Formular-Spam abwehren ohne reCAPTCHA

Würdigung — warum reCAPTCHA das falsche Werkzeug ist#

Google reCAPTCHA ist das bekannteste Anti-Spam-Werkzeug im Web. Es ist auch eines der problematischsten — gerade für eine Steuerkanzlei. Drei Gründe:

Datenschutz. reCAPTCHA übermittelt Besucher-Signale an Google und setzt im Zusammenspiel Mechanismen ein, die nach § 25 TDDDGTDDDG · zum GlossarTelekommunikation-Digitale-Dienste-Datenschutz-Gesetz — regelt seit 2024 § 25 zur Cookie-Einwilligung. einwilligungspflichtig sein können. Eine Kanzlei, die ihre cookielose Architektur als Vertrauens-Signal pflegt, hebelt sie mit einem Google-Captcha am Kontaktformular wieder aus. Das ist ein Widerspruch, den IT-affine Mandanten bemerken.

Barrierefreiheit. Bild-Rätsel („Klicken Sie alle Ampeln an") sind für Menschen mit Seh- oder motorischen Einschränkungen eine echte Hürde. Das kollidiert mit dem Geist der Barrierefreiheit, den das BFSGBFSG · zum GlossarBarrierefreiheitsstärkungsgesetz — seit 28.06.2025 Pflicht für viele digitale Angebote. seit 2025 in den Vordergrund rückt.

Nutzer-Reibung. Jedes Rätsel kostet echte Interessenten Sekunden und Geduld. Bei einem Kontaktformular, das ohnehin selten ausgefüllt wird, ist jede zusätzliche Hürde eine verlorene Anfrage.

Die gute Nachricht: Spam lässt sich auch ohne diese Nachteile wirksam abwehren. Die meisten Bot-Einträge sind nicht raffiniert — es sind simple Skripte, die jedes Formular im Netz wahllos ausfüllen. Gegen die genügen leise Mechanismen.

Honeypot — die unsichtbare Falle#

Der Honeypot ist der eleganteste Spam-Schutz, weil er für echte Besucher unsichtbar bleibt. Das Prinzip: Das Formular enthält ein zusätzliches Eingabefeld, das per CSS ausgeblendet wird. Ein Mensch sieht es nicht und lässt es leer. Ein Bot, der stumpf jedes Feld im HTML ausfüllt, trägt etwas ein — und genau dieser Eintrag verrät ihn. Kommt das Feld befüllt zurück, wird die Anfrage verworfen.

Auf fahoch2.de prüfen wir genau das serverseitig: Ein verstecktes Feld muss leer bleiben, sonst gilt die Übermittlung als Bot-Versuch und wird abgewiesen — geräuschlos, ohne Fehlermeldung an den Absender. Der konkrete Feldname bleibt bewusst unveröffentlicht: Ihn zu nennen würde Bots helfen, das Feld gezielt zu meiden. Das ist eine allgemeine Regel beim Veröffentlichen von eigenem Code — man zeigt das Prinzip, nicht den Schlüssel.

Der Honeypot hat keine Nachteile für Menschen: keine Cookies, kein Drittanbieter, keine Hürde, keine Barriere. Er fängt den Großteil des Massen-Spams ab.

Rate-Limiting — die zweite Verteidigungslinie#

Was der Honeypot nicht abdeckt, fängt Rate-Limiting: die Begrenzung, wie oft dieselbe Quelle ein Formular in einem Zeitfenster absenden darf. Ein Bot, der ein Formular hundertmal pro Minute abschickt, wird gestoppt; ein Mensch, der einmal eine Anfrage sendet, merkt nichts.

Auf fahoch2.de läuft das über einen Redis-basierten Zähler (Upstash) mit eigenem Limit pro Aktion — Kontakt, Onboarding und das URL-Audit-Tool haben jeweils ein passendes Fenster. Fehlt die Konfiguration (etwa lokal in der Entwicklung), fällt das System sanft auf „keine Begrenzung" zurück, statt die Seite zu blockieren. Das Ergebnis: wiederholte Massen-Einsendungen laufen ins Leere, ohne dass ein echter Besucher je eine Wand sieht.

