Kurz und einfach erklärt
Über das Kontaktformular kommt oft Werbung. Manche schicken Programme. Andere tippen Menschen ein. Echte Anfragen gehen da leicht unter.
Rätsel zum Anklicken kosten Zeit. Manche Menschen können sie gar nicht lösen. Besser sind Tests, die man nicht sieht. Ein Beispiel ist ein verstecktes Feld. Meist füllen es nur Programme aus.
Werbung von Menschen hält so ein Feld nicht auf. Ein klarer Satz am Formular hilft. Er sagt: Bitte hier keine Werbung.
Löschen Sie unklare Post nicht sofort. Legen Sie sie in einen eigenen Ordner. Sehen Sie ihn jede Woche an. Echte Anfragen holen Sie zurück.
Schicken Sie jeden Monat eine Test-Anfrage. So sehen Sie, ob der Weg frei ist. Das gehört zur Pflege der Website.
Montagmorgen im Postfach eines Handwerksbetriebs: drei neue Nachrichten über das Kontaktformular. Die erste verspricht „mehr Sichtbarkeit bei Google noch in diesem Monat“, die zweite besteht aus Buchstabensalat und einer Reihe von Links, die dritte ist eine echte Anfrage für ein neues Badezimmer. Sie steht zwischen den beiden anderen und wird überlesen, oder sie ist gar nicht erst angekommen, weil ein zu scharfer Filter sie aussortiert hat. Formularspam kostet lokale Betriebe selten Daten, aber regelmäßig Aufmerksamkeit, und manchmal einen Auftrag. Rätsel-Captchas helfen dabei wenig: Sie kosten Zeit, schließen Menschen aus und sind oft ein fremder Dienst. Dieser Beitrag zeigt, wie Sie Spam in Schichten abfangen, ohne Ihre Besucher zu prüfen, wie Sie mit Werbung umgehen, die Menschen von Hand eintippen, warum Grenzfälle in einen Prüfordner gehören statt in den Papierkorb und wie Sie Fehlalarme messen. Am Ende steht, was davon in die regelmäßige Website-Wartung gehört.
Das Wichtigste in Kürze
- Ein einziges Spamwerkzeug hat zwischen September 2024 und April 2025 bei mindestens 80.000 Websites Nachrichten über Kontaktformulare und Chatfenster abgesetzt (SentinelLabs); die Texte schrieb ein Sprachmodell passend zur jeweiligen Seite.
- Ein Rätsel-Captcha kostet im Schnitt 32 Sekunden (W3C 2021) und schließt viele Menschen mit Behinderungen aus. Unsichtbares Feld, Mindestzeit, Prüfung am Server, Ratenbegrenzung und Inhaltsregel arbeiten ohne fremden Dienst.
- Werbe- und SEO-Angebote, die Menschen eintippen, passieren jede Bot-Falle. Ein sichtbarer Satz am Formular und eine eigene Auswahl „Angebot an uns“ trennen sie von echten Anfragen, ohne Kunden zu blockieren.
- Grenzfälle gehören in einen Prüfordner statt in den Papierkorb: wöchentlich sichten, echte Anfragen freigeben, den Rest nach einer festen Frist löschen, weil Daten nur so lange gespeichert werden dürfen, wie der Zweck es erfordert (Art. 5 Abs. 1 lit. e DSGVO).
- Die Fehlalarmquote zeigt, ob Regeln zu scharf sind: Freigaben aus dem Prüfordner geteilt durch alle echten Anfragen des Monats. Eine monatliche Testanfrage in der Wartung zeigt, ob der Weg ins Postfach offen ist.
- Läuft ein Formular-Token ab, ist das eine Zeitbegrenzung nach WCAG 2.2: Ohne Möglichkeit zum Abschalten, Anpassen oder Verlängern fällt erst eine Frist von mehr als 20 Stunden unter die Ausnahme (WCAG 2.2).
