Zulässige Nutzung und Missbrauch

Dieses Dokument wird in mehreren Sprachen veröffentlicht. Bei Abweichungen zwischen den Sprachfassungen ist die polnische Fassung verbindlich.

Fassung 1.0 · Stand: 16. Oktober 2026

formexposed sieht sich fremde Websites an und schickt auf verifizierten Domains Test-Einsendungen an Kontaktformulare. Ein solches Werkzeug lässt sich auch gegen andere wenden. Diese Seite sagt, wofür formexposed da ist, was verboten ist, wie wir Missbrauch technisch begrenzen und was passiert, wenn jemand die Regeln bricht. Sie gilt für alle, die formexposed nutzen: für Kunden mit Konto ebenso wie für Besucher, die den kostenlosen Check ohne Konto verwenden.

Anbieter ist LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen. Für Kunden ist diese Seite Teil des Vertrags: Die Allgemeinen Geschäftsbedingungen zählen sie zu den Vertragsdokumenten. Für den kostenlosen Check und die anderen frei zugänglichen Werkzeuge gilt sie als Teil der Regeln, die die AGB für diese Werkzeuge aufstellen. Widerspricht diese Seite den AGB, gehen die AGB vor. Beispiele („etwa“, „zum Beispiel“) erläutern eine Regel; sie erweitern sie nicht und schränken sie nicht ein.

1. Wofür formexposed da ist

formexposed prüft, ob ein Kontaktformular gegen automatischen Spam geschützt ist, ob es zuverlässig funktioniert und ob es Daten sorgfältig behandelt. Erlaubt ist insbesondere:

die eigene Website oder die Website eines Auftraggebers zu prüfen, zu überwachen und die Ergebnisse zu nutzen, um sie abzusichern;
mit dem kostenlosen Check ohne Konto einen ersten, rein lesenden Eindruck von einer beliebigen öffentlich erreichbaren Website zu bekommen – so, wie ein Besucher sie sieht;
als Agentur im Business-Tarif die Website eines Interessenten passiv prüfen zu lassen und dem Betreiber den Befund in zulässiger Weise zugänglich zu machen (siehe Abschnitt 3.5);
Reports mit den Personen zu teilen, die für die Website verantwortlich sind oder sie betreuen;
die API, das Plugin und die Erweiterungen im Rahmen ihrer Dokumentation und ihrer Grenzen zu verwenden;
das Siegel auf der Domain zu zeigen, für die es ausgestellt ist.

Der Maßstab ist einfach: formexposed soll Website-Betreibern helfen, ihre eigenen Formulare zu schützen. Alles, was einem Dritten schadet, der dem nicht zugestimmt hat, gehört nicht dazu.

2. Was formexposed bewusst nicht kann

Damit der Dienst nicht als Angriffswerkzeug taugt, haben wir ihn begrenzt. Diese Grenzen gelten für alle Nutzer und lassen sich von Nutzern nicht freischalten:

Ohne nachgewiesene Verfügungsbefugnis über eine Domain wird dort nichts abgeschickt; ausgenommen sind nur eigene Test- und Demodomains von formexposed, die wir intern prüfen. Der kostenlose Check, die Interessenten-Prüfung und unsere Studie lesen nur, was ein Besucher sieht.
Auch auf verifizierten Domains schicken wir nur an ein erkanntes allgemeines Kontaktformular ab, höchstens fünf gekennzeichnete Test-Einsendungen je Prüfung. Bestell-, Buchungs-, Anmelde-, Registrierungs-, Newsletter-, Support-, Zahlungs- und Upload-Formulare, Formulare mit Pflichtangaben wie Telefonnummer oder Anschrift und Formulare auf Websites, die wir an Domain oder Seitentitel als Behörde, Gericht, Hochschule, Schule oder Gesundheitseinrichtung erkennen, schicken wir nie ab.
Die Prüfung auf Header-Injection ist reine Erkennung: Der Testwert enthält nie einen echten Empfänger. Die Prüfung der E-Mail-Validierung verwendet nur eine Adresse unter der Endung .invalid, die es nicht geben kann.
Wir lösen keine CAPTCHAs. Auf verifizierten Domains prüfen wir nur, ob ein Formular eine Einsendung ohne oder mit einem erfundenen CAPTCHA-Token annimmt. Trägt das Anmeldeformular für den Scan hinter dem Login ein CAPTCHA, bricht die Prüfung ab.
Der Crawler fragt nur öffentliche Adressen über die üblichen Web-Ports an. Interne Netze, lokale Adressen und andere Ports sind gesperrt, auch bei Weiterleitungen und eingebetteten Inhalten.
Die Suche nach offen liegenden Dateien (etwa eine vergessene Konfigurationsdatei) läuft nur für verifizierte Domains, weil das Abfragen solcher Pfade auf fremden Websites einem Angriff gleicht.

