WordPress-Spam eliminieren ohne Performance zu opfern

Das Kontaktformular quillt über, Kommentare sind voller Werbung, und das Anmeldeformular wird missbraucht. Die erste Reaktion vieler WordPress-Betreiber: reCAPTCHA einbauen. Das stoppt den Spam tatsächlich, aber es kostet auch. Und zwar Ladezeit, Nutzererfahrung und manchmal sogar Conversions.

Warum reCAPTCHA deine Website verlangsamt

Google reCAPTCHA v2 und v3 laden externe Skripte von Googles Servern. Das sind oft 100-200 KB JavaScript, die bei jedem Seitenaufruf geladen werden, auch wenn der Besucher gar nicht mit einem Formular interagiert. Konkrete Auswirkungen:

• Zusätzliche HTTP-Requests blockieren das initiale Rendering
• Cookies von Google werden gesetzt, was Cookie-Banner komplizierter macht
• Core Web Vitals, besonders der TBT (Total Blocking Time), verschlechtern sich
• Auf mobilen Verbindungen summiert sich das zu spürbaren Verzögerungen

Warum das wichtig ist, erklärt unser Artikel zu langsamen Websites und Kundenverlusten.

Die Honeypot-Methode: Spam stoppen ohne Skripte

Das Prinzip ist simpel und effektiv: Du fügst dem Formular ein verstecktes Feld hinzu, das für echte Nutzer unsichtbar ist (via CSS). Spam-Bots füllen dieses Feld automatisch aus, echte Menschen nicht. Wenn das Feld beim Absenden gefüllt ist, wird die Anfrage stillschweigend verworfen.

Das erzeugt null zusätzliche Ladezeit, keine externen Abhängigkeiten und kein Friction für den Nutzer. Die meisten modernen Formular-Plugins wie WPForms, Gravity Forms oder Fluent Forms haben eine eingebaute Honeypot-Option, die du einfach aktivieren kannst.

Akismet richtig konfigurieren

Akismet ist Automattics eigener Spam-Schutz und ist bei jeder WordPress-Installation vorinstalliert. Er arbeitet serverseitig, lädt also keine Skripte beim Seitenaufruf. Für private Blogs ist er kostenlos, für kommerzielle Websites gibt es günstige Tarife.

Damit Akismet gut funktioniert:

• API-Key korrekt eingetragen und Verbindung geprüft
• Kommentarmoderation auf "immer prüfen" gesetzt
• Kommentare von bekannten Spam-Absendern automatisch ablehnen (nicht in den Spam verschieben)
• Formular-Plugins mit Akismet verknüpfen, viele unterstützen das nativ

Cloudflare Turnstile als reCAPTCHA-Alternative

Wenn du wirklich ein CAPTCHA brauchst, ist Cloudflare Turnstile eine deutlich bessere Wahl. Es prüft im Hintergrund, ob der Besucher ein Mensch ist, ohne ein "Ich bin kein Roboter"-Bild zu zeigen. Die Skriptgröße ist kleiner, es gibt kein Google-Tracking, und die Ladezeit-Auswirkung ist deutlich geringer.

Es gibt WordPress-Plugins, die Turnstile in WPForms, Contact Form 7 und andere gängige Formular-Plugins integrieren.

Kommentar-Spam grundlegend reduzieren

Oft hilft es auch, die Kommentarfunktion gezielt einzuschränken:

• Kommentare nur für eingeloggte Nutzer erlauben
• Erste Kommentare eines Nutzers immer zur Moderation einreihen
• Kommentare nach 30-60 Tagen automatisch schließen
• Bestimmte Schlüsselwörter (Pharma-Spam, Kasino-Links) blocken

Performance und Sicherheit müssen kein Widerspruch sein

Spam-Schutz und gute Page Speed lassen sich problemlos vereinbaren, wenn man die richtigen Methoden kombiniert. Mit Honeypot als erster Verteidigungslinie, Akismet als Backup und Cloudflare Turnstile für die Ausnahmefälle hast du einen dreistufigen Schutz, der praktisch nichts an Ladezeit kostet.

Bei rocks.optimize konfigurieren wir genau das als Teil unserer Standard-WordPress-Optimierung.