Brauche ich ein CAPTCHA in meinem Formular?

Meistens nicht als ersten Schritt. Leise Maßnahmen wie ein verstecktes Honeypot-Feld, eine Zeitprüfung, Grenzen für wiederholtes Absenden und eine Bestätigungsmail bei Anmeldungen fangen viel automatischen Spam ab, ohne echte Menschen zu stören. Bau ein CAPTCHA erst ein, wenn das nicht reicht, und wähle eins mit einer barrierefreien Alternative.

Was ist ein Honeypot-Feld?

Das ist ein zusätzliches Formularfeld, das für Menschen versteckt ist, sowohl optisch als auch für Screenreader und die Tastaturbedienung. Echte Besucher lassen es leer, weil sie es nie sehen, während viele Bots jedes Feld ausfüllen, das sie finden. Eine Antwort mit ausgefülltem Honeypot kannst du still beiseitelegen.

Kann Spamschutz auch echte Menschen aufhalten?

Ja, wenn er zu streng ist. Starre Regeln für Namen, Telefonnummern oder E-Mail-Domains, schwere Rätsel und knappe Grenzen fürs Absenden können ehrliche Besucher aufhalten. Teste dein Formular mit Beispielen aus dem echten Leben, halte die Prüfungen nachsichtig und schick Zweifelsfälle auf einen eigenen Stapel, statt sie abzulehnen.

Was mache ich mit Spam-Antworten?

Leg sie beiseite, sieh sie ab und zu nach echten Nachrichten durch, die aus Versehen hängen geblieben sind, und lösche sie dann. Spam kann personenbezogene Daten enthalten, etwa die E-Mail-Adresse einer Person, die ein Bot benutzt hat, also bewahr ihn nicht länger auf als nötig.

Spam im Formular verhindern, ohne echte Menschen zu nerven

Stell ein Formular ins Netz, und früher oder später kommt der Müll. Anmeldungen von Adressen, die es nicht gibt, Nachrichten voller seltsamer Links, immer wieder derselbe Unsinn. Das verstopft deine Antworten, kostet Zeit und macht es schwerer, die Menschen zu finden, die dich wirklich erreichen wollten.

Der erste Reflex ist oft ein Rätsel: alle Ampeln anklicken, die verzerrten Buchstaben abtippen. Das kann funktionieren, aber dann muss jeder ehrliche Besucher erst beweisen, dass er ein Mensch ist, bevor er Hallo sagen darf. Es gibt freundlichere Wege für den Anfang, und die meisten davon bemerken die Leute, die dein Formular ausfüllen, gar nicht.

Schau dir zuerst an, welchen Spam du bekommst

Spam ist nicht gleich Spam, und die Lösung hängt vom Problem ab. Bevor du etwas änderst, lohnt sich ein Blick auf den Müll, der bisher angekommen ist.

Bots füllen jedes Feld aus, das sie finden, oft schon kurz nach dem Laden der Seite, und stopfen die Nachricht meistens mit Links voll.
Wiederholte Einsendungen kommen in Wellen: dasselbe Formular, in kurzer Zeit viele Male abgeschickt.
Falsche oder fremde E-Mail-Adressen tauchen in Anmeldeformularen auf, manchmal weil jemand andere Leute ohne ihr Wissen anmeldet.
Menschen, die von Hand Müll schicken, etwa Verkaufsangebote über dein Kontaktformular. Das sind echte Menschen, also halten Tricks gegen Bots sie nicht auf.

Wenn du weißt, womit du es zu tun hast, baust du keinen schweren Schutz gegen ein Problem ein, das du gar nicht hast.

Leise Prüfungen, die echte Menschen nicht bemerken

Der beste Spamschutz ist der, den deine Besucher nie zu sehen bekommen. Diese Maßnahmen laufen im Hintergrund und fangen viel automatischen Müll ab, ohne dass echte Menschen etwas dafür tun müssen.

