Warum ein ungeschütztes Kontaktformular Sie leise Anfragen kostet
Die meisten Inhaber kleiner Unternehmen behandeln Formular-Spam als Ärgernis, das man eben löscht. Die tatsächlichen Kosten sind unauffälliger und höher: Sobald Ihr Kontaktformular nicht mehr vertrauenswürdig ist, lesen Sie es nicht mehr richtig — und die Anfrage, auf die es ankam, landet mit dem Rest im Papierkorb.
Das Problem ist Aufmerksamkeit, nicht Menge
Ein Formular, das vier Spam-Einsendungen am Tag bekommt, ist kein technischer Notfall. Nichts ist kaputt, nichts gehackt, die Website läuft weiter. Genau deshalb bleibt es monatelang liegen.
Was sich ändert, ist die Art, wie Sie Ihr Postfach lesen. Wenn das meiste Müll ist, fangen Sie an zu überfliegen. Sie archivieren stapelweise. Sie schauen seltener nach, weil sich das Nachschauen nicht lohnt. Wenn dann eine echte Anfrage eintrifft, kommt sie über einen Kanal, dem Sie längst nicht mehr trauen — und der Fehler bleibt unsichtbar, denn niemand schreibt Ihnen, dass er Ihr Formular ausgefüllt und nie eine Antwort bekommen hat.
Das ist der Punkt, den man sich merken sollte: Die verlorene Anfrage sehen Sie nie. Es gibt kein Fehlerprotokoll dafür. Die Kosten zeigen sich als stille, unerklärte Lücke zwischen dem Traffic Ihrer Website und den Gesprächen, die Sie tatsächlich führen.
Wer diese Formulare eigentlich ausfüllt
Fast nichts davon zielt auf Sie. Automatisierte Skripte durchsuchen das Web nach jedem öffentlichen Formular und füllen alle aus, in großer Menge, weil jeder Versuch praktisch nichts kostet. Ihr Formular wird nicht angegriffen, es wird zusammen mit ein paar hunderttausend anderen abgegrast.
Das ist wichtig für die Lösung. Sie verteidigen sich nicht gegen jemanden, der gezielt auf Ihre Website will. Sie müssen nur etwas teurer auszufüllen sein als das nächste Formular auf der Liste — eine deutlich niedrigere Hürde, und der Grund, warum schon ein einfacher Schutz so gut wirkt.
- Massen-Spam. Linkbuilding- und SEO-Angebote, verschickt an jedes Formular, das ein Crawler findet.
- Adress-Sammeln. Einsendungen, die prüfen sollen, ob Ihre Antwortadresse echt ist und gelesen wird.
- Phishing. Nachrichten, die wie eine echte Anfrage aussehen, damit Sie einen Link anklicken oder einen Anhang öffnen.
- Ressourcen-Missbrauch. Wenn ein Formular eine E-Mail, eine SMS oder einen API-Aufruf auslöst, kostet Sie jede Einsendung Geld.
Die drei unterschätzten Kosten
- 01
Eine echte Anfrage löschen. Das teuerste Ergebnis und das einzige, von dem Sie nie erfahren. Niemand meldet sich, um zu sagen, dass seine Nachricht ignoriert wurde — er wendet sich an einen Wettbewerber.
- 02
Schaden an der E-Mail-Zustellbarkeit. Wenn Ihr Formular automatisch antwortet oder an einen Verteiler weiterleitet, verschickt Ihre Domain bei einer Spam-Welle einen Schwall Mails an Adressen, die nie danach gefragt haben. Passiert das oft genug, leidet die Zustellung Ihrer echten E-Mails.
- 03
Das Vertrauen des Teams in den Kanal. Sobald jemand entscheidet, dass das Kontaktformular wertlos ist, schaut er nicht mehr hinein. Das Formular sammelt weiter echte Anfragen auf Ihrer Website; es liest sie nur niemand mehr.
Was eine Schutzschicht tatsächlich leistet
Eine Bot-Prüfung wie Cloudflare Turnstile, Google reCAPTCHA oder hCaptcha lässt den Browser nachweisen, dass er ein echter Browser ist, den ein echter Mensch benutzt. Moderne Varianten sind meist unsichtbar — die meisten echten Besucher sehen nie ein Rätsel und merken nichts.
Es ist ein Filter, keine Mauer. Ein entschlossener Mensch kann Ihr Formular trotzdem ausfüllen und Ihnen Unsinn schicken, und dagegen hilft keine Prüfung. Was sie stoppt, ist der automatisierte Massenverkehr, der fast das gesamte Problem ausmacht — und genau der schadet Ihrem Postfach.
Zwei ehrliche Einschränkungen, weil sie ändern, was Sie erwarten sollten. Erstens lässt sich eine Prüfung, die nur im Browser läuft, von einem Skript umgehen, das direkt an den Endpunkt Ihres Formulars sendet; deshalb muss die Prüfung auch dort stattfinden, wo das Formular verarbeitet wird. Auf gehosteten Plattformen ist das bereits erledigt. Zweitens bereinigt eine Prüfung keine Adresse, die schon gesammelt wurde — rechnen Sie damit, dass bestehender Spam über Wochen abnimmt und nicht über Nacht aufhört.
