Ratgeber · Umsetzung
Kontaktformular-Spam verhindern: die Schutzschichten.
Fünf Schichten, jede mit einer klaren Grenze. Die ersten vier setzen Sie selbst um und sie kosten nichts. Die fünfte kommt dazu, wenn die anderen nicht reichen.
Stand: 1. August 2026
Spam über ein Kontaktformular kommt fast immer von automatisierten Anfragen. Ein einzelnes Gegenmittel reicht selten, weil jedes eine Lücke hat, die das nächste schließt. Unten steht für jede Schicht, was sie abfängt und wo sie aufhört. Die zweite Liste ist die wichtigere.
Warum trifft es auch kleine Formulare?
Weil niemand Ihre Seite besuchen muss, um sie zu finden.
Formulare werden automatisiert gesucht, nicht über Ihre Navigation entdeckt. Ein Formular muss dafür weder verlinkt noch beworben sein. Deshalb hilft es nichts, eine Seite unauffällig zu halten, und deshalb bekommen auch kleine Websites denselben Verkehr wie große.
Welche Schutzschichten gibt es?
Fünf, in dieser Reihenfolge aufgebaut.
Von oben nach unten steigt der Aufwand. Die ersten vier laufen vollständig auf Ihrem eigenen Server.
- 01 HoneypotEin verstecktes Feld. Wird es ausgefüllt, war es kein Mensch. Kostet nichts.
- 02 ZeitprüfungEin Zeitstempel beim Anzeigen, eine Mindestdauer bis zum Absenden.
- 03 Serverseitige ValidierungPflichtfelder, plausible Formate, auffällige Muster im Nachrichtentext.
- 04 Rate-LimitingEine Obergrenze je Quelle und Zeitfenster gegen Massenversand aus einer Hand.
- 05 CAPTCHAEine eigene Erkennung vor dem Absenden, wenn die vier Schichten darüber nicht reichen.
Die markierte Schicht ist die einzige, die einen Dienst braucht. Die übrigen vier sind eigener Code.
Wo hört jede Schicht auf?
Früher, als die meisten Anleitungen zugeben.
- Honeypot
- Fängt Bots, die jedes Feld ausfüllen. Wer das Formular gezielt für Ihre Seite nachbaut, lässt das versteckte Feld leer.
- Zeitprüfung
- Fängt Anfragen, die eine Sekunde nach dem Laden eintreffen. Eine eingebaute Wartezeit umgeht sie.
- Serverseitige Validierung
- Fängt unvollständige und offensichtlich unsinnige Eingaben. Gegen gut formulierten Text hilft sie nicht.
- Rate-Limiting
- Fängt Massenversand aus einer Quelle. Ein über viele Adressen verteilter Versand läuft daran vorbei.
- CAPTCHA
- Prüft, ob überhaupt ein Browser mit der Seite gearbeitet hat. Zu streng eingestellt sperrt es Menschen aus, und das ist der teurere Fehler.
Diese Liste ist der Grund, warum die Schichten kombiniert werden. Jede einzelne davon lässt sich umgehen, wenn jemand es genau auf Ihr Formular anlegt.
Was bringt weniger, als es kostet?
Alles, was echte Besucher aufhält.
Trägt
Kostet Besucher nichts
- Honeypot im Markup
- Zeitstempel beim Anzeigen
- Prüfung auf dem Server
- Obergrenze je Quelle
Stört
Kostet echte Anfragen
- Rechenaufgaben im Formular
- Bilderrätsel als einziger Weg
- Adresse im Klartext statt Formular
- Formular ohne Fehlermeldung verwerfen
Die rechte Spalte kostet Anfragen von Menschen, ohne automatisierte Anfragen sicher aufzuhalten.
- Rechenaufgaben
- Eine sichtbare Rechenaufgabe hält Menschen auf und ist maschinell leicht zu lösen. Der Aufwand liegt auf der falschen Seite.
- Bilderrätsel
- Als einziger Weg schließt es Menschen aus, die es nicht lösen können. Als Ergänzung neben einem anderen Modus ist es vertretbar.
- Adresse im Klartext
- Eine offen im Quelltext stehende Adresse ist genau das, was automatisierte Sammler suchen.
- Stumme Ablehnung
- Wird eine Anfrage kommentarlos verworfen, merkt der Absender es nicht. Sie verlieren die Anfrage, ohne davon zu erfahren.