Ein Honeypot-Feld. Füge ein zusätzliches Feld ein, das versteckt ist, zum Beispiel mit der Beschriftung „Website“. Menschen sehen es nicht und lassen es deshalb leer. Viele Bots füllen jedes Feld aus, das sie finden. Eine Antwort, in der dieses Feld ausgefüllt ist, kommt also so gut wie sicher von einer Maschine. Versteck es aber richtig: nicht nur optisch, sondern auch für Screenreader und die Tastaturbedienung, damit niemand, der solche Hilfsmittel nutzt, aus Versehen hineingerät.

Eine Zeitprüfung. Echte Menschen brauchen einen Moment zum Lesen und Tippen. Wird ein Formular fast sofort nach dem Laden ausgefüllt und abgeschickt, ist das ein starker Hinweis, dass kein Mensch beteiligt war. Sieh es als Signal, nicht als Beweis, denn manche Leute nutzen das automatische Ausfüllen ihres Browsers.

Sag Bots nicht, was sie falsch gemacht haben. Wenn eine Einsendung an einer dieser Prüfungen hängen bleibt, zeig einfach die normale Danke-Meldung und leg die Antwort still beiseite. Ein Bot, der eine klare Fehlermeldung bekommt, lernt, wie er sie umgeht. Ein Bot, der glaubt, dass es geklappt hat, zieht einfach weiter.

Setz sinnvolle Grenzen für wiederholtes Absenden

Wird dasselbe Formular in kurzer Zeit viele Male von derselben Quelle abgeschickt, steckt selten ein Mensch dahinter. Eine Grenze dafür, wie oft ein Formular innerhalb weniger Minuten abgeschickt werden kann, stoppt ganze Wellen von Müll, ohne jemanden zu stören, der eine einzige Nachricht schickt.

Halte diese Grenzen großzügig genug fürs echte Leben: Eltern, die mehrere Kinder für einen Workshop anmelden, oder ein Team, das Kolleginnen und Kollegen nacheinander einträgt. Und denk daran, dass technische Daten wie IP-Adressen nach der DSGVO als personenbezogene Daten gelten. Wenn du sie dafür nutzt, bewahre sie nur so lange auf, wie du sie brauchst, und erwähne das in deiner Datenschutzerklärung. Mehr zu dieser Seite des Themas findest du in Ein DSGVO-freundliches Formular erstellen.

Lass Anmeldungen per E-Mail bestätigen

Bei Newslettern, Wartelisten und anderen Anmeldungen ist eine Bestätigungsmail eine der wirksamsten und freundlichsten Maßnahmen überhaupt. Jemand meldet sich an, bekommt eine Mail mit einem Link und landet erst auf deiner Liste, wenn er darauf klickt.

Das erledigt zwei Dinge auf einmal. Falsche Adressen werden nie bestätigt und kommen deshalb nie auf deine Liste. Und niemand kann eine fremde E-Mail-Adresse anmelden, ohne dass die betroffene Person davon erfährt. So schützt du auch Menschen, die nie Post von dir wollten. Halte die Bestätigungsmail kurz, sag klar, wofür sich jemand angemeldet hat, und mach den Button gut sichtbar.

Prüf freundlich, damit echte Menschen durchkommen

Eingabeprüfungen helfen, Müll draußen zu halten, aber strenge Regeln halten genauso leicht echte Menschen draußen. Überleg dir bei jeder Regel, wen sie aus Versehen aufhalten könnte.

Namen gibt es in allen Formen. Menschen haben Apostrophe, Bindestriche und Akzente, sehr kurze oder sehr lange Namen und manchmal nur einen einzigen Namen. Lehne keinen Namen ab, nur weil er ungewöhnlich aussieht.
Telefonnummern sind international. Erlaube Leerzeichen, ein Pluszeichen und Ländervorwahlen. Oder frag gar nicht erst nach einer Telefonnummer, wenn du sowieso nicht anrufst.
Eine E-Mail-Prüfung soll Tippfehler finden, nicht urteilen. Ein freundlicher Hinweis, wenn eine Adresse vertippt aussieht, hilft. Ganze E-Mail-Anbieter oder neue Domains zu sperren, trifft meistens vor allem echte Menschen.
Fehlermeldungen sollen helfen. Sag in einfachen Worten, was zu korrigieren ist, und behalte, was schon eingetippt wurde. Niemand sollte von vorn anfangen müssen.

