Drupal Webform und Spamschutz ohne reCAPTCHA

Drupal Webform ist ein Contrib-Modul, also eine Erweiterung aus der Community. Es ist für Formulare gedacht, die mehr können müssen als das Kontaktformular aus dem Drupal-Core. Der Core ist das Grundsystem von Drupal. Gegen Spam schützen Sie beide Formulararten mit denselben Zusatzmodulen. Wie das in der Praxis aussieht, zeigen wir am Kontaktformular von redorbit.de.

Core-Kontaktformular oder Drupal Webform

Mit dem Core-Modul Contact legen Sie Kontaktformulare für die ganze Website und persönliche Formulare für einzelne Benutzer an. Über die Feldverwaltung lassen sich weitere Felder ergänzen, auf redorbit.de zum Beispiel Firma, Telefon und Anliegen. Die Nachricht geht per E-Mail an die eingetragenen Empfänger. In der Datenbank speichert Drupal sie nicht.

Webform ist dagegen ein Baukasten für Formulare aller Art. Er bietet mehrseitige Formulare mit Bedingungen, Datei-Uploads, E-Mail-Benachrichtigungen und eine Liste aller Einsendungen mit Export. Version 6.3 (Stand Oktober 2026) läuft mit Drupal 10.3 und Drupal 11.

Das Core-Modul Contact ist seit Drupal 11.4 als veraltet markiert und entfällt mit Drupal 12. So steht es in der Liste der veralteten Core-Module, die als Ersatz ein gleichnamiges Contrib-Modul nennt. Auch das Kontaktformular von redorbit.de baut auf dem Core-Modul auf und muss vor Drupal 12 umziehen.

Das Contrib-Modul Contact liegt in Version 1.0.0 vor und steht, Stand Oktober 2026, nicht unter dem Schutz des Drupal Security Teams. Für Lücken in diesem Modul gibt es also keine offiziellen Sicherheitshinweise.

Webform in drei Schritten einrichten

Verkürzt nach der Einführung zu Webform auf drupal.org:

1. Modul herunterladen. Auf einer mit Composer verwalteten Website holt composer require drupal/webform das Modul. Composer ist das Programm, das Drupal und seine Module installiert.
2. Module aktivieren. Schalten Sie unter Erweitern die Module Webform und Webform UI ein. Webform UI liefert die Oberfläche, mit der Sie Formulare im Browser bauen.
3. Formular anlegen. Unter Struktur › Webforms erstellen Sie ein neues Formular. In den Einstellungen des Formulars legen Sie fest, ob nach dem Absenden eine Danke-Seite, eine Meldung oder eine Weiterleitung folgt.

Was mit einer Einsendung passiert, regeln sogenannte Handler. Sie verschicken zum Beispiel E-Mails oder übergeben die Daten per HTTP-Anfrage an ein anderes System. Der Handler heißt in Webform „Remote HTTP Operations“, früher Remote Post.

Fünf Schutzmaßnahmen gegen Formular-Spam

Spam in Formularen stammt meist von Bots. Das sind Programme, die Formulare automatisch ausfüllen und abschicken, oft um Werbung oder Links zu verbreiten. Vier der fünf Maßnahmen bemerken Besucher in der Regel nicht. Zwei davon, Lockfeld und Zeitsperre, bringt das Modul Honeypot mit.

Drupal Honeypot mit Lockfeld und Zeitsperre

Ein Honeypot, englisch für Honigtopf, ist ein Lockfeld im Formular, das Besucher nicht sehen. Ein Bot, der jedes Feld befüllt, verrät sich dadurch, und Drupal lehnt die Einsendung ab. Das Modul Honeypot nennt dieses Feld ab Werk „url“.

Gegen Bots, die sich nicht verraten, hilft eine Zeitsperre. Dafür merkt sich Honeypot, wann das Formular geladen wurde, und weist Einsendungen ab, die schneller als eine Mindestzeit zurückkommen. In der Grundeinstellung sind das fünf Sekunden. Lockfeld und Zeitsperre lassen sich im Core-Kontaktformular und in jeder Webform einschalten.

Drupal hält fertige Seiten in einem Zwischenspeicher bereit, dem Seiten-Cache, und liefert sie von dort schnell aus. Damit Honeypot den Zeitpunkt des Ladens richtig messen kann, holt Drupal Seiten mit Zeitsperre nicht aus dem Seiten-Cache. Der Server erzeugt sie bei jedem Aufruf neu.

JavaScript-Prüfung mit Antibot

JavaScript ist die Programmiersprache, die im Browser läuft. Antibot liefert Formulare zunächst ohne gültige Zieladresse und ohne Prüfschlüssel aus. Erst wenn sich die Maus bewegt, ein Finger über den Bildschirm wischt oder jemand Tab oder Enter drückt, setzt ein Skript beides ein.

Ein Bot, der das Formular direkt an den Server schickt, kommt so nicht durch. Besucher ohne JavaScript sehen statt des Formulars einen Hinweis, dass JavaScript nötig ist. In der Grundeinstellung schützt Antibot unter anderem Kontaktformulare aus dem Core. Für eine Webform schalten Sie den Schutz in den Einstellungen des Formulars ein.

