Spam in WordPress verhindern: Kommentare, Login und Registrierung schützen
Aktualisiert am · 7 Min. Lesezeit
WordPress betreibt einen großen Teil aller Websites — und ist deshalb das bevorzugte Ziel von Spam-Bots. Kommentare, Login und Registrierung werden automatisiert angegriffen, sobald eine Seite online ist. Mit einigen Einstellungen und einem Captcha bekommen Sie das in den Griff.
Erst die Bordmittel
- Kommentare: Unter Einstellungen → Diskussion festlegen, dass Kommentare manuell freigegeben werden oder nur nach einem bereits freigegebenen Kommentar erscheinen. Kommentare auf alten Beiträgen lassen sich automatisch schließen.
- Registrierung: Wenn Ihre Seite keine Benutzerkonten braucht, die Option „Jeder kann sich registrieren“ deaktivieren.
- XML-RPC: Nutzen Sie weder die WordPress-App noch Dienste, die darüber zugreifen, sollte der Endpunkt gesperrt sein — er wird gern für Passwort-Angriffe missbraucht.
- Benutzernamen: Kein Konto „admin“ verwenden und für Administratoren eine Zwei-Faktor-Anmeldung einrichten.
Captcha für die WordPress-Formulare
Gegen automatisierte Angriffe auf Login, Registrierung und Kommentare hilft ein Captcha — am besten eines, das im Hintergrund prüft und Besucher gar nicht erst aufhält. Das CaptchaCore-Plugin aus dem offiziellen WordPress-Verzeichnis schützt:
- das Anmeldeformular (auch eigene Formulare über
wp_login_form), - die Registrierung und „Passwort vergessen“,
- Kommentare und WooCommerce-Produktbewertungen,
- Formidable Forms und Elementor-Formulare.
Jedes Formular lässt sich einzeln zuschalten. Einrichtung: Plugin installieren, Site-Key und geheimen Schlüssel eintragen, Formulare anhaken — ohne eine Zeile Code. Details auf der Seite CAPTCHA für WordPress.
WooCommerce: Kasse und Kundenkonto
Shops werden nicht nur mit Spam, sondern mit Fake-Registrierungen und automatisierten Test-Bestellungen mit gestohlenen Kartendaten angegriffen. Schützen Sie deshalb auch „Mein Konto“ (Anmeldung, Registrierung, Passwort vergessen) und die Kasse. Die klassische Kasse lässt sich mit dem Plugin absichern; beim blockbasierten Checkout sind zumindest Anmeldung und Registrierung geschützt. Mehr im Artikel WooCommerce vor Bots schützen.
Was passiert, wenn der Dienst ausfällt?
Ein externer Prüfdienst darf Ihre Seite nicht lahmlegen. Das CaptchaCore-Plugin arbeitet standardmäßig nach dem Prinzip Fail-Open: Ist der Dienst nicht erreichbar, wird das Formular angenommen und der Vorfall protokolliert. Wer im Zweifel lieber blockiert, schaltet das um. Den aktuellen Zustand des Dienstes zeigt die Statusseite.
Häufige Fragen
Brauche ich zusätzlich einen Spam-Filter für Kommentare?
Nicht zwingend. Ein Captcha hält automatisierte Angriffe ab; ein Inhaltsfilter erkennt Spam, den Menschen von Hand eintragen. Wer einen Filterdienst ergänzt, sollte prüfen, wohin er Kommentarinhalte zur Prüfung überträgt.
Funktioniert das Plugin mit Caching-Plugins?
In der Regel ja: Das Widget holt seine Aufgabe erst im Browser direkt vom Dienst, gecachte Seiten stören die Prüfung deshalb nicht.
Ist das WordPress-Plugin kostenlos?
Das Plugin ist quelloffen und kostenlos. Für private Websites ist auch der Dienst dauerhaft kostenlos; größere Seiten wählen einen Tarif nach Verifikationen pro Monat.