Spam-Schutz, Captcha und Spam-Ordner

Formulare ziehen Spam an. Funnelforms schützt jedes Formular im neuen Renderer von Haus aus. Was eindeutig von einem Bot kommt, lehnt Funnelforms ab. Was nur verdächtig ist, landet im Spam-Ordner: Dort geht nichts verloren, aber es geht auch keine Mail raus. Zusätzlich kannst du für die ganze Website ein Captcha und Akismet einschalten und in Pro eigene Sperrlisten führen.

Voraussetzungen

Funnelforms Free 5.0 oder Funnelforms Pro 5.0. Eingebauter Schutz, Captcha, Spam-Ordner und Akismet sind in beiden Ausgaben enthalten. Die Sperrlisten (nur Pro) gibt es nur in Funnelforms Pro.
Du hast das Recht „Einstellungen ändern“.
Für das Captcha brauchst du ein Konto bei Cloudflare Turnstile, hCaptcha oder Google reCAPTCHA und von dort einen Website-Schlüssel und einen geheimen Schlüssel.
Für Akismet ist das Akismet-Plugin installiert und mit einem Schlüssel verbunden.
Den Spam-Ordner siehst du mit dem Recht „Einträge sehen“.

Wo finde ich die Funktion?

Für die ganze Website: Funnelforms → Einstellungen → Einträge und Spam, Karten „Spam-Schutz“, „Spam-Ordner“ und „Sperrlisten“ (nur Pro)
Für ein Formular: Formular öffnen → Arbeitsbereich Einstellungen → Abschnitt Spam-Schutz
Der Spam-Ordner: Funnelforms → Einträge, Reiter Spam

Funktionen im Überblick

Eingebauter Schutz in jedem Formular im neuen Renderer: verstecktes Feld, Zeitprüfung und eine Grenze für Einträge pro Besucher.
Captcha für alle Formulare: Cloudflare Turnstile, hCaptcha, Google reCAPTCHA v2 oder Google reCAPTCHA v3.
Speichern und Schlüssel testen prüft die Schlüssel beim Anbieter.
Spam-Ordner: verdächtige Einträge senden nichts und werden nach einer einstellbaren Zahl von Tagen gelöscht. Kein Spam holt sie zurück.
Einträge mit Akismet prüfen, wenn das Akismet-Plugin aktiv ist.
Sperrlisten (nur Pro): Wörter und Wendungen, E-Mail-Adressen und Domains, IP-Adressen und Bereiche sowie Wegwerf-E-Mail-Adressen.
Je Formular: das Captcha der Website ein- oder ausschalten.
Oben in der Karte „Spam-Schutz“ steht „Deine Formulare sind geschützt durch:“ mit allem, was gerade aktiv ist.

Schritt-für-Schritt-Anleitung

Ein Captcha einrichten

Lege beim Anbieter ein Widget für deine Website an und notiere Website-Schlüssel und geheimen Schlüssel. Der Link Schlüssel holen neben jedem Dienst führt zum Anbieter.
Öffne Funnelforms → Einstellungen → Einträge und Spam.
Wähle in der Karte „Spam-Schutz“ unter Captcha den Dienst.
Trage den Website-Schlüssel und den Geheimen Schlüssel ein.
Für Google reCAPTCHA v3: Passe bei Bedarf Niedrigster Score eines Menschen (reCAPTCHA v3) an. 0.5 passt für die meisten Websites.
Klicke auf Speichern und Schlüssel testen.
Öffne eine Seite mit einem Formular und prüfe, dass im Kontaktschritt das Captcha erscheint.

Zum Ausschalten wählst du unter Captcha den Eintrag Keine und klickst auf Speichern.

