Schutz von Webformularen vor Form Spam und List Bombing.

Frank
4. Mai 2025

Eine Website ohne Webformular? Kaum denkbar. Ob Kontaktformulare, Newsletter-Anmeldungen oder Bestellformulare – sie erleichtern die Kommunikation mit Besuchern enorm. Leider ziehen genau diese Formulare auch Scammer und Spammer an. Und gefährden deine E-Mail-Zustellbarkeit. Damit es nicht soweit kommt, ist ein Mindestmaß an Schutz unverzichtbar.

Was ist Form Spam?

Form Spam bedeutet, dass jemand – oft ein Bot – Webformulare missbraucht, um massenhaft unerwünschte Inhalte zu verschicken. Diese Inhalte können aus harmlosen, aber nervigen Werbenachrichten bestehen, manchmal enthalten sie aber auch gefährliche Links, Malware oder Phishing-Versuche.

Was ist List Bombing?

Beim List Bombing geht es darum, das Postfach einer Person mit unzähligen Bestätigungsmails zu überfluten. Dazu befallen Bots ein oder mehrere Webformulare und führen Newsletter- und Online-Anmeldungen durch, ohne dass die betroffene Person zugestimmt hat.

Inwiefern ist das ein Problem für die Zustellbarkeit?

Form Spam und List Bombing sind dann ein Problem, wenn dein Server davon ausgelöst unerwünschte E-Mails versendet. Denn bei einem massiven Befall sind Spambeschwerden und Blocklistings sehr wahrscheinlich.

Ein weiteres Problem: Landen ungültige Kontakte (z. B. Spamtraps) in deine Listen, leidet deine Datenhygiene. Die Folge: Schwaches Email Engagement, unsaubere Analytics und auch hier Spam Complaints.

Die Absicherung deiner Webformulare lohnt sich folglich in mehrfacher Hinsicht.

Wann ist das Risiko am größten?

Besonders wachsam solltest du sein, wenn dein Webformular eine E-Mail an die übergebene E-Mail-Adresse versendet. (Oder gar eine ganze E-Mail-Serie auslöst.)
Bei einem Newsletter-Anmeldeformular betrifft das die Opt-in-Mail. Bei einem Kontaktformular die eventuell angestoßene Bestätigungsmail.

Wenn dann noch die Formulareingaben aus Freitextfeldern 1:1 in der Bestätigungsmail ausgegeben werden, ist die Spamschleuder perfekt.

Typische Anzeichen für Bot-Anmeldungen und Form Spam

Bevor du Maßnahmen ergreifst, prüfe ruhig mal nach, ob du tatsächlich betroffen bist. Typische Anzeichen für Form Spam sind:

plötzliche Zunahme der Anzahl an Formulareinsendungen
Nachrichten mit unzusammenhängendem Text, vielen Links oder verdächtigen Anhängen
Einsendungen zu ungewöhnlichen Zeiten, z. B. nachts um 3 Uhr
immer wiederkehrende Inhalte oder gleiche Absenderadressen

Bot-Registrierungen weisen ähnliche Muster auf:

Einsendungen zu ungewöhnlichen Zeiten, z. B. nachts um 3 Uhr
Nutzung kryptischer Kontaktdaten
Zunahme der Bounce Rate (unzustellbare Opt-in-Mails)

Wenn dir diese Muster auffallen, ist es höchste Zeit zu handeln.

So schützt du deine Formulare vor Spam

Zum Glück gibt es viele erprobte Methoden, um Webformulare sicherer zu machen. Hier kommen die wichtigsten:

1. Double-Opt-in

Für Newsletter-Registrierungen setze unbedingt auf das Double-Opt-in-Verfahren. Es bietet zwar keinen 100%igen Schutz, aber eine solide Basis.

2. WAF (Web Application Firewall)

Richte eine Firewall ein. Diese hält dir Bots recht zuverlässig vom Leibe. Sodass diese gar nicht auf deine Website gelangen.

3. Honeypot-Felder

Honeypot-Felder sind unsichtbare Formularfelder, die für Bots sichtbar sind, aber für Menschen nicht. Ein Bot füllt diese Felder aus – und damit entlarvt er sich sofort. Die Einsendung kann dann automatisch blockiert werden. Diese Methode ist nutzerfreundlich, weil sie für Besucher unsichtbar bleibt.

4. CAPTCHA

Ein CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) ist der Klassiker unter den Spamschutz-Maßnahmen. Dabei musst du z. B. Bilder anklicken, Buchstabenfolgen eingeben oder eine einfache Rechenaufgabe lösen. Besonders beliebt ist jene Variante, bei der der User nur einen Haken „Ich bin kein Roboter“ setzen muss.

Achtung: Nutzerfreundliche CAPTCHAs sind meistens relativ einfach zu umgehen. Verlass dich deshalb nie auf dieses eine Verfahren.

5. Zeitbasierte Prüfungen

Bots füllen Formulare blitzschnell aus. Mit einer Zeitprüfung kannst du prüfen, wie lange zwischen dem Laden des Formulars und der Absendung vergeht. Wenn ein Formular z. B. in unter drei Sekunden abgeschickt wird, ist das verdächtig. Solche Einsendungen kannst du einfach blockieren.

6. Limitierungen

Begrenze die Anzahl an Einsendungen pro IP-Adresse in einem bestimmten Zeitraum. So kannst du vermeiden, dass jemand Hunderte Formulare innerhalb weniger Minuten abschickt.

7. Validierung der Formularfelder

Eine gute Validierung prüft die Eingaben in Echtzeit. E-Mail-Felder sollten z. B. nur gültige Adressen annehmen, Textfelder dürfen keine schädlichen Skripte oder URLs enthalten.

Monitoring

Behalte fortlaufend im Auge, was mit deinen Webformularen passiert. Oft werden sie längst befallen und du bekommst davon lediglich nichts mit. Es ist immer besser, Präventivmaßnahmen zu ergreifen als einen Totalbefall zu riskieren.

Diese technischen Maßnahmen sind sinnvoll:

IP-Blocking: Bekannte Spam-IP-Adressen sperren.
Blacklist-Prüfung: Absender gegen bekannte Spamlisten abgleichen.
Logs regelmäßig prüfen: So erkennst du neue Angriffsmuster frühzeitig.
Formular-Plugins aktuell halten: Veraltete Plugins enthalten oft Sicherheitslücken.

Autor: Frank Rix

Form Spam und List Bombing sind eine Gefahr für deine E-Mail-Zustellbarkeit. Gehe besser kein Risiko ein und investiere Zeit und Geld in die Absicherung deiner Formulare. Auch wenn du bislang glimpflich davongekommen bist. Soliden Schutz bietet eine professionelle Web Application Firewall.