Formular-Spam sind automatisiert erzeugte oder unerwünschte Einträge in Kontakt-, Anfrage- und Lead-Formulare. Lästig ist das schon im Posteingang. Teuer wird es, wenn diese Einträge als Conversion gezählt werden — denn dann bewerten Google Ads und Meta Ads einen Bot als Erfolg und optimieren die Kampagne auf genau solche „Leads“.
Wir betreuen Kampagnen und Formulare für Kliniken, Praxen, Immobilienunternehmen und Shops. In den vergangenen Monaten sind uns dabei immer wieder dieselben Muster begegnet: Gmail-Adressen mit auffällig vielen Punkten, Namensfelder voller Zufallsbuchstaben, ein Geburtsjahr, das keine Zahl ist. In diesem Beitrag zeigen wir zwei echte Beispiele, erklären die Mechanik dahinter und ordnen ein, welche Gegenmaßnahmen tatsächlich wirken — und welche nur so aussehen.
Nicht jede Übermittlung ist eine Anfrage
Ein technisch erfolgreich abgeschicktes Formular sagt nichts über den Menschen dahinter. Spam-Schutz und Conversion-Tracking gehören zusammen: Wer nur den Posteingang aufräumt, aber das Conversion-Ereignis schon ausgelöst hat, hat die Werbedaten bereits verfälscht.
01 · GrundlagenWas ist Formular-Spam?
Unter Formular-Spam verstehen wir alle Eingaben in Onlineformulare, hinter denen kein ernsthaftes Anliegen steht — in den allermeisten Fällen erzeugt durch Programme. Betroffen ist praktisch jedes öffentlich erreichbare Formular:
- Kontaktformulare auf Unternehmenswebsites
- Anfrageformulare auf Landingpages für Google Ads und Meta Ads
- Termin- und Beratungsanfragen, etwa in Kliniken und Praxen
- Newsletter-Anmeldungen
- Angebots-, Kalkulations- und Bewerbungsformulare
- Mehrstufige Formulare zur Lead-Generierung
Bots rufen dafür nicht unbedingt die sichtbare Seite auf. Häufig senden sie ihre Daten direkt an den technischen Endpunkt, an den das Formular seine Eingaben übergibt — Gestaltung, Pflichtfeld-Hinweise und JavaScript-Prüfungen im Browser spielen dann keine Rolle.
Die Ziele sind unterschiedlich: Links und Werbebotschaften verbreiten, automatische Bestätigungsmails an fremde Postfächer auslösen, Systeme testen oder schlicht Last erzeugen. Für Ihr Unternehmen ist das Motiv zweitrangig. Entscheidend ist, was mit dem Eintrag nach dem Absenden passiert — und ob er in CRM, E-Mail-Automation oder Werbeplattform landet.
02 · MechanikDer Gmail-Punkt-Trick: eine Adresse, viele Schreibweisen
Bei privaten Adressen mit der Endung @gmail.com ignoriert Google Punkte im Nutzernamen. Diese vier Schreibweisen landen im selben Postfach:
maxmustermann@gmail.commax.mustermann@gmail.comm.ax.muster.mann@gmail.comm.a.x.m.u.s.t.e.r.m.a.n.n@gmail.com
Das ist kein Fehler, sondern von Google so dokumentiert. Zwei weitere Eigenheiten kommen hinzu: Ein Plus-Zusatz wie maxmustermann+angebot@gmail.com wird ebenfalls zugestellt, und @googlemail.com führt zum selben Konto wie @gmail.com.
Gilt nur für private Gmail-Adressen
Bei Google-Workspace-Adressen mit eigener Domain ist a.b@firma.de nicht automatisch dasselbe wie ab@firma.de. Dort können Punkte Teil einer tatsächlich anderen Adresse sein. Jede Normalisierung muss deshalb auf gmail.com und googlemail.com beschränkt bleiben.
Wie Spammer die Besonderheit ausnutzen
Viele Formular- und CRM-Systeme prüfen Dubletten über einen schlichten Textvergleich. Für sie sind maxmustermann@gmail.com und max.mustermann@gmail.com zwei verschiedene Kontakte. Ein Bot setzt bei jedem Durchlauf die Punkte neu — und erzeugt so aus einer einzigen Adresse beliebig viele „neue“ Leads. Jeder davon kann eine Bestätigungsmail auslösen, einen Datensatz anlegen und eine Conversion zählen.