Den Spam-Ordner einstellen

Öffne Funnelforms → Einstellungen → Einträge und Spam, Karte „Spam-Ordner“.
Trage bei Spam löschen nach (Tagen) ein, wie lange Spam bleibt. 0 behält Spam, bis du ihn löschst.
Trage bei Bedarf die Kürzeste Zeit zum Ausfüllen eines Formulars (Sekunden) ein.
Trage bei Bedarf Höchstens Einträge pro Besucher und Stunde ein.
Hake Einträge mit Akismet prüfen an, wenn du Akismet nutzen willst.
Klicke auf Speichern.

Sperrlisten anlegen (nur Pro)

Öffne Funnelforms → Einstellungen → Einträge und Spam, Karte „Sperrlisten“.
Trage je Zeile einen Eintrag in Wörter und Wendungen, E-Mail-Adressen und Domains oder IP-Adressen und Bereiche ein, zum Beispiel example.com oder 203.0.113.0/24.
Schalte bei Bedarf Wegwerf-E-Mail-Adressen ein.
Wähle je Liste, was mit passenden Einträgen passiert: In den Spam-Ordner legen oder Mit neutraler Meldung ablehnen.
Klicke auf Speichern.

Das Captcha für ein Formular abschalten

Öffne das Formular und wechsle in den Arbeitsbereich Einstellungen.
Öffne den Abschnitt Spam-Schutz.
Schalte Im Kontaktschritt nach … fragen aus.
Veröffentliche das Formular.

Einen Eintrag aus dem Spam-Ordner zurückholen

Öffne Funnelforms → Einträge und klicke auf den Reiter Spam.
Öffne den Eintrag. Die Seitenleiste nennt, warum er nach Spam aussieht.
Klicke auf Kein Spam. Für mehrere Einträge setzt du Häkchen und klickst unten auf Kein Spam.

Erklärungen

Was lehnt Funnelforms ab, was kommt in den Spam-Ordner?

Abgelehnt wird, was kein Mensch sein kann oder eine feste Grenze überschreitet:

eine Sendung innerhalb von 3 Sekunden nach dem ersten Klick im Formular,
ein nicht bestätigtes Captcha,
mehr als zehn Einträge je Besucher und Formular innerhalb von zehn Minuten,
mehr Einträge pro Stunde, als du bei Höchstens Einträge pro Besucher und Stunde einträgst (über alle Formulare).

In den Spam-Ordner kommt, was auch von einem Menschen stammen könnte:

ein ausgefülltes verstecktes Feld („Ein verstecktes Feld wurde ausgefüllt, wie es Bots tun“),
eine Sendung schneller als die Kürzeste Zeit zum Ausfüllen eines Formulars,
ein niedriger Score von reCAPTCHA v3,
ein Treffer bei Akismet,
ein Treffer in einer Sperrliste mit In den Spam-Ordner legen (nur Pro).

Besucher werden für die Grenzen an einem Hash ihrer IP-Adresse erkannt; die IP-Adresse selbst wird dafür nicht gespeichert.

Was passiert im Spam-Ordner?

Ein Eintrag im Spam-Ordner sendet keine Mail und löst keine Aktion, Integration oder Conversion aus. Er zählt in keiner Statistik. Der Besucher sieht trotzdem dieselbe Bestätigung wie bei jedem Eintrag. Kein Spam holt einen Eintrag zurück und sendet, was zurückgehalten wurde. Spam wird nach den Tagen bei Spam löschen nach (Tagen) gelöscht, voreingestellt nach 30 Tagen.

Welche Captcha-Dienste gibt es?

Dienst	Was Besucher sehen
Cloudflare Turnstile	Kostenlos und meist unsichtbar: Besucher müssen selten ein Rätsel lösen. Empfohlen.
hCaptcha	Auf Datenschutz ausgerichtet; verlangt manchmal ein Rätsel.
Google reCAPTCHA v2	Das Kästchen „Ich bin kein Roboter“.
Google reCAPTCHA v3	Unsichtbar: Google bewertet jeden Besucher von 0.0 (Bot) bis 1.0 (Mensch). Einträge unter dem eingestellten Score landen im Spam-Ordner, statt abgelehnt zu werden.

