So schützen Sie Ihr Kontaktformular mit reCAPTCHA vor Spam

Kontaktformular mit Google reCAPTCHA schützen: Spam in WordPress wirksam reduzieren

Kontaktformulare sind für viele WordPress-Websites unverzichtbar. Sie ermöglichen Besuchern eine schnelle Anfrage, eine Supportmeldung, eine Offertanfrage oder eine Rückmeldung zu Ihren Leistungen. Gleichzeitig gehören ungeschützte Formulare zu den beliebtesten Angriffszielen für Spam-Bots.

Spam-Bots durchsuchen das Internet automatisiert nach Formularen und senden massenhaft unerwünschte Nachrichten. Diese enthalten oft Werbung, Phishing-Links, SEO-Spam, Schadsoftware-Verweise oder völlig sinnlose Inhalte. Google reCAPTCHA kann helfen, solche automatisierten Formularübermittlungen zu erkennen und zu blockieren.

Warum Kontaktformulare geschützt werden sollten

Ein ungeschütztes Kontaktformular kann schnell zur Spam-Schleuder werden. Bots füllen Formularfelder automatisch aus und senden Nachrichten in hoher Frequenz. Das ist nicht nur störend, sondern kann auch technische und organisatorische Folgen haben.

Typische Probleme durch Formular-Spam sind:

• überfüllte Postfächer: Echte Kundenanfragen gehen zwischen Spam-Nachrichten unter.
• Zeitverlust: Spam muss manuell gelöscht und geprüft werden.
• Sicherheitsrisiko: Nachrichten können gefährliche Links enthalten.
• Serverlast: Sehr viele Formularaufrufe können Ressourcen belasten.
• Zustellprobleme: Massenhafte Formularmails können die Übersicht und E-Mail-Verarbeitung erschweren.
• schlechte Nutzererfahrung: Wenn Schutzmassnahmen falsch eingerichtet sind, können echte Besucher blockiert werden.

Ein guter Spam-Schutz sollte deshalb zwei Dinge gleichzeitig erreichen: Bots blockieren und echte Besucher möglichst wenig stören.

Was ist Google reCAPTCHA?

Google reCAPTCHA ist ein Dienst, der Websites dabei unterstützt, automatisierte Zugriffe, Spam und Missbrauch zu erkennen. Je nach Version werden Nutzer aktiv geprüft oder im Hintergrund bewertet.

Google unterscheidet unter anderem zwischen reCAPTCHA v2, reCAPTCHA v3 und reCAPTCHA Enterprise. reCAPTCHA v3 gibt laut Google für jede Anfrage eine Bewertung aus, ohne die Nutzer durch eine sichtbare Aufgabe zu unterbrechen. Diese Bewertung basiert auf Interaktionen mit der Website.

Für WordPress-Kontaktformulare wird häufig reCAPTCHA v3 eingesetzt, weil es im Hintergrund arbeitet. Sichtbare Bildrätsel wie „Wählen Sie alle Ampeln aus“ sind dabei normalerweise nicht nötig.

reCAPTCHA v2 oder reCAPTCHA v3?

Welche Version sinnvoll ist, hängt vom Formular-Plugin, Datenschutzkonzept und Spam-Aufkommen ab. Viele moderne Formular-Plugins unterstützen reCAPTCHA v3 direkt.

Contact Form 7 unterstützt seit Version 5.1 nativ reCAPTCHA v3; wer dort reCAPTCHA v2 verwenden möchte, benötigt eine zusätzliche Lösung. WPForms bietet in seinen Einstellungen ebenfalls CAPTCHA-Optionen, darunter Google reCAPTCHA, hCaptcha und Cloudflare Turnstile.

1. reCAPTCHA-Schlüssel bei Google erstellen

Damit reCAPTCHA auf Ihrer Website funktioniert, benötigen Sie zwei Schlüssel: einen Website-Schlüssel, auch Site Key genannt, und einen geheimen Schlüssel, auch Secret Key genannt.

Google erklärt den Unterschied so: Der Site Key wird auf der Website verwendet, um reCAPTCHA aufzurufen. Der Secret Key dient der Kommunikation zwischen Ihrer Anwendung und dem reCAPTCHA-Server und muss geschützt bleiben.

Der typische Ablauf:

1. Öffnen Sie die Google reCAPTCHA Admin Console.
2. Melden Sie sich mit Ihrem Google-Konto an.
3. Registrieren Sie eine neue Website.
4. Wählen Sie den passenden reCAPTCHA-Typ, zum Beispiel reCAPTCHA v3.
5. Tragen Sie Ihre Domain ein, zum Beispiel example.ch.
6. Akzeptieren Sie die Bedingungen, falls zutreffend.
7. Erstellen Sie die Schlüssel.
8. Kopieren Sie Site Key und Secret Key in Ihr WordPress-Formular-Plugin.

