte Bots den Seitencode scannen, die Felder finden, sie selbst ausfüllen und dann auf „Senden“ klicken — sie brauchen niemanden, der das Formular tatsächlich sieht. Die gute Nachricht: Sie können sie stoppen, ohne ein lästiges CAPTCHA einzubauen. Die beste Kombination für eine gewöhnliche Website ist ein unsichtbares Fallenfeld (Honeypot) plus eine Zeitprüfung, und ein CAPTCHA fügen Sie nur hinzu, wenn es wirklich noch nötig ist.
Warum Sie genau genommen Spam erhalten
Es ist nichts Persönliches, und Sie haben nichts falsch gemacht. Bots durchforsten Tag und Nacht das Internet, öffnen wahllos Seiten und füllen jedes `<form>`, auf das sie stoßen, automatisch mit Text und Links aus. Ihr Ziel ist es, Werbung, Links zu zweifelhaften Websites oder Phishing-Versuche direkt in Ihr Postfach zu schleusen. Es spielt nicht einmal eine Rolle, ob Sie Ihre E-Mail-Adresse versteckt haben: Die Nachricht geht über das Formular ab, nicht über die Adresse. Daraus ergibt sich eine einfache Schlussfolgerung — der Schutz muss beim Formular ansetzen, nicht bei der Geheimhaltung Ihrer Kontaktdaten.
Honeypot: die unsichtbare Falle (erste Verteidigungslinie)
Ein Honeypot ist ein zusätzliches Feld, das Sie per CSS verstecken, sodass ein Mensch es nie sieht und nie ausfüllt. Der Bot hingegen füllt blind alles aus, was er findet — einschließlich des versteckten Feldes. Kommt dieses Feld ausgefüllt zurück, wissen Sie mit Sicherheit, dass es sich um einen Bot handelt, und verwerfen die Nachricht stillschweigend.
Was diese Methode zu unserer bevorzugten macht:
- Kostenlos — keine Abhängigkeit von einem externen Dienst.
- Vollständig unsichtbar für den echten Kunden: null Klicks, null Reibung.
- Leicht einzurichten auf jeder Art von Website.
Ein wichtiges Detail: Geben Sie dem Feld einen plausiblen Namen (zum Beispiel „website“ oder „company“) und verstecken Sie es mit `position:absolute; left:-9999px` oder `opacity:0`, nicht mit `type="hidden"` — Letzteres ignorieren gute Bots. Der Honeypot stoppt die große Mehrheit des automatisierten Spams, aber nicht ausnahmslos alles, daher verstärken wir ihn.
Die Zeitprüfung: der zweite stille Filter
Ein Mensch braucht ein paar Sekunden, um ein Formular zu lesen und auszufüllen. Ein Bot füllt es augenblicklich aus. Wenn Sie den Zeitpunkt erfassen, zu dem die Seite geladen wurde, und den Zeitpunkt der Absendung, können Sie alles ablehnen, was in, sagen wir, unter 2–3 Sekunden eingeht. Es ist eine unsichtbare Barriere ohne jeden Aufwand für den echten Besucher, und sie fängt genau die schnellen Bots ab, die der Honeypot verfehlen würde.
CAPTCHA: nur wenn es wirklich noch nötig ist
CAPTCHA bringt einen echten Kompromiss mit sich: Je mehr Sie vom Besucher verlangen, desto mehr brechen ab. Deshalb setzen wir es nicht reflexartig ein. Sollten Sie dennoch eine Lösung brauchen, wählen Sie eine dezente Variante:
| Lösung | Wie es sich für den Kunden anfühlt | Wann wir sie einsetzen |
|---|---|---|
| Honeypot | Unsichtbar, keine Aktionen | Fast immer, als Basis |
| Zeitprüfung | Unsichtbar, keine Aktionen | Zusammen mit dem Honeypot |
| reCAPTCHA v3 / Turnstile | Läuft im Hintergrund, verlangt selten etwas | Hoher Traffic oder anhaltender Spam |
| Klassisches CAPTCHA (Bilder/Text) | Frustrierend, erhöht die Abbruchrate | Praktisch nie |
reCAPTCHA v3 und Cloudflare Turnstile laufen im Hintergrund und verlangen nur dann eine Aktion, wenn das Verhalten verdächtig wirkt. In der überwiegenden Mehrheit der Fälle sieht der echte Kunde nichts und tut nichts.
