Ein Skript liest die Feldnamen aus.
Formular-Spam.
Ein Skript braucht kein Interesse an Ihrem Angebot. Es braucht die Adresse Ihres Formulars und die Namen der Felder.
Stand: August 2026
Wie kommt Spam in ein Formular?
Über die Feldnamen, nicht über Ihre Seite.
Ein Skript lädt Ihre Seite einmal, liest die Namen der Eingabefelder aus und schickt danach Anfragen direkt an die Zieladresse. Die Seite selbst wird nie wieder geöffnet. Deshalb sieht der Verkehr im Logfile unauffällig aus, und deshalb hilft ein verstecktes Feld nur, bis jemand genauer hinsieht.
- Formularadresse gefunden
- Feldnamen ausgelesen
- Textbaustein eingesetzt
- Massenversand gestartet
ByeBot-Prüfung
vor dem Absenden
Bestanden
- Token liegt im Formular
- Ihr Server nimmt den Eintrag an
Nicht bestanden
- Kein gültiges Token
- Ihr Server lehnt ab
- Erscheint als blockiert
Vereinfachte Darstellung. Welche Prüfungen laufen, stellen Sie je Seite ein.
- Muster
- Immer dieselbe Feldkombination, oft ohne die Felder, die nur im Browser sichtbar sind.
- Tempo
- Das Formular ist in weniger als einer Sekunde ausgefüllt und abgeschickt.
- Menge
- Die Einträge kommen in Schüben, nicht über den Tag verteilt.
- Inhalt
- Links, fremdsprachige Textbausteine, Platzhalter, die im Versand nicht ersetzt wurden.
- Herkunft
- Adressbereiche von Rechenzentren statt von Zugangsanbietern.
Was kostet Formular-Spam?
Aufmerksamkeit, jeden Tag aufs Neue.
Der Schaden entsteht selten durch einen einzelnen Eintrag. Er entsteht dadurch, dass jemand jeden Morgen sortiert, dass automatische Antworten an fremde Adressen gehen und dass die eigene Auswertung Anfragen zeigt, die es nie gab.
Das OWASP Automated Threat Handbook führt diesen Fall als OAT-017 Spamming und beschreibt ihn als das Einbringen fragwürdiger Inhalte in öffentliche oder private Inhalte und Nachrichten. Die Kennung ist nützlich, weil sie den Fall von der Kontoanlage und vom Durchprobieren von Zugangsdaten trennt. Es geht hier um Inhalt, nicht um Zugang.
Ohne Prüfung
Jeder Eintrag zählt
- Jede Anfrage landet im Postfach
- Sichten kostet täglich Zeit
- Automatische Antworten gehen an fremde Adressen
- Die Auswertung zeigt Anfragen, die es nicht gab
Mit Prüfung
Ohne Token kein Eintrag
- Ihr Server nimmt nur geprüfte Formulare an
- Abweisungen stehen in der Statistik
- Vorab abgewiesene Versuche kosten nichts
- Der Aufwand steigt beim Absender, nicht bei Ihnen
Gegenüberstellung der Abläufe, keine Messung. Eine Prüfung hält Automatisierung nicht vollständig auf, sie verteuert sie.
Der letzte Punkt ist der wirtschaftliche Kern. Berechnet wird bei ByeBot eine Prüfung, die zur Verifikation kommt, bestanden oder nicht. Wer schon an der Sperrliste, am Länderblock oder am Ratelimit hängen bleibt, erscheint in Ihrer Auswertung als blockiert und zählt trotzdem nicht gegen Ihr Kontingent. Die Einzelheiten stehen unter Zugriffskontrolle.
Welcher Widget-Modus passt zu einem Formular mit viel echtem Verkehr?
Der unsichtbare.
Auf einem Formular, das viele Menschen ausfüllen, kostet jede zusätzliche Handlung Abschlüsse. Der unsichtbare Modus zeigt kein Element und prüft im Hintergrund, während jemand tippt. Sichtbare Aufgaben lohnen sich dort, wo ein Vorgang selten ist und viel auslöst.
- Widget-Modusunsichtbar
- Rechenaufgabean
- Time-to-Pass2 s
- Ratelimit je Besucher5 / 10 min
- Interaktive Aufgabeaus
Beispielhafte Werte. Jede Seite hat ihren eigenen Sitekey und ihre eigenen Werte.
Echte Aufnahme des laufenden Dashboards. Die Werte stammen aus einem Testkonto mit Demo-Daten.
- Unsichtbar
- Auf einem Formular, das viele echte Menschen ausfüllen, ist jede zusätzliche Handlung ein Absprung. Die Prüfung läuft, während jemand tippt, und legt am Ende ein Token ins Formular.
- Rechenaufgabe
- Ein Besucher löst eine. Zehntausend Einträge heißen zehntausend Aufgaben. Der Preis pro Stück bleibt gleich, die Summe nicht.
- Time-to-Pass
- Eine Mindestzeit zwischen der Ausgabe einer Prüfung und der Annahme ihrer Lösung. Im unsichtbaren Modus beginnt sie beim Laden der Seite und ist abgelaufen, während jemand noch tippt. Was im Formular steht, sieht sie nicht.
