Wie sichere ich mein Kontaktformular richtig ab?

Spam: erst unsichtbar, dann sichtbar

Formulare ohne Schutz werden von Programmen gefunden und mit Werbung gefüllt. Beginnen Sie mit Maßnahmen, die Besucher nicht stören:

• Honigtopf: Ein zusätzliches Feld, das mit CSS für Menschen verborgen ist und dessen Name harmlos klingt. Menschen sehen es nicht und lassen es leer. Bots füllen jedes Feld. Ist es gefüllt, verwirft der Server die Nachricht. Wichtig: das Feld darf für Screenreader nicht auftauchen (aria-hidden, tabindex="-1", autocomplete="off").
• Zeitprüfung: Wird das Formular in unter zwei, drei Sekunden abgeschickt, war es kein Mensch. Das passiert auf dem Server und ist von außen nicht erkennbar.
• Begrenzung der Anfragen je Absender, ebenfalls serverseitig.
• Captcha als nächste Stufe, wenn es nicht reicht. Dienste wie Turnstile, hCaptcha, reCAPTCHA, Altcha oder Friendly Captcha unterscheiden sich vor allem darin, ob sie Daten an Dritte senden. Prüfen Sie das vor dem Einbau in der Datenschutzerklärung des Anbieters.

Datenschutz am Formular

Werden Daten direkt bei der betroffenen Person erhoben, müssen Sie sie nach Art. 13 DSGVO zum Zeitpunkt der Erhebung informieren, unter anderem über Name und Kontaktdaten des Verantwortlichen, die Zwecke und die Rechtsgrundlage der Verarbeitung. In der Praxis steht dafür unter dem Absende-Knopf ein Satz mit Link zur Datenschutzerklärung, in der die Verarbeitung der Anfrage beschrieben ist. Ob zusätzlich ein Einwilligungs-Kästchen nötig ist, hängt von der Rechtsgrundlage ab; das ist eine Frage für Ihre Datenschutz-Beratung.

Fragen Sie nur ab, was Sie brauchen. Ein Name und eine Möglichkeit zur Antwort reichen meist. Jedes zusätzliche Pflichtfeld senkt die Zahl der Anfragen. Mehr zum Hintergrund steht auf der Seite DSGVO-Check.

Technik: wohin das Formular sendet

Zwei Dinge lassen sich von außen sehen und sind einfach zu beheben. Erstens: Das Formular darf seine Daten nicht an eine http-Adresse senden, sonst werden Namen und Nachrichten im Klartext übertragen. Zweitens: Sendet das Formular an einen fremden Server, zum Beispiel einen Formulardienst, müssen Sie wissen, wer die Daten bekommt, und es in der Datenschutzerklärung nennen. Das ist erlaubt, aber nicht selbstverständlich. Die Auslieferung der E-Mail selbst hängt außerdem an den Absender-Einträgen Ihrer Domain; siehe SPF, DKIM und DMARC erklärt.

Bedienbar für Menschen

Jedes Feld braucht eine sichtbare Beschriftung, die mit dem Feld verbunden ist. Für E-Mail, Telefon und Name helfen passende Feldtypen (type="email", type="tel") und autocomplete-Angaben: Das Handy zeigt die richtige Tastatur und füllt Daten mit einem Tipp aus. Die WCAG 2.2 fordern für Eingaben Beschriftungen oder Anleitungen (Kriterium 3.3.2) und die Angabe des Eingabezwecks bei persönlichen Daten (Kriterium 1.3.5). Pflichtfelder kennzeichnen Sie sichtbar, zum Beispiel mit Stern und dem Satz „* Pflichtfeld“. Mehr zu Kontaktwegen insgesamt steht im Ratgeber Mehr Anfragen über die Website.

Testen Sie das Formular selbst

• Eine Testanfrage vom Handy abschicken und prüfen, ob sie ankommt und nicht im Spam-Ordner landet.
• Prüfen, ob Besucher eine Bestätigung sehen und wissen, wie es weitergeht.
• Im Quelltext (Rechtsklick, „Seitenquelltext anzeigen“) nach dem Honigtopf-Feld und der Formular-Adresse (action) schauen.
• Das Formular einmal ohne Mausbedienung nur mit der Tab-Taste ausfüllen.

Was der Website-Check dazu zeigt

Der Conversion-Check prüft im HTML, ob am Formular ein Datenschutzhinweis steht, ob ein Honigtopf-Feld oder ein Captcha erkennbar ist, ob Feldtypen und Pflichtfelder passen und ob das Formular verschlüsselt an die eigene Herkunft sendet. Die Zeitprüfung und die Begrenzung auf dem Server sieht er nicht. Wird ein Formular erst per JavaScript nachgeladen, erkennt er es ebenfalls nicht. Er sendet nie selbst Daten über Ihr Formular ab. Die vollständige Liste der Prüfungen steht im Prüfkatalog.