Spam-Kommentare verhindern: WordPress und Formulare schützen

Als nutzergenerierten Spam bezeichnet Google Inhalte mit Spam-Charakter, die Besucherinnen und Besucher über einen für ihre Beiträge vorgesehenen Kanal auf einer Website hinterlassen. Dazu zählen Kommentarspam in Blogs und Spam-Beiträge in Foren ebenso wie Konten auf frei zugänglichen Hosting-Diensten und hochgeladene Dateien auf Plattformen zum Teilen von Dateien. Kommentarspam richtet sich dabei in der Regel gegen keine bestimmte Website, da er in großen Mengen auf vielen Websites zugleich erscheint, um Links an möglichst vielen Stellen zu platzieren. In WordPress gelangen solche Beiträge als gewöhnliche Kommentare auf die Website und werden je nach Einstellung sofort veröffentlicht oder zunächst zur Prüfung zurückgehalten.

Forenkommentare mit optimierten Links im Beitrag oder in der Signatur führt Google in seinen Spam-Richtlinien als Beispiel für Linkspam auf, also für Links, die vor allem das Ranking einer Seite beeinflussen sollen. Diese Form des Linkaufbaus gehört damit zu den Methoden der Black-Hat-SEO, die gegen die Regeln der Suchmaschine verstoßen. Websites mit Verstößen gegen diese Richtlinien können schlechter platziert werden oder ganz aus den Suchergebnissen verschwinden. Spam in Ihren Kommentarbereichen stört deshalb Ihre Besucherinnen und Besucher und kann zugleich die Bewertung Ihrer Seiten durch Google beeinträchtigen.

Spam-Kommentare in WordPress mit der Moderation zurückhalten

Ob ein neuer Kommentar sofort erscheint, legen Sie in WordPress unter Einstellungen › Diskussion im Bereich „Bevor ein Kommentar erscheint“ fest. Mit der Option „muss der Kommentar manuell freigegeben werden“ wartet jeder Kommentar so lange, bis eine Person mit passender Rolle ihn geprüft und freigegeben hat. Diese Moderation gilt als einfache und wirksame Maßnahme gegen Spam, bedeutet bei vielen Kommentaren aber zusätzliche Arbeit. Die bereits voreingestellte Option „muss der Autor bereits einen freigegebenen Kommentar geschrieben haben“ veröffentlicht dagegen direkt die Kommentare, deren Name und E-Mail-Adresse schon zu einem freigegebenen Kommentar gehören.

Im Abschnitt Kommentarmoderation bestimmen Sie im Feld „Anzahl der in einem Kommentar zulässigen Links, bevor dieser zur Moderation zurückgehalten wird“, ab wie vielen Links WordPress einen Kommentar zurückhält. Voreingestellt ist der Wert zwei, sodass bereits ein Kommentar mit zwei Links in der Warteschlange landet. Gewöhnliche Kommentare enthalten meist höchstens ein oder zwei Links, und auch Spam kommt inzwischen häufig mit einem oder zwei Links aus, weshalb sich bewährt hat, den Wert anhand der bisherigen Kommentare auf Ihrer Website festzulegen. Darunter tragen Sie Wörter, Namen, E-Mail-Adressen oder IP-Adressen jeweils in eine eigene Zeile ein, nach denen WordPress in allen Angaben eines Kommentars bis hin zur Kennung des Browsers sucht. Ein Treffer hält den Kommentar in der Moderations-Warteschlange zurück, wo er mit dem Status „Ausstehend“ auf Ihre Entscheidung wartet.

Für eindeutige Fälle steht darunter die Kommentar-Sperrliste bereit, die nach demselben Prinzip arbeitet, Vorrang vor den Moderationsregeln hat und Treffer direkt in den Papierkorb verschiebt. Da WordPress dabei keine Benachrichtigung versendet, können auch echte Kommentare unbemerkt aussortiert werden, weshalb die Dokumentation diese Liste als letztes Mittel nahelegt. Mit der Option „Mir eine E-Mail senden, wenn ein Kommentar auf Freischaltung wartet“ erhalten Sie zusätzlich eine Nachricht an die Verwaltungsadresse aus Einstellungen › Allgemein, sobald ein Kommentar zur Prüfung bereitsteht.