Das Captcha erscheint im Kontaktschritt jedes Formulars, das kein eigenes Captcha hat. Das Plugin prüft jede Antwort beim Anbieter, bevor es den Eintrag speichert. Dabei gehen der geheime Schlüssel, die Antwort des Widgets und die IP-Adresse des Besuchers an den Anbieter.

Was sagt „Speichern und Schlüssel testen“?

„Die Schlüssel funktionieren …“: Der Anbieter kennt den geheimen Schlüssel, und der Website-Schlüssel hat die richtige Form.
„Der Website-Schlüssel sieht nicht wie ein Schlüssel dieses Dienstes aus …“: Vielleicht hast du die Schlüssel vertauscht oder einen anderen Dienst gewählt.
„Der Dienst kennt diesen geheimen Schlüssel nicht …“: Kopiere ihn noch einmal beim Anbieter.
„Der Dienst war nicht erreichbar …“: Versuche es später noch einmal.

Was ist mit Formularen, die reCAPTCHA aus Funnelforms 3 nutzen?

Formulare mit eigenen reCAPTCHA-Schlüsseln aus Funnelforms 3 behalten ihr reCAPTCHA. Im neuen Renderer prüft das Plugin auch diese Antwort beim Anbieter.

Wann lädt das Skript des Anbieters?

Das hängt vom Datenschutzmodus unter Einstellungen → Allgemein ab:

EU (DSGVO), voreingestellt: Das Skript lädt sofort nur, wenn dein Cookie-Banner über die WP Consent API eine Einwilligung für Marketing meldet. Sonst zeigt der Kontaktschritt einen Knopf wie „Spamschutz von Cloudflare laden, um das Formular zu senden“. Erst nach dem Klick lädt das Captcha.
Global (Opt-out): Das Skript lädt sofort, außer der Besucher hat abgelehnt oder sein Browser sendet Global Privacy Control.
Uneingeschränkt (auf eigene Verantwortung): Das Skript lädt immer sofort.

Ohne bestätigtes Captcha kann der Besucher nicht absenden. Erwähne den Anbieter in deiner Datenschutzerklärung.

Wie bleibt der geheime Schlüssel erhalten?

Das Feld Geheimer Schlüssel ist nach dem Speichern leer und zeigt „Gespeichert; leer lassen, um ihn zu behalten“. Lässt du es leer, bleibt der gespeicherte Schlüssel gleich, solange du den Dienst nicht wechselst.

Was schickt Akismet an Automattic?

Akismet nutzt den Schlüssel deines Akismet-Plugins. Name, E-Mail-Adresse, eingegebener Text, Seite, Sprache, Browser und IP-Adresse jedes Eintrags gehen zur Prüfung an Automattic (USA); im EU-Datenschutzmodus wird die IP-Adresse vorher gekürzt. Ist Akismet nicht erreichbar, wird der Eintrag normal angenommen. Holst du einen Eintrag mit Kein Spam zurück, meldet Funnelforms Akismet den Irrtum. Erwähne Akismet in deiner Datenschutzerklärung.

Wie arbeiten die Sperrlisten? (nur Pro)

Wörter und Wendungen: eins pro Zeile. Funnelforms sucht sie als ganzes Wort in den Eingaben der Besucher, ohne auf Groß- und Kleinschreibung zu achten. E-Mail-Adressen und Telefonnummern gehören nicht dazu.
E-Mail-Adressen und Domains: eins pro Zeile, eine Adresse wie name@example.com oder eine Domain wie example.com mit ihren Subdomains.
IP-Adressen und Bereiche: eins pro Zeile, eine IPv4- oder IPv6-Adresse oder ein Bereich wie 203.0.113.0/24.
Wegwerf-E-Mail-Adressen: eine eingebaute Liste bekannter Wegwerf-E-Mail-Dienste wie Mailinator oder Trashmail.

Passen mehrere Listen, gilt die strengere Aktion. Abgelehnte Besucher sehen die allgemeine Fehlermeldung des Formulars, die keinen Grund nennt. Voreingestellt ist In den Spam-Ordner legen.