- Ratelimit
- Eine Obergrenze je Besucher in einem Zeitfenster. Wer darüber liegt, wird abgewiesen, bevor eine Prüfung entsteht.
- Alle Prüfungen
- Zur Bot-Erkennung
Wie binden Sie die Prüfung in ein Formular ein?
Ein Script-Tag, ein Div, ein Aufruf von Ihrem Server.
Die Reihenfolge entscheidet: Der Browser löst die Prüfung, Ihr Server entscheidet über das Formular. Solange die zweite Hälfte fehlt, schützt die erste nichts.
<script src="https://challenge.byebot.de/ray/widget.js" defer></script>
<form method="post" action="/formular">
<input name="email" type="email" required />
<textarea name="nachricht" required></textarea>
<div class="captcha-widget" data-sitekey="IHR_SITEKEY"></div>
<button type="submit">Absenden</button>
</form>Im unsichtbaren Modus bleibt das Div leer und trägt nur den Sitekey.
- Schritt 1
- Das Script laden und ein Div mit Ihrem Sitekey in das Formular setzen. Im unsichtbaren Modus bleibt das Div leer.
- Schritt 2
- Das Widget legt ein verstecktes Feld namens byebot-token in Ihr Formular. Das Feld geht mit dem Absenden an Ihren Server.
- Schritt 3
- Ihr Backend schickt den Feldwert mit Ihrem API-Key an /validate_token. Antwort 200 heißt annehmen, 400 heißt ablehnen. Prüfen Sie nie im Browser.
- Dokumentation
- Vollständige Anleitung
Fragen zu Formular-Spam.
Kurze Antworten zu Merkmalen, Einstellungen, Abrechnung und Datenverarbeitung. Wo eine Prüfung an ihre Grenze stößt, steht das hier ebenfalls.
Reicht ein verstecktes Feld gegen Formular-Spam?
Ein verstecktes Feld hilft, bis jemand genauer hinsieht. Ein Skript lädt Ihre Seite einmal, liest die Namen der Eingabefelder aus und schickt danach Anfragen direkt an die Zieladresse. Die Seite selbst wird nie wieder geöffnet, und deshalb sieht der Verkehr im Logfile unauffällig aus. Zu den Merkmalen solcher Einträge gehört, dass immer dieselbe Feldkombination ankommt, oft ohne die Felder, die nur im Browser sichtbar sind.
Was bedeutet OAT-017 Spamming?
Das OWASP Automated Threat Handbook führt diesen Fall als OAT-017 Spamming und beschreibt ihn als das Einbringen fragwürdiger Inhalte in öffentliche oder private Inhalte und Nachrichten. Die Kennung trennt den Fall von der Kontoanlage und vom Durchprobieren von Zugangsdaten. Es geht hier um Inhalt, nicht um Zugang. Die Quelle wurde am 01.08.2026 im Original geprüft.
Was bewirkt Time-to-Pass?
Es ist eine Mindestzeit zwischen der Ausgabe einer Prüfung und der Annahme ihrer Lösung. Trifft eine Lösung früher ein, wird sie abgelehnt, auch eine rechnerisch richtige. Der Inhalt der Formularfelder und die Zeit, die jemand daran gesessen hat, gehen in diese Rechnung nicht ein. Ein Skript kann die Zeit abwarten; das kostet es Durchsatz, nicht Zugang. Die Werte stellen Sie je Seite ein, jede Seite hat ihren eigenen Sitekey.
Welche Prüfungen werden berechnet?
Berechnet wird eine Prüfung, die zur Verifikation kommt, bestanden oder nicht. Wer schon an der Sperrliste, am Länderblock oder am Ratelimit hängen bleibt, erscheint in Ihrer Auswertung als blockiert und zählt trotzdem nicht gegen Ihr Kontingent. Ein Ratelimit ist eine Obergrenze je Besucher in einem Zeitfenster, wer darüber liegt, wird abgewiesen, bevor eine Prüfung entsteht.
Hört Formular-Spam mit einer Prüfung ganz auf?
Nein. Eine Prüfung hält Automatisierung nicht vollständig auf, sie verteuert sie. Ein Besucher löst eine Rechenaufgabe. Zehntausend Einträge heißen zehntausend Aufgaben, der Preis pro Stück bleibt gleich, die Summe nicht. Der Aufwand steigt beim Absender, nicht bei Ihnen, und vorab abgewiesene Versuche kosten nichts.
Wo werden die Daten verarbeitet?
In Deutschland, in jedem Tarif. Die Auftragsverarbeitung läuft nach Art. 28 DSGVO, die Auftragsverarbeiter stehen unter byebot.de/datenschutz. ByeBot setzt keine CAPTCHA-Cookies, betreibt kein seitenübergreifendes Tracking, trainiert keine KI-Modelle an Besucherdaten und gibt nichts an Dritte weiter. Erkennungsereignisse werden 30 Tage aufbewahrt, die Statistik 365 Tage im Pro-Tarif und unbegrenzt im Enterprise-Tarif.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.