Was über das Formular hereinkommt
Hinter dem Wort Formularspam stecken mehrere ganz verschiedene Absender, und jeder verlangt eine andere Antwort. Die größte Gruppe sind Programme, die Formulare im Netz suchen und automatisch ausfüllen. Sie schicken Werbung für zweifelhafte Produkte, Links auf fremde Seiten oder schlicht Zeichensalat, um zu testen, ob das Formular etwas annimmt. Die OWASP, eine offene Gemeinschaft für die Sicherheit von Webanwendungen, führt dieses Verhalten in ihrer Liste automatisierter Bedrohungen als eigenen Eintrag OAT-017 „Spamming“ (OWASP): das Einschleusen schädlicher oder fragwürdiger Inhalte in Nachrichten und Beiträge. Als weitere Namen dafür nennt sie ausdrücklich Formularspam und SEO-Spam.
Die zweite Gruppe sind Werkzeuge, die nicht mehr nach Massenware aussehen. Sicherheitsforscher von SentinelLabs haben ein Programm untersucht, das gezielt Kontaktformulare und Chatfenster auf Websites kleiner und mittlerer Unternehmen anschreibt (SentinelLabs), um eine fragwürdige SEO-Dienstleistung zu verkaufen. Nach ihrer Einschätzung vom April 2025 hat es seit September 2024 mehr als 400.000 Websites angesteuert (SentinelLabs) und bei mindestens 80.000 Websites erfolgreich Nachrichten abgesetzt (SentinelLabs). Jede Nachricht schrieb ein Sprachmodell aus dem Inhalt der jeweiligen Website, sodass sie persönlich wirkt und sich von Mal zu Mal unterscheidet. Die Forscher halten es für wahrscheinlich, dass genau das hilft, Spamfilter zu umgehen (SentinelLabs): Ein Filter, der auf wiederkehrende Formulierungen achtet, findet bei solchen Texten kein Muster.
Die dritte Gruppe sind Menschen. Agenturen, Linkhändler und Vermittler tippen ihre Angebote von Hand ins Formular, oft mit Bezug auf Ihre Branche, manchmal mit echtem Namen und Telefonnummer. Sie lösen Rätsel, warten jede Mindestzeit ab und verhalten sich wie gewöhnliche Besucher. Gegen diese Nachrichten hilft keine Technik, die Menschen von Maschinen unterscheidet, sondern nur eine Regel, die Anliegen sortiert. Dazu kommt ein vierter, seltener Fall: Formulare, die eine Kopie der Nachricht an die eingegebene Adresse schicken, lassen sich missbrauchen, um Texte an fremde Postfächer zu verteilen. Die OWASP zählt diesen Missbrauch ausdrücklich nicht zu den automatisierten Bedrohungen, sondern zu den Fehlern der Umsetzung (OWASP). Er wird also nicht abgewehrt, sondern behoben: Die Kopie entfällt, oder sie enthält nur eine feste Eingangsbestätigung ohne den eingegebenen Text.
| Absender | Typisches Merkmal | Was dagegen hilft |
|---|---|---|
| Massenbots | Füllen jedes Feld aus, senden in Sekunden, oft mit vielen Links | Unsichtbares Feld, Mindestzeit, Prüfung am Server |
| Gezielte Bots mit Sprachmodell | Höflicher, passender Text, wechselnde Domains in den Links | Ratenbegrenzung, Inhaltsregel mit Punktwert, Prüfordner |
| Menschen mit Werbeangeboten | Echter Name, Bezug auf Ihre Branche, Angebot statt Frage | Hinweis am Formular, eigenes Anliegen „Angebot an uns“, Sortierregel |
| Missbrauch der Kopie-Funktion | Kopien an fremde Adressen, frei eingegebener Text in der Kopie | Kopie abschalten oder auf eine feste Eingangsbestätigung kürzen |
Warum Rätsel-Captchas der falsche Hebel sind
Der Reflex nach der ersten Spamwelle ist oft ein Captcha: verzerrte Buchstaben, Ampeln auf Fotos, ein Häkchen bei „Ich bin kein Roboter“. Das World Wide Web Consortium hat diese Verfahren in der Note „Inaccessibility of CAPTCHA“ untersucht. Die aktuelle Fassung ist eine „Group Draft Note“ vom 16. Dezember 2021 (W3C), also der Entwurf einer Aktualisierung der Note von 2019 (W3C). Ihr Befund ist deutlich: Jede interaktive Prüfung verlangt eine Aufgabe, die für Menschen leicht und für Maschinen schwer sein soll, und schließt gerade dadurch viele Menschen mit Behinderungen aus (W3C). Wer schlecht sieht, wer mit einem Bildschirmleser arbeitet oder wer verzerrte Zeichen nicht entziffern kann, steht vor einer verschlossenen Tür.