Inhaltsfilter

Ein Inhaltsfilter prüft den Text der Nachricht selbst. Er fängt auch Spam, den ein Mensch von Hand einträgt. Auf redorbit.de lehnt er etwa HTML-Links ab, die wir in echten Anfragen nicht erwarten.

Technisch ist so ein Filter eine kleine Formularprüfung in einem eigenen Modul. Die Regeln richten sich nach den Spam-Mustern, die bei Ihnen ankommen. Solche Prüfungen gehören zur Drupal-Modulentwicklung.

Captcha in Drupal

Ein Captcha ist eine kleine Aufgabe, die Menschen lösen können und Programme möglichst nicht. In Drupal liefert das Modul CAPTCHA solche Aufgaben. Eigene Aufgaben bringt es mit, etwa ein Bild mit Zeichen zum Abtippen. Weitere Verfahren wie reCAPTCHA, Friendly Captcha, Cloudflare Turnstile oder ALTCHA kommen über Zusatzmodule dazu.

Wie bei der Zeitsperre kommt auch eine Seite mit Captcha-Aufgabe nicht aus dem Seiten-Cache. Honeypot, CAPTCHA und weitere Erweiterungen stellen wir in unserem Überblick über Drupal-Module vor.

Google reCAPTCHA und Datenschutz

Google reCAPTCHA wird von Google-Servern geladen. Laut Google setzt es bei der Ausführung ein Cookie namens _GRECAPTCHA für seine Risikoanalyse. Ein Cookie ist eine kleine Datei, die eine Website im Browser des Besuchers ablegt.

Nach § 25 TDDDG ist das Speichern von Informationen auf dem Gerät des Nutzers grundsätzlich nur mit Einwilligung zulässig. Ausgenommen ist, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Wie das für reCAPTCHA zu bewerten ist, klären Sie bitte mit Ihrem Datenschutzbeauftragten. Dieser Beitrag ist keine Rechtsberatung.

Hängt reCAPTCHA an der Einwilligung im Cookie-Banner (englisch Consent), fehlt der Schutz bei allen Besuchern, die ablehnen. Auf der alten redorbit.de lief reCAPTCHA v3. Beim Relaunch haben wir es durch Honeypot ersetzt und das Modul anschließend ganz entfernt.

So haben wir redorbit.de abgesichert

Die neue redorbit.de ging am 8. Oktober 2026 online. Schon um 11:58 Uhr kam die erste Spam-Nachricht. Sie enthielt einen HTML-Link. Noch am selben Tag haben wir den Schutz in drei Schritten erweitert und danach getestet:

1. Antibot eingeschaltet. Version 2.0.5 greift in der Grundeinstellung beim Core-Kontaktformular und setzt bei uns keine Cookies.
2. Zeitsperre verlängert. Die Honeypot-Zeitsperre stand bei uns auf drei Sekunden, jetzt sind es sechs. Abgewiesene Versuche schreibt Drupal ins Protokoll.
3. Inhaltsfilter ergänzt. Ein eigenes Modul lehnt Nachrichten mit HTML- oder BBCode-Links und mit mehr als zwei Webadressen ab. Der Absender bekommt einen Hinweis und unsere E-Mail-Adresse.
4. Getestet. Eine per Skript abgeschickte Einsendung wurde abgewiesen, eine normale Nachricht mit einer Webadresse kam an. Ein HTML-Link führte zur Ablehnung mit Hinweis.

Ob das auf Dauer reicht, beobachten wir. Kommt weiter Spam durch, ist ein Captcha wie Friendly Captcha unsere nächste Stufe.

Anfragen messen mit Danke-Seite und Analytics

Erst wenn Bots draußen bleiben, zeigt die Zahl der Einsendungen, wie viele echte Anfragen kommen. Google Analytics 4 (GA4), der Statistikdienst von Google, erfasste das Absenden des Formulars bei uns zunächst nicht. Dort standen nur Standardereignisse wie Seitenaufrufe.

Seit dem 9. Oktober leitet das Kontaktformular nach dem Senden auf die Seite /kontakt/danke weiter. Diese Seite ist für Suchmaschinen gesperrt und nur unmittelbar nach dem Absenden erreichbar. Wer die Adresse von Hand aufruft, landet wieder beim Formular.

Ein Ereignis ist in GA4 eine erfasste Handlung, etwa ein Seitenaufruf. Jeder Aufruf der Danke-Seite zählt dort als Ereignis „kontaktanfrage“. Wir haben es als Schlüsselereignis markiert. So heißen in GA4 die Ziele, auf die es ankommt.

GA4 lädt auf redorbit.de erst nach Zustimmung im Cookie-Banner. Anfragen von Besuchern, die ablehnen, fehlen in dieser Zählung.

Was wir für Ihre Formulare tun

Wir richten Formulare in Drupal ein, vom Kontaktformular bis zur mehrseitigen Webform, und schützen sie mit den passenden Maßnahmen. Fehlt eine Prüfung für die Spam-Muster auf Ihrer Website, schreiben wir sie als eigenes Modul.

In der Drupal-Wartung halten wir Webform, Honeypot und Antibot aktuell und planen den Umzug des Kontaktformulars vor Drupal 12. Wenn Ihr Formular gerade mit Spam kämpft, schreiben Sie uns über das Kontaktformular.