Sie öffnen den Kommentarbereich und finden über Nacht 300 Nachrichten. Casinos, Pillen, SEO-„Blasts". Kein einziger echter Leser.

Ohne Schutz ist das normal. Laut Akismet machen Spam-Kommentare auf einer durchschnittlichen WordPress-Website über 99% aller Kommentare aus. Die Folgen sind dreifach: Das Suchranking sinkt durch schädliche ausgehende Links, Leser sind Risiken ausgesetzt (Links führen zu bösartigen Ressourcen), und die Datenbank bläht sich mit Hunderten unnötiger Einträge auf. Tausende Zeilen in wp_comments verlangsamen die Website und vergrößern die Backups.

Die gute Nachricht: WordPress bietet integrierte Moderationswerkzeuge, zudem gibt es sechs Plugins mit grundlegend unterschiedlichen Mechanismen. Wir behandeln beides.

💡 Kurzüberblick:

• Aufschlüsselung der drei Spam-Kanäle: Bots, manueller Spam und Trackbacks, mit Hinweisen zur Erkennung
• Konfiguration des integrierten WordPress-Schutzes: Moderation, Sperrlisten, Deaktivierung von Pingbacks
• Vergleich von sechs Anti-Spam-Plugins mit unterschiedlichen Mechanismen und Auswahl der richtigen Kombination für Ihr Szenario

Wie Kommentar-Spam Ihre Website zerstört

Kommentar-Spam ist jede irrelevante Nachricht mit einem Backlink. Dem Spammer geht es nicht um Ihren Inhalt. Er möchte eine URL zu seiner Website im Kommentartext, im Feld „Website" oder über Trackbacks platzieren.

Spam erreicht Sie über drei Kanäle. Bots durchsuchen Tausende von Websites und überfluten sie mit vorformulierten Nachrichten: „Toller Beitrag! Besuchen Sie meine Seite." Sie setzen auf Masse: Hunderte pro Tag. Manueller Spam wird von echten Personen gegen Bezahlung verfasst. Die Qualität ist höher: Links werden in Leerzeichen oder Satzzeichen versteckt, und automatische Filter erkennen sie nicht. Trackbacks wurden als ehrliche Benachrichtigungen über Zitate konzipiert. In der Praxis erzeugen automatisierte Systeme Tausende gefälschter Erwähnungen, um einen Rücklink im Kommentarbereich zu erhalten.

Spam zu ignorieren ist teuer. Google berücksichtigt ausgehende Links beim Ranking, auch die in Kommentaren. Dutzende Links zu unseriösen Seiten signalisieren dem Algorithmus: Hier kümmert sich niemand um die Inhalte. Das ist ein direkter Weg nach unten in den Suchergebnissen. Jenseits der SEO führen Spam-Links zu Phishing-Seiten und Ressourcen, die Schadsoftware hosten: Ein Leser klickt und fängt sich einen Trojaner ein, und das Reputationsproblem wird zu Ihrem. Jeder Kommentar, auch Spam, schreibt in die Tabellen wp_comments und wp_commentmeta. Tausende zusätzliche Einträge überlasten die Datenbank und verlangsamen jede Seite.

Integrierter WordPress-Schutz: Was Sie ohne Plugins konfigurieren sollten

WordPress enthält integrierte Werkzeuge zur Kommentarmoderation. Alle Einstellungen finden Sie unter Einstellungen → Diskussion. In der Praxis ignorieren die meisten Website-Betreiber sie und installieren sofort ein Plugin, obwohl diese Parameter grundlegende Angriffsvektoren schließen.

Was Sie zuerst konfigurieren sollten:

• Alle Kommentare moderieren. Jeder neue Kommentar wartet auf Freigabe. Für einen jungen Blog mit wenig Traffic ist das die zuverlässigste Option: Kein Spam wird öffentlich.

• Filter für Link-Anzahl. Der Parameter „Kommentarmoderation" hält Nachrichten mit N oder mehr Links in der Warteschlange zurück. Der Standardwert ist 2. Setzen Sie ihn auf 1, um jeden Kommentar mit mindestens einer URL zurückzuhalten.

• Sperrliste. Die Felder „Kommentar-Sperrliste" und „Unzulässige Kommentarschlüssel" blockieren nach IP, E-Mail, Link-Domain oder Schlüsselwort. Erwischen Sie einen Spammer, fügen Sie das Muster hinzu: Wiederholungskommentare kommen nicht durch.

• Trackbacks deaktivieren. Deaktivieren Sie „Benachrichtigungen über Links von anderen Blogs erlauben (Pingbacks und Trackbacks)". Neunzig Prozent dieser Spam-Art verschwinden sofort.