Diese Grenzen beschreiben, wie der Dienst gebaut ist. Ob ein Formular ein allgemeines Kontaktformular ist und ob eine Website zu einer der genannten Einrichtungen gehört, erkennt der Scanner an Merkmalen der Seite wie Feldnamen, Beschriftungen, Domain und Seitentitel; diese Erkennung kann im Einzelfall irren. Die Beschreibung ist deshalb keine Zusicherung gegenüber Kunden oder Dritten, dass ein bestimmtes Formular nie erfasst wird. Wer keine Prüfung seiner Website wünscht, schließt sie über das Opt-out aus (Abschnitt 6.1).

3. Was verboten ist

3.1 Fremde Websites ausforschen oder angreifen

formexposed zu nutzen, um Schwachstellen fremder Websites zu finden und sie danach anzugreifen, zu überlasten oder auszunutzen – etwa ein ungeschütztes Formular gezielt mit Spam zu fluten.
Ergebnisse, Reports oder Bildschirmfotos zu einer fremden Website an Personen weiterzugeben, die sie für einen Angriff verwenden wollen.
Den Dienst gegen Websites einzusetzen, deren Betreiber ihn erkennbar ausgeschlossen hat, etwa durch Ausweichen auf eine andere Schreibweise der Domain.

Wer fremde Systeme ohne Befugnis ausspäht oder angreift, kann sich außerdem strafbar machen (in Polen etwa nach Art. 267 bis 269b Kodeks karny, in Deutschland etwa nach §§ 202a bis 202d und § 303b StGB). Daran ändert nichts, dass die Information aus einem Report von formexposed stammt.

3.2 Grenzen und Sicherungen umgehen

Die Grenzen des kostenlosen Checks zu umgehen, etwa durch viele Browser-Sitzungen, wechselnde IP-Adressen, Proxys, VPN-Ketten oder mehrere Konten.
Den kostenlosen Check, den Header-Check oder das Opt-out-Formular automatisiert abzufragen. Für Automatisierung gibt es die API.
reCAPTCHA, die Zeitprüfung und die anderen Schutzmaßnahmen unserer eigenen Formulare zu umgehen.
Die Tarifgrenzen durch Aufteilen auf mehrere kostenlose Konten zu umgehen.

3.3 Verifikation erschleichen

Eine Domain zu verifizieren, für die man weder Betreiber ist noch vom Betreiber beauftragt wurde – auch dann, wenn man technisch Zugriff auf DNS, Server oder CMS hat, etwa als ehemaliger Dienstleister, Hoster oder Mitarbeiter.
Den Nachweis über fremde Inhalte zu führen, zum Beispiel über eine Kommentarfunktion oder einen Upload-Bereich der fremden Website, in den jeder schreiben kann.
Eine Domain nach Ende der Berechtigung im Konto zu lassen. Endet der Auftrag, entfernt der Kunde die Domain.

Die Verifikation ist das Tor zu den aktiven Prüfungen. Wer sie erschleicht, lässt formexposed an ein fremdes Formular abschicken – das ist der schwerste Missbrauch, den der Dienst zulässt, und wir behandeln ihn so.

