Ein Kontaktformular hat eine Aufgabe — einer echten Person zu erlauben, das Unternehmen einfach zu erreichen —, und Spamschutz lässt sich sehr leicht so falsch kalibrieren, dass er genau diese Aufgabe still beschädigt, während er sie eigentlich schützen soll. Der häufige Fehler ist nicht zu wenig Schutz, sondern Schutz, der so unnachgiebig ist, dass ein echter Besucher das Formular vor dem Absenden aufgibt — ein schlechteres Ergebnis als der Spam, den er verhindern sollte.
Warum ein einzelner Filter nicht reicht
Spam-Einsendungen reichen von groben automatisierten Bots, die jedes gefundene Formularfeld ausfüllen, bis zu gezielteren Einsendungen einer Person, die manuell das Formular eines Unternehmens ins Visier nimmt. Eine einzelne Abwehr fängt meist nur ein Ende dieser Bandbreite: Ein einfaches Bot-Fallenfeld fängt die grobe Automatisierung, tut aber nichts gegen einen entschlossenen Menschen, während eine Rätsel-artige Challenge, die beide stoppt, auch einen spürbaren Anteil echter Besucher abschreckt, besonders auf dem Handy, wo das Lösen eines Bilderrätsels umständlicher ist als am Desktop. Mehrere leichte Prüfungen zu schichten, statt sich auf eine schwere zu verlassen, fängt mehr tatsächlichen Spam ab und verlangt gleichzeitig weniger von jedem einzelnen echten Besucher.
Was funktioniert, ohne dass Besucher es bemerken
Ein verstecktes Feld, unsichtbar für eine Person, das einfache Bots trotzdem ausfüllen, weil sie die Seite nicht so rendern wie ein Browser — jede Einsendung mit ausgefülltem Feld wird still verworfen, ohne jede Reibung für einen echten Besucher, der nicht einmal weiß, dass das Feld existiert. Die Zeitspanne zwischen Formularladen und -absenden zu messen, fängt Bots, die ein Formular in unter einer Sekunde ausfüllen und absenden — schneller, als es ein Mensch, der die Felder tatsächlich liest, je könnte —, ohne von einem echten Besucher irgendetwas anderes zu verlangen. Den Inhalt einer Einsendung gegen eine kurze Liste spam-typischer Muster zu prüfen — eine Flut von Links, Zeichen außerhalb dessen, was das Feld enthalten sollte — fängt einen spürbaren Anteil ganz ohne sichtbare Challenge ab.
Wo eine sichtbare Prüfung ihren Platz verdient
Ein Teil des entschlossenen, aber wenig aufwendigen Spams umgeht passive Prüfungen, und genau dort gehört ein leichter, sichtbarer Schritt hin — ein einfaches „Wähle jedes Bild mit einem Auto" oder Ähnliches, nur gezeigt, nachdem andere Signale auf etwas Verdächtiges hindeuten, nicht bei jedem einzelnen Besuch. Dies standardmäßig jedem Besucher zu zeigen, bestraft alle für ein Problem, an dem die meisten von ihnen keinen Anteil haben; es selektiv zu zeigen, nur wenn eine Einsendung bereits verdächtig wirkt, hält es aus dem Weg der Anfragen heraus, die ein Unternehmen tatsächlich haben möchte.
Wie das in der Praxis aussieht, am Beispiel unserer eigenen Website
Unser eigenes Kontaktformular nutzt genau diesen mehrschichtigen Ansatz — ein verstecktes Fallenfeld, eine Prüfung der Absendezeit und einen Abgleich von Inhaltsmustern, ganz ohne sichtbares Rätsel für einen Besucher, es sei denn, mehrere Signale widersprechen sich —, denn ein Formular, das sich wirklich schnell nutzen lässt, konvertiert besser als eines, das lediglich gut geschützt ist, und die beiden Ziele müssen sich nicht gegenseitig ausschließen, wenn der Schutz geschichtet ist, statt komplett auf den Besucher abgewälzt zu werden.
Die Kennzahl, die wirklich zählt
Die Kennzahl, die es zu beobachten lohnt, ist nicht „wie viel Spam wurde blockiert" — es ist das Verhältnis echter, nützlicher Anfragen, die durchkamen, zur Zahl der Menschen, die das Formular begonnen und dann abgebrochen haben. Ein Formular, das 100 % des Spams blockiert, aber einen spürbaren Anteil echter Besucher frustriert, hat ein Problem gegen ein teureres eingetauscht.
Das ist eines der praktischen Details hinter der Behandlung einer Website als aktiv arbeitendem Teil des Unternehmens statt als statischer Seite. Unser Webteam baut diesen mehrschichtigen Ansatz in jedes Formular ein, das es ausliefert, nicht als nachträglichen Gedanken.
