Über FormExposedBot

Stand: 16. Oktober 2026

User-Agent: FormExposedBot/1.0 (+https://formexposed.com/bot)
Kennung in der robots.txt: FormExposedBot

Was FormExposedBot ist

FormExposedBot ist der Crawler von formexposed. formexposed prüft, ob Kontaktformulare gegen automatischen Spam geschützt sind und zuverlässig funktionieren. Haben Sie diesen User-Agent in Ihren Server-Protokollen gefunden, hat jemand eine Prüfung Ihrer Website ausgelöst:

• ein Besucher von formexposed, der Ihre Domain in den kostenlosen Check eingegeben hat – ohne Konto, rein lesend;
• ein Kunde, der Ihre Domain in seinem Konto führt und angibt, die Website zu betreiben oder zu betreuen, oder jemand, der unser Plugin in Ihrer Website installiert hat;
• eine Agentur, die Ihre Website als möglichen Kunden rein lesend prüfen lässt;
• wir selbst für eine Studie, aus der wir nur zusammengefasste Zahlen ohne Namen von Websites veröffentlichen;
• jemand, der Ihre Startseite in unseren kostenlosen Header-Check eingegeben hat (nur Kopfzeilen, ohne Browser).

Welche dieser Arten eine Prüfung war, sagen wir Ihnen auf Anfrage; wer sie ausgelöst hat, nur soweit das Datenschutzrecht es erlaubt. Wir handeln dabei auf Veranlassung dieser Person; bei Domains, für die ein Kunde seine Verfügungsbefugnis nachgewiesen hat, in dessen Auftrag.

Was bei einer Prüfung passiert

• Vor der Prüfung liest der Bot Ihre robots.txt (siehe unten).
• Er lädt Ihre Startseite und bis zu sieben weitere Seiten desselben Hosts (mit oder ohne www., keine anderen Subdomains), insgesamt höchstens acht. Seiten mit Wörtern wie Kontakt, Impressum oder Support kommen zuerst. Anmelde-, Konto-, Warenkorb- und Kassenseiten, Feeds, PDFs und Bilder lässt er aus.
• Er verwendet einen echten Browser ohne Bildschirm mit eingeschaltetem JavaScript und lädt die Seiten nacheinander, nicht parallel. Eine Seite darf höchstens 20 Sekunden brauchen; nach etwa drei Minuten bricht die Prüfung ab.
• Er liest die Formulare: Feldnamen und -typen, Beschriftungen, Pflichtfelder, eingebundene CAPTCHAs, versteckte Fallen, Token und Kopfzeilen. Bei dieser lesenden Prüfung macht er keine Eingaben.
• Für höchstens drei Seiten mit Formular lädt er die Seite ein zweites Mal und klickt im Cookie-Banner auf „Ablehnen“ – nie auf „Akzeptieren“. So sehen wir, ob das Formular nach einer Ablehnung noch funktioniert.
• Für höchstens drei Seiten mit Formular lädt er die Seite in einer Telefon-Ansicht, ohne Klick. Der User-Agent bleibt dabei derselbe; wir geben uns nicht als Smartphone aus.
• Den Typ eines Formulars bestimmt er mit Regeln und, wo sie nicht reichen, mit einem Sprachmodell, das auf unserem eigenen Server läuft. Dabei verlässt nichts unsere Server.

Ohne Nachweis der Verfügungsbefugnis über die Domain (unten) ruft FormExposedBot nur Seiten ab, die ohne Anmeldung öffentlich erreichbar sind, und schickt nichts ab. Er überwindet keine Zugangssicherung, errät keine Zugangsdaten und löst keine CAPTCHAs. Was darüber hinausgeht – Test-Einsendungen, die Suche nach offen liegenden Dateien und die Prüfung hinter einer Anmeldung mit einem Testkonto –, geschieht nur für Domains mit diesem Nachweis oder für eigene Test- und Demodomains von formexposed.

Über den kostenlosen Check auf unserer Website prüfen wir dieselbe Domain höchstens einmal in sieben Tagen; wer sie erneut eingibt, sieht den vorhandenen Report. Kunden lassen die Domains in ihrem Konto von Hand prüfen, mit Wartezeit; Domains mit nachgewiesener Verfügungsbefugnis außerdem regelmäßig in der Häufigkeit ihres Tarifs, vollständig höchstens einmal täglich. Die leichten Abrufe ohne Browser (unten) kommen häufiger.