Der Punkt-Trick ist allerdings nur eine Methode unter vielen. Bots arbeiten ebenso mit Wegwerf-Adressen, wechselnden Domains oder komplett erfundenen Daten. Wer nur Punkte filtert, löst deshalb einen kleinen Teil des Problems.
03 · PraxisPraxisbeispiel: So sehen automatisierte Anfragen tatsächlich aus
Wie das in der Realität aussieht, zeigen zwei unveränderte Ausschnitte aus Formularen, die wir betreuen. Alle Einträge stammen aus automatisierten Spam-Übermittlungen.
Beispiel 1: Gmail-Adressen mit auffällig vielen Punkten
Schon auf den ersten Blick fällt die Häufung von Punkten auf. Interessanter ist der zweite Blick: to.we.xe.co2.3@gmail.com taucht zweimal zeichengleich auf, t.owex.ec.o.2.3@gmail.com ist eine andere Punktvariante derselben Adresse. Entfernt man die Punkte vor dem @-Zeichen, ergibt sich in allen drei Fällen exakt dieselbe Adresse: towexeco23@gmail.com.
Dasselbe gilt für ur.il.ub.o.ho4.46@gmail.com und u.ri.lub.oh.o.446@gmail.com: unterschiedlich gesetzte Punkte, nach dem Entfernen beide uriluboho446@gmail.com. Ein Formularsystem ohne Normalisierung zählt hier fünf Kontakte, wo es nur zwei Postfächer gibt — und dass eine Adresse sogar zweimal wortgleich auftaucht, zeigt, dass auch eine einfache Prüfung auf Wiederholung gefehlt hat.
Eine ungewöhnliche Schreibweise allein beweist noch keinen Bot — manche Menschen setzen Punkte bewusst. In Verbindung mit gehäuften Anfragen in kurzer Zeit und unsinnigen Formularinhalten ist sie aber ein deutliches Warnsignal.
Beispiel 2: Pflichtfelder ausgefüllt, Inhalt wertlos
Noch eindeutiger ist diese Übermittlung. Im Namensfeld steht eine Zufallsfolge aus Groß- und Kleinbuchstaben, im Feld „Geburtsjahr“ ebenfalls Buchstaben, Postleitzahl und Stadt sind genauso unsinnig. Dazu die zehnstellige Telefonnummer 7472820322 ohne Ländervorwahl und wieder eine Gmail-Adresse mit Punkten zwischen fast jedem Buchstabenpaar: ixo.vi.mi.vu.mez.4.2@gmail.com.
Trotzdem wurde die Anfrage angenommen. Das Formular hat offenbar nur geprüft, ob die Felder ausgefüllt sind — nicht, was darin steht. Mehrere Fehler wären mit einfachen Regeln aufgefallen:
| Feld | Übermittelt | Mögliche Prüfung |
|---|---|---|
| Geburtsjahr | Buchstabenfolge | Vierstellige Zahl in einem sinnvollen Bereich |
| PLZ | Buchstabenfolge | Fünf Ziffern für Deutschland, länderabhängige Formate für AT/CH |
| Name, Stadt | Zufällige Groß-/Kleinschreibung ohne Leerzeichen | Muster-Erkennung als Verdachtsmerkmal, nicht als harte Sperre |
| Gmail-Adresse mit vielen Punkten | Normalisierter Dublettenabgleich gegen frühere Anfragen | |
| Gesamtbild | Mehrere unplausible Felder gleichzeitig | Spam-Score: ab einer Schwelle zurückhalten statt zählen |
Die Regeln dürfen dabei nicht übers Ziel hinausschießen. Internationale Telefonnummern, Doppelnamen, Namen mit Sonderzeichen und Adressen aus Österreich oder der Schweiz müssen weiterhin durchgehen. Wir arbeiten deshalb lieber mit einem Verdachtswert aus mehreren Merkmalen als mit einzelnen harten Sperren.
Was passiert, wenn diese Anfrage als Conversion zählt?
Angenommen, die Anfrage aus Abb. 04 kam über eine Landingpage, die mit Google Ads oder Meta Ads verbunden ist. Dann läuft nach dem Absenden typischerweise diese Kette ab:
- Das Formular meldet „erfolgreich übermittelt“ und leitet auf die Danke-Seite weiter.
