Woher der Formular-Spam kommt

Typisch sind Anfragen mit erfundenen Namen, englischen Werbetexten für Suchmaschinenoptimierung oder Webdesign und Links zu fragwürdigen Seiten. Dahinter stehen selten Menschen, sondern Programme, die das Netz nach Formularen absuchen und sie automatisch abschicken. Viele dieser Programme laden die Seite gar nicht wie ein Browser, sondern schicken die Formulardaten direkt an die Adresse, an die das Formular sendet.

Das Ärgerliche daran ist nicht nur die Zeit fürs Aussortieren. Zwischen zwanzig Werbemails übersieht man leicht die eine echte Anfrage – und die ist für einen kleinen Betrieb oft ein Auftrag.

Warum Bilderrätsel keine gute Lösung sind

Der naheliegende Reflex ist ein CAPTCHA: Ampeln anklicken, verzerrte Buchstaben abtippen. Das hat drei Nachteile. Jede zusätzliche Hürde im Formular kostet echte Anfragen, gerade auf dem Smartphone. Für blinde, sehbehinderte oder kognitiv beeinträchtigte Menschen sind solche Rätsel oft unlösbar – das World Wide Web Consortium beschreibt sie ausdrücklich als Barriere. Und bei Diensten großer Plattformen stellt sich die Datenschutzfrage, weil Daten der Besucher an den Anbieter gehen. Für die meisten kleinen Websites reicht deutlich weniger.

Maßnahme 1: das versteckte Feld (Honigtopf)

Das Formular bekommt ein zusätzliches Feld, das per Gestaltung unsichtbar ist und für Screenreader als „bitte leer lassen“ gekennzeichnet wird. Menschen sehen es nicht und lassen es leer. Einfache Programme füllen dagegen jedes Feld aus, das sie finden. Ist das Feld beim Absenden gefüllt, wird die Anfrage verworfen.

Der Honigtopf ist schnell eingebaut, stoppt aber nur die einfachsten Programme. Bessere Programme erkennen versteckte Felder oder die Beschriftung „leer lassen“ und überspringen sie.

Maßnahme 2: die Zeitfalle

Ein Mensch braucht für Name, E-Mail und eine kurze Nachricht mindestens einige Sekunden. Ein Programm schickt das Formular in Sekundenbruchteilen ab – oder sendet die Daten direkt, ohne die Seite überhaupt zu laden. Die Zeitfalle nutzt beides: Ein kleines Skript auf der Seite misst, wie lange sie offen war, und schickt diesen Wert beim Absenden mit. Der Server verwirft Anfragen ohne den Wert oder unter etwa drei Sekunden.

Ein Detail ist wichtig: Gemessen wird die Dauer im Browser, nicht ein Zeitpunkt. Würde die Seite die Uhrzeit des Besuchers mitschicken und der Server sie mit der eigenen vergleichen, scheiterten Besucher, deren Rechneruhr falsch geht. Die verstrichene Zeit ist davon unabhängig.

Die Kehrseite: Ohne JavaScript geht das Formular nicht mehr durch. Das betrifft heute nur noch sehr wenige Besucher. Für sie sollte ein Hinweis mit der E-Mail-Adresse als Alternative im Formular stehen.

Maßnahme 3: einfache Inhaltsregeln

Werbe-Spam hat typische Merkmale, die in echten Anfragen kleiner Betriebe kaum vorkommen. Bewährt haben sich wenige, vorsichtige Regeln:

• ein Link im Namensfeld,
• zwei oder mehr Links in der Nachricht – ein einzelner Link, etwa zur eigenen Website, bleibt erlaubt,
• Schriftzeichen, die bei Ihren Kunden nicht vorkommen, etwa kyrillische oder chinesische, sofern Sie keine Kunden in diesen Sprachräumen haben.

Mehr Regeln erhöhen das Risiko, eine echte Anfrage zu verwerfen. Lieber wenige eindeutige Merkmale als eine lange Liste von Reizwörtern.

Maßnahme 4: den Bots nichts verraten

Verworfene Anfragen sollten trotzdem auf der normalen Danke-Seite landen. Bekommt ein Programm eine Fehlermeldung, kann sein Betreiber daran erkennen, welche Regel gegriffen hat, und sie umgehen. Sieht es den Erfolg, hat es keinen Grund, etwas zu ändern. Intern sollte jede verworfene Anfrage mit dem Grund protokolliert werden, damit Sie prüfen können, ob versehentlich echte Anfragen darunter sind.