Test-Einsendungen nur bei verifizierten Domains

Abgeschickt wird bei Kunden nur, wenn ein Kunde nachgewiesen hat, dass er über die Domain verfügen darf (DNS-Eintrag, Meta-Tag, Datei oder Plugin); ohne diesen Nachweis prüfen wir aktiv nur eigene Test- und Demodomains. Auch dann gilt:

• nur ein Formular je Prüfung, das sicher als allgemeines Kontaktformular erkannt wurde; das Sprachmodell kann ein Formular nie zum Absenden freigeben;
• höchstens fünf Einsendungen je Prüfung, etwa ohne CAPTCHA-Antwort, mit ausgefülltem Fallenfeld oder mit verändertem Token;
• nie Bestell-, Buchungs-, Anmelde-, Registrierungs-, Newsletter-, Support-, Zahlungs- oder Upload-Formulare, nie Formulare mit Pflichtfeldern für Telefon, Anschrift oder Firmendaten, nie Websites, die wir an Domain oder Seitentitel als Behörde, Gericht, Hochschule, Schule oder Gesundheitseinrichtung erkennen.

Formulartyp und Art der Website erkennt der Bot an Merkmalen der Seite; diese Erkennung kann im Einzelfall irren. Die Liste beschreibt, wie der Bot gebaut ist, und ist keine Zusicherung. Wollen Sie keine Test-Einsendungen, schließen Sie die Domain aus (unten): Dann beginnt keine Prüfung mehr, in der etwas abgeschickt werden könnte.

Jede Einsendung ist gekennzeichnet. Absendername „FormExposed Security Scanner“, Absenderadresse dummy@formexposed.com, Betreff „[formexposed.com] Automatischer Sicherheitstest — keine Aktion nötig“. Der Text lautet in der Sprache Ihrer Seite (Deutsch, Englisch oder Polnisch), auf Deutsch:

Diese Nachricht wurde von einem automatischen Testdienst gesendet, um zu prüfen, ob dieses Formular E-Mails ohne Bot-Schutz versendet. Es wurden keine Daten gespeichert und es ist keine Aktion nötig.
Details: https://formexposed.com/bot
Diese Domain dauerhaft ausschließen: https://formexposed.com/opt-out
Scan-ID: …

Der Satz „Es wurden keine Daten gespeichert“ ist zu weit gefasst. Richtig ist: Von Ihren Besuchern und aus Ihrem Postfach speichern wir dabei nichts. Zur Auswertung des Tests speichern wir aber die Antwort Ihres Servers auf die Einsendung, nämlich den Statuscode, die ersten 300 Zeichen der Antwortseite und ein Bildschirmfoto von ihr (siehe „Was gespeichert wird“).

Sonstige Pflichtfelder füllt der Bot mit „FormExposed security test“. Häkchen, ohne die sich das Formular nicht abschicken lässt, etwa für eine Einwilligung, setzt er. Die Kennzeichnung zeigt, dass dahinter keine Person und keine Erklärung einer Person steht.

Die Prüfung auf Header-Injection fügt nur eine harmlose Kopfzeile X-FormExposed-Injection-Test ein, nie einen Empfänger. Die Prüfung der Adressvalidierung verwendet eine Adresse unter .invalid, die es nicht geben kann.

Weitere Abrufe für Kunden

Für verifizierte Domains in einem Kundenkonto kommen auf Wunsch des Kunden hinzu:

• Browserwege: Ein Browser (Chromium oder WebKit) öffnet eine vom Kunden gewählte Formularseite in Telefon-Größe und prüft, ob das Formular erscheint und bis zum Absendeknopf bedienbar ist; Pflichtfelder füllt er dazu mit Testwerten, die den Browser nicht verlassen. Er sendet nur GET- und HEAD-Anfragen; Absenden ist technisch blockiert.
• Scan hinter dem Login: nur mit einem Testkonto, das der Betreiber der Website selbst angelegt hat, höchstens fünf Seiten, ohne Absenden, ohne Bildschirmfotos, nie Abmelde-, Lösch- oder Kündigungsadressen. Trägt die Anmeldung ein CAPTCHA, bricht der Bot ab.
• Leichte Abrufe ohne Browser: Formular-Puls (bis zu drei Formularseiten, je nach Tarif alle 10, 15 oder 30 Minuten), Kontrolle des Nachweises, Kopfzeilen-Check und Suche nach offen liegenden Dateien. Sie verwenden denselben User-Agent mit einem Zusatz wie pulse, ownership-verification, headers oder exposed-files.

Die Kopfzeilen Ihrer Startseite kann außerdem jeder mit unserem kostenlosen Header-Check abrufen lassen: je eine Anfrage über https und http an Ihre Startseite, dazu gegebenenfalls Weiterleitungen innerhalb Ihrer Domain, ohne Browser und ohne Formular.