- Eine automatische Bestätigungsmail geht an die eingetragene — möglicherweise fremde — Adresse.
- Der Eintrag landet im CRM oder im Postfach des Vertriebs.
- Das Conversion-Tracking registriert einen neuen Lead.
- Besteht eine Anzeigenzuordnung, erscheint die Conversion in Google Ads oder Meta Ads.
- Nutzt die Kampagne automatische Gebotsstrategien, fließt dieser „Erfolg“ in die Optimierung ein.
Am Ende steht eine offensichtlich wertlose Anfrage als Werbeerfolg in den Zahlen — ohne erkennbaren Menschen und ohne Möglichkeit, jemanden zu erreichen.
04 · RisikenWarum Formular-Spam für Unternehmen teuer wird
Ein paar Spam-Einträge pro Woche wirken harmlos. Bei größeren Mengen und angebundenen Prozessen entstehen drei handfeste Probleme.
Echte Anfragen gehen unter
Je mehr Müll im Eingang liegt, desto länger dauert die Sichtung. Echte Interessenten werden später zurückgerufen oder übersehen. Bei zeitkritischen Beratungsanfragen — in der ästhetischen Medizin entscheiden sich viele Patienten für die Praxis, die sich zuerst meldet — kostet das direkt Umsatz.
Bestätigungsmails werden missbraucht
Jede automatisierte Übermittlung kann eine Bestätigungsmail auslösen. Trägt ein Bot fremde Adressen ein, verschickt Ihr Server Nachrichten an Menschen, die nie angefragt haben. Beschwerden, Spam-Markierungen und hohe Versandmengen können die Zustellbarkeit Ihrer gesamten Unternehmensmails verschlechtern. Besonders kritisch ist es, wenn die Bestätigung Formularinhalte oder Links aus den Eingaben wiedergibt — dann wird Ihr Mailserver zum Verteiler für fremde Inhalte.
CRM und Kennzahlen verlieren ihren Wert
Laufen alle Übermittlungen ungeprüft ins CRM, werden Kontaktquoten, Terminquoten, Abschlussquoten und Kosten pro Anfrage unbrauchbar. Eine beeindruckende Lead-Zahl kann dann vollkommen irreführend sein. Ein vereinfachtes Rechenbeispiel zeigt, wie stark die Sicht verzerrt:
| Ebene | Anzahl | Kosten je Kontakt |
|---|---|---|
| Gemessene Formularanfragen | 100 | 30 € |
| davon automatisiert oder offensichtlich falsch | 35 | — |
| davon ohne konkretes Interesse / nicht erreichbar | 25 | — |
| Tatsächlich relevante Anfragen | 40 | 75 € |
Die Kampagne zeigt 30 € pro Lead. Die wirtschaftlich entscheidende Zahl liegt beim Zweieinhalbfachen. Wer Budgets nach der ersten Zahl verteilt, verteilt sie falsch.
05 · Google AdsGoogle Ads: Wenn falsche Conversions die Optimierung steuern
Viele Lead-Kampagnen in Google Ads sind auf Conversions optimiert, und die häufigste Conversion ist das abgeschickte Kontaktformular. Das Problem: Am reinen Conversion-Ereignis erkennt Google nicht, ob dahinter ein Interessent oder ein Bot steckt. Wird jede Übermittlung sofort gezählt, bekommen automatische Gebotsstrategien wie „Conversions maximieren“ oder „Ziel-CPA“ falsche Erfolgssignale.
Verschlechtert Spam den Algorithmus?
Unter bestimmten Voraussetzungen: ja. Es kommt aber darauf an, ob die Spam-Anfrage überhaupt einer Anzeige zugeordnet wird. Ein Bot, der den Formular-Endpunkt direkt anspricht, hat in der Regel keinen Anzeigenklick und keine Click-ID — daraus entsteht dann keine Google-Ads-Conversion, sondern „nur“ ein Problem im Posteingang und im CRM.
Kritisch wird es, wenn automatisierte oder minderwertige Übermittlungen über Anzeigenklicks hereinkommen und als gültige Conversion zählen. Dann lernt das System, welche Suchanfragen, Placements und Zielgruppen solche „Erfolge“ liefern — und kauft mehr davon ein. Die entscheidende Frage lautet deshalb nicht, wie viele Spam-Anfragen eingehen, sondern wie viele davon in der Conversion-Messung landen.
