Formular-Spam verhindern: sechs Methoden im Vergleich

1. Fallenfelder (Honeypots)

Ein Fallenfeld ist ein Eingabefeld, das für Menschen unsichtbar ist. Einfache Bots füllen jedes Feld aus, das sie finden — ist das Fallenfeld gefüllt, war es ein Bot.

Vorteil: unsichtbar, kostet echte Nutzer nichts. Schwäche: Gezielte Bots erkennen Fallen. Und eine Falle kann echte Kunden treffen: Nennen Sie das Feld etwa „Zweiter Vorname“ oder „Fax“, füllt die Autovervollständigung des Browsers es aus dem Nutzerprofil — der Kunde wird als Bot abgewiesen, ohne es zu merken. Verwenden Sie neutrale Namen wie „Bitte leer lassen“ und verstecken Sie das Feld außerhalb des Sichtbereichs statt mit display: none.

2. Zeitprüfung

Menschen brauchen ein paar Sekunden, um ein Formular auszufüllen; Bots schicken es sofort ab. Eine Zeitmarke beim Laden der Seite, die beim Absenden geprüft wird, fängt diese Bots ab.

Tipp: Die Schwelle niedrig ansetzen (etwa drei Sekunden). Passwort-Manager und Autovervollständigung füllen Formulare sehr schnell — eine zu strenge Grenze trifft ausgerechnet routinierte Nutzer. Die Zeitmarke muss signiert oder verschlüsselt sein, damit sie sich nicht fälschen lässt.

3. Captcha

Captchas prüfen gezielt, ob ein Mensch vor dem Bildschirm sitzt. Am angenehmsten für Besucher sind Verfahren, die im Hintergrund prüfen — mit Proof of Work und Verhaltenssignalen. Wer kein Rätsel lösen muss, bricht auch kein Formular ab.

Entscheidend: Der Token des Captchas muss auf dem Server geprüft werden. Ein Widget, dessen Ergebnis niemand kontrolliert, hält keinen Bot auf, der das Formular direkt per HTTP-Anfrage abschickt.

4. Frequenzbegrenzung

Wie viele Anfragen kommen von derselben IP-Adresse, aus demselben Netz oder mit derselben E-Mail-Domain? Eine Obergrenze pro Zeitraum bremst Massenangriffe, auch wenn einzelne Anfragen unauffällig wirken.

Vorsicht bei geteilten Adressen: Firmennetze, Mobilfunk und Hochschulen teilen sich oft eine IP. Grenzen deshalb großzügig setzen und lieber zusätzlich prüfen als hart sperren.

5. E-Mail-Prüfung und Double-Opt-in

Bei Registrierungen lohnt ein Blick auf die Adresse: Wegwerf-Anbieter lassen sich über öffentlich gepflegte Listen erkennen, und eine Domain ohne Mailserver (MX-Eintrag) kann keine Bestätigungsmail empfangen. Der Bestätigungslink per E-Mail (Double-Opt-in) stellt sicher, dass die Adresse existiert und der Person gehört — für Newsletter ist er in Deutschland ohnehin Pflicht.

6. Stumme Abweisung

Erkannte Bots sollten keine eindeutige Fehlermeldung bekommen. Wer „Fallenfeld ausgefüllt“ zurückmeldet, bringt dem Angreifer bei, was ihn verraten hat. Besser: Der Bot sieht dieselbe Bestätigungsseite wie ein Mensch — nur passiert danach nichts.

Wichtig ist, jeden abgewiesenen Versuch zu protokollieren. Nur so merken Sie, wenn ein echter Kunde fälschlich hängen bleibt.

Die beste Wirkung: kombinieren

Keine Methode ist allein ausreichend. Die Kombination aus unsichtbaren Maßnahmen (Fallenfeld, Zeitprüfung), einem Captcha ohne Rätsel und einer Frequenzbegrenzung hält die allermeisten Bots ab, ohne dass echte Nutzer etwas davon merken. CaptchaCore übernimmt den Captcha-Teil und bringt Frequenz- und Risikobewertung serverseitig mit — für WordPress und andere Systeme als fertiges Plugin.