3.4 Test-Einsendungen zweckentfremden

Test-Einsendungen als Spam- oder Benachrichtigungskanal zu verwenden, etwa indem man eine Domain verifiziert, um deren Empfänger mit Testmails zu belasten.
Prüfungen einer Domain, insbesondere manuelle Prüfungen, mit dem Ziel auszulösen, die Empfänger der Formularmails zu belasten, statt das Formular zu prüfen.
Test-Einsendungen auf einer Domain einzurichten, ohne dafür zu sorgen, dass die Personen, die dort die Formularmails empfangen und bearbeiten (etwa ein Vertriebsteam), wissen, dass gekennzeichnete Test-Einsendungen eingehen können.

3.5 Interessenten-Prüfung für unerwünschte Werbung nutzen

Die Interessenten-Prüfung erlaubt einer Agentur, die Website eines möglichen Kunden passiv prüfen zu lassen. Wir schreiben dem Betreiber dabei nicht; den Link gibt die Agentur selbst weiter. Wie sie das tut, ist ihre Sache und ihre Verantwortung. Verboten ist, den Befund für Werbung zu verwenden, die das Gesetz ohne vorherige Einwilligung nicht erlaubt. Dazu gehören vor allem:

ungefragte E-Mails mit dem Befund an Unternehmen oder Personen, die nicht eingewilligt haben (in Polen Art. 398 Prawo komunikacji elektronicznej; in Deutschland § 7 UWG – das gilt in beiden Ländern auch gegenüber Unternehmen);
ungefragte Werbeanrufe, soweit das jeweilige Recht dafür eine Einwilligung verlangt;
Nachrichten, die mit dem Befund Druck aufbauen, Angst schüren oder den Eindruck erwecken, formexposed habe die Website im Auftrag einer Behörde oder des Betreibers geprüft.

Erlaubt bleibt, den Befund dem Betreiber in einem Gespräch zu zeigen, das er selbst gewünscht hat, und ihn ihm zu schicken, wenn er in die Zusendung eingewilligt hat oder das für die Ansprache geltende Recht sie ohne Einwilligung ausdrücklich erlaubt. Ob das der Fall ist, prüft die Agentur selbst; dass sie mit dem Betreiber in einer anderen Sache zusammenarbeitet, genügt dafür nicht ohne Weiteres.

3.6 Reports, API, Plugin und Siegel missbrauchen

Reports systematisch einzusammeln, Report-Adressen zu erraten oder durchzuprobieren oder Reports in großer Zahl abzurufen, um Daten über fremde Websites anzuhäufen.
Reports zu fremden Websites zu veröffentlichen, um deren Betreiber bloßzustellen.
API-Schlüssel, Plugin-Geheimnisse oder Zugangsdaten weiterzugeben, die Grenzen der API zu umgehen oder sie für fremde Domains zu nutzen.
Das Siegel zu verändern, nachzubauen, auf einer anderen als der ausgestellten Domain zu zeigen oder damit eine Zertifizierung zu behaupten, die formexposed nicht ausspricht. Das Siegel zeigt „geschützt“ nur, solange die Domain verifiziert ist, die Überwachung läuft und die letzte Prüfung aktuell und günstig ist; sonst zeigt es neutral „Formularprüfung“. Eine selbst gebaute Grafik mit derselben Aussage ist eine Täuschung der Besucher.
Zugangsdaten zum Scan hinter dem Login für ein Konto zu hinterlegen, das nicht eigens als Testkonto angelegt wurde, oder für eine fremde Website.

4. Wie formexposed Missbrauch vorbeugt und erkennt

Die folgenden Maßnahmen sind im Code umgesetzt. Die genauen Schwellen nennen wir nicht, weil sie sich ändern und weil sie Missbrauch erleichtern würden.

4.1 Kostenloser Check

Abschalter. Wir können den kostenlosen Check jederzeit pausieren. Das Opt-out bleibt davon unberührt und funktioniert auch während einer Pause.
reCAPTCHA beim Check, beim Header-Check und beim Opt-out, mit eigenen Schwellen je Formular, dazu eine Falle und eine Zeitprüfung in diesen Formularen.
Grenzen je IP-Adresse, je Sitzung und je Tag. Gezählt werden angenommene Prüfungen. Eine Gesamtgrenze je Tag schützt vor Wellen.
Viele Domains von einer Adresse. Wer von einer IP-Adresse in kurzer Zeit viele verschiedene Domains prüfen will, wird gesperrt. Hier zählt jeder Versuch, auch ein abgewiesener: Das ist das typische Muster, mit dem jemand formexposed benutzt, um fremde Seiten abzuklopfen.
Eine Domain je Woche. Wer eine Domain innerhalb einer Woche erneut eingibt, sieht den vorhandenen Report; es wird nicht noch einmal geprüft.
Sehr junge Domains und Domains, deren Alter sich nicht feststellen lässt, prüfen wir ohne Konto nicht. Sie werden häufig für Betrug angelegt.
Nur öffentliche Ziele. Ein Name, der auf eine interne oder reservierte Adresse zeigt, wird abgelehnt – vor dem Auftrag und noch einmal bei jeder einzelnen Anfrage des Crawlers.

4.2 Beobachtung

Auffällige Muster – viele Domains von einer Adresse, viele Anfragen in wenigen Minuten, viele abgewiesene Versuche einer Sitzung, gehäufte Opt-outs aus einem Land, das Erreichen der Tagesgrenze – halten wir als Auffälligkeit fest. Eine neue Auffälligkeit löst eine Benachrichtigung an uns aus, ohne Domain und ohne IP-Adresse; die Einzelheiten sehen wir nur in der Verwaltung. Welche Daten wir dafür speichern und wie lange, steht in der Datenschutzerklärung.

4.3 Verifikation als Tor

Aktive Prüfungen, Überwachung, Scan hinter dem Login, Browserwege und die Suche nach offen liegenden Dateien laufen für Kunden nur für Domains, deren Verfügungsbefugnis nachgewiesen ist: per DNS-Eintrag, Meta-Tag, Datei auf dem Server oder über das Plugin. Der Scanner prüft vor jedem Auftrag noch einmal selbst, ob er als verifiziert eingestuft ist; ist er es nicht, fällt eine aktive Prüfung auf die rein lesende zurück, und ein Browserweg wird nicht ausgeführt. Aktive Prüfungen lassen sich außerdem für den ganzen Dienst abschalten.

4.4 Test-Einsendungen

Jede Test-Einsendung ist gekennzeichnet: im Absendernamen „FormExposed Security Scanner“, im Betreff „[formexposed.com] Automatischer Sicherheitstest — keine Aktion nötig“ und im Text mit Verweis auf die Seite über FormExposedBot, auf das Opt-out und mit der Scan-ID. Die Sprache richtet sich nach der Zielseite (Deutsch, Englisch oder Polnisch). Je Prüfung gehen höchstens fünf Einsendungen an ein einziges Formular. Der Scanner bricht nach dieser Zahl ab. Sonstige Pflichtfelder füllt er mit „FormExposed security test“; Häkchen, ohne die sich das Formular nicht abschicken lässt, etwa für eine Einwilligung, setzt er. Die Kennzeichnung zeigt, dass dahinter keine Person und keine Erklärung einer Person steht.

4.5 Der Crawler

FormExposedBot gibt sich mit eigenem User-Agent zu erkennen, liest vor jeder Prüfung die robots.txt und prüft nicht, wenn ein Disallow für ihn oder für alle Programme die Startseite erfasst; gesperrte Unterpfade beachtet er derzeit nicht einzeln. Leichte Abrufe ohne Browser wie der Formular-Puls oder der Header-Check lesen die robots.txt nicht. Domains auf unserer Ausschlussliste (Opt-out) und ihre www-Variante prüft er nicht, auch nicht im Auftrag zahlender Kunden mit verifizierter Domain; deren laufende Überwachung endet mit der nächsten fälligen Prüfung. Einzelheiten stehen auf der Seite über FormExposedBot.

