Spam im Kita-Kontaktformular stoppen, ohne echte Anfragen zu verlieren

1. Erst prüfen, was tatsächlich schiefläuft

Sichert zwei oder drei typische Spamnachrichten als anonymisierte Beispiele. Notiert jeweils Uhrzeit, ungefähre Textlänge, Anzahl der Links und das erkennbare Absenderbild. Namen, E-Mail-Adressen oder andere persönliche Angaben braucht die Webbetreuung für diesen ersten Befund nicht.

Sendet danach selbst eine normale Testanfrage über das veröffentlichte Formular. Nutzt dafür ein Smartphone und eine E-Mail-Adresse, auf die ihr zugreifen könnt. Notiert:

• die Formular-URL
• Datum und genaue Uhrzeit
• die angezeigte Bestätigung
• das erwartete Zielpostfach
• ob und wann die Nachricht dort oder im Spamordner ankam

Damit trennt ihr drei mögliche Probleme: automatisierte Sendungen, einen Fehler im Formular und eine gestörte E-Mail-Zustellung.

Beispiel: Um 8:12 Uhr sendet ihr die Nachricht „Bitte melden Sie sich wegen eines Besichtigungstermins“. Das Formular bestätigt den Versand, im Zielpostfach kommt aber nichts an. Dann darf die Aufgabe nicht nur „Spamfilter verschärfen“ heißen. Auch der Versandweg muss geprüft werden.

2. Das Formular klein und prüfbar halten

Jedes Feld sollte einen klaren Zweck haben. Für die Spamprüfung reicht hier ein kurzer Blick: Gibt es ungenutzte Felder, unbegrenzten Freitext oder unnötige Uploads? Die vollständige Auswahl der Felder für eine Platzanfrage ist eine eigene Aufgabe.

Ich würde dem Nachrichtenfeld eine angemessene Maximallänge geben und strukturierte Angaben wie E-Mail-Adresse oder Auswahlfelder passend zu ihrem Zweck prüfen lassen. Hinweise im Browser helfen Eltern beim Ausfüllen. Sie ersetzen aber nicht die Prüfung auf dem Server.

Vermeidet starre Sperrlisten für einzelne Zeichen oder Wörter. Solche Listen lassen sich umgehen und können zugleich legitime Namen oder Nachrichten abweisen. Die Webbetreuung sollte stattdessen für jedes Feld festlegen, welche Werte und Längen plausibel sind.

3. Versand passend zur echten Nutzung begrenzen

Lasst zusätzlich begrenzen, wie oft das Formular in kurzer Zeit verarbeitet werden darf. Die Begrenzung kann auf Ebene der Website oder der technischen Infrastruktur erfolgen.

Gebt keinen beliebigen Grenzwert vor. Eine kleine Kita mit wenigen Einzelanfragen hat ein anderes Muster als ein Träger, der nach einem Tag der offenen Tür viele Nachrichten erhält. Eure Webbetreuung sollte mit einem vorsichtigen Wert starten, abgewiesene und zugelassene Versuche nachvollziehbar beobachten und die Einstellung danach anpassen.

Verdächtige Nachrichten sollten in der Einführungsphase markiert oder getrennt abgelegt werden. Lasst sie nicht sofort endgültig löschen. So könnt ihr kontrollieren, ob echte Anfragen fälschlich erfasst werden.

4. Bot-Schutz erst als nächste Stufe ergänzen

Wenn serverseitige Eingabeprüfung und Versandbegrenzung den Spam nicht ausreichend reduzieren, kann die Webbetreuung einen Bot-Schutz ergänzen. Plant dabei immer ein verständliches Verhalten für echte Nutzer ein: Was passiert bei einer fehlgeschlagenen Prüfung? Bleibt der eingegebene Text erhalten? Gibt es eine Telefonnummer oder E-Mail-Adresse als alternativen Kontaktweg?

Bei Cloudflare Turnstile ist ein technischer Punkt besonders wichtig: Das sichtbare Element im Formular genügt nicht. Der Server muss das erzeugte Token über Siteverify prüfen, bevor er die Anfrage verarbeitet. Die Tokens sind fünf Minuten gültig und nur einmal verwendbar. Eine Einbindung ohne diese serverseitige Prüfung bietet deshalb keinen vollständigen Schutz.

5. Mit drei festen Fällen abnehmen

Prüft die Änderung nicht nur mit einer erfolgreichen Nachricht. Mein Vorschlag sind drei dokumentierte Fälle:

• Normale Anfrage: Sendet am Smartphone eine realistische kurze Nachricht. Sie muss im richtigen Postfach ankommen und im Formular eine klare Bestätigung auslösen.
• Ungültige Eingabe: Überschreitet gezielt eine vereinbarte Länge oder lasst ein erforderliches strukturiertes Feld ungültig. Die Fehlermeldung muss verständlich sein. Bereits eingegebene Inhalte sollten, soweit technisch möglich, erhalten bleiben.
• Wiederholte Sendung: Die Webbetreuung führt kontrolliert mehrere schnelle Testsendungen aus. Die Begrenzung muss wie vereinbart greifen. Eine anschließend normal gesendete Anfrage darf nicht unbemerkt verloren gehen.

Haltet pro Fall Uhrzeit, Gerät, Ergebnis im Formular und Eingang im Zielpostfach fest. Erst wenn alle drei Ergebnisse nachvollziehbar sind, ist die Änderung abgenommen.

6. Kopierbarer Auftrag an eure Webbetreuung

Diesen Text könnt ihr ausfüllen und weitergeben:

„Auf der Seite [Formular-URL] erhalten wir seit [Datum/Zeitraum] vermehrt automatisierte Nachrichten. Typische Merkmale sind [zum Beispiel viele Links, ähnliche Texte, kurze Abstände]. Zwei anonymisierte Beispiele mit Uhrzeiten liegen bei.

Unsere normale Testanfrage vom [Datum, Uhrzeit] zeigte [Bestätigung im Formular] und kam [im Zielpostfach / im Spamordner / nicht] an.

Bitte prüft die Eingaben serverseitig und legt passende Mindest- und Maximallängen sowie zulässige Werte für strukturierte Felder fest. Bitte richtet außerdem eine zur normalen Nutzung passende Versandbegrenzung ein. Verdächtige Nachrichten sollen zunächst nachvollziehbar markiert oder separiert und nicht ungeprüft endgültig gelöscht werden.

Falls diese Stufen nicht genügen, schlagt bitte einen Bot-Schutz mit serverseitiger Prüfung und verständlicher Fehlermeldung vor. Als alternativer Kontaktweg soll [Telefon/E-Mail] sichtbar bleiben.

Zur Abnahme testen wir: eine normale mobile Anfrage, eine ungültige oder zu lange Eingabe und kontrollierte wiederholte Sendungen. Bitte nennt uns auch, wo wir das Ergebnis der Begrenzung erkennen können.“

Das könnte euch auch helfen

Der vollständige Leitfaden für eure Kita-Website verbindet diesen Schritt mit Orientierung, Anfragewegen und lokaler Sichtbarkeit.