Was zeigt der Spam-Schutz im Formular?

Der Abschnitt Spam-Schutz im Formular zeigt „Dieses Formular ist geschützt durch:“ mit allem, was für dieses Formular gilt. Den Schalter Im Kontaktschritt nach … fragen siehst du, sobald für die Website ein Captcha eingerichtet ist. Schalte ihn nur für Formulare ab, die kein Captcha brauchen, etwa interne. Einträge, die nach Spam aussehen, landen trotzdem im Spam-Ordner.

Best Practices

Lass den eingebauten Schutz an und füge ein Captcha erst hinzu, wenn Spam durchkommt.
Schau regelmäßig in den Spam-Ordner und hole echte Anfragen mit Kein Spam zurück.
Nutze in Pro Sperrlisten mit In den Spam-Ordner legen, solange du nicht sicher bist, dass eine Regel nur Spam trifft.
Erwähne Captcha-Anbieter und Akismet in deiner Datenschutzerklärung.

Troubleshooting

Problem	Ursache	Lösung
Das Captcha erscheint nicht	Website-Schlüssel oder geheimer Schlüssel fehlt, das Formular hat das Captcha abgeschaltet oder es nutzt noch Funnelforms 3	Beide Schlüssel eintragen; im Formular unter Einstellungen → Spam-Schutz prüfen; Formular im neuen Renderer prüfen
Captcha springt nach dem Speichern auf Keine	Der Website-Schlüssel war leer	Website-Schlüssel eintragen und erneut speichern
Statt des Captchas steht ein Knopf „Spamschutz von … laden, um das Formular zu senden“	Datenschutzmodus EU und keine Einwilligung für Marketing	Das ist gewollt. Nach dem Klick lädt das Captcha
Eine echte Anfrage hat keine Mail ausgelöst	Der Eintrag liegt im Spam-Ordner	Im Reiter Spam öffnen und Kein Spam klicken
Einträge mit Akismet prüfen ist ausgegraut	Das Akismet-Plugin ist nicht aktiv oder hat keinen Schlüssel	Akismet installieren und mit einem Schlüssel verbinden
Echte Einträge werden abgelehnt	Absenden war zu schnell, das Limit pro Besucher ist erreicht oder eine Sperrliste lehnt ab	Eine Weile warten; in Pro die Sperrlisten prüfen
Die Karte „Sperrlisten“ fehlt	Du nutzt Funnelforms Free	Sperrlisten gibt es nur in Pro

Tipps

Tipp: Mit Speichern und Schlüssel testen merkst du vertauschte Schlüssel sofort, nicht erst beim ersten Besucher.

Das Captcha der Website erscheint nur im Kontaktschritt.
Im Website-Zustand und in der Diagnose siehst du, welches Captcha und welcher Datenschutzmodus eingestellt ist.
Der Reiter Spam zeigt die Zahl der Einträge darin.

FAQ

Welche Captcha-Dienste gibt es? Cloudflare Turnstile, hCaptcha, Google reCAPTCHA v2 und Google reCAPTCHA v3 für die ganze Website. Formulare aus Funnelforms 3 können ihr eigenes reCAPTCHA behalten.

Brauche ich ein Captcha? Nicht unbedingt. Jedes Formular im neuen Renderer hat einen eingebauten Schutz und den Spam-Ordner.

Bekommt der Besucher mit, dass sein Eintrag im Spam-Ordner liegt? Nein. Er sieht dieselbe Bestätigung wie bei jedem Eintrag.

Wie viele Einträge darf ein Besucher senden? Standardmäßig zehn je Formular innerhalb von zehn Minuten. Mit Höchstens Einträge pro Besucher und Stunde setzt du eine Grenze über alle Formulare.

Gibt es Sperrlisten in Free? Nein. Spam-Ordner, Captcha und Akismet gibt es in Free und Pro, die Sperrlisten nur in Pro.