Spam über das Kontaktformular: warum er mehr als lästig ist

Fast jede Website mit Kontaktformular kennt das Muster: Wenige Tage nach dem Start kommen die ersten Nachrichten, die niemand wirklich geschrieben hat. Angebote für SEO-Dienste, Links zu fragwürdigen Shops, Texte in Sprachen, die auf der Seite nie vorkamen. Die meisten löschen sie einfach – und unterschätzen damit das Problem. Formularspam ist nicht nur Lärm im Postfach – er kann Ihre eigene Website zu einem Werkzeug machen, das gegen Sie arbeitet.

Wer Formularspam verschickt

• Crawler-Bots. Automatisierte Programme durchsuchen das Netz nach allem, was nach Formular aussieht – Eingabefeld, Textbereich, Absende-Button – und füllen es aus. Sie finden Sie schlicht, weil Ihr Formular existiert.
• Billige Skripte und fertige Tools. Software für massenhafte Formular-Einsendungen ist leicht zu bekommen. Eine einzelne Person kann damit Tausende Nachrichten am Tag verschicken, ohne eine Zeile Code zu schreiben.
• SEO-Linkspam. Viele Nachrichten sollen nur irgendwo einen Link unterbringen – in Ihrem Postfach, in einem Kommentarbereich oder auf einer Seite, die Einsendungen veröffentlicht. Die Hoffnung: Der Link wird irgendwo indexiert oder jemand klickt darauf.
• Phishing und Schadsoftware. Manche Nachrichten imitieren Rechnungen, Beschwerden, Urheberrechtshinweise oder Warnungen wie „Mit Ihrer Website stimmt etwas nicht“ – mit Link zu einer gefälschten Login-Seite oder zu einer Datei. Weil sie über Ihr eigenes Formular kommen, wirken sie oft vertrauenswürdiger als gewöhnliche E-Mails.

Wenn Ihr Formular den Spam verschickt

Viele Formulare schicken eine automatische Bestätigung an die eingegebene Adresse: „Danke für Ihre Nachricht, hier eine Kopie Ihres Textes.“ Für echte Besucher ist das freundlich, für Spammer eine Gelegenheit. Der Bot trägt eine fremde Adresse ins E-Mail-Feld ein und schreibt seine Werbung oder seinen Phishing-Link in die Nachricht. Ihr Server verschickt diesen Text dann pflichtbewusst – unter Ihrem Domainnamen – an jemanden, der Ihre Seite nie besucht hat.

Mailanbieter beurteilen eingehende Mails unter anderem nach der Reputation der absendenden Domain und des Servers. Spam-Beschwerden, Treffer in Spamfallen und plötzliche Mengenspitzen zählen gegen Sie. Das Unangenehme: SPF, DKIM und DMARC helfen hier nicht. Diese Verfahren bestätigen, dass eine Nachricht wirklich von Ihrer Domain stammt – und das tut sie in diesem Fall ja. Authentifizierung belegt die Herkunft, nicht, dass der Inhalt erwünscht ist. Sinkt die Reputation, trifft es auch Ihre normale Geschäftspost: Angebote, Rechnungen und Antworten an Kunden landen im Spamordner, und die Erholung kann lange dauern.

Ein verwandter Fehler schadet auch ganz ohne Spam. Manche Formular-Setups verschicken die Benachrichtigung mit der Adresse des Besuchers als Absender („From“). Ihr Server darf aber nicht für die Domain dieses Besuchers senden, SPF und DKIM passen also nicht zur From-Adresse. Veröffentlicht diese Domain eine strenge DMARC-Richtlinie, wird die Nachricht abgewiesen oder als Spam einsortiert – echte Anfragen eingeschlossen. Sauberer ist: Absender ist eine Adresse Ihrer eigenen Domain, die Adresse des Besuchers steht im Reply-To.

Und der alltägliche Schaden

• Verlorene Zeit. Jemand muss lesen, sortieren, löschen. Ein paar Minuten am Tag summieren sich übers Jahr zu ganzen Arbeitstagen.
• Echte Anfragen gehen unter. Besteht das Postfach überwiegend aus Müll, wird nur noch überflogen – oder es werden scharfe Filter gesetzt. Die eine echte Angebotsanfrage wird mit dem Rest gelöscht oder eine Woche zu spät beantwortet.
• Phishing erreicht Ihr Team. Ein Link, der über das eigene Kontaktformular kommt, wird leichter angeklickt als einer in einer beliebigen E-Mail. Ein einziges Passwort, eingegeben auf einer gefälschten Login-Seite, kann mehr kosten als der gesamte Spam zusammen.
• Verschmutzte Daten. Fließen Einsendungen in ein CRM, eine Newsletter-Liste oder ein Ticketsystem, verfälschen Fake-Einträge die Daten und lösen womöglich weitere automatische Mails aus.

Was „geschützt“ in der Praxis heißt

Es gibt keinen einzelnen Schalter. Gut geschützt ist ein Formular, wenn mehrere Schichten jeweils einen Teil des Problems abfangen – dann öffnet eine ausfallende Schicht nicht gleich die ganze Tür.

Wo Ihre Formulare stehen, sehen Sie, ohne sie anzufassen. Ein kostenloser Check auf formexposed.com besucht Ihre öffentlichen Seiten passiv – es wird nichts abgeschickt – und zeigt für jedes Formular, ob CAPTCHA, Honeypot, CSRF-Token und Zeitfalle vorhanden sind und wirksam konfiguriert aussehen. Zusätzlich prüft der Scanner DSGVO- und Barrierefreiheitspunkte; deren Details enthält der vollständige Bericht. Das Ergebnis ist eine von drei Stufen: „geschützt“, „teilweise geschützt“ oder „ungeschützt“. Ein guter Ausgangspunkt, um zu entscheiden, welche Schicht fehlt.