„Ein Gebotsalgorithmus ist nur so gut wie das Signal, auf das er optimiert. Wer Bots als Leads meldet, bezahlt dafür, mehr Bots zu bekommen.“
Die Lösung: qualifizierte Leads statt Formularabschlüsse messen
Google bietet mit Enhanced Conversions for Leads die Möglichkeit, nachgelagerte Ergebnisse aus Ihrem CRM in die Erfolgsmessung zurückzuspielen. So lässt sich unterscheiden zwischen:
- Formular erfolgreich abgesendet
- Kontakt technisch und inhaltlich geprüft
- Qualifizierter Interessent
- Beratungstermin vereinbart
- Kunde gewonnen
Die Kampagne optimiert dann auf das, was im Vertrieb tatsächlich zählt. Der reine Formularabschluss kann als sekundäre Conversion weiter beobachtet werden, steuert aber nicht mehr die Gebote.
06 · Meta AdsMeta Ads: Sind Facebook- und Instagram-Kampagnen ebenfalls betroffen?
Ja — vor allem bei Kampagnen, die Nutzer auf eine externe Landingpage schicken. Löst dort jede Übermittlung ein Lead-Ereignis über das Meta Pixel oder die Conversions API aus, fließt sie in die Kampagnenmessung ein. Meta optimiert die Auslieferung anhand dieser Ereignisse: Werden Spam-Einträge als Lead gemeldet und einer Anzeige zugeordnet, verfälschen sie Performance und Optimierungsgrundlage auf dieselbe Weise wie bei Google.
| Variante | Wo das Formular liegt | Wer für den Schutz zuständig ist |
|---|---|---|
| Instant Forms | Direkt in Facebook oder Instagram | Überwiegend Meta mit plattformeigenen Prozessen; Qualität trotzdem prüfen |
| Website-Formulare | Externe Landingpage | Der Websitebetreiber — Formularschutz und Ereignisauslösung liegen bei Ihnen |
Eine zusätzliche Fehlerquelle: Werden Website-Leads gleichzeitig über Pixel und Conversions API gemeldet, muss die Deduplizierung über eine gemeinsame Event-ID sauber funktionieren. Sonst zählt Meta neben Spam-Anfragen auch echte Leads doppelt.
Für Meta gilt dieselbe Empfehlung wie für Google: Kampagnen nach Möglichkeit auf hochwertige Ereignisse ausrichten — bestätigte Termine, qualifizierte Anfragen — und CRM-Ergebnisse zurückmelden. Spam-Einträge dürfen nie ungeprüft als Lead-Ereignis weitergegeben werden. Wie wir Meta-Kampagnen aufsetzen, beschreiben wir auf unserer Seite zur Social-Media-Agentur.
07 · SystemeSind vor allem WordPress-Websites betroffen?
WordPress ist wegen seiner Verbreitung ein häufiges Ziel automatisierter Angriffe. Daraus folgt aber nicht, dass WordPress-Formulare grundsätzlich anfälliger sind. Entscheidend ist, wie das einzelne Formular gebaut und abgesichert ist — nicht das CMS. Betroffen sein können unter anderem:
- WordPress mit Elementor Forms, Gravity Forms, Contact Form 7 oder WPForms
- TYPO3- und Shopify-Formulare
- Individuell entwickelte PHP- oder JavaScript-Formulare
- Externe Landingpage- und Funnel-Baukästen
Ein klassisches Kontaktformular mit Name, E-Mail und Nachricht ist für einen Bot schnell ausgefüllt. Die Zahl der Felder ist aber nicht der Punkt. Die zentrale Frage lautet: Wird die Übermittlung auf dem Server geprüft? Ist das nicht der Fall, schützt auch die aufwendigste Landingpage nicht, weil der Bot die Oberfläche gar nicht benutzt. Bei unseren eigenen WordPress-Websites und HTML-Websites ist die serverseitige Prüfung deshalb Standard.
08 · Multi-StepSind Multi-Step-Formulare eine Lösung gegen Spam?
Mehrstufige Formulare führen Besucher Schritt für Schritt durch eine Anfrage. Bei einer medizinischen Beratungsanfrage könnte das so aussehen:
- Schritt 1: Für welche Behandlung interessieren Sie sich?
- Schritt 2: Welche Ausgangssituation liegt vor?