Dazu kommt der Zeitaufwand. Nach Daten eines großen Netzwerkdienstleisters, die die Note wiedergibt, braucht ein Mensch im Schnitt 32 Sekunden, um ein Captcha zu lösen (W3C 2021). Für Menschen mit Behinderungen vermuten die Autoren einen höheren Aufwand. Gleichzeitig halten Captchas Maschinen schlechter auf als gedacht: Eine Studie der University of Maryland, auf die die Note verweist, erreichte beim Lösen der Audio-Variante eines verbreiteten Captcha-Dienstes mit der Spracherkennung desselben Anbieters eine Erfolgsquote von 90 Prozent (W3C 2021). Und das oben genannte Spamwerkzeug brachte eigene Bausteine mit, um gängige Captcha-Dienste zu umgehen (SentinelLabs). Ein Rätsel bremst also vor allem die Menschen, die Sie erreichen wollen.
Der dritte Punkt betrifft den Datenschutz. Die verbreiteten Captcha-Dienste laufen auf fremden Servern, laden Skripte nach und werten teils das Verhalten im Browser aus. Dafür braucht es in der Regel eine Rechtsgrundlage, einen Abschnitt in der Datenschutzerklärung und oft einen Vertrag zur Auftragsverarbeitung; welche Verträge eine Website typischerweise braucht, zeigt unser Beitrag zur Auftragsverarbeitung. Die W3C-Note beschreibt als Alternative Verfahren, die ohne fremden Dienst auskommen und dem Besucher keine Aufgabe stellen: Spamfilter, Rechenaufgaben im Browser, Heuristiken und unsichtbare Fallenfelder (W3C).
Schutz in Schichten, ohne fremden Dienst
Wirksam gegen Bots ist kein einzelnes Verfahren, sondern eine Folge kleiner Prüfungen, die der Besucher nicht bemerkt. Jede Schicht fängt einen Teil ab, keine muss perfekt sein, und fällt eine aus, greifen die anderen. Fünf Schichten genügen für die meisten Formulare lokaler Betriebe, eine sechste ist eine Option für Seiten mit sehr viel Spam. Die Zahlen in diesem Abschnitt sind Startwerte, keine Normen; welche Grenzen passen, zeigt erst die Messung im eigenen Postfach.
Unsichtbares Feld
Ein zusätzliches Eingabefeld, das per CSS aus dem sichtbaren Bereich geschoben ist. Menschen sehen es nicht, viele Bots füllen es trotzdem aus. Die W3C-Note hält es selbst in handgeschriebenem Markup für leicht umsetzbar und empfiehlt, es in Betracht zu ziehen (W3C).
Mindestzeit
Der Server legt beim Ausliefern der Seite einen signierten Zeitstempel ins Formular. Kommt die Absendung nach wenigen Sekunden, etwa unter drei, hat kaum ein Mensch Name, Adresse und Anliegen getippt.
Prüfung am Server
Was der Browser prüft, lässt sich umgehen, denn Bots schicken direkt an den Server. Pflichtfelder, das Format der E-Mail-Adresse, Längen und Zeilenumbrüche in Name oder Betreff prüft deshalb der Server selbst.
Ratenbegrenzung
Mehr als eine Handvoll Absendungen aus derselben Quelle in kurzer Zeit, zum Beispiel fünf in zehn Minuten, werden gebremst. Die passende Antwort ist der Statuscode 429 für zu viele Anfragen (RFC 6585), dazu ein Hinweis auf Telefon und E-Mail.
Inhaltsregel
Ein Punktwert statt eines Verbots: viele Links, Kurzlinks, bekannte Werbeformeln oder eine Absenderdomain, die zu keinem Betrieb passt, erhöhen ihn. Ab einer Schwelle geht die Nachricht in den Prüfordner, nicht in den Papierkorb.
Option: Rechenaufgabe
Beim Proof-of-Work löst der Browser vor dem Absenden unbemerkt eine kleine Rechenaufgabe. Für eine einzelne Anfrage fällt das kaum ins Gewicht, für Massenabsendungen kostet es Rechenleistung; auf älteren Geräten kann es bremsen (W3C).
