Spam im Kontaktformular: was tun, Massnahme für Massnahme

Was kommt in einem Kontaktformular an?

Lesen Sie die letzten unerwünschten Nachrichten noch einmal und ordnen Sie sie in drei Gruppen.

• Nachrichten in Serie, von einem Programm geschrieben: Links, Werbung, Text ohne Bezug zu Ihrer Tätigkeit. Die Massnahmen unten zielen auf sie.
• Von Hand getippte Werbenachricht, aus einem echten Browser. Keine Bot-Prüfung unterscheidet sie von einer legitimen Nachricht; nur die Sortierung des Inhalts und Ihr Posteingang kümmern sich darum.
• Versuche, das Formular so umzulenken, dass es Post an andere Adressen als Ihre sendet: siehe Schritt 1.

Siehe: Glossar: Formular-Spam

Schritt 1: das Formular selbst prüfen

Das Formular darf nichts von dem, was es erhält, für bare Münze nehmen.

• Prüfen Sie jedes Feld auf dem Server: Vorhandensein, Typ, Länge. Die Prüfung in der Seite per JavaScript schützt vor nichts, ein Programm beachtet sie nicht.
• Legen Sie den Empfänger im Code fest. Übernehmen Sie nie eine Adresse, einen Betreff oder einen Header aus einem Feld, ohne ihn zu bereinigen: So wird ein Formular zum Mail-Relay.

Schritt 2: ein Fangfeld (Honeypot)

Ein Fangfeld ist ein Feld, das das Layout vor dem Besucher verbirgt. Eine Person lässt es leer; ein Programm, das alle Felder ausfüllt, füllt auch dieses aus, und die Übermittlung wird als automatisiert erkannt. Drei Vorsichtsmassnahmen verhindern, dass ein echter Besucher abgelehnt wird:

• verbergen Sie es über das Layout und markieren Sie es mit aria-hidden="true" und tabindex="-1", damit ein Screenreader es nicht vorliest und man es mit der Tastatur nicht erreicht;
• fügen Sie autocomplete="off" hinzu: Die Autovervollständigung des Browsers füllt manchmal Felder aus, die er zu erkennen glaubt;
• geben Sie ihm einen gewöhnlichen Namen, nicht «Falle» oder «Honeypot».

Seine Grenze: Es hält nur die Programme auf, die alle Felder ausfüllen.

Siehe: Glossar: Honeypot

Schritt 3: Anfragewellen bremsen

Ein Programm sendet schnell und mehrmals hintereinander. Zwei Grenzen, die Sie an Ihren eigenen Nachrichten einstellen:

• eine Mindestzeit zwischen der Anzeige der Seite und dem Absenden. Wählen Sie sie grosszügig: Ein Browser, der vorausfüllt, spart ebenfalls Zeit;
• eine Höchstzahl von Übermittlungen pro Quelle in einem Zeitraum. Hinter einer Adresse können viele Personen stecken, in einem Büro oder bei einem Mobilfunkanbieter: Antworten Sie «versuchen Sie es später erneut», statt zu sperren.

Schritt 4: den Inhalt mit Vorsicht filtern

Nachrichten mit einem Link abzulehnen ist verlockend, wenn Ihr Formular keine erwartet. Ein Filter auf Wörter ist aber fragil: Er lehnt manchmal eine echte Nachricht ab. Legen Sie zweifelhafte Übermittlungen beiseite, um sie erneut zu lesen, statt sie wegzuwerfen.

Schritt 5: eine Bot-Prüfung

Ein CAPTCHA verlangt vom Besucher den Beweis, ein Mensch zu sein: ein Kästchen ankreuzen, Bilder erkennen, ein Rätsel lösen. Eine unsichtbare Bot-Prüfung (man spricht manchmal von einem «unsichtbaren CAPTCHA») verlangt nichts und entscheidet anhand von Messwerten des Browsers. Das erste legt den Aufwand auf Ihre echten Besucher und wirft die Frage der Barrierefreiheit auf.

Siehe: Glossar: unsichtbares CAPTCHA · CAPTCHA und Barrierefreiheit: was die WCAG und das W3C sagen · Bot-Erkennung: Bots und Menschen unterscheiden

Wo Antisy in diesem Ablauf steht

Antisy gehört für Formulare zu dieser Familie. Ein Script-Tag in der Seite lädt das Script; beim Absenden legt es ein kurzes Token in das versteckte Feld antisy-token; Ihr Server schickt dieses Token mit seinem Secret an Antisy und liest die Antwort, allow oder deny. Es gibt nur diese zwei Ergebnisse, und die Antwort nennt nie den Grund. Bei deny lehnen Sie die Übermittlung ab, ohne den Grund zu nennen.

Antisy kommt zu den Schritten 1 bis 4 hinzu, es ersetzt sie nicht. Es unterscheidet keine von Hand getippte Werbenachricht, filtert keine E-Mails, liest nie den Inhalt der Felder, und es nennt keine Erkennungsrate. Für ein Kontaktformular ist der Aufruf der einfache Aufruf; die Anleitungen für PHP, Next.js und WordPress zeigen, wo jedes Teil eingebunden wird. Eine WordPress-Erweiterung gibt es nicht.

Siehe: Anwendungsfall: Kontaktformular vor Spam schützen · Anleitung: ein WordPress-Formular schützen · Anleitung: ein PHP-Formular schützen · Anleitung: ein Next.js-Formular schützen · Dokumentation: wenn das Script nicht läuft · Dokumentation: wenn die API nicht antwortet

Stand des Angebots

Der Zugang erfolgt über eine Warteliste. Die API und das Dashboard sind seit dem 27. Oktober 2026 in Betrieb, gehostet bei Infomaniak in Genf; noch ist kein Kunde in Produktion. Das Pilotprojekt hat am 9. November 2026 mit unseren eigenen Formularen begonnen.

Siehe: Das Pilotprojekt · Der Warteliste beitreten

Häufige Fragen