reCAPTCHA-Alternativen für Kontaktformulare (ganz ohne Google)

Suchen Sie „Kontaktformular-Spam stoppen“, und Google reCAPTCHA ist das Erste, wonach alle greifen - es ist kostenlos, ein fertiges Widget, und die Checkbox „Ich bin kein Roboter“ ist vertraut genug, dass niemand sie hinterfragt. Vernünftige Standardeinstellungen verdienen gelegentlich trotzdem einen zweiten Blick, und reCAPTCHA ist ein guter Kandidat dafür: Es ist nicht die einzige Option, und für viele Websites ist es nicht die richtige.

Die wirklichen Gründe, es zu überdenken

reCAPTCHA ist ein Drittanbieter-Skript von Google, und das hat Folgen, die über „es funktioniert“ hinausgehen:

• Datenschutz und Einwilligung. reCAPTCHA setzt Cookies und sendet Besucherdaten für sein Risiko-Scoring an Google. Bei Besuchern aus der EU wirft das echte DSGVO-Fragen zur Einwilligung auf - ein Kontaktformular ist genau die Art von reibungsarmer Interaktion, die keinen Cookie-Banner erfordern sollte, nur um einen Spamfilter zu laden.
• Ein weiteres render-blockierendes Skript. Es ist eine externe Anfrage mehr im kritischen Pfad einer Seite, deren gesamte Aufgabe darin besteht, schnell zu laden und jemanden eine Nachricht tippen zu lassen.
• Reibung für echte Menschen. Wer ein VPN, einen datenschutzorientierten Browser oder Tracking-Schutz nutzt, ist schon mehr als einmal auf die Challenge „wählen Sie alle Ampeln aus“ gestoßen. Das ist ein echter Besucher, der fast aufgegeben hätte.
• Allgemeine Zurückhaltung, Google einen weiteren Zugriff auf die eigene Website zu geben. Viele Entwickler wollen einfach nicht, dass der Browser jedes Besuchers mit Google kommuniziert, bevor eine Nachricht gesendet werden kann - eine für sich genommen vertretbare Haltung, unabhängig von den Datenschutzdetails.

Alternative 1: das unsichtbare Honeypot-Feld

Ein verstecktes Eingabefeld, das echte Besucher nie sehen und nie ausfüllen, das aber unbedarfte Bots brav ausfüllen, weil es einfach im Markup steht. Kommt es nicht leer an, ist die Einsendung Spam - verwerfen, ohne irgendjemandem eine Challenge zu zeigen. Kein Drittanbieter-Skript, keine Reibung, und es fängt still die überwältigende Mehrheit des Formular-Spams ab, der von dummen Crawlern stammt und nicht von irgendetwas Raffiniertem. (Vollständige Umsetzungsdetails, einschließlich des genauen Markups und der Barrierefreiheits-Fallstricke, finden Sie in unserem ausführlichen Artikel zum Spamschutz.)

Alternative 2: Rate-Limiting

Honeypots stoppen keinen Bot, der Hunderte Male pro Minute gültig aussehende Daten per POST sendet - ein Limit pro IP und pro Formular am empfangenden Endpoint schon. Ein echter Besucher reicht dasselbe Kontaktformular nie zehnmal in einer Minute ein, also geht durch das Drosseln nichts Wertvolles verloren, und es erfordert weder ein Widget noch ein Cookie noch irgendeine Entscheidung der Person, die das Formular ausfüllt.

Alternative 3: Cloudflare Turnstile, wenn wirklich eine Challenge nötig ist

Manchmal zieht ein Formular klügere Bots an - Headless-Browser, die CSS rendern und den Honeypot komplett umgehen - und dann lohnt sich eine Challenge trotz der kleinen Conversion-Kosten. Cloudflare Turnstile ist die datenschutzfreundliche Version davon: Es verifiziert einen Besucher über Browser-Signale statt über Tracking-Cookies, löst sich meist unsichtbar auf und leitet die Interaktion überhaupt nicht über Google. Es erledigt dieselbe Aufgabe wie reCAPTCHA, nur ohne die Teile, die Anlass zur Kritik geben.

Kombinieren Sie sie - und seien Sie ehrlich über die Grenzen

Keine einzelne Methode hier ist bot-sicher, Turnstile eingeschlossen. Die realistische Antwort ist für jedes Formular dieselbe: zuerst Honeypot, darunter Rate-Limiting, und eine Challenge nur dann hinzufügen, wenn die ersten beiden nicht mehr ausreichen - genau die Haltung, die wir ausführlicher im Leitfaden zum Spamschutz behandeln. Was sich mit diesem Rahmen ändert, ist nur der Standard: Googles Skript nicht als ersten Schritt einsetzen.

Das ist auch die Haltung, mit der Formhook standardmäßig arbeitet, automatisch angewendet. Jedes Formular erhält ein Honeypot-Feld sowie Rate-Limiting pro IP/pro Formular, standardmäßig aktiviert, auf jedem Tarif einschließlich Free - keine Konfiguration, kein Widget zu installieren. Turnstile steht als optionale Checkbox in den Formulareinstellungen bereit für Formulare, die die zusätzliche Ebene brauchen. Siehe Preise für den Umfang der einzelnen Stufen.