Bots bei der Anmeldung: CAPTCHA, Honeypot oder Verifizierung?
Jedes öffentliche Anmeldeformular zieht Bots an: Fake-Konten, erfundene Adressen und fremde Adressen, die massenhaft eingetragen werden. Dieser Leitfaden zeigt, was CAPTCHA, Honeypot und Limits wirklich stoppen, wo sie enden und warum ein verifizierter Absender Bots aus Ihrer Liste hält.
- Was Bots von Ihrem Formular wollen
- Vier Maßnahmen im Vergleich
- Verifizierung als letzte Schicht
Christian Schätzlein, Gründer und Entwickler von Sendity
3 Min. Lesezeit
Welche Anmeldungen kamen von Bots?
Tippen Sie verdächtige Anmeldungen an, dann auflösen.
-
Mensch Formular in 48 Sekunden ausgefüllt.
-
Bot Hat das versteckte Honeypot-Feld ausgefüllt, das nur Bots sehen.
-
Bot Formular in 0,8 Sekunden ausgefüllt.
-
Bot Gleiche Minute, hochgezählte Adresse: ein Skript.
-
Mensch Unauffällig.
-
Nicht erkennbar Sieht echt aus. Ob ein Mensch oder ein CAPTCHA-Lösedienst das Formular ausgefüllt hat, verrät keine Liste.
Anmelden per Nachricht. Ohne Formular, ohne Code.
Sendity ist ein Anmelde-Widget für Ihre Website. Statt ein Formular auszufüllen, schicken Ihre Besucher eine kurze Nachricht per WhatsApp oder E-Mail. Sendity prüft, von wem sie stammt, und übergibt Ihrer Seite den Namen und die verifizierte Telefonnummer oder E-Mail-Adresse.
So funktioniert Sendity →-
Eine Nachricht statt Formular Besucher tippen in WhatsApp oder ihrem E-Mail-Programm auf „Senden“. Nichts abtippen, keine Bestätigungsmail anklicken.
-
Verifiziert durch die Nachricht selbst Der Kontakt stammt vom Absender der Nachricht. Tippfehler und erfundene Adressen landen gar nicht erst in Ihrer Liste.
-
Bezahlt wird pro verifiziertem Kontakt Sie starten mit 1.000 Credits geschenkt, ohne Kreditkarte. Danach Prepaid-Pakete, ohne Abo.
Bots melden sich nicht aus Interesse an. Sie füllen Formulare aus, weil etwas für sie herausspringt oder um jemand anderem zu schaden.
Warum Bots sich anmelden
Konten für Spam, Testzugänge und Gutscheine, zusätzliche Lose im Gewinnspiel. Oder List Bombing: Bots tragen die Adresse eines Opfers in tausende Formulare ein, und Ihre Bestätigungsmail wird Teil des Angriffs.
CAPTCHA
Stoppt einfache Skripte. Lösedienste knacken es gegen eine kleine Gebühr, echte Besucher bezahlen mit Zeit und Geduld. Dienste wie Google reCAPTCHA übertragen Besucherdaten an Dritte, was in der EU datenschutzrechtlich zu prüfen ist.
Honeypot und Zeitprüfung
Ein verstecktes Feld, das nur Bots ausfüllen, und eine Mindestzeit fürs Formular. Kostenlos und für Menschen unsichtbar, aber jeder Bot, der für Ihr Formular geschrieben wurde, umgeht beides.
Limits pro IP-Adresse
Wenige Anmeldungen pro IP-Adresse und Minute bremsen Massenangriffe. Botnetze wechseln tausende Adressen, und Büros oder Mobilfunknetze teilen sich eine.
Den Kontakt verifizieren
Die ersten drei filtern Anfragen. Die Verifizierung prüft das Ergebnis: Gehört die Adresse oder Nummer wirklich dem, der sich anmeldet? Beim Reverse OTP sendet der Besucher einen Code per WhatsApp oder E-Mail, ein Bot braucht also ein echtes Konto, das senden kann.
Schichten statt einer Schranke.
Keine einzelne Maßnahme stoppt jeden Bot. Zusammen machen sie jede Fake-Anmeldung teuer.
Die billigen Bots aussieben
Honeypot und Mindestzeit kosten nichts und fangen die meisten allgemeinen Skripte ab.
Masse bremsen
Limits pro IP-Adresse und pro Kontakt verhindern, dass eine einzelne Quelle Ihr Formular flutet.
Den Absender verifizieren
In Ihre Liste kommt nur ein Kontakt, der eine Nachricht vom eigenen Konto gesendet hat.
CAPTCHA oder verifizierter Absender?
Ein CAPTCHA fragt, ob ein Mensch da ist. Die Verifizierung fragt, wem der Kontakt gehört.
| Aspect | CAPTCHA | Mit Sendity |
|---|---|---|
| Was ein Bot braucht | Einen Lösedienst | Ein funktionierendes WhatsApp-Konto oder Postfach pro Anmeldung |
| Was in Ihrer Liste steht | Eine eingetippte, ungeprüfte Adresse | Der verifizierte Absender |
| Fremde Adressen | Bekommen Ihre Bestätigungsmail | Bekommen nichts: Sie verschicken nichts |
| Aufwand für Menschen | Rätsel lösen, dann bestätigen | Einmal auf Senden tippen |
Was ein verifizierter Absender ändert.
Wenn der Kontakt aus der Nachricht stammt, verlieren Bots ihre billigsten Tricks.
Keine Rätsel für Menschen
Besucher tippen auf Senden, statt Ampeln anzuklicken.
Kein List Bombing
Sie schreiben keine eingetippten Adressen an, also können Bots Ihre Mails nicht auf ein Opfer richten.
Ein Kontakt, ein Eintrag
Lassen Sie jede verifizierte Nummer oder Adresse nur einmal zu, dann bringt ein Bot-Konto höchstens einen Eintrag.
In wenigen Minuten auf Ihrer Seite.
Sendity läuft als kompaktes Widget auf Ihrer Seite. Wählen Sie den Weg, der zu Ihrer Website passt.
Bots bei der Anmeldung: häufige Fragen.
Reicht ein Honeypot?
Gegen allgemeine Skripte oft ja. Sobald jemand gezielt Ihr Formular angreift, hilft er nicht mehr. Behalten Sie ihn als kostenlose erste Schicht.
Kann ein Bot eine WhatsApp-Nachricht senden?
Ja, wenn er ein echtes WhatsApp-Konto steuert. Jedes Konto braucht eine funktionierende Telefonnummer. Lassen Sie jede verifizierte Nummer nur einmal zu, bringt ein Konto einen Eintrag.
Und per E-Mail?
Sendity prüft, dass die Mail wirklich aus dem Postfach stammt (DKIM). Wer eine eigene Domain hat, kann trotzdem viele Postfächer anlegen. Kombinieren Sie E-Mail dort, wo es darauf ankommt, mit Limits pro Domain.
Brauche ich dann noch ein CAPTCHA?
Nicht vor der Verifizierung: Ein Bot, der keine Nachricht sendet, erreicht nichts, und Sie bezahlen nichts. Für andere Formulare auf Ihrer Seite kann es weiter sinnvoll sein.
Weiterlesen.
Fachlich geprüft im von Christian Schätzlein.
Anmeldungen mit verifiziertem Absender.
Probieren Sie die Live-Demo auf Ihrem Handy aus, in zehn Sekunden sind Sie durch.