Honeypot plus Rate-Limiting decken zusammen den allergrößten Teil des realen Formular-Spams ab — beide ohne Cookie, ohne Drittanbieter-Tracking, ohne Klick-Rätsel.

Cloudflare Turnstile — die Eskalation, wenn nötig#

Wenn ein Formular gezielt und hartnäckig angegriffen wird — was bei einer Kanzlei-Seite selten vorkommt — ist Cloudflare Turnstile die richtige Eskalation. Es ist eine Captcha-Alternative, die im Hintergrund prüft (Verhaltens- und Proof-of-Work-Signale), statt Bild-Rätsel zu stellen. Zwei Eigenschaften machen es zur sauberen Wahl: Es ist nach Cloudflare-Angabe WCAG-2.2-AA-konform, also barrierearm, und es bindet — anders als reCAPTCHA — keinen Google-Tracking-Mechanismus ein. Die Einordnung von Turnstile im größeren Cloudflare-Bild steht im Artikel zu Cloudflare für Kanzlei-Sites.

Wichtig ist die Reihenfolge: Turnstile ist die dritte Stufe, nicht die erste. Wer mit Honeypot und Rate-Limiting beginnt, löst das Problem in den meisten Fällen ohne jede sichtbare Hürde — und greift erst zu Turnstile, wenn die leisen Mittel nachweislich nicht reichen.

Unser Stack auf fahoch2.de — und warum wir kein Captcha einsetzen#

Auf unserer eigenen Seite läuft bewusst kein Captcha. Die Kombination aus serverseitigem Honeypot und Rate-Limiting reicht für das reale Spam-Aufkommen einer B2B-Seite vollständig aus. Damit bleibt die Seite cookielos, barrierearm und ohne Drittanbieter im Kontakt-Pfad — und ein echter Interessent füllt das Formular aus und drückt ab, ohne je eine Hürde zu sehen.

Für eine vollständige Prüfung des Kontakt-Pfads — Spam-Abwehr, Datenschutz-Konformität, Zustellbarkeit der Formular-Mails — empfehlen wir den Hebel-Audit (890 €, bei Mandanten-Boost-Beauftragung innerhalb von 60 Tagen voll anrechenbar).

Zusammenfassung#

Google reCAPTCHA ist auf einer Kanzlei-Seite das falsche Werkzeug: Es bindet Google-Tracking ein, ist eine Barriere und kostet echte Anfragen. Spam lässt sich leiser abwehren. Ein Honeypot — ein verstecktes Feld, das Menschen nie sehen und Bots ausfüllen — fängt den Massen-Spam ohne jede Hürde ab. Rate-Limiting stoppt wiederholte Massen-Einsendungen als zweite Linie. Cloudflare Turnstile ist die barrierearme, cookielose Eskalation für den seltenen Fall eines gezielten Angriffs. Auf fahoch2.de reicht Honeypot plus Rate-Limiting — ganz ohne Captcha. Die richtige Reihenfolge ist leise zuerst, sichtbar zuletzt.

Quellen#

• Cloudflare — Turnstile (CAPTCHA-Alternative) — abgerufen 2026-05-29
• TDDDG § 25 — Schutz der Privatsphäre bei Endeinrichtungen — abgerufen 2026-05-29
• DSGVO Art. 6 — Rechtmäßigkeit der Verarbeitung (VO EU 2016/679) — abgerufen 2026-05-29
• Barrierefreiheitsstärkungsgesetz (BFSG) — abgerufen 2026-05-29

Disclaimer: Allgemeine fachliche Information zum Zeitpunkt der Veröffentlichung — keine Rechtsberatung im Einzelfall. Die Einwilligungspflicht eines konkreten Captcha-Dienstes ist datenschutzrechtlich im Einzelfall zu prüfen.