2. Domain korrekt eintragen

Beim Erstellen der reCAPTCHA-Schlüssel müssen Sie Ihre Domain korrekt hinterlegen. Verwenden Sie dabei die Domain ohne Pfad. Also zum Beispiel:

example.ch

Nicht:

https://www.example.ch/kontakt/

Wenn Ihre Website mit und ohne www erreichbar ist oder Subdomains verwendet, prüfen Sie, welche Domainvarianten in der reCAPTCHA-Verwaltung eingetragen werden müssen.

3. reCAPTCHA in Contact Form 7 einrichten

Contact Form 7 bietet eine eigene Integration für reCAPTCHA v3. Das Plugin beschreibt reCAPTCHA als Schutz gegen Spam und automatisierten Missbrauch.

Der typische Ablauf in WordPress:

1. Öffnen Sie im WordPress-Dashboard Kontakt > Integration.
2. Suchen Sie den Bereich reCAPTCHA.
3. Klicken Sie auf Integration einrichten oder eine vergleichbare Schaltfläche.
4. Fügen Sie den Site Key ein.
5. Fügen Sie den Secret Key ein.
6. Speichern Sie die Einstellungen.
7. Testen Sie Ihr Kontaktformular.

Bei Contact Form 7 v3 läuft reCAPTCHA im Hintergrund. Sie müssen in der Regel keinen zusätzlichen reCAPTCHA-Shortcode in das Formular einfügen.

4. reCAPTCHA in WPForms einrichten

Auch WPForms unterstützt verschiedene CAPTCHA-Methoden. Laut WPForms-Dokumentation finden Sie die CAPTCHA-Einstellungen unter WPForms > Settings im Tab CAPTCHA. Dort können Sie Google reCAPTCHA auswählen und den gewünschten Typ konfigurieren.

Der typische Ablauf:

1. Öffnen Sie WPForms > Settings.
2. Wechseln Sie zum Tab CAPTCHA.
3. Wählen Sie reCAPTCHA.
4. Wählen Sie den passenden reCAPTCHA-Typ.
5. Tragen Sie Site Key und Secret Key ein.
6. Speichern Sie die Einstellungen.
7. Öffnen Sie Ihr Formular im WPForms-Builder.
8. Aktivieren Sie reCAPTCHA für das gewünschte Formular.
9. Speichern und testen Sie das Formular.

Je nach Formular-Plugin ist der genaue Ablauf etwas unterschiedlich. Prüfen Sie daher immer die Dokumentation Ihres verwendeten Formular-Plugins.

5. reCAPTCHA im Formular aktivieren

Das Eintragen der Schlüssel reicht nicht bei jedem Plugin aus. Manche Plugins verlangen zusätzlich, dass reCAPTCHA im jeweiligen Formular aktiviert wird.

Prüfen Sie daher:

• Sind Site Key und Secret Key korrekt gespeichert?
• Ist reCAPTCHA im Formular selbst aktiviert?
• Wird die richtige reCAPTCHA-Version verwendet?
• Ist die Domain korrekt in der Google-Konsole hinterlegt?
• Wird das Formular nach dem Speichern korrekt angezeigt?
• Funktioniert eine Testanfrage?

Bei reCAPTCHA v3 erscheint häufig ein kleines reCAPTCHA-Logo beziehungsweise Badge auf der Website. Je nach Integration und Google-Vorgaben muss der Hinweis auf reCAPTCHA und die Google-Bedingungen korrekt sichtbar oder verlinkt sein.

6. reCAPTCHA v3 Score verstehen

reCAPTCHA v3 arbeitet nicht mit einem sichtbaren Rätsel, sondern mit einer Risikobewertung. Google beschreibt, dass reCAPTCHA v3 für Anfragen einen Score zurückgibt, damit Websites angemessen reagieren können.

Vereinfacht gesagt:

• Hoher Score: Die Anfrage wirkt eher vertrauenswürdig.
• Niedriger Score: Die Anfrage wirkt eher verdächtig.

Wie streng ein Formular reagiert, hängt vom Plugin und dessen Einstellungen ab. Wenn die Prüfung zu streng ist, können echte Nutzer blockiert werden. Wenn sie zu locker ist, kommt weiterhin Spam durch.

7. Formular nach der Einrichtung testen

Nach der Aktivierung sollten Sie das Formular unbedingt testen. Senden Sie eine normale Testanfrage und prüfen Sie, ob die Nachricht korrekt ankommt.

