Kontaktformular ohne Bilderrätsel: weniger Spam, weniger Hürden

Spam, Angriffe und schlechte Zustellung unterscheiden

Werbemüll im Postfach, tausende automatisierte Formularaufrufe und echte Nachrichten im Spamordner sind unterschiedliche Probleme. Prüfe zuerst, was tatsächlich passiert. Ein zusätzlicher Bildtest hilft dir wenig, wenn deine E-Mails wegen einer falschen Absenderkonfiguration nicht zugestellt werden.

Meine Empfehlung: Kontrolliere Versandfehler, Häufigkeit und Muster mit so wenig gespeicherten Daten wie möglich. Begrenze den Zugriff auf Protokolle und lege Löschfristen fest. Du brauchst keine dauerhafte Sammlung sämtlicher Nachrichten, um einen technischen Fehler zu erkennen.

Der Schutz muss auf dem Server greifen

Ein Pflichtfeld im Browser verbessert die Bedienung, kann aber umgangen werden. Der Endpunkt, der die Nachricht annimmt, muss Eingaben selbst prüfen: erlaubte Felder, Längen, Formate und zulässige Dateitypen, falls Uploads wirklich benötigt werden.

Inhalte dürfen nicht ungeprüft als ausführbarer Code oder Mail-Header weiterverarbeitet werden. Verwende einen festgelegten Empfänger. Als Absender eignet sich eine korrekt eingerichtete Adresse deiner Domain; die Adresse des Anfragenden kann nach Prüfung für die Antwortfunktion genutzt werden. Ein öffentliches Formular darf kein beliebig nutzbarer Mailversender werden.

Die passende Kombination hängt vom Risiko ab. Ein kleines Anfrageformular braucht andere Grenzen als ein großer öffentlicher Dienst. Weder ein Honeypot noch ein CAPTCHA ersetzt sichere Verarbeitung oder den Schutz des Versandzugangs.

Falls ein zusätzlicher Prüfdienst nötig ist

Bei anhaltendem Missbrauch kann eine weitere Prüfung sinnvoll werden. Bewerte dabei die tatsächliche Tastatur- und Screenreader-Bedienung, mögliche Alternativen sowie Ausfälle und Fehlentscheidungen. „Unsichtbar“ bedeutet nicht automatisch zugänglich oder datensparsam.

Externe Dienste können technische Merkmale verarbeiten, Daten an andere Anbieter übertragen oder auf Endgeräte zugreifen. Neben der DSGVO ist gegebenenfalls § 25 TDDDG zu prüfen. Entscheidend ist die konkrete Einbindung. Ein Marketinghinweis wie „DSGVO-konform“ ersetzt diese Bewertung nicht.

Gute Bedienung ist Teil eines guten Formulars

Zugängliche Formulare brauchen eindeutige Beschriftungen, verständliche Hinweise und Rückmeldungen. Zeige Pflichtfelder klar an, verknüpfe Fehler mit den betroffenen Feldern und erkläre, wie sie behoben werden können. Bereits eingegebene Inhalte sollten bei einem korrigierbaren Fehler erhalten bleiben.

Bei einem Versandlimit hilft eine verständliche Meldung mit einer nächsten Handlung. Eine Erfolgsmeldung sollte erst erscheinen, wenn die Anfrage vom zuständigen System angenommen wurde. Sie bedeutet noch nicht zwangsläufig, dass die Nachricht im Posteingang gelesen werden kann. Teste deshalb die komplette Zustellkette und biete einen alternativen Kontaktweg an.

Datensparsam abfragen und die Nutzung erklären

Für eine erste Anfrage brauchst du meist keine vollständige Postanschrift und keine verpflichtende Telefonnummer. Frage nur ab, was für den Zweck erforderlich ist. Stelle die Datenschutzinformationen leicht erreichbar bereit und kläre Rechtsgrundlage, Empfänger und Aufbewahrung. Eine Checkbox macht eine unpassende Datenverarbeitung nicht zulässig.

Rechtliche Anforderungen hängen vom Zweck und der eingesetzten Technik ab. Ich bin keine Rechtsanwältin; dieser Beitrag ist keine Rechtsberatung. Für deine konkrete Einbindung solltest du die rechtliche Bewertung fachkundig klären lassen. Weiterführend: Website-Datenschutz und Bedienbarkeit ohne Maus.

Vor dem Start und regelmäßig danach testen

Prüfe beide Seiten: Werden Bots gebremst – und kommen echte Anliegen zuverlässig an? Diese vier Tests gehören vor den Start und regelmäßig in den Betrieb: