Spam über das Kontaktformular:
Ursachen, wirksamer Schutz und die Grenzen von Captchas

Was Formular-Spam ist und warum er entsteht

Formular-Spam bezeichnet unerwünschte, meist automatisiert erzeugte Einsendungen über die Eingabefelder einer Website. Dahinter stehen Programme, die das Web systematisch nach Formularen absuchen und in gefundene Felder massenhaft Inhalte eintragen. Der einzelne Betrieb ist dabei kein persönlich ausgewähltes Ziel, sondern ein Eintrag in einer sehr langen Liste, die ein Programm der Reihe nach abarbeitet.

Der Antrieb dahinter ist wirtschaftlich. Für die Absender kostet jede Einsendung nahezu nichts, deshalb rechnet sich für sie schon eine winzige Erfolgsquote. Die Inhalte reichen von plumper Werbung über gefälschte Links bis zu getarnten Betrugsversuchen, die eine Reaktion des Empfängers provozieren wollen. Häufige Muster sind:

• Werbung: Angebote für Dienstleistungen, Kredite oder Produkte, oft mit externen Links.
• Link-Platzierung: Nachrichten, deren einziger Zweck das Unterbringen von Verweisen auf fremde Seiten ist.
• Betrugsversuche: gefälschte Rechnungen, angebliche Kooperationsanfragen oder Zahlungsaufforderungen.
• Test-Einsendungen: sinnlose Zeichenfolgen, mit denen ein Programm prüft, ob das Formular überhaupt funktioniert.

Ein Formular wird umso schneller gefunden, je länger es unverändert öffentlich erreichbar ist. Auch eine im Klartext auf der Seite hinterlegte E-Mail-Adresse zieht zusätzlichen Verkehr an — was der Quelltext einer Website ungewollt preisgibt, wird von genau diesen Programmen ausgewertet.

Was Spam im Betrieb anrichtet

Formular-Spam ist mehr als eine Belästigung. Er richtet auf drei Ebenen konkreten Schaden an, der sich im Alltag summiert.

Echte Anfragen gehen unter

Wenn zwischen den echten Nachrichten täglich Dutzende Spam-Einsendungen liegen, sinkt die Aufmerksamkeit für das Postfach. Eine wichtige Anfrage wird übersehen, zu spät beantwortet oder beim schnellen Aufräumen versehentlich mitgelöscht. Damit wird Spam zu einem stillen Verstärker eines ohnehin heiklen Problems: Anfragen können bereits auf dem Weg vom Formular bis zum Rückruf verloren gehen, und ein zugemülltes Postfach vergrößert dieses Risiko zusätzlich.

Die Zustellung leidet

Jede Formular-Einsendung löst in der Regel eine Benachrichtigungs-Mail aus. Verschickt ein Server plötzlich große Mengen solcher Mails, kann sein Postausgang als auffällig eingestuft werden. Die Folge trifft dann auch legitime Nachrichten: Bestätigungen und echte Anfragen landen im Spam-Ordner des Empfängers, weil die Absender-Reputation gelitten hat.

Zeit und Vertrauen kosten

Jede manuell aussortierte Spam-Nachricht kostet Arbeitszeit. Kommt der Spam über ein öffentliches Formular herein, das auch Kunden nutzen, entsteht zusätzlich der Eindruck einer schlecht gepflegten Website. Beides lässt sich mit den richtigen Schutzebenen vermeiden.

Der Honeypot: die unsichtbare Falle

Ein Honeypot ist ein zusätzliches Eingabefeld, das für menschliche Besucher unsichtbar bleibt und per Technik ausgeblendet wird. Der Name beschreibt das Prinzip: ein Köder, der nur den anlockt, der ihn nicht sehen sollte.