- Schritt 3: Wann wünschen Sie eine Beratung?
- Schritt 4: Wie können wir Sie erreichen?
Das hat echte Vorteile: Die Praxis erhält schon vor dem Erstkontakt wichtige Informationen, die Antworten liefern Hinweise auf ernsthaftes Interesse, und die Angaben lassen sich auf Zusammenhänge prüfen. Für die Lead-Qualifizierung setzen wir Multi-Step-Formulare deshalb gern ein.
Mehr Schritte heißt nicht mehr Sicherheit
Bots durchlaufen auch mehrere Schritte — oder überspringen sie, indem sie die Daten direkt an den Server schicken. Prüft das Formular nur im Browser, ob alles ausgefüllt ist, lässt sich diese Kontrolle umgehen. Multi-Step-Formulare sind ein Werkzeug für Nutzerführung und Qualifizierung, keine Sicherheitslösung. Die Schutzwirkung entsteht erst durch serverseitige Prüfung, Bot-Erkennung und Validierung aller Daten.
09 · SchutzWelche Maßnahmen wirklich gegen Formular-Spam helfen
Eine einzelne Maßnahme reicht nicht. Zuverlässig wird der Schutz erst durch mehrere aufeinander abgestimmte Ebenen. Das Grundprinzip zeigt Abb. 10: Erst prüfen, dann speichern, dann zählen — und nur das Qualifizierte an die Werbeplattform zurückmelden.
Turnstile oder reCAPTCHA — serverseitig geprüft
Bot-Erkennung wie Cloudflare Turnstile oder Google reCAPTCHA unterscheidet Menschen von Programmen, bei Turnstile meist ohne sichtbares Bilderrätsel. Der entscheidende Teil passiert aber auf dem Server: Das Token des Widgets muss bei jeder Übermittlung gegen die API geprüft werden. Ein nur eingebundenes Widget, dessen Ergebnis niemand kontrolliert, schützt nicht.
Honeypot-Felder
Ein Honeypot ist ein Feld, das Menschen nicht sehen und deshalb nicht ausfüllen. Kommt es gefüllt an, ist das ein starkes Bot-Indiz. Einfach umzusetzen und wirksam gegen simple Bots — gut gebaute Bots erkennen solche Felder allerdings. Wir setzen Honeypots auf unserer eigenen Website ein, aber nie als einzige Maßnahme.
Gmail-Adressen normalisieren
Für die Dublettenerkennung bei gmail.com und googlemail.com werden Punkte im Nutzernamen und ein eventueller Plus-Zusatz entfernt und die Domain vereinheitlicht. Aus max.mustermann+test@googlemail.com wird intern maxmustermann@gmail.com. Gespeichert wird weiterhin die Originaleingabe; der normalisierte Wert dient nur dem Vergleich.
Bei geschäftlichen Domains können Punkte eine andere Person bedeuten. Und eine Dublette darf nicht verhindern, dass ein echter Interessent sich ein zweites Mal meldet — sie sollte die Anfrage zusammenführen, nicht verwerfen.
Rate Limiting
Begrenzen Sie, wie viele Übermittlungen in einem Zeitraum verarbeitet werden — je IP-Adresse, Sitzung, Formular, normalisierter E-Mail-Adresse oder anhand von Netzwerk- und Verhaltensmerkmalen. Zehn Anfragen in zwanzig Sekunden sind kein Interessent. Die Grenzen sollten so gewählt sein, dass mehrere Personen hinter einem Firmen- oder Klinikanschluss nicht ausgesperrt werden.
Serverseitige Validierung
Pflichtfelder, zulässige Formate, Feldlängen, Plausibilität (siehe Tabelle oben), Kontrolle des Bot-Schutz-Tokens und Schutz gegen wiederholte Übermittlungen — all das gehört auf den Server. JavaScript-Prüfungen im Browser verbessern die Bedienung, ersetzen die Prüfung auf dem Server aber nicht.
E-Mail-Automationen absichern
Automatische Eingangsbestätigungen kurz und standardisiert halten, keine Formularinhalte und keine Links aus den Eingaben übernehmen, Versandmengen überwachen und begrenzen. So kann niemand Ihren Mailserver als Verteiler missbrauchen.
