Comment-Spam kommt leise. Morgens drei Benachrichtigungen, abends dreißig. Nach einer Woche ertrinkt das Admin-Panel im Müll, während Bots rund um die Uhr Anfragen ausstoßen.

Suchmaschinen sehen jede Nachricht. Dutzende ausgehende Links zu dubiosen Domains ziehen die Reputation Ihrer Seite nach unten, und echte Leser finden keine Diskussion, sondern eine Halde aus Werbung und Phishing-URLs. Das Vertrauen sinkt schneller, als Sie die Moderationswarteschlange abarbeiten können.

Spam vollständig zu eliminieren ist unmöglich: Dahinter steht eine Schattenindustrie mit Bots, Proxy-Netzwerken und direkter finanzieller Motivation. Sie können jedoch gestaffelte Abwehrmaßnahmen aufbauen, die nahezu den gesamten Müll abfangen, bevor er ankommt, ohne legitime Kommentare zu beeinträchtigen. In diesem Leitfaden alle 18 funktionierenden Methoden: von wenigen Klicks in den standardmäßigen WordPress-Einstellungen bis hin zu Plugin-Kombinationen und externen Diensten.

💡 Kurzüberblick:

• Grundlegende Lücken in 5 Minuten schließen: anonyme Kommentare deaktivieren, Vormoderation einschalten, Links begrenzen und das URL-Feld aus dem Formular entfernen.
• Ein Antispam-Plugin mit Honeypot oder Cloud-Prüfung einbinden: Antispam Bee und Akismet fangen Bots ab, bevor Kommentare die Datenbank erreichen.
• Ein Captcha oder eine Web Application Firewall (Cloudflare / Sucuri) zum Schutz vor massenhaften automatisierten Angriffen auf HTTP-Request-Ebene hinzufügen.
• Für maximale Isolation das Standard-Kommentarformular durch ein externes System (Disqus, Facebook Comments) ersetzen, das die Filterung selbst übernimmt.

Warum Spammer Kommentare angreifen

Kommentar-Spam ist kein Vandalismus, sondern Geschäft. Hinter jeder Müllnachricht steckt einfache Mathematik: Ein Bot veröffentlicht Hunderttausende Kommentare mit Links, und selbst ein winziger Bruchteil an Klicks bringt Traffic und Linkmasse, die das Suchranking steigern. Die schiere Menge macht das Modell profitabel.

Das zweite Ziel ist Phishing: URLs führen zu gefälschten Login-Seiten oder infizierten Websites. Ein Nutzer, der klickt, riskiert seine Zugangsdaten, und Google kann die Ressource als bösartig einstufen.

Der dritte Vektor ist schmutziger Wettbewerb. Ein massiver Angriff auf die Seite eines Mitbewerbers bläht die Datenbank auf, belastet den Server und flutet den Benachrichtigungskanal. Die Wiederherstellung kostet Stunden, die Geschäftsinhabern meist fehlen.

Integrierte WordPress-Schutzmethoden

Die ersten zehn Lösungen benötigen keine Plugins; alles wird über das Standard-Admin-Panel konfiguriert. Wo nötig, ergänzen wir ein paar Codezeilen in functions.php.

1. Kommentare vollständig deaktivieren

Die radikalste und zuverlässigste Methode. Wenn die Seite eine Visitenkarte, Landingpage oder ein Portfolio ist, sind Kommentare überflüssig. Warum eine Tür offen halten, an die echte Besucher nie klopfen, während Bots rund um die Uhr dagegenhämmern?

Methode eins: „Einstellungen → Diskussion", Häkchen bei „Erlaube Besuchern, Kommentare zu neuen Beiträgen zu verfassen" entfernen. Methode zwei: Das Plugin Disable Comments deaktiviert Kommentare global für alle Beitragstypen.

Methode drei: Code. Ersetzen Sie in page.php den Aufruf <?php comments_template(); ?> durch eine auskommentierte Version: WordPress ruft das Template nicht mehr auf. Gleiches gilt für Beiträge in single.php. Vorhandene Kommentare bleiben in der Datenbank; nur das Formular verschwindet.

2. Anonyme Kommentare deaktivieren

Standardmäßig erlaubt WordPress Kommentare ohne Name oder E-Mail. Für einen Spam-Bot ist das ein Geschenk: Er muss keine echten Daten simulieren.

Gehen Sie zu „Einstellungen → Diskussion" und aktivieren Sie „Der Autor eines Kommentars muss Namen und E-Mail-Adresse angeben". Bots, denen diese Felder fehlen, werden automatisch abgewiesen. Diese Einstellung diszipliniert auch echte Kommentatoren: Anonyme Antworten sind selten substanziell.