Unsere Empfehlung, kurz gefasst
Gehen Sie stufenweise vor, führen Sie nicht alles auf einmal ein:
1. Honeypot + Zeitprüfung — deckt eine gewöhnliche Unternehmenswebsite ab, ohne irgendjemanden zu stören.
2. Fügen Sie ein unsichtbares CAPTCHA hinzu, nur wenn weiterhin Spam eingeht oder Sie hohen Traffic haben.
3. Kombinieren Sie nicht von Anfang an drei Barrieren — Sie erschweren die Nutzererfahrung unnötig und verlieren echte Leads.
Es lohnt sich vor allem, wenn das Formular Ihre Hauptquelle für Anfragen ist: Ein mit Müll gefülltes Formular lässt Sie echte Nachrichten dazwischen übersehen.
Ein sauberes Formular unterstützt alles Weitere: Wenn Sie erfahren möchten, warum Sie eine Website brauchen und was sie kosten würde, finden Sie einen Leitfaden dazu, was eine Website kostet. Und wenn Sie möchten, dass die Leute Sie auch finden, lesen Sie über lokales SEO.
Bei MPO Web Studio richten wir den Anti-Spam-Schutz für jedes Formular ein, das wir bauen — unsichtbar für Ihren Kunden, lästig nur für Bots. Möchten Sie eine kostenlose, unverbindliche Demo? Schreiben Sie uns auf WhatsApp: wa.me/40750257140.
Häufig gestellte Fragen
Warum erhalte ich Spam, wenn ich meine E-Mail-Adresse nirgends veröffentlicht habe?+
Bots brauchen Ihre Adresse nicht. Sie scannen den HTML-Code der Seite, finden die Felder des Formulars, füllen sie automatisch aus und klicken dann auf „Senden“. Sie haben nicht Sie persönlich ausgewählt: Sie durchsuchen täglich Tausende von Websites. Deshalb muss der Schutz beim Formular ansetzen, nicht bei der Geheimhaltung der Adresse.
Funktioniert der Honeypot wirklich, oder haben Bots gelernt, ihn zu umgehen?+
Ein einfacher Honeypot stoppt die große Mehrheit automatisierter Bots, die blind alle Felder ausfüllen. Fortgeschrittenere Bots können ihn umgehen, deshalb kombinieren wir ihn mit einer Zeitprüfung und bei hohen Volumina mit einem unsichtbaren CAPTCHA. Als erste Verteidigungslinie bleibt er die beste Wahl: kostenlos und für den echten Kunden völlig unsichtbar.
Vertreibt CAPTCHA meine echten Kunden?+
Alte CAPTCHAs mit Ampelbildern und verzerrtem Text schon — sie erhöhen die Abbruchrate. Deshalb empfehlen wir unsichtbare Varianten (reCAPTCHA v3, Cloudflare Turnstile), die im Hintergrund laufen und nur dann eine Aktion verlangen, wenn das Verhalten verdächtig wirkt. Der echte Kunde sieht und tut in den meisten Fällen nichts.
Wie viele Methoden muss ich einsetzen, um abgesichert zu sein?+
Für eine gewöhnliche Unternehmenswebsite reichen Honeypot plus Zeitprüfung in den meisten Fällen aus und stören niemanden. Ein unsichtbares CAPTCHA fügen Sie nur hinzu, wenn weiterhin Spam eingeht oder Sie hohen Traffic haben. Setzen Sie nicht von Anfang an drei Barrieren ein — das erschwert die Nutzererfahrung unnötig.
Löst der E-Mail-Spamfilter das Problem nicht schon?+
Nur teilweise. Der Filter verschiebt unerwünschte Nachrichten in einen anderen Ordner, aber das Formular sendet sie trotzdem, füllt Ihre Datenbank, kann Benachrichtigungen auslösen und verbraucht, wenn Sie einen Versanddienst nutzen, Ihr Kontingent. Es ist sinnvoller, Spam zu stoppen, bevor er versendet wird, direkt auf Ebene des Formulars.
7 mistakes that drive clients away from your website
Leave your email and get the guide right here, instantly. No spam.
Vrei să vezi cum ar arăta site-ul firmei tale?
Scrie-ne pe WhatsApp și îți pregătim GRATUIT un site demonstrativ, cu numele firmei tale. Îl vezi întâi — decizi după.