Kontaktformular-Spam: Warum es schlimmer wird – und was wirklich hilft

85 %

aller Bot-Spam durch einfache Maßnahmen erkennbar

24/7

automatisierte Bots aktiv – ohne Pause

5 ×

mehr Spam seit KI-Tools massentauglich wurden

Wer ein Kontaktformular auf seiner Website hat, kennt das Problem: Nachrichten, die keine echten Anfragen sind. Werbeangebote für fragwürdige Dienste. Kryptische Texte. Leere Einreichungen. Und seit KI-Tools für alle zugänglich geworden sind, wird das Problem spürbar größer – die Spam-Nachrichten klingen echter, kommen häufiger und sind schwerer zu erkennen.

Was hinter Formular-Spam steckt

Formular-Spam hat meist eines von zwei Zielen:

Lästige Werbung

Automatisierte Programme füllen Formulare mit Werbetexten und Links – in der Hoffnung, dass der Empfänger klickt oder die Nachricht irgendwo auftaucht.

Postfach-Flutung

Eine E-Mail-Adresse wird in möglichst viele Formulare eingetragen, damit das Postfach des Opfers mit Benachrichtigungen überflutet wird.

Mit modernen KI-Werkzeugen kann Spam heute flüssig klingen, in verschiedenen Sprachen kommen und spezifisch genug wirken, um beim ersten Überfliegen wie eine echte Anfrage auszusehen. Das kostet den Absender praktisch nichts mehr.

Das Ergebnis: Mehr Spam, der schwerer zu erkennen ist, mehr Aussortieraufwand – und auf Dauer die Gefahr, dass eigene echte E-Mails im Spam-Ordner landen, weil der eigene Server als Spam-Schleuder bekannt wird.

Was hilft – und was nicht

Honeypot-Falle Empfehlenswert

Das Prinzip ist simpel: Ein zusätzliches, unsichtbares Feld wird in das Formular eingebaut. Echte Besucher sehen es nicht und lassen es leer. Automatisierte Programme hingegen befüllen blind alle Felder – und verraten sich damit selbst.

Vorteile: Für echte Nutzer fällt davon nichts auf – kein Extra-Klick, kein Rätsel, kein Datenschutzproblem. Für die meisten kleinen Unternehmenswebsites der beste erste Schutz. Nicht perfekt gegen gezielte Angriffe, aber sehr effektiv gegen automatisierten Massenspam.

Absende-Limit Immer sinnvoll

Das System erkennt automatisch, wenn in kurzer Zeit ungewöhnlich viele Nachrichten eingehen – und blockiert weitere Versuche. Wer innerhalb weniger Minuten dutzende Nachrichten schickt, wird abgeblockt.

Für echte Nutzer bleibt das unsichtbar. Für automatisierte Programme ist es ein echtes Hindernis.

CAPTCHA (reCAPTCHA / hCaptcha) Mit Vorsicht

Die bekannten „Ich bin kein Roboter”-Felder und Bilderrätsel von Google (reCAPTCHA) und als datenschutzfreundlichere Alternative hCaptcha helfen gegen viele Bot-Typen.

Das Problem: Sie nerven echte Nutzer mit Rätseln, können legitime Anfragen fälschlicherweise blockieren und geben Daten an externe Anbieter weiter – was bei Datenschutzanforderungen relevant ist. Für die meisten kleineren Websites sind die beiden ersten Maßnahmen ausreichend.

Prüfung auf dem Server Immer, keine Option

Unabhängig davon, was auf der Website selbst passiert: Was beim Server ankommt, muss dort selbst noch einmal geprüft werden. Wer das überspringt, lässt eine Hintertür offen, durch die Bots direkt eintreten können – ohne die Website überhaupt zu öffnen.

Was nicht funktioniert

E-Mail-Adresse als lesbarer Text auf der Website

Die eigene E-Mail-Adresse direkt auf der Website anzuzeigen ist eine Einladung für automatisierte Sammelprogramme, die das Internet nach Adressen durchsuchen. Ein sauber geschütztes Kontaktformular ist der bessere Weg.

Was konkret zu tun ist

Sofortmaßnahmen für jedes Kontaktformular

Honeypot-Falle einbauen – unsichtbar für echte Nutzer, Falle für Bots
Absende-Limit aktivieren: zu viele Nachrichten in kurzer Zeit werden automatisch geblockt
Alle Eingaben auf dem Server prüfen – nicht nur im Browser
E-Mail-Adresse nicht als lesbaren Text auf der Website anzeigen
Spam-Filter im E-Mail-Postfach einrichten (bei Gmail und Outlook direkt verfügbar)

Für die meisten kleinen Unternehmenswebsites reicht Honeypot-Falle + Absende-Limit + Prüfung auf dem Server. Das deckt automatisierten Massenspam zuverlässig ab, ohne echte Kunden zu belasten.

Wer deutlich mehr Spam-Volumen hat oder gezieltere Angriffe bemerkt, kann ein CAPTCHA als zusätzliche Hürde ergänzen.

Eigene Umsetzung

Das Kontaktformular dieser Website ist nach genau diesem Prinzip aufgebaut: Honeypot-Falle, Absende-Limit und vollständige Prüfung auf dem Server. Denselben Ansatz setze ich auch für Kundenwebsites um.