Kommentare dort einschränken, wo keine Diskussion stattfindet

Im Abschnitt mit den übrigen Kommentareinstellungen verlangt die Option „Kommentarautoren müssen ihren Namen und ihre E-Mail-Adresse angeben“ zusätzliche Angaben und erschwert automatisierten Spam damit ein wenig. Da WordPress diese Angaben vor dem Absenden nicht überprüft, hält die Option Spam allerdings nur zum Teil ab. Strenger wirkt „Benutzer müssen zum Kommentieren registriert und angemeldet sein“, womit ausschließlich angemeldete Mitglieder Ihrer Website kommentieren können. Ist unter Einstellungen › Allgemein zugleich „Jeder kann sich registrieren“ eingeschaltet, verlagert sich der Schutz auf das Registrierungsformular, das automatisch angelegte Konten abwehren muss.

Mit „Kommentare bei alten Beiträgen automatisch schließen“ blendet WordPress das Kommentarformular unter Beiträgen aus, die älter als die im Feld darunter angegebene Zahl von Tagen sind, während freigegebene Kommentare sichtbar bleiben. In einer neuen Installation ist diese Option ausgeschaltet und das Feld mit 14 Tagen vorbelegt, die Sie an den Rhythmus Ihrer Veröffentlichungen anpassen können. Für Seiten ohne Bedarf an Diskussion schalten Sie die Kommentare am besten ganz ab, entweder im Editor im Bereich Diskussion oder für viele Beiträge zugleich über Mehrfachaktionen › Bearbeiten mit der Einstellung „Nicht erlauben“. Die allgemeine Einstellung unter Einstellungen › Diskussion gilt dabei allein für neue Beiträge, sodass ältere Beiträge ihre bisherige Einstellung behalten.

Über die Option „Link-Benachrichtigungen von anderen Blogs (Pingbacks und Trackbacks) zu neuen Beiträgen erlauben“ nehmen Ihre Beiträge außerdem automatische Hinweise anderer Websites entgegen, die im Kommentarbereich erscheinen. Diese Option ist in einer neuen Installation eingeschaltet, und auch hier wirkt das Ausschalten allein für künftige Beiträge. Ob solche Hinweise auf Ihrer Website vorkommen, sehen Sie in der Kommentarübersicht, wenn Sie in der Auswahl „Alle Kommentartypen“ den Eintrag „Pings“ einstellen.

Registrierung und Formulare gegen Bots absichern

Für Formulare, über die neue Konten oder Beiträge entstehen, empfiehlt Google, Anmeldungen und andere Eingaben zu protokollieren und auf typische Muster zu prüfen. Auffällig sind etwa eine sehr kurze Zeit zum Ausfüllen, viele Anfragen aus demselben IP-Adressbereich, ungewöhnliche Browserkennungen bei der Anmeldung und verdächtige Nutzernamen. Aus diesen Merkmalen lässt sich ein Reputationssystem aufbauen, das zwischen neuen Konten und Mitgliedern mit bewährten Beiträgen unterscheidet. Legt eine bestimmte IP-Adresse wiederholt Spam-Profile an, sperren Sie diese am besten über eine Sperrliste der Firewall oder über ein Plugin gegen Spam wie Akismet.

Gegen automatisch angelegte Konten eignen sich reCAPTCHA oder vergleichbare Prüfungen im Registrierungsformular, die sicherstellen sollen, dass ausschließlich Menschen das Formular absenden. Verzerrte Bilder solcher Prüfungen bleiben für Screenreader allerdings unlesbar, und Hörrätsel schließen Menschen mit eingeschränktem Hörvermögen aus. Die Fassung v3 von reCAPTCHA verzichtet zwar auf eine Aufgabe, erhebt dafür jedoch umfangreiche Daten, weshalb Sie vor dem Einsatz am besten die Datenschutzhinweise des Anbieters lesen. Für die Barrierefreiheit Ihrer Formulare empfiehlt das W3C deshalb, interaktive Prüfungen möglichst zu vermeiden und unterschiedliche Prüfarten anzubieten.