Beim unsichtbaren Feld entscheidet die Umsetzung über die Fehlalarme. Die W3C-Note beschreibt ein Beispiel, in dem das Fallenfeld sichtbar und mit der Tastatur erreichbar blieb, beschriftet mit der Bitte, es nur als Roboter auszufüllen (W3C). Wer mit Bildschirmleser oder Tastatur arbeitet, stolpert genau darüber. Besser ist ein Feld, das aus der Tab-Reihenfolge genommen und für Hilfsmittel verborgen ist und das die automatische Vervollständigung des Browsers nicht befüllt. Ein Feldname wie „email2“ oder „telefon“ kann Browser und Passwortmanager dazu verleiten, ihn mitzufüllen, und dann sitzt ein echter Mensch in der Falle.
Auch die Mindestzeit braucht Augenmaß. Der Zeitstempel gehört in die vom Server ausgelieferte Seite und wird beim Absenden geprüft; steht er nur im JavaScript, rechnet ihn ein Bot einfach nach. Eine Obergrenze dagegen ist heikel: Wer das Formular morgens öffnet, mittags weiterschreibt und dann absendet, darf nicht scheitern. Liegt die Seite zudem in einem Zwischenspeicher, ist der Zeitstempel älter als der Besuch. Welche Fristen aus Sicht der Barrierefreiheit zulässig sind, steht weiter unten im Abschnitt zu Datenschutz und Barrierefreiheit.
Bei der Ratenbegrenzung hilft ein Blick in die Norm: RFC 6585 legt ausdrücklich nicht fest, wie ein Server Nutzer erkennt oder Anfragen zählt (RFC 6585). Das ist Freiheit und Falle zugleich. Wer nach IP-Adresse zählt, trifft auch Firmennetze und Mobilfunkkunden, die sich eine Adresse teilen. Die Grenze sollte deshalb großzügig sein und die Antwort freundlich: was passiert ist und wie der Besucher Sie trotzdem erreicht. Ob Ihr Server solche Zähler und ein Protokoll überhaupt führen kann, hängt auch am Webhosting.
Werbung von Menschen: was keine Bot-Falle erkennt
Die unangenehmste Gruppe für jeden Filter sind Nachrichten, die Menschen schreiben. „Ich habe mir Ihre Website angesehen und sehe großes Potenzial“, „Wir erstellen Ihnen hochwertige Backlinks“, „Hätten Sie Interesse an einer Kooperation?“: Solche Texte sind höflich, sauber formuliert und passieren jede Bot-Falle. Ein Spamfilter, der sie zuverlässig erkennt, erkennt früher oder später auch echte Kunden, die eine kurze, sachliche Frage stellen. Wirksamer als ein schärferer Filter ist ein klarer Weg für jede Art von Nachricht. Drei Bausteine helfen dabei:
- Ein sichtbarer Satz am Formular, etwa: „Bitte keine Werbe-, SEO- oder Kooperationsangebote über dieses Formular.“ Er hält nicht jeden ab, macht aber deutlich, dass Sie solche Nachrichten nicht wünschen.
- Ein Auswahlfeld für das Anliegen mit einer eigenen Option „Angebot an uns“. Wer ehrlich wirbt, wählt sie, und die Nachricht landet automatisch in einem eigenen Ordner statt im Anfragepostfach.
- Eine Sortierregel nach Inhalt, die typische Werbeformeln, Linklisten und Absender ohne erkennbaren Betrieb mit Punkten bewertet und ab einer Schwelle in den Prüfordner legt, statt die Nachricht zu löschen.
Rechtlich ist unerbetene Werbung keine Kleinigkeit. Nach dem Gesetz gegen den unlauteren Wettbewerb ist eine geschäftliche Handlung unzulässig, die einen Marktteilnehmer unzumutbar belästigt; das gilt insbesondere für Werbung, obwohl erkennbar ist, dass der Angesprochene sie nicht wünscht (§ 7 Abs. 1 UWG). Der Satz am Formular kann diesen Willen erkennbar machen. Ob sich ein Vorgehen gegen einzelne Absender lohnt, ist eine Frage für die Rechtsberatung; im Alltag zählt, dass Werbung Ihr Anfragepostfach nicht mehr verstopft. Manche Werbeschreiben tarnen sich übrigens als Rechnung oder Prüfaufforderung zur eigenen Domain; woran Sie solche Nachrichten erkennen, zeigt unser Beitrag zu falschen Domain-Rechnungen.