Wo sitzt ByeBot in diesem Stapel?
Als fünfte Schicht, vor dem Absenden.
- Honeypot leer
- Zeitprüfung bestanden
- Felder plausibel
- Rate-Limit nicht erreicht
CAPTCHA-Prüfung
im Browser gelöst
Angenommen
- Prüfung gültig
- Formular verarbeiten
Abgelehnt
- Prüfung ungültig
- Meldung und neuer Versuch
Die vier Schichten davor bleiben in Ihrem Code. ByeBot entscheidet nur über die Prüfung, angenommen wird das Formular auf Ihrem Server.
- Modi
- Sechs Widget-Modi, darunter einer ganz ohne Klick. Pro Website einstellbar.
- Sprachen
- Zwölf Widget-Sprachen, automatisch aus der Browsersprache gewählt.
- Ort
- Deutschland. In jedem Tarif derselbe Ort.
- Cookies
- Für das CAPTCHA keine. Kein seitenübergreifendes Tracking.
- Einbindung
- Script-Tag und Container im Formular, Prüfung des Ergebnisses auf Ihrem Server.
Wie das technisch aussieht, steht in CAPTCHA einbinden: Anleitung für Entwickler.
Fragen zum Schutz eines Kontaktformulars.
Einzelne Schichten im Detail, zwei Maßnahmen aus der Spalte, die echte Anfragen kostet, und die Angaben zum Widget.
Was ist ein Honeypot in einem Formular?
Ein verstecktes Feld im Formular. Wird es ausgefüllt, war es kein Mensch. Der Honeypot kostet nichts und fängt Bots, die jedes Feld ausfüllen. Wer das Formular gezielt für Ihre Seite nachbaut, lässt das versteckte Feld leer. Er ist die erste der fünf Schichten und läuft auf Ihrem eigenen Server.
Wie funktioniert eine Zeitprüfung beim Absenden?
Ein Zeitstempel beim Anzeigen des Formulars, eine Mindestdauer bis zum Absenden. Anfragen, die eine Sekunde nach dem Laden eintreffen, fängt sie ab. Eine eingebaute Wartezeit umgeht die Prüfung wieder. Die Zeitprüfung ist die zweite der fünf Schichten und läuft auf Ihrem eigenen Server.
Was macht Rate-Limiting bei einem Kontaktformular?
Es setzt eine Obergrenze je Quelle und Zeitfenster gegen Massenversand aus einer Hand. Ein über viele Adressen verteilter Versand läuft daran vorbei. Rate-Limiting ist die vierte der fünf Schichten und läuft wie die drei davor vollständig auf Ihrem eigenen Server, nicht bei einem Dienst.
Ist eine E-Mail-Adresse im Klartext eine Alternative zum Formular?
Eine offen im Quelltext stehende Adresse ist genau das, was automatisierte Sammler suchen. In der Gegenüberstellung auf dieser Seite steht sie in der Spalte der Maßnahmen, die echte Anfragen kosten, ohne automatisierte Anfragen sicher aufzuhalten. Dieselbe Spalte nennt Rechenaufgaben im Formular und Bilderrätsel als einzigen Weg.
Was passiert, wenn eine Anfrage kommentarlos verworfen wird?
Wird eine Anfrage kommentarlos verworfen, merkt der Absender es nicht. Sie verlieren die Anfrage, ohne davon zu erfahren. Auf dieser Seite steht das Verwerfen ohne Fehlermeldung in der Spalte der Maßnahmen, die echte Anfragen kosten. Zu streng eingestellt sperrt auch ein CAPTCHA Menschen aus, und das ist der teurere Fehler.
Welche Modi und Sprachen bringt das ByeBot-Widget mit?
Sechs Widget-Modi, darunter einer ganz ohne Klick, pro Website einstellbar. Zwölf Widget-Sprachen, automatisch aus der Browsersprache gewählt. Die Prüfung läuft in Deutschland, in jedem Tarif derselbe Ort. Für das CAPTCHA werden keine Cookies gesetzt, seitenübergreifendes Tracking gibt es nicht. Die Einbindung besteht aus Script-Tag und Container im Formular.
Sieben Tage testen, dann entscheiden.
Ein Zahlungsmittel wird zu Beginn hinterlegt. In der Testphase liegt die Grenze bei 10.000 Prüfungen. Danach ab 19 € im Monat.