Der Ablauf ist einfach. Ein echter Besucher bekommt das Feld nie zu Gesicht und lässt es leer. Ein automatisiertes Programm liest dagegen den kompletten technischen Aufbau des Formulars und füllt jedes Feld aus, das es findet — auch das versteckte. Kommt eine Einsendung mit ausgefülltem Honeypot-Feld an, gilt sie als automatisiert und wird verworfen, bevor sie das Postfach erreicht.

Der große Vorteil liegt in der Unsichtbarkeit. Der Honeypot stellt keinem Besucher eine Aufgabe, verlangt keine Interaktion und bremst niemanden aus. Für den ganz überwiegenden Teil des massenhaften, ungezielten Spams reicht diese eine Ebene bereits aus. Ihre Grenze zeigt sich erst dann, wenn ein Angreifer ein Formular gezielt analysiert und das versteckte Feld bewusst leer lässt — ein Aufwand, der sich nur bei lohnenden Zielen rechnet.

Serverseitige Prüfung

Serverseitige Prüfung bedeutet, dass der Server die Entscheidung über eine Einsendung trifft — der Rechner, der das Formular entgegennimmt. Diese Ebene ist der Kern jedes belastbaren Schutzes, denn alles, was allein im Browser des Besuchers läuft, kann ein automatisiertes Programm umgehen.

Der Server hat Zugriff auf Merkmale, die der Absender weder sieht noch beeinflussen kann. Er wertet die Einsendung aus, bevor daraus eine Nachricht wird:

1. Inhaltsmuster: Eine Nachricht mit auffällig vielen Links oder mit Zeichenfolgen, die typisch für Massen-Einsendungen sind, wird als verdächtig eingestuft.
2. Feld-Plausibilität: Der Server prüft, ob die Angaben zusammenpassen — etwa ob das E-Mail-Feld überhaupt eine gültige Adresse enthält und ob Pflichtfelder sinnvoll gefüllt sind.
3. Herkunft: Kommen kurz hintereinander viele Einsendungen aus derselben Quelle, deutet das auf ein Programm statt auf einzelne Besucher hin.

Diese Ebene ist wirksam, weil ein Bot sie nicht dadurch aushebeln kann, dass er einfach ein weiteres Feld ausfüllt. Sie arbeitet vollständig im Hintergrund und bleibt für den echten Besucher unsichtbar. Wo die serverseitige Prüfung Merkmale wie die Herkunft auswertet, berührt sie den Umgang mit personenbezogenen Daten — das gehört in die Datenschutzerklärung und folgt derselben Logik der Datensparsamkeit wie die Wahl der Formularfelder: nur auswerten und speichern, was für den Zweck nötig ist.

Zeitmessung und Frequenzbegrenzung

Zwei besonders wirksame Merkmale der serverseitigen Prüfung verdienen eine eigene Betrachtung, weil sie den Unterschied zwischen Mensch und Programm sehr zuverlässig abbilden: die Zeit und die Häufigkeit.

Die Zeit bis zum Absenden

Ein Mensch braucht mehrere Sekunden, um ein Formular zu lesen und auszufüllen. Ein Programm sendet oft im Bruchteil einer Sekunde nach dem Aufruf ab. Misst der Server die Zeitspanne zwischen dem Laden der Seite und dem Absenden, lässt sich eine unrealistisch schnelle Einsendung erkennen und verwerfen. Dieses Verfahren ist unsichtbar und stellt keinem Besucher eine Aufgabe.

Die Frequenz aus einer Quelle

Eine Frequenzbegrenzung deckelt, wie viele Einsendungen in einem bestimmten Zeitraum aus derselben Herkunft angenommen werden. Ein einzelner Interessent sendet ein Formular einmal ab, vielleicht ein zweites Mal nach einer Korrektur. Zwanzig Einsendungen in einer Minute stammen dagegen von einem Programm. Die Begrenzung fängt solche Wellen ab, ohne den normalen Betrieb zu stören.

Beide Verfahren zusammen erhöhen die Wirksamkeit des Honeypots deutlich, weil sie an einer anderen Stelle ansetzen: Der Honeypot prüft, was ausgefüllt wurde, die Zeit- und Frequenzprüfung prüft, wie gesendet wurde.

