Kontaktformular vor Spam schützen: Honeypot, Validierung und sichere Zustellung

Seltsame Namen, leere E-Mail-Felder, zufällige Zeichenfolgen und unpassende Telefonnummern sind typische Anzeichen automatisierter Formularanfragen. Ein gutes Kontaktformular soll solche Bots abweisen und gleichzeitig für echte Interessenten einfach bleiben.

Dafür braucht es mehrere kleine Schutzschichten. Keine einzelne Methode erkennt jeden Missbrauch. Gemeinsam können Honeypot, Zeitprüfung, serverseitige Validierung und Drosselung die Menge unerwünschter Nachrichten jedoch deutlich reduzieren.

Ein Honeypot ist ein zusätzliches Formularfeld, das normale Besucher nicht ausfüllen. Viele automatisierte Programme erkennen diesen Zweck nicht und tragen trotzdem einen Wert ein. Der Server verwirft die Anfrage dann, ohne eine E-Mail zu versenden.

Das Feld muss technisch sauber ausgeblendet, für Tastatur und Hilfsmittel unauffällig und auf dem Server ausgewertet werden. Eine reine Prüfung im Browser lässt sich leicht umgehen. Verdächtige Anfragen sollten außerdem ohne ausführliche Fehlermeldung beendet werden, damit der Bot keine Anleitung zur Umgehung erhält.

Was ein Honeypot leisten kann

• einfache automatische Ausfüllprogramme erkennen,
• ohne Bilderrätsel oder zusätzliche Aufgabe arbeiten,
• echte Nutzer im normalen Ablauf nicht belasten.

Gezielte Bots können ein bekanntes Honeypot-Feld ignorieren. Deshalb ist es nur eine Schutzschicht.

Pflichtfelder müssen auch serverseitig kontrolliert werden. Eine E-Mail-Adresse braucht ein gültiges Format, Auswahlfelder dürfen nur vorgesehene Werte enthalten und Textlängen sollten sinnvolle Grenzen besitzen. Felder, die der Browser gar nicht anzeigt, dürfen nicht ungeprüft in die Nachricht übernommen werden.

Eine Zeitprüfung ergänzt den Honeypot. Wird ein längeres Formular unmittelbar nach dem Laden abgeschickt, spricht das häufig für Automation. Die Mindestzeit darf nicht so streng sein, dass Passwortmanager, Browser-Autofill oder besonders schnelle Nutzer ausgesperrt werden.

Verdächtige Muster wie eine komplett leere Nachricht bei gleichzeitig zufälligem Namen können zusätzlich bewertet werden. Solche Regeln bleiben bewusst eng, damit ungewöhnliche, aber echte Anfragen nicht vorschnell verloren gehen.

Rate Limits begrenzen, wie viele Anfragen innerhalb eines Zeitfensters verarbeitet werden. Das schützt Mailserver und Website vor Serienanfragen. Die Grenze muss zum tatsächlichen Anfragevolumen passen und darf Büros, Vereine oder Mobilfunknetze mit gemeinsam genutzten Adressen nicht pauschal sperren.

Bei wiederholtem Missbrauch können zusätzliche Signale herangezogen werden. Dauerhafte Besucherprofile oder unnötige personenbezogene Protokolle sind dafür nicht erforderlich. Gespeicherte Sicherheitsdaten brauchen einen klaren Zweck und eine begrenzte Aufbewahrungszeit.

Nach dem Spam-Schutz beginnt die Zustellprüfung. Das Formular sollte über einen kontrollierten Mailweg senden. Absenderdomain, SPF, DKIM und DMARC beeinflussen, ob eine Nachricht im Postfach oder Spamordner landet. Die E-Mail-Adresse des Interessenten gehört üblicherweise in das Antwortfeld und nicht als technisch gefälschter Absender.

Ein erfolgreicher Bildschirmhinweis beweist noch keinen Eingang. Vor dem Livegang werden eine gültige Anfrage, ein Honeypot-Treffer, fehlerhafte Pflichtfelder und eine Wiederholung praktisch getestet. Dabei wird kontrolliert, dass nur die gültige Anfrage genau eine E-Mail erzeugt.

1. Honeypot serverseitig auswerten.
2. Pflichtfelder, Auswahlwerte und Längen serverseitig validieren.
3. Eine angemessene Mindestzeit und Drosselung verwenden.
4. Datenschutzhinweis und Einwilligung verständlich anzeigen.
5. Absender und Antwortadresse korrekt trennen.
6. Gültige und ungültige Fälle bis zum tatsächlichen Postfach testen.
7. Protokolle, Aufbewahrung und Zuständigkeit dokumentieren.

Auf der lokalen SBDruck-Fassung setzt die Kontaktseite einen serverseitigen Honeypot und feste Auswahlwerte ein. Weitere technische Grundlagen erklären wir unter Webdesign & WordPress.