WordPress-Formulare absichern: Spam, Bots und DSGVO im Griff

Kaum jemand, der eine WordPress-Website betreibt, bleibt davon verschont: Das Kontaktformular, das wochenlang zuverlässig funktioniert, füllt sich plötzlich täglich mit sinnlosen Anfragen, Pharma-Werbung oder seltsamen Links. Automatisierte Bots scannen das gesamte Web nach ungeschützten Formularen und missbrauchen sie für Spam, für den Versand von Malware oder als Ausgangspunkt für weitere Angriffe. Das Problem ist weit verbreitet – und die Lösung ist mit den richtigen Werkzeugen deutlich weniger aufwendig als befürchtet.

Warum WordPress-Formulare ein bevorzugtes Angriffsziel sind

WordPress ist das meistgenutzte Content-Management-System weltweit. Das macht es für Angreifer besonders attraktiv: Wer eine automatisierte Attacke gegen WordPress-Formulare entwickelt, kann sie auf Millionen von Websites gleichzeitig anwenden. Kontaktformulare, Anmeldeformulare, Kommentarfelder und WooCommerce-Checkout-Seiten sind typische Angriffspunkte.

Die häufigsten Szenarien:

Spam-Submissions: Bots füllen Formulare mit werbe- oder malware-haltigen Texten aus, die dann in Ihrem Postfach landen oder – noch schlimmer – öffentlich auf der Website erscheinen.
E-Mail-Bombing über Formulare: Das Formular wird als Relais genutzt, um über Ihre eigene Domain Spam-E-Mails an Dritte zu versenden. Ihre IP-Reputation und Ihre Domain werden dadurch beschädigt.
Credential Stuffing: Bei Login-Formularen versuchen Bots mit gestohlenen Nutzerdaten-Kombinationen, Zugang zu Konten zu erlangen.
Scraping von Nutzerdaten: Formulare ohne CSRF-Schutz können als Datenleck dienen.

CAPTCHA-Lösungen: Was funktioniert wirklich?

Das erste, woran die meisten denken, ist ein CAPTCHA. Doch nicht alle CAPTCHAs sind gleich – weder in der Nutzererfahrung noch im Schutzniveau.

reCAPTCHA v2 (Google): Das bekannte „Ich bin kein Roboter”-Kästchen. Effektiv, aber mit erheblichen Datenschutzbedenken, da Google dabei Nutzerdaten sammelt. Aus DSGVO-Sicht problematisch, wenn keine explizite Einwilligung eingeholt wird.

reCAPTCHA v3 (Google): Läuft unsichtbar im Hintergrund und bewertet das Nutzerverhalten mit einem Score. Kein Klick für Nutzer nötig, aber ebenfalls datenschutzrechtlich heikel – und zunehmend von Bots umgehbar.

hCaptcha: Eine datenschutzfreundlichere Alternative zu Google reCAPTCHA, die auch Einnahmen für Website-Betreiber generieren kann. Nutzt ähnliche Bild-Erkennungs-Challenges wie reCAPTCHA v2.

Cloudflare Turnstile: Seit 2022 verfügbar und besonders empfehlenswert. Turnstile ist kostenlos, läuft größtenteils unsichtbar, setzt keine Cookies und ist explizit auf DSGVO-Konformität ausgelegt. Für neue WordPress-Projekte ist Turnstile derzeit die beste Wahl.

Die gängigen Formular-Plugins – WPForms, Gravity Forms, Contact Form 7, Fluent Forms – unterstützen allesamt mehrere CAPTCHA-Dienste direkt oder über Erweiterungen.

Honeypot-Felder: Unsichtbarer Schutz ohne Nutzungsreibung

Eine elegante und datenschutzfreundliche Methode, die viele Formular-Plugins inzwischen standardmäßig mitbringen: das Honeypot-Feld. Ein verstecktes Eingabefeld wird ins Formular eingefügt, das für menschliche Nutzer unsichtbar ist (per CSS ausgeblendet) und daher leer bleibt. Automatisierte Bots hingegen füllen alle Felder aus – einschließlich des Honeypots. Jede Submission, bei der das Honeypot-Feld ausgefüllt ist, wird automatisch verworfen.

Der Vorteil: kein Einfluss auf die Nutzerfreundlichkeit, keine externen Dienste, keine DSGVO-Relevanz. Der Nachteil: Hochentwickelte Bots erkennen Honeypots mittlerweile. Als alleinige Maßnahme reicht es oft nicht aus, aber kombiniert mit anderen Methoden ist es eine sinnvolle erste Verteidigungslinie.