• Registrierung vorschreiben. Die Option „Benutzer müssen registriert und angemeldet sein, um zu kommentieren" schneidet die meisten Bots ab. Nachteil: Sie schafft eine Hürde für echte Leser und passt nicht zu jedem Blog.

Haben Sie die Grundlagen konfiguriert? Fügen Sie nun Plugins hinzu. Nachfolgend sechs mit unterschiedlichen Mechanismen: Kombinieren Sie zwei oder drei mit verschiedenen Wirkprinzipien für maximale Effektivität.

1. Akismet

Akismet von Automattic (den Entwicklern von WordPress.com) ist bei den meisten neuen WordPress-Installationen aus gutem Grund vorinstalliert. Das Plugin gleicht jeden Kommentar mit einer globalen Cloud-Datenbank bekannter Spam-Muster ab. Kein CAPTCHA, keine Reibung für echte Leser.

Das Prinzip ist zweistufig: Zuerst wird der Kommentar mit Millionen von Signaturen in der Akismet-Datenbank verglichen, anschließend wird das Nutzerverhalten auf der Seite analysiert. Bots und Menschen verhalten sich unterschiedlich, und dies wird ohne sichtbare Prüfung erkannt. Falsch-positive Treffer sind selten, dennoch lohnt sich ein wöchentlicher Blick in den „Spam"-Ordner: Das dauert eine Minute und bewahrt Sie davor, eine wertvolle Bewertung zu verlieren.

Eine ausführliche Akismet-Bewertung mit Feintuning und Alternativvergleichen finden Sie in unserer detaillierten Plugin-Analyse.

• Vorteile: globale Cloud-Datenbank mit Milliarden von Signaturen; kein CAPTCHA; Kommentarstatus-Verlauf; Modus „Schlimmsten Spam verwerfen" löscht Müll, ohne ihn in der Datenbank zu speichern
• Nachteile: kommerzielle Nutzung erfordert einen kostenpflichtigen Tarif; falsch-positive Treffer bei cleverem manuellem Spam
• Preis: kostenlos für persönliche Blogs (zahlen Sie, was Sie möchten, auch 0 $); Pro 9,95 €/Monat bei jährlicher Abrechnung (eine kommerzielle Website); Business 47,95 €/Monat (unbegrenzte Websites)
• Download: 🔗 Akismet auf WordPress.org | 🔗 Offizielle Website

2. Antispam Bee

Antispam Bee vom pluginkollektiv: über 700.000 aktive Installationen auf WordPress.org und dauerhaft kostenlos für private und kommerzielle Websites. Der Hauptunterschied zu Akismet: keine externen Anfragen. Die gesamte Verarbeitung findet auf Ihrem Server statt, was automatisch vollständige DSGVO-Konformität bedeutet.

Der Mechanismus basiert auf einem Honeypot. Ein unsichtbares Feld wird in die Seite eingefügt: Ein Bot, der automatisch alle Formularfelder ausfüllt, tappt in die Falle und wird blockiert, bevor etwas in der Datenbank gespeichert wird. Keine Spuren in wp_comments: Spam wird dort erst gar nicht eingetragen. Zusätzlich: Filterung nach Kommentarsprache und Absenderland. Wichtiger Hinweis: Antispam Bee funktioniert nur mit dem standardmäßigen WordPress-Kommentarsystem und filtert Kontaktformulare nicht eigenständig.

• Vorteile: Honeypot ohne CAPTCHA; blockiert vor dem Schreiben in die Datenbank; DSGVO-konform ohne zusätzliche Konfiguration; dauerhaft kostenlos
• Nachteile: schützt keine Kontaktformulare oder Drittanbieter-Kommentarplugins (Disqus, wpDiscuz, Jetpack)
• Preis: vollständig kostenlos
• Download: 🔗 Antispam Bee auf WordPress.org

3. Titan Anti-spam & Security

Titan Anti-spam & Security von Themeisle richtet sich an alle, die Anti-Spam und grundlegende Sicherheit in einem Plugin wünschen. Über 60.000 aktive Installationen, zuletzt aktualisiert im Mai 2026. Die Anti-Spam-Komponente prüft Kommentare anhand einer lokal aktualisierten Musterdatenbank, ohne externe Server zu kontaktieren: besser für den Datenschutz, aber die Datenbank ist objektiv kleiner als die von Akismet.

Zusätzlich in der kostenlosen Version: Schutz vor Brute-Force-Angriffen, Begrenzung fehlgeschlagener Anmeldungen, Ausblenden der WordPress-Version. Pro ergänzt maschinelles Lernen für die Spam-Erkennung, Zwei-Faktor-Authentifizierung und Backup. Ein Plugin statt zwei oder drei. Eine gute Wahl, wenn Sie nicht mit mehreren Werkzeugen jonglieren möchten.