Bei automatisch geschriebenen Werbetexten hilft ein anderer Blick. SentinelLabs nennt als am einfachsten zu blockierendes Merkmal die wechselnden Domains, über die das beworbene Angebot verkauft wird, weil die Texte selbst kein einheitliches Muster mehr zeigen (SentinelLabs). Für eine Inhaltsregel heißt das: Die Linkziele einer Nachricht sagen mehr als ihre Wortwahl. Ein Link auf eine Domain, die zu keinem erkennbaren Betrieb gehört, wiegt schwerer als das Wort „Ranking“. Wer das Formular ohnehin überarbeitet, sollte es dabei kurz halten: Jedes Feld, das nicht gebraucht wird, kostet echte Anfragen. Welche Felder genügen, zeigt unser Beitrag dazu, wie Sie aus Besuchern Anfragen machen.
Prüfordner statt Papierkorb
Jede Schutzschicht irrt sich irgendwann. Entscheidend ist, was dann mit der Nachricht passiert. Wird sie still gelöscht, merkt niemand den Fehler: Der Kunde glaubt, er habe angefragt, der Betrieb weiß von nichts, und beide halten den anderen für unzuverlässig. Die W3C-Note beschreibt für Spamfilter genau die Alternative: Viele Filter löschen Nachrichten erst ab einer bestimmten Spam-Schwelle automatisch und markieren fragliche Nachrichten zur Prüfung durch einen Menschen (W3C). Für ein Kontaktformular heißt das drei Ausgänge statt zwei:
- Postfach: Alles, was alle Schichten passiert und keinen auffälligen Punktwert hat, geht wie gewohnt an die Anfrageadresse.
- Prüfordner: Nachrichten mit erhöhtem Punktwert, mit auffällig vielen Links oder aus einer gebremsten Quelle landen in einem eigenen Ordner oder in einer Übersicht im Verwaltungsbereich. Jemand sieht ihn regelmäßig durch, zum Beispiel einmal pro Woche, und gibt echte Anfragen mit einem Klick frei.
- Verworfen mit Protokoll: Nur eindeutige Fälle, etwa ein ausgefülltes Fallenfeld zusammen mit einer Absendung in unter einer Sekunde, werden nicht zugestellt. Auch sie stehen für eine kurze Frist im Protokoll, damit sich ein Fehlalarm nachvollziehen lässt.
Wichtig ist, was der Absender sieht. Ein Bot soll nicht lernen, welche Schicht ihn erwischt hat; ein Mensch soll nicht im Unklaren bleiben. Ein guter Mittelweg: Bei Fallenfeld und Mindestzeit zeigt das Formular die gewohnte Bestätigung, die Nachricht geht aber in den Prüfordner, statt zu verschwinden. Bei der Ratenbegrenzung und bei abgelehnten Eingaben erklärt das Formular in Worten, was nicht geklappt hat, und nennt Telefon und E-Mail als zweiten Weg. Das verlangt auch WCAG 2.2: Erkennt ein Formular einen Eingabefehler automatisch, wird das betroffene Feld benannt und der Fehler in Textform beschrieben (WCAG 2.2, Erfolgskriterium 3.3.1).
Der Prüfordner ist kein Archiv. Personenbezogene Daten dürfen nur so lange in einer Form gespeichert werden, die die Identifizierung erlaubt, wie es für den Zweck erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO). Eine feste Frist, nach der Einträge automatisch gelöscht werden, gehört deshalb von Anfang an dazu, zum Beispiel 30 Tage. Freigegebene Anfragen wandern ins normale Postfach und folgen dort Ihren üblichen Regeln; was im Prüfordner liegen bleibt, verschwindet mit Ablauf der Frist.
Ein Spamfilter ist erst dann gut eingestellt, wenn jemand nachsehen kann, was er aussortiert hat.