Was gespeichert wird

Nur, was den Befund beschreibt: Adressen und Titel der geprüften Seiten, Aufbau der Formulare (Feldnamen, -typen, Beschriftungen und Ähnliches, keine Feldwerte; die Anfänge vorbelegter versteckter Felder bis 24 Zeichen und von data--Attributen bis 60 Zeichen liest der Bot nur während der Prüfung und speichert sie nicht), erkannte Schutzmaßnahmen, Kopfzeilen, die Hosts eingebundener Dienste, Prüfsummen der Skripte (nicht deren Inhalt; bei eingebetteten Skripten zusätzlich die ersten 80 Zeichen, in denen Kennungen unkenntlich gemacht sind), die Namen gesetzter Cookies, Bildschirmfotos des sichtbaren Bereichs der Startseite und der Formulare sowie nach einer Test-Einsendung der Antwortseite; von dieser Antwort außerdem den Statuscode und die ersten 300 Zeichen. Diese Bildschirmfotos der Prüfung werden nicht geschwärzt; sie zeigen, was auf der öffentlichen Seite zu sehen ist. Nur bei Browserwegen entsteht ein kleines Bild des Formulars mit abgedeckten Eingabefeldern. Steht in einem Formular eine Empfängeradresse, speichern wir nur ihre Domain.

Woher die Anfragen kommen

FormExposedBot läuft auf unseren eigenen Servern in Polen. Die IP-Adressen veröffentlichen wir nicht, weil sie sich ändern können. Wollen Sie wissen, ob eine Anfrage wirklich von uns kam, schreiben Sie uns mit Zeitpunkt und IP-Adresse aus Ihrem Protokoll; wir sagen Ihnen, ob sie von uns stammt. Für die Gegenprüfung vor einem Ausfall-Alarm kann ein zweiter Standort bei einem anderen Anbieter hinzukommen; auch er verwendet den User-Agent von FormExposedBot.

So schließen Sie Ihre Domain aus

robots.txt:

User-agent: FormExposedBot
Disallow: /

Der Bot sucht in Ihrer robots.txt zuerst eine Gruppe für FormExposedBot, sonst die für alle (*). Erfasst ein Disallow die Startseite, findet keine Prüfung statt. Antwortet Ihr Server auf die robots.txt mit einem Serverfehler oder gar nicht, prüfen wir vorsichtshalber ebenfalls nicht; fehlt die Datei (404), gilt die Website als freigegeben. Einzelne gesperrte Unterverzeichnisse werten wir derzeit nicht gesondert aus – wer gar nicht geprüft werden möchte, sperrt die Startseite. Die leichten Abrufe ohne Browser und der Header-Check lesen die robots.txt nicht.

Opt-out: Auf der Seite Domain ausschließen tragen Sie Ihre Domain ein. Das gilt für die Domain und ihre www.-Variante, nicht für andere Subdomains. Es wirkt für jede Prüfung, die nach dem Eintrag beginnt, und dauerhaft, auch gegenüber zahlenden Kunden mit verifizierter Domain, und umfasst auch den Header-Check. Eine laufende Überwachung im Kundenkonto endet mit der nächsten fälligen Prüfung; bis dahin können leichte Abrufe wie der Formular-Puls noch kommen. Sollen auch sie früher enden, schreiben Sie uns.

Datenschutz

Verantwortlich ist LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, contact@lukaswojcik.com. Prüft ein Kunde seine eigene Domain, handeln wir in seinem Auftrag.

• Daten und Quelle: Personenbezogene Daten erfassen wir nur, soweit sie auf den geprüften Seiten Ihrer Website stehen und in einer Seitenadresse, einem Seitentitel, einer Formularbeschriftung oder einem Bildschirmfoto sichtbar werden, etwa ein Name im Impressum oder neben dem Formular. Quelle ist Ihre Website. Wir suchen nicht nach solchen Daten.
• Zweck und Rechtsgrundlage: Sicherheitsprüfung von Formularen, beim kostenlosen Check, bei der Interessenten-Prüfung und bei der Studie auf Grundlage unseres berechtigten Interesses und des Interesses unserer Nutzer (Art. 6 Abs. 1 lit. f DSGVO).
• Empfänger: wer den Report ausgelöst hat oder den Link dazu besitzt – der Link öffnet den Report ohne Anmeldung –; bei Domains im Kundenkonto außerdem die Alarmziele, die der Kunde gewählt hat; aus der Studie nur Summen. Ein externer KI-Dienst ist nicht beteiligt.
• Speicherdauer: Report ohne Konto 30 Tage, Interessenten-Prüfung 90 Tage, Prüfungen im Kundenkonto bis zu 13 Monate, das jeweils letzte Ergebnis einer Domain, solange die Domain besteht, Studie bis zur Veröffentlichung.
• Ihre Rechte: Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch nach Art. 21 DSGVO – am schnellsten über das Opt-out – sowie Beschwerde bei einer Aufsichtsbehörde, für uns beim Prezes Urzędu Ochrony Danych Osobowych in Warschau.

Alles Weitere steht in der Datenschutzerklärung. Wie wir mit Missbrauch umgehen, steht unter Zulässige Nutzung und Missbrauch.

Kontakt

Fragen oder Beschwerden: contact@lukaswojcik.com oder über die Kontaktseite. Bitte nennen Sie Ihre Domain und, falls vorhanden, die Scan-ID oder den Report-Link. Sicherheitslücken in formexposed selbst melden Sie bitte über die Meldestelle.