reCAPTCHA-Plugin für WordPress: Spam-Schutz richtig einrichten
3 Min. LesezeitProgrammieren & Entwickeln
Kaum ist ein Kontaktformular oder eine Kommentarfunktion online, kommen die ersten Spam-Nachrichten. reCAPTCHA ist die bekannteste Gegenmaßnahme – aber nicht die einzige, und in Europa auch nicht die unkomplizierteste.
Warum Formulare Spam anziehen
Bots durchsuchen das Netz automatisch nach Formularen und füllen sie mit Werbung, Links oder Schadcode. WordPress ist dabei ein besonders beliebtes Ziel, weil die Struktur von Kommentar-, Login- und Registrierungsseiten bekannt ist. Die Folgen reichen von überquellenden Postfächern bis zu gekaperten Benutzerkonten, wenn Login-Seiten mit Passwortlisten bombardiert werden.
Was reCAPTCHA ist
reCAPTCHA wurde an der Carnegie Mellon University entwickelt, startete 2007 und gehört seit 2009 zu Google. Bekannt ist vor allem Version 2 mit dem Kästchen „Ich bin kein Roboter“, die Google 2014 einführte: Wirkt ein Besucher unauffällig, reicht ein Klick, sonst folgen Bildaufgaben. Später kamen eine unsichtbare Variante und Version 3 hinzu, die ganz ohne Aufgabe auskommt und jedem Aufruf im Hintergrund eine Punktzahl zwischen „wahrscheinlich Mensch“ und „wahrscheinlich Bot“ zuweist. Was bei welcher Punktzahl passiert, entscheidest du selbst.
Einrichtung in WordPress
- In der reCAPTCHA-Verwaltung von Google eine Website registrieren und die Version wählen.
- Die beiden Schlüssel notieren: den Websiteschlüssel (öffentlich) und den geheimen Schlüssel (nur für den Server).
- Ein Plugin installieren oder die eingebaute Integration deines Formular-Plugins nutzen – viele verbreitete Formular-Plugins bringen eine Anbindung mit.
- Beide Schlüssel eintragen, festlegen, welche Formulare geschützt werden, und das Ganze mit einem privaten Browserfenster testen.
Datenschutz: der Haken
Für die Bewertung lädt reCAPTCHA Skripte von Google-Servern und wertet Merkmale des Besuchs aus. Dabei werden personenbezogene Daten wie die IP-Adresse an Google übermittelt. Für Websites in der EU bedeutet das: Die Einbindung muss in der Datenschutzerklärung stehen, und ob sie ohne vorherige Einwilligung zulässig ist, wird unterschiedlich beurteilt. Viele Betreiber laden reCAPTCHA deshalb erst nach Zustimmung – oder nutzen gleich eine datensparsamere Alternative. Rechtsberatung ersetzt dieser Hinweis nicht.
Alternativen im Überblick
| Methode | Prinzip | Aufwand für Besucher | Daten an Dritte |
|---|---|---|---|
| Honeypot-Feld | unsichtbares Feld, das nur Bots ausfüllen | keiner | nein |
| Zeitsperre | zu schnell abgeschickte Formulare ablehnen | keiner | nein |
| Spam-Filter-Plugin | Inhalte und Muster lokal prüfen | keiner | je nach Plugin |
| Friendly Captcha | Rechenaufgabe im Browser | gering | ja, Anbieter in der EU |
| hCaptcha | Bildaufgaben, Risikobewertung | mittel | ja |
| Cloudflare Turnstile | Prüfung im Hintergrund | meist keiner | ja |
Für ein gewöhnliches Kontaktformular reichen oft Honeypot und Zeitsperre. Bei Kommentaren hat sich in deutschsprachigen Blogs lange das lokal arbeitende Plugin Antispam Bee bewährt. Erst wenn diese Mittel nicht genügen, lohnt ein echter CAPTCHA-Dienst.
Login-Seiten gesondert schützen
Für die Anmeldung zählen andere Mittel: starke, einzigartige Passwörter, Zwei-Faktor-Anmeldung für alle Konten mit Administratorrechten und eine Begrenzung fehlgeschlagener Versuche. Wie eine sichere Anmeldung auf Code-Ebene funktioniert, erklärt der Beitrag über den sicheren Login mit PHP; die Nutzerseite behandeln die Cybersecurity-Grundlagen.
Checkliste
- Formulare zuerst mit Honeypot und Zeitsperre absichern.
- Kommentare durch einen lokalen Spam-Filter laufen lassen.
- Nur bei Bedarf einen CAPTCHA-Dienst ergänzen, Datenschutzerklärung anpassen.
- Plugins aktuell halten und ungenutzte entfernen.
- Spam-Aufkommen regelmäßig prüfen und Einstellungen nachschärfen.
Hintergrund zur Geschichte des Dienstes bietet der Wikipedia-Artikel zu reCAPTCHA.