Fehlalarme messen statt vermuten
Ob Ihre Regeln zu scharf oder zu locker sind, lässt sich messen. Die W3C-Note formuliert den Grundsatz für alle Verfahren: Tests und laufende Beobachtung sollen über die Wirksamkeit entscheiden, zumal ein heute wirksames System in einigen Jahren unwirksam sein kann (W3C). Für ein Kontaktformular reichen wenige Zahlen, die sich ohne Analysewerkzeug aus Protokoll und Postfach ablesen lassen.
| Kennzahl | Woher sie kommt | Was sie verrät |
|---|---|---|
| Absendungen gesamt | Protokoll des Formulars | Die Grundlast; ein Sprung zeigt eine neue Welle |
| Abgefangen je Schicht | Protokoll, je Grund gezählt | Welche Schicht trägt und welche überflüssig ist |
| Eingänge im Prüfordner | Prüfordner | Wie viel Handarbeit die Regeln erzeugen |
| Freigaben aus dem Prüfordner | Prüfordner | Fehlalarme: echte Anfragen, die fast verloren gegangen wären |
| Testanfrage angekommen | Eigene Testanfrage | Ob der Weg ins Postfach offen ist |
Die wichtigste Zahl ist die Fehlalarmquote: Freigaben aus dem Prüfordner geteilt durch alle echten Anfragen des Monats, also die freigegebenen plus die, die direkt im Postfach ankamen. Steigt sie, ist eine Regel zu scharf. Steigt dagegen die Werbung im Postfach, ist eine Regel zu locker. Beides ist kein Grund, eine weitere Schicht einzubauen, sondern einen Schwellenwert zu verschieben und danach wieder zu messen. Wer jede Woche nur ein paar Nachrichten bekommt, schaut statt auf eine Quote einfach auf jede einzelne Freigabe: Welche Regel hat angeschlagen, und war sie zu streng?
Für die Testanfrage lohnt ein kleines Drehbuch: einmal vom Smartphone über das Mobilfunknetz, einmal vom Rechner im Büro, einmal mit einem Link in der Nachricht, so wie ein Kunde ein Foto aus seinem Cloudspeicher teilt. Kommen alle Testanfragen an, lassen die Regeln zumindest diese typischen Fälle durch. Fehlt eine, wissen Sie, welche Schicht Sie prüfen müssen. Ob die Benachrichtigung selbst zuverlässig ankommt, ist eine eigene Frage: Wie Sie Absenderdomain, SPF, DKIM und DMARC sauber einrichten, steht in unserem Beitrag zur professionellen E-Mail mit eigener Domain.
Datenschutz und Barrierefreiheit beim Spamschutz
Auch ein Spamschutz ohne fremden Dienst verarbeitet personenbezogene Daten: Name, E-Mail-Adresse und Nachricht ohnehin, für die Ratenbegrenzung zusätzlich die IP-Adresse oder einen daraus gebildeten Prüfwert. Rechtsgrundlage für die Spamabwehr ist in der Regel das berechtigte Interesse des Betreibers (Art. 6 Abs. 1 lit. f DSGVO). Wer sich darauf stützt, nennt in den Informationen zur Datenverarbeitung das verfolgte berechtigte Interesse (Art. 13 Abs. 1 lit. d DSGVO), hier also die Abwehr von Spam und Missbrauch des Formulars.
Der Vorteil der Schichten liegt in der Datensparsamkeit. Ein unsichtbares Feld, ein Zeitstempel und ein Zähler je Adresse für wenige Minuten bleiben auf Ihrem eigenen Server. Es gibt keinen Datenfluss zu einem Captcha-Anbieter, keine nachgeladenen Skripte von fremden Servern und damit auch keinen zusätzlichen Vertrag dafür. Die Zähler der Ratenbegrenzung werden nach Ablauf des Zeitfensters verworfen, der Prüfordner nach seiner Frist geleert, und das Protokoll enthält nur, was für die Fehlersuche gebraucht wird.
Bei der Barrierefreiheit geht es um zwei Punkte. Erstens darf das Fallenfeld für Bildschirmleser und Tastatur nicht auftauchen. Zweitens ist ein Ablaufdatum im Formular eine Zeitbegrenzung im Sinne von WCAG 2.2: Läuft ein Formular-Token nach einer halben Stunde ab, muss der Besucher die Frist abschalten, anpassen oder verlängern können; ausgenommen sind Fristen von mehr als 20 Stunden (WCAG 2.2, Erfolgskriterium 2.2.1). Wer nur die Mindestzeit prüft und auf eine kurze Obergrenze verzichtet, umgeht das Problem von vornherein. Für Betriebe, die online Verträge mit Verbrauchern schließen, kann zudem das Barrierefreiheitsstärkungsgesetz gelten; welche Websites betroffen sind, erklärt unser Beitrag zum BFSG für lokale Betriebe.