3. Manuelle Moderation einschalten

Das Häkchen „Kommentar muss manuell freigegeben werden" bedeutet, dass keine Nachricht ohne Ihr Wissen auf der Seite erscheint. Ja, das erzeugt manuellen Aufwand, aber für kleine Seiten mit einem Dutzend echter Kommentare pro Tag ist das durchaus akzeptabel.

Erweiterung: Das Feld „Kommentar-Moderation" im selben Abschnitt. Tragen Sie dort Trigger-Wörter ein, und Kommentare, die diese enthalten, werden automatisch als ausstehend markiert. Ein guter Startersatz: http, www, buy, discount, free, click here, viagra, casino.

4. Kommentare für alte Beiträge automatisch schließen

Spam-Bots greifen auch alte Beiträge an. Ein drei Jahre alter Beitrag im Archiv ist für sie genauso ein Ziel, und der Betreiber erfährt spät von dem Problem.

Die Option „Kommentare für Beiträge, die älter als X Tage sind, automatisch schließen" löst das. Der Standardwert beträgt 14 Tage; Sie können 30, 60 oder einen beliebigen Zeitraum festlegen. Für Nachrichtenseiten ist das obligatorisch: Inhalte wandern ins Archiv, und Kommentare schließen sich.

5. Keyword-Blacklist

WordPress erlaubt Ihnen, eine Liste mit Stoppwörtern festzulegen: Jeder Kommentar, der eines enthält, wandert automatisch in den Papierkorb, unter Umgehung der Moderation. Das Feld befindet sich in „Einstellungen → Diskussion"; scrollen Sie nach unten zu „Verbotene Schlüsselwörter".

Regel: Ein Wort oder eine Phrase pro Zeile. Übertreiben Sie es nicht: Wenn Sie wordpress hinzufügen, werden auch legitime Kommentare erfasst. Zielen Sie auf Spam-Marker: Casino, pharmazeutische Begriffe, Domain-Endungen in Kombination mit bestimmten Wörtern.

6. Anzahl der Links in einem Kommentar begrenzen

Ein Spam-Kommentar enthält fast immer einen Link; das ist sein Existenzgrund. WordPress erlaubt es Ihnen, einen Schwellenwert festzulegen, ab dem ein Kommentar in die Moderation geht.

Der Standardwert ist 2. Setzen Sie ihn auf 1, bedeutet das, dass jeder Kommentar mit einem Link manuell freigegeben werden muss. Ein Wert von 0 verschiebt automatisch alle Kommentare mit Hyperlinks in den Spam. Für die meisten Websites ist 1 optimal: Echte Leser fügen selten mehr als einen Link ein, während Bots dies fast immer tun.

7. Entfernen Sie das Feld „Website" aus dem Kommentarformular

Das URL-Feld im Kommentarformular ist ein Magnet für Spammer. Genau diese Möglichkeit, einen Link zu ihrer Seite zu hinterlassen, wollen sie, während die „Meinung" automatisch generiert wird: „Toller Artikel! Ich habe auch darüber geschrieben auf meinespamdomain punkt ru."

Entfernen Sie das Feld, indem Sie Code in functions.php einfügen:

1
function wpb_disable_comment_url($fields) {
2
    unset($fields['url']);
3
    return $fields;
4
}
5
add_filter('comment_form_default_fields', 'wpb_disable_comment_url');

Danach enthält das Formular nur noch Name, E-Mail und Text. Spammer verlieren das Interesse, und echte Leser bemerken den Wegfall nicht einmal; sie benötigen das Feld „Website" nur selten.

8. Deaktivieren Sie Kommentare auf Anhangseiten

WordPress erstellt automatisch eine eigene Seite für jede hochgeladene Mediendatei: Bilder, PDFs, Videos. Standardmäßig sind auch auf diesen Seiten Kommentare geöffnet. Bei einer Website mit hundert Bildern sind das hundert zusätzliche Einstiegspunkte für Spam-Bots, von denen der Betreiber meist nichts ahnt.

Das Plugin Disable Comments auf WordPress.org erledigt genau das: Gehen Sie nach der Aktivierung in dessen Einstellungen und setzen Sie den Haken beim Inhaltstyp „Medien". Kommentare auf Anhangseiten werden deaktiviert, während Kommentare zu Beiträgen und Seiten erhalten bleiben.

