Mein Kontaktformular verschickt Spam¶
Das ist der häufigste Zwischenfall überhaupt — und fast immer trifft es Leute, die nichts falsch gemacht haben außer: ein Formular ohne Schutz online zu haben.
Was passiert¶
Ein Programm ruft dein Kontaktformular automatisiert auf, tausendfach. Statt einer Nachricht an dich trägt es fremde Empfängeradressen und Werbetexte ein. Deine Website verschickt den Spam dann brav weiter — mit deiner Domain als Absender.
Betroffen sind neben Kontaktformularen auch Newsletter-Anmeldungen („Abonnieren“), Weiterempfehlungs-Funktionen („Diese Seite einem Freund senden“), Rückruf-Formulare und Kommentarfunktionen.
Warum wir eingreifen müssen¶
Für Microsoft, Google und web.de kommt der Spam von unserem Server. Wenn wir nichts tun, sperren sie den gesamten Server — dann bekommt auch dein Nachbar auf demselben System keine Geschäftspost mehr zugestellt. Deshalb unterbinden wir den Versand aus dem betroffenen Webspace, sobald wir es erkennen, und melden uns bei dir.
Was du tun solltest¶
1. Ein aktuelles Captcha einbauen. Das ist die wirksamste Einzelmaßnahme. Für alle verbreiteten Systeme wie WordPress, TYPO3, Joomla und die gängigen Shops gibt es fertige Erweiterungen.
| Anbieter | Anmerkung |
|---|---|
| hCaptcha | datenschutzfreundlichere Wahl, Server in der EU, in der Grundfunktion kostenlos |
| Friendly Captcha | aus Deutschland, arbeitet ohne Rätsel für den Besucher |
| Google reCAPTCHA | sehr verbreitet, überträgt Daten an Google. Wenn, dann in der aktuellen Fassung und mit Hinweis in der Datenschutzerklärung |
Für WordPress genügt meist eine Erweiterung wie hCaptcha for WordPress, die sich in nahezu jedes Formular einhängt. Formular-Plugins wie WPForms bringen die Anbindung schon mit und müssen nur eingeschaltet werden.
Auf die Version achten. Das ist entscheidend, denn ein veraltetes Captcha ist praktisch dasselbe wie gar keines:
- Selbst erzeugte Bildchen mit verzerrten Buchstaben werden automatisch gelesen.
- Rechenaufgaben wie „3 plus 5“ sind für ein Programm trivial.
- Ältere reCAPTCHA-Fassungen mit Ampeln und Fahrrädern gelten als überwunden.
Wenn auf deiner Website noch ein Captcha aus einem alten Plugin läuft, ersetze es durch die aktuelle Fassung. Deine Besucher werden es dir ebenfalls danken, weil moderne Verfahren meist gar keine Aufgabe mehr stellen.
2. Nur an dich selbst senden lassen. Ein Formular sollte die Empfängeradresse fest im Skript stehen haben und niemals aus dem ausgefüllten Formular übernehmen. Genau das nutzen die Angreifer aus.
3. Nichts unverändert weiterleiten. Der Betreff und der Absender einer Formularmail sollten fest vorgegeben sein und nicht aus den Eingabefeldern zusammengebaut werden.
4. Alte Formulare abschalten. Sehr oft steckt der Missbrauch in einem Formular, das seit Jahren niemand mehr braucht — ein altes Skript, eine Testseite, ein abgelöstes Plugin.
Der einfachste Fall
Wenn du das Formular gar nicht mehr benötigst: löschen. Das erledigt das Problem endgültig und kostet fünf Minuten.
Wie es danach weitergeht¶
Sobald der Missbrauch abgestellt ist, gib uns kurz Bescheid. Wir prüfen nach und heben die Sperre wieder auf. Läuft danach weiter Spam, sehen wir gemeinsam nach, welches Skript verantwortlich ist.
Für Experten: Ursache eingrenzen
- Im Zugriffsprotokoll (
access_log) zeigen sich die Aufrufe als POST-Anfragen auf die Formularseite, meist in dichten Serien von wechselnden IP-Adressen. - Das ausgehende Aufkommen siehst du im cPanel unter E-Mail → E-Mail Nachverfolgung. Formularmails erkennt man daran, dass sie ohne Anmeldung am Mailserver entstanden sind.
- Ein Captcha allein reicht nicht, wenn das Skript per direktem POST-Aufruf ohne die HTML-Seite angesprochen werden kann. Serverseitig prüfen, ob das Captcha wirklich validiert wird.
- Honeypot-Felder (unsichtbares Pflichtfeld, das nur Bots ausfüllen) sind eine barrierefreie Ergänzung zum Captcha.
Das könnte auch weiterhelfen¶
-
Meine Website wurde gehackt: wenn mehr als das Formular betroffen ist
- Schadcode im Webspace gefunden
- Der Server steht auf einer Blockliste