Keine Rechtsberatung
Die Prüfung in der Wartung
Spamschutz ist keine Einrichtung, die man einmal vornimmt und dann vergisst. Bots ändern ihre Muster, ein Update am System oder an einem Formularbaustein kann eine Schicht still abschalten, und eine neue Mailadresse im Betrieb wird im Formular vergessen. Deshalb gehört das Formular in die regelmäßige Pflege, ähnlich wie Updates und Sicherungen, die unser Beitrag zur Website-Wartung und Sicherheit beschreibt. Eine kurze Liste reicht:
- Einmal im Monat Testanfragen auf mehreren Wegen senden und den Eingang bestätigen
- Den Prüfordner wöchentlich sichten und Freigaben als Fehlalarme zählen
- Die Abfangzahlen je Schicht mit dem Vormonat vergleichen
- Inhaltsregeln an neue Werbemuster und neue Linkziele anpassen
- Nach jedem Update prüfen, ob Fallenfeld, Zeitstempel und Ratenbegrenzung noch greifen
- Kontrollieren, dass Prüfordner und Protokoll nach ihrer Frist geleert werden
Wer neben dem Formular einen Chat oder einen Assistenten anbietet, nimmt ihn in dieselbe Prüfung auf. Das untersuchte Spamwerkzeug schrieb in neueren Fassungen auch die Chatfenster vieler Websites an (SentinelLabs). Wie ein Assistent Anfragen vorqualifiziert und sauber ins Postfach übergibt, zeigt unser Beitrag zum KI-Assistenten auf der Website. Der Aufwand für all das bleibt überschaubar, wenn er geplant ist; teuer wird es erst, wenn eine echte Anfrage wochenlang unbemerkt im Spam liegt.
So richten wir den Schutz ein
Für Betriebe aus Hildesheim und der Region richten wir Kontaktformulare so ein, dass sie ohne Rätsel und ohne fremden Captcha-Dienst auskommen: mit unsichtbarem Feld, Mindestzeit, Prüfung am Server, Ratenbegrenzung und einer Inhaltsregel, die Grenzfälle in einen Prüfordner legt. Auf unseren eigenen Websites schützen unsichtbares Feld, Mindestzeit und Ratenbegrenzung die Formulare ohne Captcha. Bestehende Formulare übernehmen wir auch dann, wenn die Website nicht von uns stammt. Wie ein Formular darüber hinaus zu mehr Anfragen führt, zeigen unsere Conversion-Optimierung und der Beitrag Mehr Anfragen über die Website gewinnen; einen Überblick über alles Weitere geben unsere Leistungen.
Im Rahmen der Website-Wartung nehmen wir das Formular auf Wunsch in die regelmäßige Prüfung auf: Testanfragen, ein Blick auf die Abfangzahlen, die Pflege der Inhaltsregeln und die Kontrolle der Löschfristen. Sie erfahren, was aussortiert wurde und warum, und behalten die Entscheidung über Grenzfälle. Schildern Sie uns über das Kontaktformular kurz, wie viel Spam heute ankommt und welche Anfragen Ihnen wichtig sind.
Verwandte Artikel
Regional liefern: Onlineshop mit Lieferung im Umkreis
Liefergebiet nach Postleitzahl oder Umkreis, Lieferfenster, Versandkosten nach Zone und Angaben zu Lieferbeschränkungen: so liefern Händler aus dem Shop.
Website-Relaunch planen: Go-live in der ruhigen Saison
Google rät, einen Website-Umzug in eine schwache Phase zu legen. So finden Sie Ihre ruhige Saison, rechnen den Relaunch rückwärts und setzen Messpunkte.
Beiträge im Google-Profil: Adventsaktionen richtig zeigen
Angebot, Veranstaltung oder Aktuelles: welche Angaben Google bei Beiträgen verlangt, warum ein Zeitraum zählt und wie ein Beitragsplan bis Januar aussieht.