5. Folgen eines Verstoßes

Wir reagieren verhältnismäßig: Wir wählen die mildeste Maßnahme, die den Verstoß abstellt und weiteren Schaden von Dritten und vom Dienst abwendet, beschränken sie auf das betroffene Konto, die betroffene Domain oder Funktion und heben sie auf, sobald ihr Grund wegfällt. In Betracht kommen:

einzelne Prüfungen abbrechen und IP-Adressen oder Sitzungen vorübergehend sperren;
eine Domain aus einem Konto entfernen, ihre Verifikation aufheben oder sie auf die Ausschlussliste setzen;
einzelne Funktionen sperren, etwa aktive Prüfungen, die Interessenten-Prüfung, die API oder das Siegel;
das Konto sperren und den Vertrag aus wichtigem Grund kündigen, wie in den AGB geregelt;
Ersatz eines Schadens nach den gesetzlichen Vorschriften verlangen und, soweit rechtlich zulässig, die betroffenen Website-Betreiber, Strafverfolgungsbehörden oder CERT Polska unterrichten, wenn konkrete Anhaltspunkte für eine Straftat oder einen Angriff auf Dritte bestehen.

Selbsttätige Grenzen des kostenlosen Checks und unserer eigenen Formulare (Abschnitt 4.1) sind keine Maßnahme gegen eine bestimmte Person. Sie wirken nach festen Regeln für alle und enden mit Ablauf des jeweiligen Zeitraums oder sobald wir eine Auffälligkeit geklärt haben.

Anhörung vorher. Bevor wir ein Konto, eine Domain oder eine Funktion eines Kunden sperren, eine Domain aus seinem Konto entfernen, ihre Verifikation aufheben oder den Vertrag kündigen, teilen wir ihm in Textform mit, welches Verhalten wir beanstanden, auf welche Regel dieser Seite oder der AGB wir uns stützen und welche Maßnahme wir erwägen. Er kann sich binnen sieben Tagen äußern oder den Verstoß abstellen; erst danach entscheiden wir. Vor einer Kündigung aus wichtigem Grund gilt stattdessen die längere Frist zur Abhilfe, die die AGB dafür vorsehen; eine Sperre wegen einer ausbleibenden Zahlung richtet sich allein nach den AGB.

Eilfälle. Ohne vorherige Anhörung handeln wir nur, wenn ein Zuwarten Dritte oder den Dienst ernstlich gefährden würde, insbesondere bei konkreten Anhaltspunkten für eine erschlichene Verifikation, bei Prüfungen oder Test-Einsendungen gegen den erklärten Willen des Website-Betreibers, bei einem Angriff auf Dritte über den Dienst, bei einer Meldung, die auf eine schwere Rechtsverletzung durch Inhalte in einem Kundenportal oder White-Label-Report hindeutet, oder wenn eine Behörde, ein Gericht oder das Gesetz es verlangt. Dann beschränken wir die Maßnahme zunächst auf die betroffene Domain, Funktion oder den betroffenen Inhalt, teilen sie dem Kunden unverzüglich, spätestens am folgenden Werktag, mit Grund in Textform mit, soweit das den Zweck nicht vereitelt und nicht gesetzlich untersagt ist, und holen die Anhörung nach.

Einwände. Wer eine Maßnahme für unberechtigt hält, auch ohne Konto, kann ihr in Textform an contact@lukaswojcik.com widersprechen. Wir prüfen den Widerspruch und antworten binnen 14 Tagen mit Begründung; ist er berechtigt, heben wir die Maßnahme sofort auf. Das Verfahren unter Reklamationen und Beschwerden und der Rechtsweg bleiben offen. Schränken wir Inhalte eines Kunden auf eine Meldung über rechtswidrige Inhalte hin ein, begründen wir das zusätzlich nach Art. 17 der Verordnung (EU) 2022/2065 (DSA) und nennen diese Rechtsbehelfe. Ob eine Sperre die Zahlungspflicht berührt und wann eine Kündigung aus wichtigem Grund möglich ist, regeln die AGB.