Testen Sie:

• Desktop-Browser,
• Smartphone,
• verschiedene Browser,
• Formular mit Pflichtfeldern,
• Formular mit Fehlermeldungen,
• Formular mit längerer Nachricht,
• Formular nach Cache-Leerung,
• Formular im Inkognito-Fenster.

Prüfen Sie ausserdem, ob der E-Mail-Versand korrekt funktioniert. reCAPTCHA blockiert Spam, ersetzt aber keine saubere SMTP-Konfiguration.

8. Datenschutz: reCAPTCHA bewusst einsetzen

reCAPTCHA ist ein externer Google-Dienst. Dadurch können beim Laden oder Verwenden des Formulars Daten an Google übertragen werden. Das muss in Ihrer Datenschutzprüfung berücksichtigt werden.

Prüfen Sie insbesondere:

• Wird reCAPTCHA in Ihrer Datenschutzerklärung erwähnt?
• Wird reCAPTCHA bereits beim Seitenaufruf geladen oder erst beim Formular?
• Ist eine Einwilligung erforderlich?
• Wird ein Consent-Manager genutzt?
• Gibt es eine datenschutzfreundlichere Alternative?
• Passt die Integration zum Schweizer nDSG und gegebenenfalls zur DSGVO?

9. reCAPTCHA und Ladezeit

reCAPTCHA lädt externe Skripte von Google. Das kann die Ladezeit und die Anzahl externer Anfragen beeinflussen. Besonders bei performancekritischen Websites sollte reCAPTCHA gezielt und nicht unnötig auf jeder Seite geladen werden.

Prüfen Sie:

• Wird reCAPTCHA nur auf Seiten mit Formular geladen?
• Wird das Skript durch ein Formular-Plugin global eingebunden?
• Beeinflusst reCAPTCHA PageSpeed-Werte?
• Gibt es Konflikte mit Caching oder JavaScript-Optimierung?
• Funktioniert reCAPTCHA nach Minifizierung und Cache weiterhin?

Wenn Ihr Formular nur auf der Kontaktseite steht, sollte reCAPTCHA idealerweise nicht auf jeder Unterseite Ihrer Website geladen werden.

10. Alternativen zu reCAPTCHA

reCAPTCHA ist nicht die einzige Möglichkeit, Formular-Spam zu reduzieren. Je nach Datenschutzanforderung, Nutzererfahrung und Spam-Aufkommen können Alternativen sinnvoll sein.

Mögliche Alternativen oder Ergänzungen:

• Honeypot: Unsichtbares Feld, das viele einfache Bots erkennt.
• Cloudflare Turnstile: CAPTCHA-Alternative mit anderer technischer Ausrichtung.
• hCaptcha: Alternative CAPTCHA-Lösung.
• Antispam-Plugins: Spezielle WordPress-Plugins gegen Formular- und Kommentarspam.
• Rate Limiting: Begrenzung sehr vieler Anfragen in kurzer Zeit.
• Firewall-Regeln: Blockierung auffälliger Zugriffe.
• Formularvalidierung: Serverseitige Prüfung der Eingaben.

Für viele normale Kontaktformulare reicht eine Kombination aus Honeypot, Formularvalidierung und serverseitigem Schutz bereits aus. Bei stärkerem Spam kann reCAPTCHA eine zusätzliche Schutzschicht sein.

11. reCAPTCHA mit Hosting-Schutz kombinieren

reCAPTCHA schützt das Formular auf Anwendungsebene. Zusätzlich kann ein Hosting-Schutz helfen, schädliche Anfragen frühzeitig zu erkennen oder zu blockieren.

Bei CURIAWEB kann je nach Hosting-Umgebung zusätzlicher Schutz auf Serverebene eingesetzt werden, zum Beispiel Sicherheitsmechanismen gegen schädliche Zugriffe, Malware oder auffällige Aktivitäten. Solche Schutzebenen ersetzen reCAPTCHA nicht vollständig, ergänzen aber die Sicherheitsstrategie.

12. Häufige Fehler bei reCAPTCHA

Wenn reCAPTCHA nicht funktioniert, liegt es häufig an kleinen Konfigurationsfehlern. Prüfen Sie systematisch, bevor Sie das Plugin wechseln.

• Falscher Schlüsseltyp: v2-Schlüssel werden für v3 verwendet oder umgekehrt.
• Domain nicht eingetragen: Die Website-Domain ist in der reCAPTCHA-Konsole nicht korrekt hinterlegt.
• Secret Key öffentlich eingefügt: Der geheime Schlüssel wurde falsch verwendet.
• reCAPTCHA nicht im Formular aktiviert: Schlüssel sind gespeichert, aber Formularschutz ist nicht aktiv.
• Cache-Konflikt: JavaScript wird verzögert, kombiniert oder blockiert.
• Consent-Blocker blockiert reCAPTCHA: Formular funktioniert erst nach Zustimmung oder gar nicht.
• Zu strenge Bewertung: Echte Nutzer werden fälschlicherweise blockiert.
• Keine Testanfrage: Fehler bleiben bis zur ersten echten Kundenanfrage unbemerkt.