9. HTML in Kommentaren unterbinden

Der folgende Code, eingefügt in functions.php, unterbindet jegliches HTML-Markup im Kommentartext. Links, Bilder, Fettdruck und Kursivschrift werden alle als reiner Text angezeigt, und Tags werden maskiert:

1
function wpb_comment_post($incoming_comment) {
2
    $incoming_comment['comment_content'] = htmlspecialchars($incoming_comment['comment_content']);
3
    $incoming_comment['comment_content'] = str_replace("'", ''', $incoming_comment['comment_content']);
4
    return $incoming_comment;
5
}
6
function wpb_comment_display($comment_to_display) {
7
    $comment_to_display = str_replace(''', "'", $comment_to_display);
8
    return $comment_to_display;
9
}
10
add_filter('preprocess_comment', 'wpb_comment_post', '', 1);
11
add_filter('comment_text', 'wpb_comment_display', '', 1);
12
add_filter('comment_text_rss', 'wpb_comment_display', '', 1);
13
add_filter('comment_excerpt', 'wpb_comment_display', '', 1);
14
remove_filter('comment_text', 'make_clickable', 9);

Diese Methode eignet sich gut für Websites, bei denen Kommentare kein Markup benötigen. Wenn Ihr Publikum Code-Schnipsel postet, lassen Sie HTML aktiviert und verlassen Sie sich auf andere Schutzebenen.

10. Trackbacks und Pingbacks deaktivieren

Trackbacks sind ein veralteter Benachrichtigungsmechanismus zwischen Blogs. Heute sind sie vor allem ein Spam-Kanal: Die meisten Trackback-Anfragen stammen von Bots, die den Beitrag nie gelesen haben.

Deaktivieren Sie sie unter „Einstellungen → Diskussion": Entfernen Sie den Haken bei „Link-Benachrichtigungen aus anderen Blogs erlauben (Pingbacks und Trackbacks)". Alte Trackbacks bleiben bestehen; neue erscheinen nicht mehr.

Plugins und externe Dienste

Bordmittel genügen für eine kleine Website. Wenn die Kommentare jedoch zahlreich sind und die manuelle Moderation nicht mehr hinterherkommt, ist es an der Zeit, spezialisierte Werkzeuge einzubinden.

11. Akismet: der WordPress-Antispam-Standard

Akismet wird mit jeder WordPress-Distribution ausgeliefert. Sein Prinzip ist die cloudbasierte Prüfung: Jeder Kommentar wird mit einer globalen Datenbank von Spam-Mustern abgeglichen, die von Millionen Websites gespeist wird. Spam landet in einer Warteschlange, statt veröffentlicht zu werden.

Akismet lernt aus Nutzeraktionen: Wenn ein Website-Betreiber einen Kommentar als Spam markiert oder einen falsch-positiven Treffer wiederherstellt, berücksichtigt das System dieses Signal. Der Dienst ist für persönliche Blogs kostenlos; für kommerzielle Websites gibt es kostenpflichtige Abonnements mit erweiterten Statistiken.

Vorteile: Nach dem Bezug eines API-Schlüssels ist keine Konfiguration erforderlich. Nachteile: Ohne Premium-Account zeigt es Werbung im Admin-Bereich an und bleibt in der Treffergenauigkeit hinter den kommerziellen Stufen zurück.

12. Sucuri Security: Web Application Firewall mit Bot-Schutz

Sucuri löst das Problem auf HTTP-Ebene: Die Web Application Firewall (WAF) analysiert den eingehenden Datenverkehr und blockiert Anfragen von bekannten Spam-IPs, Botnetzen und bösartigen Quellen, bevor sie WordPress erreichen.

Die kostenlose Version umfasst Sicherheitsaudits und Dateiintegritätsüberwachung. Die kostenpflichtige Version ergänzt die WAF um DDoS- und Brute-Force-Schutz. Für eine Website mit Hunderten von Spam-Kommentaren pro Tag reduziert Sucuri die Last radikal: Bot-Anfragen werden bereits auf Firewall-Ebene abgefangen, bevor sie PHP und die Datenbank erreichen.

13. Antispam Bee: kostenlose Alternative mit Honeypot

Antispam Bee ist ein vollständig kostenloses Plugin ohne Werbung, Premium-Stufen oder an Drittserver gesendete Daten. Statt einer Cloud-Prüfung setzt es auf lokale Techniken: Honeypot (ein verstecktes Feld, das Bots automatisch ausfüllen), Zeitmessung beim Ausfüllen des Formulars, Sprachprüfung und reguläre Ausdrücke.

Sein Arsenal umfasst vertrauenswürdige Kommentatoren (per E-Mail oder Gravatar), Länderprüfung anhand der IP und die automatische Löschung von Spam nach N Tagen. Das Plugin ist vollständig DSGVO-konform, speichert keine personenbezogenen Daten und sendet keine nach außen. Ideal für Websites, bei denen Datenschutz zählt und kein Budget für kommerzielle Lösungen vorhanden ist.

14. Google reCAPTCHA: „Mensch oder Bot"-Prüfung

Google reCAPTCHA ermittelt, wer das Formular ausfüllt: ein Mensch oder ein Skript. Die moderne Version v3 arbeitet ohne Nutzerinteraktion; echte Besucher bemerken die Prüfung nicht, während Bots auf eine unsichtbare Barriere stoßen.