Spamfilter mit sorgfältig eingestellten Regeln und sogenannte Honeypots arbeiten dagegen im Hintergrund, sodass Besucherinnen und Besucher keine Aufgabe lösen müssen. Ein Honeypot ist ein für Menschen verborgenes Formularfeld, das allein automatisierte Programme ausfüllen, wodurch jede Eingabe darin eine Anfrage als maschinell kennzeichnet. Dieselbe Technik schützt neben Kommentaren und Registrierungen auch Ihre Kontaktformulare, deren Absenden dadurch einfach bleibt. Bei der Auswahl eines Plugins gegen Spam achten Sie am besten auf das Datum der letzten Aktualisierung, die Verträglichkeit mit Ihrer WordPress-Version und eine nachvollziehbare Dokumentation des Herstellers.

Links mit ugc kennzeichnen und Seiten aus dem Index halten

Ein großer Teil des Kommentarspams zielt auf Links in den Suchergebnissen, weshalb Google empfiehlt, Links in nicht vertrauenswürdigen Inhalten mit nofollow oder ugc zu kennzeichnen und dem Spam damit seinen Nutzen für die Suche zu nehmen. Den Wert ugc sieht Google ausdrücklich für Links aus Kommentaren und Forenbeiträgen vor, und mehrere Werte lassen sich wie in rel="ugc nofollow" kombinieren. Für Mitglieder, die über längere Zeit hochwertige Beiträge verfasst haben, darf die Kennzeichnung entfallen. Google wertet die Attribute als Hinweis, sodass die verlinkten Seiten über Sitemaps oder Links anderer Websites dennoch gecrawlt werden können.

WordPress versieht Links im Kommentartext automatisch mit rel="nofollow ugc", wofür seit Version 5.3 die Funktion wp_rel_ugc zuständig ist. Den Link zur Website der kommentierenden Person kennzeichnet WordPress mit ugc und ergänzt bei externen Adressen die Werte external und nofollow. Prüfen lässt sich das, indem Sie eine Seite mit einem freigegebenen Kommentar aufrufen, mit Strg+U den Quelltext öffnen und dort nach dem Wort ugc suchen. Da sich die Werte über den Filter comment_author_link_rel ändern lassen, kann ein Theme oder Plugin sie abweichend ausgeben.

Beiträge von Konten ohne Reputation halten Sie nach Googles Empfehlung zunächst mit der Anweisung noindex aus dem Suchindex heraus und geben sie frei, sobald sich das Konto bewährt hat. Seit dem 26. Oktober 2026 rät Google zusätzlich, Seiten, die Nutzerinnen und Nutzer zum Teilen, zur Zusammenarbeit oder als Werkzeug erzeugen, standardmäßig von der Indexierung auszunehmen. Dafür eignen sich ein robots-Meta-Tag mit noindex, der X-Robots-Tag im HTTP-Header oder eine Sperre in der robots.txt. Die Anweisung noindex wirkt allerdings nur bei Seiten, die die robots.txt für das Crawling freigibt, da Google sie sonst nie zu lesen bekommt und die Adresse weiterhin in den Ergebnissen erscheinen kann. Fassen Sie solche Inhalte am besten in einem eigenen Verzeichnis zusammen, was Wartung und Spamerkennung erleichtert.

Nutzergenerierten Spam in der Search Console erkennen und bereinigen

Damit Sie Meldungen zu manuellen Maßnahmen und Sicherheitsproblemen erhalten, bestätigen Sie Ihre Website am besten als Property in der Search Console. Die Berichte zur Seitenindexierung und zur Leistung der Google Search Console prüfen Sie anschließend regelmäßig auf sprunghaft steigende Zahlen indexierter Seiten, auf unerwartete Impressionen und auf Suchanfragen ohne Bezug zu Ihrem Angebot. Ergänzend eignen sich Google Alerts und die Suche mit dem Operator site:, etwa in der Form site:ihre-domain.de download, wobei Sie das Wort nacheinander durch weitere Begriffe ohne Bezug zu Ihrem Thema ersetzen. Als Beispiele für solche Begriffe nennt Google Streaming, Download, Glücksspiel und Begriffe aus der Pharmabranche. In den Server-Protokollen weisen zudem plötzliche Spitzen im Datenverkehr auf ungewöhnliche Aktivität hin.