13. SEO und GEO: Warum Spam-Schutz indirekt wichtig ist

reCAPTCHA ist kein direkter SEO-Rankingfaktor. Ein sauber geschütztes Formular kann aber indirekt zur Qualität Ihrer Website beitragen. Echte Anfragen kommen zuverlässiger an, Spam wird reduziert und Besucher erleben eine professionellere Website.

Für GEO, also Generative Engine Optimization, ist Vertrauen wichtig. Eine Website mit funktionierendem Kontaktformular, klarer Datenschutzerklärung, sichtbaren Kontaktwegen und stabiler Technik wirkt zuverlässiger als eine Website mit defekten Formularen oder Spam-Problemen.

Wichtig ist dabei:

• Formulare müssen zuverlässig funktionieren,
• Spam-Schutz darf echte Besucher nicht blockieren,
• Datenschutz muss transparent erklärt werden,
• Kontaktmöglichkeiten sollten klar sichtbar sein,
• technische Fehler sollten vermieden werden.

Empfohlene Vorgehensweise

1. Spam-Aufkommen prüfen: Kommt Spam über Kontaktformular, Kommentare oder Registrierung?
2. Formular-Plugin prüfen: Unterstützt es reCAPTCHA v3, v2 oder Alternativen?
3. reCAPTCHA-Schlüssel erstellen: Site Key und Secret Key in der Google-Konsole generieren.
4. Domain korrekt eintragen: Hauptdomain und relevante Subdomains prüfen.
5. Schlüssel im Plugin hinterlegen: Site Key und Secret Key sauber einfügen.
6. Formularschutz aktivieren: reCAPTCHA je nach Plugin im Formular einschalten.
7. Testanfrage senden: Funktion und E-Mail-Zustellung prüfen.
8. Datenschutz prüfen: Datenschutzerklärung und Consent-Konzept anpassen.
9. Performance kontrollieren: Prüfen, ob reCAPTCHA nur dort lädt, wo es benötigt wird.
10. Spam-Rate beobachten: Bei Bedarf Schwellenwerte oder zusätzliche Schutzmassnahmen anpassen.

Häufige Fragen zu reCAPTCHA in WordPress

Was ist Google reCAPTCHA?

Google reCAPTCHA ist ein Bot-Schutzdienst, der Websites dabei hilft, Spam und automatisierten Missbrauch zu erkennen. Er wird häufig bei Kontaktformularen, Registrierungen und Logins eingesetzt.

Was ist der Unterschied zwischen Site Key und Secret Key?

Der Site Key wird auf der Website verwendet, um reCAPTCHA aufzurufen. Der Secret Key dient der sicheren Serverkommunikation und muss geschützt bleiben.

Ist reCAPTCHA v3 besser als v2?

reCAPTCHA v3 ist benutzerfreundlicher, weil es im Hintergrund arbeitet. reCAPTCHA v2 kann bei starkem Spam-Druck sinnvoll sein, stört Besucher aber häufiger durch sichtbare Prüfungen.

Warum erscheint das reCAPTCHA-Logo unten auf meiner Website?

Bei reCAPTCHA v3 wird häufig ein Badge angezeigt. Je nach Integration und Google-Vorgaben muss sichtbar sein, dass reCAPTCHA genutzt wird und Google-Bedingungen gelten.

Kann reCAPTCHA alle Spam-Nachrichten blockieren?

Nein. reCAPTCHA reduziert viele automatisierte Spam-Versuche, ist aber kein vollständiger Schutz gegen jeden Missbrauch. Eine Kombination mit Honeypot, Firewall, Formularvalidierung und Updates ist sinnvoll.

Ist reCAPTCHA datenschutzrelevant?

Ja. reCAPTCHA ist ein externer Google-Dienst und sollte in Datenschutzprüfung, Datenschutzerklärung und gegebenenfalls Consent-Management berücksichtigt werden.

Warum funktioniert mein Formular nach reCAPTCHA-Aktivierung nicht mehr?

Mögliche Ursachen sind falsche Schlüssel, falscher reCAPTCHA-Typ, Cache-Konflikte, JavaScript-Optimierung, Consent-Blocker oder eine nicht korrekt eingetragene Domain.

Gibt es Alternativen zu reCAPTCHA?

Ja. Je nach Formular-Plugin können Honeypot, hCaptcha, Cloudflare Turnstile, Antispam-Plugins oder serverseitige Schutzmechanismen Alternativen oder Ergänzungen sein.