Formular-Spam hat eine Ursache

Ist Ihr Kontaktformular Bots ausgeliefert?

Spam ist selten Pech – meist fehlt dem Formular schlicht alles, was einen Bot aufhält. Sehen Sie Ihre Seite, wie ein Bot sie sieht: in zwei Minuten, kostenlos.

Passiver Check: wir lesen Ihre öffentlichen Seiten, wir senden nie etwas ab. Kein Konto nötig.

Mit dem Start der Prüfung gelten unsere AGB; wie wir dabei Daten verarbeiten, steht in der Datenschutzerklärung.

4 von 5

Kontaktformulare haben eine Lücke

Im Feldlauf über bekannte Websites fehlte den meisten Formularen mindestens eine der vier grundlegenden Schutzmaßnahmen.

2 Min.

von der Domain zum Urteil

Ein echter Browser lädt Ihre Seiten, findet die Formulare und prüft, was ein Bot prüfen würde. Danach: Report mit Screenshots.

Nachrichten an Sie

Der kostenlose Check ist passiv. Nichts wird ausgefüllt, nichts abgeschickt – Ihr Postfach bleibt unberührt.

So funktioniert es

Ihr Formular aus Sicht eines Bots, erklärt

Spam-Bots lesen Ihre Seite nicht. Sie suchen ein Formular, füllen jedes Feld und drücken auf Senden. Alles, was sie dabei aufhält, prüfen wir.

Wir laden Ihre Seiten

Ein Headless-Browser öffnet die Startseite und einige verlinkte Seiten – mit einem User-Agent, der sagt, wer wir sind, und robots.txt beachtet.

Wir finden das Kontaktformular

Suchfelder, Logins und Newsletter werden erkannt und beiseitegelegt. Es zählt das Formular, über das Fremde Sie erreichen können.

Wir sagen, was fehlt

Jede Schutzmaßnahme wird geprüft und erklärt. Sie bekommen einen Risiko-Score, Screenshots und eine Fix-Anleitung für Ihr CMS – WordPress, TYPO3, Shopify, Webflow oder eigene Entwicklung.

Was wir prüfen

Acht Dinge, die ein Bot bemerkt

Der passive Check betrachtet das Formular und die Seite darum. Verifizierte Eigentümer können einen aktiven Check zuschalten, der genau eine klar gekennzeichnete Testnachricht sendet.

CAPTCHA

reCAPTCHA, hCaptcha, Turnstile oder Friendly Captcha am Formular – das Erste, woran ein Bot scheitert.

Honeypot-Feld

Ein verstecktes Feld, das Menschen nie und Bots immer ausfüllen. Billig, unsichtbar, wirksam.

Formular-Token

Ein Einmal-Token im Formular, damit ein Skript dieselbe Anfrage nicht tausendmal abschicken kann.

Zeitprüfung

Ein Zeitstempel oder eine Mindestzeit auf der Seite. Bots senden in Millisekunden – Menschen nicht.

Sendeziel

Wohin das Formular sendet: ein gehärteter Handler, ein Mail-Link oder ein Drittdienst, den jeder anstoßen kann.

CMS und Formular-Plugin

Welches System das Formular gebaut hat. Das entscheidet über die Fix-Anleitung – und über bekannte Schwächen.

WAF / CDN

Ob eine Web Application Firewall oder ein CDN vor der Seite steht und das Offensichtliche filtert.

Sicherheits-Header

CSP-, Frame- und Content-Type-Header. Kein Spamschutz an sich, aber ein Zeichen, wie gepflegt die Seite ist.

Unser Crawler nennt sich FormExposedBot und beachtet robots.txt. Seitenbetreiber können sich jederzeit austragen: /bot · /opt-out

WordPress · TYPO3

Kostenloses Plugin: der Check im eigenen Dashboard

Plugin installieren, auf „Jetzt prüfen" klicken, Urteil unter Einstellungen lesen. Weil das Plugin auf Ihrer Seite läuft, gilt die Seite als Ihre – ein Klick verbindet sie mit dem Monitoring.

Plugin herunterladen (zip) TYPO3-Erweiterung (zip) – mit Powermail

GPL, keine externen Skripte, sendet nur Ihren Hostnamen. Kommt ins wordpress.org-Verzeichnis.

Monitoring

Heute geschützt heißt nicht für immer

Ein Theme-Update, ein neues Plugin, ein geändertes Formular – Schutz verschwindet leise. Mit einem kostenlosen Konto wird Ihre Seite regelmäßig geprüft, und Sie erfahren es als Erster.

✓Regelmäßige Checks: monatlich kostenlos, wöchentlich oder täglich in den bezahlten Tarifen
✓Alarme per E-Mail, Webhook, Slack oder Discord – nur, wenn sich etwas ändert
✓Aktiver Check für verifizierte Eigentümer: eine gekennzeichnete Testnachricht, kein Spam
✓Historie und Zeitleiste je Domain, für Agenturen mit Arbeitsbereichen

Tarife und Preise ansehen

Fragen, die man vor dem Klick stellt

Sendet der Check etwas über mein Formular?

Nein. Der kostenlose Check ist passiv: er lädt Seiten und liest das Formular. Nur verifizierte Eigentümer können den aktiven Check einschalten, der genau eine klar gekennzeichnete Testnachricht sendet.

Ist das legal? Sie scannen meine Website.

Wir lesen öffentliche Seiten wie jeder Besucher oder jede Suchmaschine – mit benanntem User-Agent, unter Beachtung der robots.txt, und wir speichern keine personenbezogenen Daten Ihrer Seite. Betreiber können sich unter formexposed.com/opt-out austragen.

Mein Formular hat ein CAPTCHA. Reicht das?

Meist nicht. Viele Formulare tragen ein CAPTCHA, das der Server nicht durchsetzt, oder einen Handler, der auch ohne annimmt. Der Check sieht darauf, was das Formular tatsächlich verlangt.

Wie sieht der Report aus?

Ein Urteil (ausgeliefert, teilweise geschützt, geschützt), ein Risiko-Score, ein Screenshot des Formulars, jede Prüfung mit Beleg und eine Fix-Anleitung für Ihr CMS. Kostenlose Reports bleiben 30 Tage online.

Was kostet das?

Der Check ist kostenlos und braucht kein Konto. Das Monitoring beginnt kostenlos mit einer Domain und monatlichen Checks; bezahlte Tarife bringen wöchentliche oder tägliche Checks, mehr Domains, Webhooks und Arbeitsbereiche.

Zwei Minuten jetzt – oder Spam für Jahre

Domain eingeben, Urteil bekommen, das Fehlende beheben. Der Check läuft auf formexposed.com.

Formular prüfen →

/bot · /opt-out

Wie können wir helfen?