Sieh dir die Einsendungen eines ungeschützten Formulars an, und du findest immer dasselbe: Dutzende Spam-Einträge, gefälschte Leads, schädliche Links und Unsinn. Das stammt nicht von Menschen, die dein Formular von Hand ausfüllen. Es sind automatisierte Skripte, die Angreifer und Spammer steuern. Formular-Spam und Bot-Einsendungen zu verhindern stoppt diese Angriffe, bevor sie deine Zeit verschwenden oder deine Daten beschädigen.
Spam ist mehr als ein Ärgernis. Er verstopft deine Datenbank, verfälscht deine Analysen, füllt dein E-Mail-Postfach und kann echte Sicherheitsbedrohungen verdecken. Wirksame Bot-Abwehr schützt dein Formular und hält deine Daten sauber.
Das lernst du hier: Wie automatisierte Bots Formulare angreifen, warum einfache Schutzmaßnahmen nicht reichen, welche Methoden zur Bot-Abwehr am besten funktionieren und wie du sie umsetzt, ohne legitime Besucher zu stören.
So funktionieren Bot-Angriffe auf Formulare
Ein Bot (kurz für Roboter) ist ein automatisiertes Programm, das sich wiederholende Aufgaben erledigt. Bots, die Formulare angreifen, tun zum Beispiel Folgendes:
- Sie füllen automatisch jedes Feld mit zufälligem Text
- Sie senden das Formular tausendfach pro Tag ab
- Sie schleusen Links oder Werbung in Formularfelder ein
- Sie prüfen auf Sicherheitslücken, indem sie das Formular abtasten
- Sie sammeln E-Mail-Adressen für Spam-Verteiler
Anders als ein Hacker, der es auf ein bestimmtes Formular abgesehen hat, greifen Bots tausende Formulare in großem Umfang an. Sie durchsuchen das Internet nach Formularen, und wenn sie eines finden, senden sie automatisch Spam ab. Du könntest mit 10.000 gefälschten Einsendungen in deinem Postfach aufwachen.
Warum Formulare für Bots anfällig sind
Formulare nehmen Eingaben von jedem an
Formulare sind konstruktionsbedingt für das Internet offen. Jeder kann dein Formular finden und absenden. Es gibt keine erste Prüfung, ob die Person, die es absendet, ein echter Mensch ist.
Formulare sind vorhersehbar
Wenn ein Bot dein Formular im HTML einer Webseite sehen kann, kann er die Formularstruktur auslesen und verstehen, welche Felder auszufüllen sind. Das macht Formulare zu leichten Zielen für Automatisierung.
Die meisten Formulare haben keinen Schutz
Viele Websites veröffentlichen Formulare ohne jede Bot-Erkennung. Bots lernen schnell, diese ungeschützten Ziele auszunutzen.
Warum einfache Schutzmaßnahmen nicht funktionieren
Formularfeldnamen verschleiern
Manche denken, das Verstecken der Formularfeldnamen verwirre Bots. Aber Bots können Feldnamen aus dem HTML oder durch Analyse der Formularübermittlung rekonstruieren. Das funktioniert nicht.
Honeypot-Felder (Köderfelder)
Ein Honeypot-Feld ist ein verstecktes Formularfeld, das legitime Besucher nie sehen. Bots, die CSS oder versteckte Attribute nicht verstehen, füllen es trotzdem aus. Du kannst Einsendungen ablehnen, bei denen das Honeypot-Feld ausgefüllt ist.
Das funktioniert gegen sehr einfache Bots, aber raffinierte Bots kennen Honeypot-Felder und wissen, dass sie sie nicht ausfüllen dürfen. Allein ist das heute nur eine schwache Verteidigung.
Einfache Rechenaufgaben oder Fragen
"Was ist 2 + 2?" scheint ein Bot nicht beantworten zu können. Doch moderne KI und OCR-Werkzeuge (optische Zeichenerkennung) können einfache Rechenaufgaben lesen und lösen. Diese Verteidigung ist veraltet.
Wirksame Methoden zur Bot-Abwehr
CAPTCHA
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) ist die häufigste Methode zur Bot-Abwehr. Es gibt mehrere Arten:
Textbasiertes CAPTCHA: Nutzer lösen ein verzerrtes Texträtsel. Älter und heute weniger wirksam, weil KI verzerrten Text lesen kann.
Bildbasiertes CAPTCHA (reCAPTCHA v2): Nutzer klicken Kontrollkästchen an oder erkennen Objekte in Bildern. Zuverlässiger als textbasiert, aber nicht perfekt. Das siehst du auf vielen Websites.
Unsichtbares CAPTCHA (reCAPTCHA v3): Der Nutzer sieht nichts. Das System analysiert sein Verhalten (wie er die Maus bewegt, wie schnell er das Formular ausfüllt), um festzustellen, ob er ein Mensch ist. Keine Reibung für echte Nutzer, erfordert aber ein anspruchsvolleres Backend.
Ratenbegrenzung
Die Ratenbegrenzung (Rate Limiting) beschränkt, wie oft dieselbe IP-Adresse oder dasselbe Nutzerkonto ein Formular in einem bestimmten Zeitraum absenden kann. Versucht ein Angreifer, 1.000 Formulare in 10 Minuten von derselben IP abzusenden, blockiert ihn die Ratenbegrenzung nach den ersten 5 Einsendungen in 10 Minuten.