Conversion erst nach erfolgreicher Prüfung auslösen
Das Lead-Ereignis für Google Ads, Meta Ads und GA4 wird erst ausgelöst, wenn der Server die Anfrage angenommen hat — nicht beim Klick auf „Absenden“ und nicht allein durch den Aufruf der Danke-Seite. Eine eindeutige Anfrage-ID pro Übermittlung verhindert Doppelzählungen und macht spätere Korrekturen möglich.
Wird die Conversion nur über den Aufruf der Danke-Seite gemessen, zählt auch jeder Reload und jeder direkte Aufruf. Besser: Die Danke-Seite nur mit gültiger Anfrage-ID ausliefern oder das Ereignis direkt nach der serverseitigen Annahme senden.
10 · BereinigungWas tun, wenn Spam-Leads schon in Google Ads oder Meta Ads stecken?
Zuerst klären, wann die auffälligen Anfragen begonnen haben. Dann Formular- und Kampagnendaten gemeinsam auswerten. Diese Fragen arbeiten wir dabei ab:
- Welche Formulare sind betroffen, und seit wann?
- Wiederholen sich E-Mail-Adressen in unterschiedlichen Schreibweisen?
- Welche Anfragen wurden tatsächlich als Conversion gemessen?
- Haben diese Conversions einen Bezug zu Google Ads oder Meta Ads (Click-ID, Kampagne)?
- Wurden die Daten bereits ins CRM übertragen?
- Welche Kampagnen zeigen in diesem Zeitraum auffällige Veränderungen bei Conversions und Kosten pro Conversion?
- Wie hoch ist der Anteil tatsächlich qualifizierter Leads?
Erst danach lässt sich sagen, ob die Kampagnen selbst betroffen sind oder vor allem das Formular angegriffen wurde. Für Google Ads können — je nach Tracking-Setup — Conversion-Anpassungen bzw. Retraktionen sinnvoll sein, um bereits gezählte Spam-Conversions zurückzunehmen. Mindestens genauso wichtig ist es, die Messung für die Zukunft zu korrigieren. Bei Meta Ads prüfen wir die übermittelten Lead-Ereignisse, die Deduplizierung und vorhandene CRM-Rückmeldungen.
Unser Aufbau in fünf Ebenen
| Ebene | Inhalt |
|---|---|
| 1 · Technischer Schutz | Turnstile bzw. reCAPTCHA mit Server-Prüfung, Honeypot, serverseitige Validierung, Rate Limiting |
| 2 · Datenqualität | Dublettenerkennung, Normalisierung von Gmail-Adressen, Plausibilitätsprüfung, Verdachtswert |
| 3 · Lead-Qualifizierung | Gezielte Fragen, ggf. Multi-Step-Formular, strukturierte Übergabe ans CRM |
| 4 · Conversion-Tracking | Klare Trennung: abgeschickt, gültig, qualifiziert; Anfrage-ID; Deduplizierung |
| 5 · Kampagnenoptimierung | Gebote auf qualifizierte Leads und Termine ausrichten, CRM-Ergebnisse zurückmelden |
Nicht jede Website braucht dafür ein komplexes System. Die Lösung muss zur Zahl der Anfragen, zum Wert eines Leads und zum Werbebudget passen. Eine Praxis mit zwanzig Anfragen im Monat braucht etwas anderes als ein Immobilienunternehmen mit fünfstelligem Ads-Budget.
Saubere Daten zahlen auch auf GEO ein
Wer weiß, welche Anfragen echt sind, weiß auch, über welche Kanäle echte Interessenten kommen — inklusive Besuchern aus ChatGPT, Perplexity oder Google AI Overviews. Verfälschte Lead-Daten machen genau diese Auswertung unmöglich. Wie Sie KI-Traffic in GA4 sichtbar machen, haben wir in unserem Beitrag zu GA4-Reports beschrieben.
„Nicht jede Formularübermittlung ist eine Anfrage. Nicht jede Anfrage ist ein Lead. Und nicht jeder Lead ist ein potenzieller Kunde.“
Sie sehen auffällige Anfragen in Ihrem Postfach oder sind unsicher, ob Ihre Google-Ads- und Meta-Ads-Zahlen echte Leads zeigen? Dann prüfen wir Formular, Tracking und Kampagnen gemeinsam — der kostenfreie Check ist der richtige Einstieg. Für eine tiefere technische Analyse eignet sich unser Website-Audit.