Wahrscheinlich haben Sie das schon — nur nicht eingeschaltet
Das überrascht viele, und es ist der Grund, warum dieser Artikel nicht mit einem Verkaufsgespräch endet. Squarespace, Wix, Webflow, Shopify und HubSpot enthalten Spam-Schutz für Formulare ohne Aufpreis in Tarifen, die Sie vermutlich bereits bezahlen. Meist ist es ein einziger Schalter in den Formulareinstellungen, den nie jemand umgelegt hat, weil die Oberfläche nirgends anzeigt, dass er aus ist.
WordPress ist die übliche Ausnahme, weil es ganz davon abhängt, wie Ihr Formular gebaut wurde — aber auch dort decken kostenlose Plugins fast jeden Fall ab.
Die echte Arbeit ist enger umrissen, als die Branche gern zugibt: selbst gebaute HTML-Formulare, eigene Backends und Fälle, in denen der Schutz serverseitig geprüft und nicht nur angezeigt werden muss. Wenn das auf Sie zutrifft, lohnt es sich, das ordentlich zu machen. Wenn nicht, sind Sie zehn Minuten von der Lösung entfernt.
So finden Sie heraus, wo Sie stehen
Auf der eigenen Website erkennen Sie es nicht immer. Unsichtbare Prüfungen sind absichtlich unsichtbar — dass kein Rätsel erscheint, sagt nichts aus.
Unser kostenloser Kontaktformular-Check liest Ihre öffentlichen Seiten, listet die gefundenen Formulare auf und meldet, ob eine bekannte Bot-Prüfung vorhanden ist. Er sendet Ihr Formular nie ab und speichert nie, was Ihre Besucher schreiben. Findet er nichts, ist das ein Anfang für ein Gespräch und kein Urteil: Manche Schutzmaßnahmen sind von außen schlicht nicht sichtbar.
Häufige Fragen
Ist Kontaktformular-Spam wirklich gefährlich oder nur lästig?
Meist ist es ein Aufmerksamkeitsproblem, kein Sicherheitsproblem — die Gefahr ist, dass Sie einen Kanal nicht mehr lesen, den echte Kunden nutzen. Darüber hinaus gibt es zwei echte Risiken: Phishing, das sich als Anfrage tarnt, und Schaden an der Zustellbarkeit, wenn Ihr Formular automatisch antwortet oder an einen Verteiler weiterleitet.
Senkt ein CAPTCHA die Zahl echter Anfragen?
Moderne unsichtbare Prüfungen wie Cloudflare Turnstile werden den meisten echten Besuchern gar nicht angezeigt, der Effekt auf echte Einsendungen ist also sehr gering. Ältere Rätsel nach dem Muster „alle Ampeln anklicken“ erzeugen dagegen Reibung — wenn Sie so eines nutzen, ist der Wechsel zu einer unsichtbaren Prüfung meist der bessere Schritt.
Muss ich dafür etwas bezahlen?
In der Regel nicht. Squarespace, Wix, Webflow, Shopify und HubSpot enthalten Formularschutz in Tarifen, die Sie schon haben, und für WordPress gibt es kostenlose Plugins. Cloudflare Turnstile ist auch für selbst gebaute Formulare kostenlos. Kosten entstehen meist erst, wenn jemand den Schutz für Sie einbauen und prüfen muss.
Ich bekomme schon Spam. Hört er sofort auf, wenn ich den Schutz einschalte?
Nicht sofort. Eine Prüfung blockiert neue automatisierte Einsendungen, aber Ihre Adresse steht vielleicht schon auf Listen, die noch eine Weile abgearbeitet werden. Rechnen Sie mit einem deutlichen Rückgang innerhalb weniger Tage und einem Rest, der über einige Wochen ausläuft.
Können Spam-Bots ein CAPTCHA umgehen?
Manche schon, vor allem wenn die Prüfung nur im Browser läuft und dort, wo das Formular verarbeitet wird, nichts kontrolliert wird. Deshalb ist die serverseitige Prüfung wichtig. Gegen den Massen-Spam, der fast den gesamten realen Formularmissbrauch ausmacht, ist eine richtig eingerichtete Prüfung sehr wirksam.
Unsicher, wo Sie stehen?
Dreißig Minuten, Ihre Website, eine klare Antwort
Bringen Sie Ihre Website und Ihre Zugangsdaten mit. Wir prüfen, ob Ihre Formulare geschützt sind, schalten ein, was fehlt, und testen es gemeinsam. Wenn Ihre Plattform den Schutz schon kostenlos enthält, zeige ich Ihnen den Schalter, und wir nutzen die restliche Zeit für etwas Sinnvolleres.
Kostenloses 30-Minuten-Gespräch buchen