Die Ratenbegrenzung ist für echte Nutzer unsichtbar (die meisten Menschen senden dasselbe Formular nicht 20 Mal in einer Stunde ab), aber wirksam gegen Bots (die wiederholt und mit übermenschlicher Geschwindigkeit absenden).
E-Mail-Bestätigung
Verlange von Besuchern, ihre E-Mail-Adresse durch einen Klick auf einen Link in einer Bestätigungs-E-Mail zu bestätigen. Bots können meist nicht auf E-Mail-Postfächer zugreifen (oder nutzen gefälschte Adressen, die nicht echt sind). Das beseitigt viele Bot-Einsendungen.
Nachteil: Es erzeugt zusätzliche Reibung für legitime Besucher. Nutze es für wertvolle Formulare (Anmeldungen, Kontoerstellung), bei denen du bereit bist, einen zusätzlichen Schritt einzubauen.
Verhaltensanalyse
Analysiere, wie Besucher mit dem Formular umgehen:
- Haben sie das Formular mit übermenschlicher Geschwindigkeit ausgefüllt (alle Felder in 0,5 Sekunden)? Wahrscheinlich ein Bot.
- Haben sie nie ein Feld fokussiert (nur durchgetabbt, ohne zu tippen)? Wahrscheinlich ein Bot.
- Haben sie ein Feld ausgefüllt, gelöscht, wieder ausgefüllt und wieder gelöscht? Wahrscheinlich ein Mensch.
Das erfordert JavaScript im Formular, um Nutzerinteraktionen zu erfassen. Es ist für echte Nutzer unsichtbar und wirksam gegen einfache Bots.
Geräte-Fingerprinting
Analysiere Merkmale des Geräts, das das Formular absendet (Browsertyp, Betriebssystem, Bildschirmauflösung, Zeitzone usw.). Bots haben oft ungewöhnliche oder widersprüchliche Geräte-Fingerabdrücke. Legitime Geräte haben Muster, die menschlich wirken.
Das ist aufwendig und erfordert Dienste von Drittanbietern, ist aber sehr wirksam.
Wann du welche Methode nutzt
Für ein einfaches Kontaktformular
Nutze die Ratenbegrenzung (unsichtbar) plus ein CAPTCHA, wenn du viel Spam bekommst. Die E-Mail-Bestätigung ist optional.
Für ein Anmeldeformular für den Newsletter
Nutze Ratenbegrenzung plus E-Mail-Bestätigung. So ist sichergestellt, dass die E-Mail echt ist, und Massenanmeldungen mit gefälschten Adressen werden verhindert.
Für ein wertvolles Formular (Kontoerstellung, Zahlung usw.)
Nutze mehrere Ebenen: Ratenbegrenzung, CAPTCHA, E-Mail-Bestätigung. Erwäge die Verhaltensanalyse für zusätzliche Sicherheit.
Für einen API-Endpunkt oder programmatischen Zugriff
Nutze API-Authentifizierung (Tokens oder API-Schlüssel) statt CAPTCHA. CAPTCHA funktioniert bei APIs nicht. Die Ratenbegrenzung ist unverzichtbar.
Die Auswirkung der Bot-Abwehr auf die Nutzererfahrung
Starke Bot-Abwehr kann für echte Nutzer Reibung erzeugen. Wäge Sicherheit und Nutzbarkeit ab:
CAPTCHA: Kostet ein paar Sekunden und einen zusätzlichen Schritt. Sichtbar und leicht störend, aber von Nutzern weitgehend akzeptiert. Viele Menschen erwarten es.
E-Mail-Bestätigung: Der Nutzer muss seine E-Mails prüfen und auf einen Link klicken. Höhere Reibung, aber für wichtige Aktionen nötig.
Verhaltensanalyse oder Ratenbegrenzung: Unsichtbar. Überhaupt keine Reibung für echte Nutzer.
Best Practice: Nutze zuerst unsichtbare Methoden (Ratenbegrenzung, Verhaltensanalyse). Zeige ein CAPTCHA nur, wenn die Formularübermittlung verdächtig aussieht. So sehen 95 % der echten Nutzer nie ein CAPTCHA, Bots aber fast immer.
Formulareinsendungen auf Spam überwachen
Auch mit Bot-Abwehr kann etwas Spam durchrutschen. Überwache deine Einsendungen:
- Prüfe neue Einsendungen regelmäßig auf offensichtliche Spam-Muster
- Achte auf Einsendungen mit unsinnigem Text oder Links
- Verfolge die Einsendungsrate (steigt sie plötzlich stark an, bist du womöglich unter Angriff)
- Prüfe, aus welchen Ländern Einsendungen kommen (wenn du nur die USA bedienst, können Einsendungen aus bestimmten Ländern verdächtig sein)
Die meisten Formulare erlauben es, Einsendungen als Spam zu markieren. Nutze das, um Modelle des maschinellen Lernens zu trainieren, die künftigen Spam verhindern helfen können.
Was WEMASY gegen Spam tut
WEMASY Formulare enthalten standardmäßig Bot-Abwehr. Jedes Formular hat eine Ratenbegrenzung (mehrere Einsendungen von derselben IP werden gedrosselt) und optional den CAPTCHA-Schutz (reCAPTCHA v3). Du kannst die E-Mail-Bestätigung für Formulare aktivieren, die sie brauchen. WEMASY überwacht Einsendungen außerdem auf Spam-Muster und markiert verdächtige Einträge.
Alle Formulare haben Spam-Schutz. Erweiterte Schutzmaßnahmen gibt es in höheren Tarifen. Die Details zu deinem Tarif siehst du auf der Preisseite.