Quellen
- Google Gmail-Hilfe — Punkte spielen in Gmail-Adressen keine Rolle
- Cloudflare — Turnstile: serverseitige Validierung
- Google — Enhanced Conversions for Leads
- Google Ads API — How enhanced conversions for leads works
- Meta for Developers — Deduplizierung von Pixel- und Server-Events
11 · FAQHäufige Fragen zu Formular-Spam
Automatisierte Programme finden öffentlich erreichbare Formulare und füllen sie wiederholt aus, oft sogar direkt über den technischen Formular-Endpunkt. Fehlen serverseitige Schutzmaßnahmen wie Bot-Prüfung, Honeypot und Plausibilitätsprüfung, werden diese Eingaben wie reguläre Kundenanfragen verarbeitet.
Bei privaten Gmail-Adressen ignoriert Google Punkte im Nutzernamen. max.mustermann@gmail.com und m.axmustermann@gmail.com landen im selben Postfach. Bots nutzen das, um mit einer einzigen Adresse viele scheinbar unterschiedliche Kontakte zu erzeugen und einfache Dublettenprüfungen zu umgehen.
Ja. Bei privaten Gmail-Adressen führen zusätzliche Punkte vor dem @-Zeichen zum selben Postfach, ebenso ein Plus-Zusatz und die Domain googlemail.com. Für Google-Workspace-Adressen mit eigener Domain gilt das nicht automatisch.
WordPress ist wegen seiner Verbreitung ein häufiges Ziel. Die tatsächliche Sicherheit hängt aber von der Umsetzung des einzelnen Formulars ab, vor allem davon, ob die Übermittlung serverseitig geprüft wird. Das gilt genauso für TYPO3, Shopify, eigene PHP-Formulare und Funnel-Baukästen.
Nicht automatisch. Mehrstufige Formulare verbessern die Qualität der Angaben und ermöglichen zusätzliche Plausibilitätsprüfungen. Ohne serverseitige Schutzmaßnahmen können Bots sie jedoch ebenfalls ausfüllen oder die Schritte ganz umgehen.
Ja, wenn unerwünschte Anfragen als gültige, einer Anzeige zugeordnete Conversions in die Gebotsoptimierung eingehen. Dann lernt der Algorithmus aus falschen Erfolgssignalen. Nicht jede Spam-Anfrage beeinflusst Google Ads automatisch: Ohne Anzeigenklick entsteht in der Regel keine Google-Ads-Conversion.
Ja. Vor allem bei externen Landingpages können unerwünschte Formularabschlüsse die Lead-Messung verfälschen, wenn sie über Meta Pixel oder Conversions API als Lead gemeldet und einer Kampagne zugeordnet werden. Zusätzlich muss die Deduplizierung zwischen Pixel und Conversions API stimmen.
Turnstile ist eine sinnvolle Schutzkomponente, wirkt aber nur, wenn das Token bei jeder Übermittlung auf dem Server geprüft wird. Allein bietet es keine Garantie gegen alle Spam-Angriffe. Honeypot, Rate Limiting und serverseitige Validierung gehören dazu.
Nein. Punktvarianten sind bei privaten Gmail-Adressen legitim, und manche Menschen nutzen sie bewusst. Sinnvoller ist eine Normalisierung zur Dublettenerkennung in Kombination mit weiteren Prüfmerkmalen.
Vergleichen Sie Formularprotokolle, Werbeplattformdaten und die Ergebnisse der Kontaktbearbeitung. Wiederholte Adressen in verschiedenen Schreibweisen, unplausible Feldinhalte, plötzlich sinkende Kosten pro Conversion ohne mehr Umsatz und stark abweichende Qualifizierungsquoten sind typische Hinweise.
Für den wirtschaftlichen Erfolg zählen qualifizierte Kontakte. Wenige relevante Anfragen sind wertvoller als viele Formularabschlüsse ohne echtes Kundeninteresse, besonders bei hochpreisigen oder erklärungsbedürftigen Leistungen und medizinischen Beratungsanfragen.
Jörg Strömsdörfer
Seit 2009 Kopf hinter DieWebAG© in Köln. Betreut mit seinem Team Google-Ads- und Meta-Ads-Kampagnen, Landingpages und Formulare für Kliniken, Praxen, Immobilienunternehmen und Shops — und schaut dabei genau hin, welche „Leads“ am Ende wirklich Kunden werden.