6. Wenn Sie betroffen sind

6.1 Sie wollen nicht, dass formexposed Ihre Website prüft

Tragen Sie Ihre Domain auf der Seite Domain ausschließen ein oder sperren Sie FormExposedBot in Ihrer robots.txt für die Startseite. Beides wirkt ohne Kontakt zu uns für jede Prüfung, die danach beginnt. Eine laufende Überwachung im Kundenkonto endet mit der nächsten fälligen Prüfung; bis dahin können leichte Abrufe wie der Formular-Puls noch kommen, und die robots.txt lesen diese leichten Abrufe nicht. Sollen auch sie früher enden, schreiben Sie uns zusätzlich. Was genau ausgeschlossen wird, steht auf der Opt-out-Seite.

6.2 Sie haben eine Test-Einsendung bekommen, die Sie nicht erwartet haben

Test-Einsendungen gehen nur an Domains, für die ein Kunde seine Verfügungsbefugnis nachgewiesen hat, und an eigene Test- und Demodomains von formexposed. Sie geschehen auf Veranlassung dieses Kunden. Haben Sie das nicht veranlasst, hat vielleicht Ihre Agentur, Ihr Hoster oder ein Kollege die Domain angelegt – oder jemand hat die Verifikation erschlichen. Weitere Test-Einsendungen stoppen Sie am schnellsten selbst über das Opt-out: Test-Einsendungen gibt es nur während einer Prüfung, und nach dem Eintrag beginnt keine Prüfung der Domain mehr. Schreiben Sie uns außerdem an contact@lukaswojcik.com und nennen Sie die Scan-ID aus der Nachricht. Wir prüfen, wer die Domain verifiziert hat, setzen die Domain bis zur Klärung auf die Ausschlussliste, falls Sie das nicht schon getan haben, und fordern den Kunden auf, seine Befugnis zu belegen. Wer verifiziert hat, sagen wir Ihnen nur, soweit das Datenschutzrecht es erlaubt.

6.3 Sie vermuten, dass jemand formexposed gegen Sie einsetzt

Schreiben Sie an contact@lukaswojcik.com, gern mit Zeitpunkt, Domain und – aus Ihren Server-Protokollen – den Anfragen mit dem User-Agent von FormExposedBot. Sie erreichen uns auch über die Kontaktseite. Wir bestätigen den Eingang und sagen Ihnen, was wir unternommen haben. Rechtswidrige Inhalte in einem Kundenportal oder White-Label-Report melden Sie auf demselben Weg; was eine solche Meldung nach Art. 16 DSA enthalten sollte, steht im Impressum. Dort steht auch unsere Kontaktstelle nach Art. 11 und 12 DSA.

6.4 Sie haben eine Sicherheitslücke in formexposed selbst gefunden

Melden Sie sie bitte über unsere Meldestelle für Sicherheitslücken (auch unter /.well-known/security.txt). Dort steht, wie wir mit Meldungen umgehen und was wir Forschenden zusagen. Bitte testen Sie dabei nicht an Websites Dritter, auch nicht über formexposed.

7. Zusammenarbeit mit Behörden

Wir arbeiten mit Strafverfolgungsbehörden, Aufsichtsbehörden und Stellen wie CERT Polska zusammen, wenn es um Missbrauch des Dienstes oder um Angriffe auf Dritte geht. Daten geben wir nur heraus, wenn eine Rechtsgrundlage besteht, die anfragende Stelle zuständig ist und die Anfrage in der vorgeschriebenen Form vorliegt. Wir prüfen jede Anfrage einzeln und geben nur heraus, was sie tatsächlich verlangt. Betroffene Kunden informieren wir, soweit das Gesetz oder die Behörde es nicht untersagt.

Wir speichern nicht mehr, um für Behörden auskunftsfähig zu sein, als für den Betrieb und die Missbrauchsabwehr nötig ist. Was nach Ablauf der Fristen aus der Datenschutzerklärung gelöscht ist, können wir auch nicht herausgeben.

8. Änderungen

Wir passen diese Seite an, wenn sich der Dienst oder die Missbrauchsmuster ändern. Für Kunden gelten die Regeln zur Änderung in den AGB; neue Verbote und strengere Folgen gelten für sie erst nach diesem Verfahren. Ein Verhalten beurteilen wir nach der Fassung, die zur Zeit des Verhaltens galt. Fragen zu dieser Seite: contact@lukaswojcik.com.

Wie können wir helfen?