Eine Regel, die einen Bot stoppt, aber auch eine echte Kundin, ist kein guter Tausch.

Sei aufmerksam bei Links, wo du keine erwartest

Viel Spam existiert nur, um Links zu hinterlassen. Hat dein Formular ein Nachrichtenfeld, in dem Links selten nötig sind, etwa bei einem Kontakt- oder Feedbackformular, dann verdient eine Antwort voller Links einen zweiten Blick.

Statt Links sofort zu sperren, markier solche Antworten zur Durchsicht. Manchmal teilt ein echter Mensch einen Link zu seiner Website oder zu einem Screenshot, und diese Nachricht möchtest du nicht verlieren.

Leg Zweifelsfälle beiseite, statt sie zu löschen

Jeder Spamfilter liegt mal daneben. Wenn verdächtige Antworten spurlos verschwinden, erfährst du nie, wen du verpasst hast. Sicherer ist ein eigener Stapel „wahrscheinlich Spam“, den jemand regelmäßig durchsieht.

Dieser Stapel sollte aber kein Dauerarchiv werden. Auch Spam kann personenbezogene Daten enthalten, zum Beispiel die echte E-Mail-Adresse einer Person, die ein Bot benutzt hat. Sieh ihn durch, rette, was echt ist, und lösche den Rest in einem festen Rhythmus.

Ein CAPTCHA als letztes Mittel

Manchmal reichen die leisen Maßnahmen nicht, etwa wenn ein Formular ein beliebtes Ziel ist. Dann kann ein CAPTCHA oder eine ähnliche Abfrage helfen. Sei dir nur bewusst, was es kostet, bevor du eins einbaust.

Die Arbeit liegt bei allen. Jeder ehrliche Besucher muss das Rätsel lösen, jedes Mal.
Es kann Menschen ausschließen. Bilderrätsel sind für Menschen mit Seh- oder kognitiven Einschränkungen schwer oder gar nicht lösbar, und auf einem kleinen Bildschirm eine Fummelei. Wenn du eins nutzt, nimm einen Dienst mit einer barrierefreien Alternative.
Es kann ein weiteres Unternehmen ins Spiel bringen. Manche Dienste laden Skripte von Dritten und können Daten über deine Besucher sammeln. Prüf, was der Dienst macht, ob du ihn in deiner Datenschutzerklärung nennen musst und ob du dafür eine Einwilligung brauchst.

Wenn du eins einbaust, überleg, ob du es nur bei verdächtigen Einsendungen zeigst statt allen.

Eine kurze Checkliste

Du weißt, welche Art von Spam du bekommst.
Es gibt ein richtig verstecktes Honeypot-Feld.
Unmöglich schnelle Einsendungen werden markiert.
Wiederholtes Absenden ist begrenzt, mit Luft fürs echte Leben.
Anmeldungen werden per E-Mail bestätigt.
Die Prüfungen akzeptieren echte Namen, internationale Telefonnummern und ungewöhnliche E-Mail-Adressen.
Antworten voller unerwarteter Links werden markiert, nicht gesperrt.
Zweifelsfälle landen auf einem eigenen Stapel, der regelmäßig durchgesehen und geleert wird.
Ein CAPTCHA kommt erst dazu, wenn nichts anderes hilft, und hat eine barrierefreie Alternative.

Wie wir bei Cuppaform darüber denken

Cuppaform ist noch im Aufbau, und wir möchten, dass Spamschutz echten Menschen nicht im Weg steht. Die Warteliste und das Kontaktformular auf dieser Website nutzen schon ein verstecktes Honeypot-Feld statt eines Rätsels. Während wir den Formular-Builder bauen, arbeiten wir an Wegen, Müll aus deinen Antworten herauszuhalten, ohne dass ehrliche Menschen durch Reifen springen müssen.

Probier die Demo aus und erlebe, wie sich ein freundliches Formular von der anderen Seite anfühlt.