Captchas und ihre Grenzen

Ein Captcha ist eine sichtbare Aufgabe, die vor dem Absenden gelöst werden muss — etwa das Erkennen von Bildinhalten oder das Anklicken eines Kästchens. Es ist die bekannteste Spam-Abwehr und oft die erste, an die man denkt. In der Reihenfolge der Maßnahmen gehört es trotzdem nach hinten, denn seine Kosten sind hoch.

Ein Captcha hat seinen Platz — als letzte Ebene, wenn ein Formular gezielt und anhaltend angegriffen wird und die unsichtbaren Maßnahmen den Missbrauch nicht mehr allein auffangen. In diesem Fall ist ein unsichtbares Verfahren vorzuziehen, das nur bei konkretem Verdacht eine Aufgabe stellt und den normalen Besucher in Ruhe lässt.

Schutz, ohne Anfragen zu verlieren

Jede Schutzmaßnahme hat eine Kehrseite: Sie kann echte Besucher ausbremsen. Das Ziel ist ein Schutz, der den Spam fernhält und den Interessenten ungehindert durchlässt. Die unsichtbaren Ebenen erreichen genau das, weil sie dem Menschen keine Aufgabe stellen.

Ein Kontaktformular ist das engste Nadelöhr im Weg zur Anfrage. Jede zusätzliche Hürde an dieser Stelle kostet messbar Einsendungen — dieselbe Rechnung, die auch für die Anzahl der Felder gilt. Deshalb lohnt es sich, Spam-Schutz und Bedienbarkeit zusammen zu denken: Ein Formular mit wenigen, klaren Feldern und unsichtbarem Schutz konvertiert besser als ein überladenes Formular mit sichtbarem Captcha.

Wichtig ist außerdem, dass ein zu Unrecht verworfenes Formular den Besucher nicht ins Leere laufen lässt. Wird eine Einsendung fälschlich als Spam eingestuft, sollte der Absender eine verständliche Rückmeldung erhalten und einen anderen Weg zur Kontaktaufnahme finden — etwa eine sichtbare Telefonnummer oder E-Mail-Adresse. So wird aus einem seltenen Fehlalarm kein verlorener Kunde.

Die richtige Reihenfolge

Spam-Schutz wird am besten in Stufen aufgebaut, jede Stufe zuerst allein beobachtet. So lässt sich erkennen, welche Ebene wie viel bringt, statt mehrere Hürden gleichzeitig aufzubauen und keine davon beurteilen zu können.

1. Honeypot ergänzen: Die unsichtbare Falle ist der einfachste Schritt mit der größten Wirkung gegen massenhaften Spam. Danach einige Tage die Menge der durchkommenden Einsendungen beobachten.
2. Serverseitige Prüfung aktivieren: Inhaltsmuster, Feld-Plausibilität und Herkunft ergänzen. Diese Ebene fängt, was der Honeypot durchlässt.
3. Zeit und Frequenz messen: Zu schnelles Absenden und zu viele Einsendungen aus einer Quelle abweisen. Damit sind die häufigsten Bot-Muster abgedeckt.
4. Zustellung sichern: Prüfen, ob die Benachrichtigungs-Mails zuverlässig ankommen und der Server als sauberer Absender gilt — hier zahlt sich eine korrekte E-Mail-Konfiguration aus.
5. Nur bei Bedarf sichtbar prüfen: Bleibt trotz aller Maßnahmen gezielter Missbrauch, kommt als letzte Ebene ein unsichtbares Prüfverfahren oder ein Captcha hinzu.

Diese Reihenfolge stellt die unsichtbaren, für den Besucher folgenlosen Maßnahmen an den Anfang und behält die sichtbare Hürde als letztes Mittel. Für die meisten Betriebe endet der Aufbau nach Stufe drei, weil der Spam dann bereits auf ein unauffälliges Maß gesunken ist.