Hat Google bei einer manuellen Prüfung Spam von Besucherinnen und Besuchern festgestellt, erscheint im Bericht „Manuelle Maßnahmen“ der Eintrag „Von Nutzerinnen und Nutzern erstellter Spam“. Nach dem Aufklappen der Beschreibung sehen Sie die Muster der betroffenen Adressen, wobei die Maßnahme einen Teil Ihrer Website oder die gesamte Website umfassen kann. Durchsuchen Sie anschließend alle Bereiche mit Beiträgen von Nutzerinnen und Nutzern nach Werbung, Links ohne Bezug zum Thema, unsinnigem oder automatisch erzeugtem Text sowie kommerziellen Nutzernamen wie „Günstige Versicherung“. Entfernen Sie diese Inhalte vollständig und richten Sie die beschriebenen Schutzmaßnahmen ein, bevor Sie eine erneute Prüfung beantragen.

Die Überprüfung beantragen Sie im selben Bericht über „Überprüfung anfordern“, sobald alle betroffenen Seiten bereinigt sind. In Ihrem Antrag beschreiben Sie am besten das Problem, die vorgenommenen Korrekturen und deren Ergebnis. Die Prüfung kann einige Tage oder Wochen dauern, wobei Google den Eingang des Antrags und den Abschluss der Prüfung jeweils per E-Mail bestätigt. Solange ein Antrag offen ist, verzichten Sie auf einen weiteren Antrag, worum Google ausdrücklich bittet.

Fazit

Nutzergenerierter Spam umfasst Beiträge mit Werbung, fremden Links oder automatisch erzeugtem Text, die über Kommentare, Foren, Profile oder Registrierungen auf eine Website gelangen und gegen die Spam-Richtlinien von Google verstoßen. In WordPress halten die Regeln unter Einstellungen › Diskussion solche Kommentare über eine manuelle Freigabe, eine Grenze für Links und eine Liste verdächtiger Begriffe zurück, während die Kommentar-Sperrliste Treffer ohne Benachrichtigung in den Papierkorb verschiebt. Registrierungen und Formulare lassen sich mit Spamfiltern, Honeypots oder Prüfungen wie reCAPTCHA absichern, wobei interaktive Rätsel Menschen mit Behinderung ausschließen können.

Links in Kommentaren kennzeichnet WordPress automatisch mit nofollow und ugc, sodass sie für die Suche an Wert verlieren, und Beiträge neuer Konten lassen sich mit noindex vorerst aus dem Index halten. Seiten, die Nutzerinnen und Nutzer zum Teilen oder als Werkzeug erzeugen, nimmt Google zufolge am besten von vornherein von der Indexierung aus. Die Search Console meldet manuelle Maßnahmen wegen Spam und zeigt in den Berichten zur Indexierung und zur Leistung ungewöhnliche Zuwächse, nach deren Bereinigung eine Überprüfung angefordert werden kann.

Die Angaben in diesem Beitrag geben den Stand vom 29. Oktober 2026 wieder. Die Empfehlungen von Google beruhen auf der Dokumentation von Google Search Central zur Vermeidung von nutzergeneriertem Spam in der Fassung vom 26. Oktober 2026, zu den Spam-Richtlinien in der Fassung vom 28. August 2026 sowie zur Kennzeichnung ausgehender Links und zur Anweisung noindex in der Fassung vom 10. Dezember 2025, ergänzt um die Search-Console-Hilfe zum Bericht „Manuelle Maßnahmen“. Die Einstellungen von WordPress folgen der Dokumentation von WordPress.org zur Diskussionsseite, zur Kommentarmoderation und zu Kommentarspam, den deutschen Bezeichnungen aus dem Übersetzungsportal von WordPress.org sowie dem Quelltext von WordPress für Voreinstellungen und Link-Attribute. Die Hinweise zu CAPTCHAs und ihren Alternativen stützen sich auf die Notiz „Inaccessibility of CAPTCHA“ der Accessible Platform Architectures Working Group des W3C vom 16. Dezember 2021.