• Vorteile: Anti-Spam plus Sicherheit ohne CAPTCHA; lokale Datenbank ohne Datenübermittlung an Dritte; aktiv gepflegt
• Nachteile: geringere Filtergenauigkeit als Akismet (kleinere Signaturdatenbank); erweiterte Funktionen nur in Pro
• Preis: kostenlose Version ist voll funktionsfähig; Pro-Tarife auf titansitescanner.com
• Download: 🔗 Titan Anti-spam auf WordPress.org | 🔗 Dokumentation

4. Zero Spam

Zero Spam (über 20.000 aktive Installationen) kombiniert drei Filtertechniken: JavaScript-Verifikation nach der David-Walsh-Methode (ein Bot ohne JS-Engine scheitert), IP-Filterung mit den Datenbanken von Stop Forum Spam und Project Honeypot sowie Geo-Blocking bis auf Länder- und Regionsebene. Alles arbeitet im Hintergrund, ohne CAPTCHA.

Geo-Blocking: ein eigener starker Punkt. Kommt Spam aus wenigen bestimmten Ländern und Sie haben von dort keine echten Besucher, schließen Sie den Kanal mit zwei Klicks in den Einstellungen. Breite Formularunterstützung: Contact Form 7, WPForms, Gravity Forms, Fluent Forms, wpDiscuz. Die Basisversion ist kostenlos; die erweiterte API-Anbindung an zerospam.org (Echtzeit-IP-Reputation) erfordert ein Abonnement.

• Vorteile: drei Filterebenen ohne CAPTCHA; Geo-Blocking mit Whitelist-Ausnahmen; breite Formularunterstützung
• Nachteile: erweiterter Schutz erfordert zerospam.org-Abonnement; einige Nutzer bemängeln aufdringliche Monetarisierung in der Oberfläche
• Preis: kostenlose Version; erweiterte Funktionen über zerospam.org-Abonnement
• Download: 🔗 Zero Spam auf WordPress.org

5. Hide Trackbacks

Hide Trackbacks löst eine Aufgabe: Es blendet Trackbacks und Pingbacks aus der öffentlichen Ansicht Ihrer Website aus, hält sie aber im Admin-Bereich zugänglich. Leser sehen nur echte Kommentare. Im Admin-Panel behalten Sie das vollständige Bild legitimer Seiten-Erwähnungen.

Das ist ein Kompromiss zwischen dem vollständigen Deaktivieren von Trackbacks (wobei Informationen über ehrliche Zitate verloren gehen) und einem offenen, mit Spam gefüllten Bereich. Das Plugin blockiert Spam-Trackbacks technisch nicht: Sie kommen weiterhin an und schreiben in die Datenbank. Es entfernt sie lediglich aus dem Frontend. Geeignet für alle, die echte Erwähnungen überwachen, den Lesern aber keinen Trackback-Müll zeigen möchten.

• Vorteile: blendet Trackbacks im Frontend aus, ohne Daten im Admin zu verlieren; keine Konfiguration nötig; beeinträchtigt echte Kommentare nicht
• Nachteile: blockiert Spam-Trackbacks technisch nicht, blendet sie nur aus; Datenbank wird dennoch zugemüllt; kleine Zielgruppe (400+ Installationen)
• Preis: vollständig kostenlos
• Download: 🔗 Hide Trackbacks auf WordPress.org

6. Forget Spam Comment

Forget Spam Comment: rund 200 Byte JavaScript und keine Einstellungen. Das Plugin blockiert direkte Anfragen an wp-comments-post.php für Bots: Der Weg zum Kommentarformular öffnet sich erst, wenn ein echter Besucher zum Kommentarbereich herunterscrollt. Bots, die Anfragen direkt senden, ohne mit der Seite zu interagieren, werden abgewiesen. Menschen machen alles wie gewohnt.

DSGVO-konform: keine externen Anfragen, keine Nutzerdaten werden irgendwohin gesendet. Funktioniert mit Cache-Plugins (Cache-Leerung nach Aktivierung erforderlich). Keine Berichterstattung über blockierte Elemente: Sie erfahren nicht, was genau abgefangen wurde. Daher installiert man Forget Spam Comment am besten als zusätzliche Ebene über Akismet oder Antispam Bee.