Wenn das nicht reicht: ein unsichtbarer Test

Kommt trotz dieser Maßnahmen weiter Spam an, steckt meist ein Programm dahinter, das Seiten wie ein echter Browser lädt und ausführt. Dann hilft ein Prüfdienst, der im Hintergrund kleine Tests im Browser laufen lässt, ohne dass Besucher ein Rätsel lösen müssen. Ein Beispiel ist Turnstile von Cloudflare; er lässt sich in jede Website einbauen, auch wenn sie nicht über Cloudflare läuft. Weil dabei Daten der Besucher an den Anbieter gehen, gehört ein Absatz dazu in die Datenschutzerklärung. Und das Ergebnis des Tests muss auf dem Server geprüft werden – ein Test, der nur im Browser stattfindet, lässt sich umgehen.

Unsere Erfahrung

Auf unserer eigenen Website kamen über das Kontaktformular regelmäßig Werbeanfragen mit Namen wie „Wilson“ oder „Thompson“ an – obwohl ein Honigtopf-Feld vorhanden war. Wir haben deshalb die Zeitfalle und die drei Inhaltsregeln ergänzt. Wer eine echte Anfrage schickt, merkt davon nichts. Ob das auf Dauer reicht, beobachten wir – ein unsichtbarer Prüfdienst wäre der nächste Schritt, ein Bilderrätsel der letzte.

Wie ein Formular aussieht, das möglichst viele echte Anfragen bringt, beschreibt unser Beitrag zu Formularen mit weniger Feldern. Damit die Antworten auf Anfragen auch ankommen, lohnt ein Blick auf die E-Mail-Authentifizierung mit SPF, DKIM und DMARC – das Formular selbst verschickt seine Mails oft über einen eigenen Dienst, der eigene Einträge braucht.

Häufige Fragen

Woher kommt der Spam über mein Kontaktformular?
Meist von Programmen, die das Netz nach Formularen absuchen und sie automatisch mit Werbetexten abschicken. Viele laden die Seite dabei gar nicht wie ein Browser, sondern senden die Daten direkt an das Formular.

Brauche ich ein CAPTCHA gegen Formular-Spam?
In den meisten Fällen nicht. Ein verstecktes Feld, eine Mindestzeit fürs Ausfüllen und einfache Inhaltsregeln halten den Großteil ab, ohne dass Besucher etwas merken. CAPTCHAs kosten Anfragen und sind für viele Menschen mit Behinderungen eine Barriere.

Was ist ein Honigtopf-Feld?
Ein zusätzliches Formularfeld, das für Menschen unsichtbar ist. Programme füllen es aus, Menschen nicht. Ist es beim Absenden gefüllt, wird die Anfrage verworfen. Bessere Programme erkennen solche Felder allerdings.

Wie funktioniert eine Zeitfalle im Formular?
Ein kleines Skript misst, wie lange die Seite geöffnet war, und schickt den Wert beim Absenden mit. Fehlt er oder liegt er unter etwa drei Sekunden, verwirft der Server die Anfrage. Gemessen wird die verstrichene Zeit im Browser, damit falsch gehende Uhren keine Rolle spielen.

Sollten Spam-Anfragen eine Fehlermeldung bekommen?
Nein. Verworfene Anfragen sollten auf der normalen Danke-Seite landen, damit der Betreiber des Programms nicht erkennt, welche Regel gegriffen hat. Intern sollten sie mit Grund protokolliert werden.

Funktioniert das Formular dann noch ohne JavaScript?
Mit einer Zeitfalle nicht. Das betrifft heute nur sehr wenige Besucher. Für sie sollte im Formular ein Hinweis mit der E-Mail-Adresse als Alternative stehen.

Was tun, wenn trotzdem Spam ankommt?
Dann steckt meist ein Programm dahinter, das Seiten wie ein echter Browser ausführt. Ein unsichtbarer Prüfdienst wie Cloudflare Turnstile hilft, ohne Rätsel für Besucher. Er erfordert einen Absatz in der Datenschutzerklärung und eine Prüfung des Ergebnisses auf dem Server.

Quellen

• W3C – Inaccessibility of CAPTCHA: Alternatives to Visual Turing Tests on the Web
• Cloudflare – Turnstile (Dokumentation)

Hinweis: Stand der Recherche: Oktober 2026. Ob ein Prüfdienst eine Einwilligung der Besucher erfordert, klären Sie bitte im Einzelfall mit Ihrer Datenschutzberatung.

Dieser Beitrag ist Teil unseres Leitfadens Digitalisierung im KMU – dort finden Sie alle Themen im Überblick.

Stand: 8. Oktober 2026. Dieser Beitrag ist eine allgemeine Information nach bestem Wissen und keine Rechts-, Steuer- oder Unternehmensberatung für den Einzelfall. Rechtslage, Preise und Produkte ändern sich; maßgeblich sind der Gesetzestext und die jeweilige Primärquelle. Für eine Entscheidung in Ihrem Betrieb ziehen Sie bitte fachkundigen Rat zu Ihrem konkreten Fall hinzu.