Rate Limiting und IP-Blocking

Bei verdächtigen Mustern – etwa zehn Formular-Submissions in einer Minute von derselben IP-Adresse – sollte das System automatisch eine Sperre setzen. Einige Formular-Plugins bieten diese Funktion direkt an; alternativ lässt sie sich über eine Web Application Firewall (WAF) realisieren.

Empfehlenswerte Werkzeuge auf Server-Ebene:

Cloudflare (kostenlose Stufe): Bietet grundlegendes Rate Limiting und Bot-Erkennung, bevor Anfragen überhaupt Ihren Server erreichen.
Wordfence oder Solid Security: WordPress-Plugins mit integriertem Firewall- und Login-Schutz, die auch Form-Spam reduzieren können.
Fail2ban auf dem Server: Sperrt IP-Adressen nach wiederholten Fehlversuchen automatisch auf Betriebssystemebene.

DSGVO-konforme Formulare: Was technisch erforderlich ist

Formulare sind aus Datenschutzsicht besonders sensibel, weil sie explizit personenbezogene Daten verarbeiten. Folgendes ist für einen DSGVO-konformen Betrieb erforderlich:

Datenschutzerklärung verlinken: Jedes Formular, das personenbezogene Daten sammelt (Name, E-Mail, Telefon), muss auf die Datenschutzerklärung der Website hinweisen. Idealerweise als sichtbarer Hinweis direkt unter dem Formular oder als Pflicht-Checkbox mit Link.

Einwilligung für Drittdienste: Wenn Sie Google reCAPTCHA oder ähnliche Dienste einsetzen, die Daten an Dritte übertragen, ist eine Einwilligung der Nutzer erforderlich – oder Sie wechseln zu Diensten wie Cloudflare Turnstile, die keine Daten an Dritte weitergeben.

Speicherdauer für Formular-Submissions: Wenn Formular-Einsendungen in der WordPress-Datenbank gespeichert werden (was viele Plugins standardmäßig tun), müssen Sie eine Aufbewahrungsfrist definieren und abgelaufene Daten automatisch oder manuell löschen. Fluent Forms und WPForms bieten hierfür Einstellungen an.

Datenminimierung: Fragen Sie nur Daten ab, die Sie für den jeweiligen Zweck tatsächlich brauchen. Ein Kontaktformular braucht keine Geburtsdaten oder Telefonnummer, wenn Sie diese nicht aktiv nutzen.

SSL/TLS als Pflicht: Formulare sollten ausnahmslos nur über HTTPS aufgerufen werden. Ein selbst ausgestelltes Let’s-Encrypt-Zertifikat reicht aus und ist bei den meisten Hostern inzwischen mit einem Klick eingerichtet.

Das richtige Formular-Plugin wählen

Die Wahl des Formular-Plugins beeinflusst direkt, welche Sicherheitsfunktionen Ihnen zur Verfügung stehen.

WPForms: Intuitiv, weit verbreitet, gute CAPTCHA-Integration, Honeypot im Kern enthalten. Für einfache bis mittlere Anforderungen sehr empfehlenswert.

Gravity Forms: Leistungsstark und sehr flexibel, besonders für komplexe mehrstufige Formulare oder Formulare mit bedingter Logik. Kein kostenloser Tier, aber für professionelle Projekte eine Investition wert.

Fluent Forms: Modernes Plugin mit sehr gutem Datenschutz-Feature-Set, eigenem E-Mail-Log und CAPTCHA-Unterstützung. Die kostenlose Version deckt einen großen Teil der typischen Anforderungen ab.

Contact Form 7: Das älteste und meistgenutzte Plugin, aber von Haus aus mit wenig Sicherheitsfunktionen. Erfordert separate Erweiterungen für CAPTCHA und Honeypot. Für neue Projekte gibt es mittlerweile bessere Alternativen.

Spam trotz aller Maßnahmen: Was dann?

Wenn trotz CAPTCHA und Honeypot immer noch unerwünschte Submissions durchkommen, sind manuell gelöste CAPTCHAs im Einsatz – sogenannte CAPTCHA-Farmen. In diesem Fall helfen:

Anti-Spam-Services wie Akismet oder CleanTalk: Diese Dienste prüfen jede Submission gegen eine globale Datenbank bekannter Spam-Muster und lassen sich in die meisten Formular-Plugins integrieren.
Individuelle Validierungsregeln: Blockieren Sie Submissions, die bestimmte Keywords, Links oder Zeichenmuster enthalten, die typisch für Spam-Nachrichten sind.
Zeitbasierte Validierung: Menschliche Nutzer brauchen mindestens einige Sekunden zum Ausfüllen eines Formulars. Submissions, die in unter zwei Sekunden nach Laden der Seite eingehen, sind fast immer automatisiert.