• Vorteile: rund 200 Byte JS, kein CAPTCHA; keine Konfiguration nötig; DSGVO-konform; funktioniert mit Caching-Plugins
• Nachteile: keine Berichterstattung über blockierten Spam; schützt keine Kontaktformulare; letzte Aktualisierung 2025
• Preis: vollständig kostenlos
• Download: 🔗 Forget Spam Comment auf WordPress.org

Wenn Sie ein visuelles Format bevorzugen, finden Sie unten einen Video-Überblick zur Einrichtung des WordPress-Spamschutzes: von den eingebauten Parametern bis zur Anbindung von Plugins.

Vergleichstabelle: alle sechs Plugins

⁉️🤔 Häufig gestellte Fragen

Welches Plugin soll ich wählen, wenn mein Budget bei null liegt?

Die Kombination Antispam Bee plus Zero Spam deckt den meisten Spam kostenlos ab. Antispam Bee fängt Bots per Honeypot ohne Datenbanklast, Zero Spam erledigt den Rest durch JS-Erkennung und Geo-Blocking. Ergänzen Sie Hide Trackbacks für ein sauberes Frontend: Sie erhalten mehrschichtigen Schutz ohne Kosten.

Ist Akismet für kommerzielle Websites kostenlos?

Nein. Für persönliche Blogs arbeitet Akismet auf einer „Zahlen Sie, was Sie möchten"-Basis: Sie können $0 eingeben. Für kommerzielle Websites benötigen Sie einen kostenpflichtigen Tarif. Laut der Preisseite auf akismet.com: Pro €9,95/Monat bei jährlicher Abrechnung (eine Website), Business €47,95/Monat (unbegrenzte Websites).

Kann ich Kommentare einfach deaktivieren und das Spam-Problem vergessen?

Technisch ja. Deaktivieren Sie die Funktion unter Einstellungen → Diskussion und schließen Sie bestehende Beiträge. Aber Sie verlieren Leser-Feedback, UGC-Inhalte und soziale Signale: Google berücksichtigt all dies beim Ranking. Für die meisten Blogs ist das eine überzogene Maßnahme mit erheblichen Einbußen.

Hilft CAPTCHA gegen Kommentar-Spam?

Es hilft, aber auf Kosten der Conversion. reCAPTCHA v3 ist unsichtbar, sammelt jedoch Daten (DSGVO-Problematik). hCaptcha ist datenschutzfreundlicher. Allerdings umgehen moderne Bots CAPTCHAs durch manuelle Lösungsdienste. CAPTCHA funktioniert als zusätzliche Barriere, nicht als einzige Verteidigungslinie.

Muss ich mehrere Plugins installieren oder reicht eines?

Ein hochwertiges Plugin (Akismet oder Antispam Bee) ist für die allermeisten Websites ausreichend. Zwei mit unterschiedlichen Mechanismen: optimal bei hohem Kommentaraufkommen. Drei oder mehr: Das Konfliktrisiko überwiegt in den meisten Szenarien den Nutzen. Testen Sie neue Plugins immer auf einer Staging-Umgebung.

Welches Plugin Sie für Ihre Aufgabe wählen sollten

Das Werkzeug-Set hängt vom Website-Typ, den Datenschutzanforderungen und dem Kommentarvolumen ab. Es gibt keine allgemeingültige „beste" Option.

Persönlicher Blog mit wenig Traffic: Akismet im persönlichen Tarif (Sie können $0 zahlen) plus die integrierte WordPress-Moderation. Drei Klicks, und fast alles ist abgedeckt.

Kommerzielle Website mit aktiver Kommentarfunktion: Akismet Pro (€9,95/Monat) als Basisfilter plus Zero Spam als zweite Barriere. Diese Kombination bewältigt Zehntausende Kommentare pro Monat mit minimalen Fehlalarmen.

Datenschutzorientiertes oder DSGVO-pflichtiges Projekt: Antispam Bee (gesamte Verarbeitung auf dem Server, keine externen Anfragen) plus Hide Trackbacks für Aufgeräumtheit im Frontend. Nutzerdaten verlassen Ihren Server nie.

Keine Zeit für manuelle Moderation: Forget Spam Comment zusätzlich zu Akismet. Das minimalistische Plugin ohne Einstellungen schneidet verbleibende Bots automatisch ab.

Weitere Anti-Spam-Tools, einschließlich spezialisierter Lösungen für Formulare und WooCommerce, finden Sie in unserer Übersicht mit 12 Plugins.

Eine Viertelstunde Konfiguration jetzt erspart Ihnen später Stunden manueller Bereinigung. Probieren Sie als ersten Schritt Antispam Bee oder Akismet: Beide installieren Sie mit einem Klick. Teilen Sie in den Kommentaren mit, welches Plugin oder welche Kombination Sie nutzen.