Die Verbindung erfordert einen Website-Schlüssel und einen geheimen Schlüssel aus der Google reCAPTCHA Admin Console. Gängige Formular-Plugins (Contact Form 7, WPForms, Gravity Forms) unterstützen reCAPTCHA standardmäßig; Sie müssen nur die Schlüssel hinterlegen. Für ein individuelles Formular nutzen Sie die offizielle API: einige Zeilen JavaScript und eine serverseitige Token-Überprüfung.

Mehr zur Einrichtung erfahren Sie in unserem Artikel: WordPress-Sicherheit mit Invisible reCAPTCHA erhöhen.

15. Disqus: externes Kommentarsystem

Disqus ersetzt das standardmäßige WordPress-Formular durch ein externes System. Die Spam-Filterung übernimmt Disqus: Algorithmen sieben anhand einer globalen Datenbank aus Millionen von Websites den Müll aus.

Vorteile: einheitliches Leserprofil, Reaktionen und Bewertungen, komfortable Moderation, Social Login. Nachteile: Kommentare werden auf Disqus-Servern gespeichert, die kostenlose Version enthält Werbung und die Seite lädt durch den externen iframe etwas langsamer.

16. Facebook Comments

Ist Ihre Zielgruppe auf Facebook aktiv, bietet das Facebook Comments Plugin einen doppelten Gewinn: Spam verschwindet (Facebook filtert ihn) und die Interaktion steigt, weil Kommentare im Feed des Nutzers erscheinen und Freunde anziehen.

Nachteil: Leser ohne Facebook-Konto können nicht kommentieren. Vorteil: Wie bei Disqus werden die Kommentare auf den Servern des sozialen Netzwerks gespeichert, nicht in Ihrer Datenbank.

17. Cloudflare: Schutz auf DNS-Ebene

Cloudflare ist ein CDN und eine Firewall zwischen Besuchern und Ihrem Server. Auf DNS-Ebene filtert es Anfragen von bekannten Botnetzen und IPs mit schlechter Reputation heraus.

Es gibt fünf Sicherheitsstufen, von „Essentially Off" bis „I'm Under Attack". Für Spamschutz genügt Niedrig oder Mittel. Die Basisstufe ist kostenlos.

Wichtig: Cloudflare analysiert keine Kommentarinhalte. Es ist ein Perimeter, kein Ersatz für ein Antispam-Plugin. Das beste Ergebnis erzielen Sie mit einer Kombination: Cloudflare außen und Antispam Bee innerhalb von WordPress.

18. Weitere bewährte Plugins

Falls die Hauptoptionen nicht passen, hier einige weitere Werkzeuge:

• WP Armour: Honeypot-Schutz in Reinform, der ein verstecktes Feld hinzufügt und die Ausfülldauer des Formulars prüft. Keine Captchas, keine API-Schlüssel. Kostenlos, mit über 100.000 aktiven Installationen.

• CleanTalk: ein Cloud-Dienst, der Kommentare gegen eine globale Datenbank mit Spam-IPs und E-Mails prüft. Die kostenlose Stufe deckt bis zu 1.000 Prüfungen pro Monat ab; die kostenpflichtige Stufe ist günstig und wird jährlich pro Website abgerechnet.

• hCaptcha: eine unabhängige Alternative zu Google reCAPTCHA. Weniger Tracking, DSGVO-konform, kostenlos bis zu 1 Million Anfragen pro Monat.

Vergleichstabelle der Antispam-Lösungen

⁉️🤔 Häufig gestellte Fragen

Kann man Spam-Kommentare vollständig eliminieren?

Nein, einen 100-prozentigen Schutz gibt es nicht. Spammer passen ihre Algorithmen ständig an, um Filter zu umgehen, und selbst die besten Plugins lassen einen kleinen Prozentsatz Müll durch. Aber ein mehrschichtiger Schutz (Bordmittel + Antispam-Plugin + WAF) reduziert Spam auf „ein bis zwei Nachrichten pro Monat", was sich leicht manuell bereinigen lässt.

Welche Methode sollte ein neues Blog ohne Budget wählen?

Eine Kombination aus drei kostenlosen Schritten: manuelle Moderation aktivieren (Methode 3), Links auf einen begrenzen (Methode 6) und Antispam Bee installieren (Methode 13). Das dauert 10 Minuten und kostet nichts. Bei Nachrichtenseiten ergänzen Sie das automatische Schließen alter Beiträge (Methode 4).

Verlangsamt ein Antispam-Plugin das Laden der Website?

Lokale Plugins wie Antispam Bee tun das praktisch nicht: Sie erzeugen nur Last, wenn das Kommentarformular abgeschickt wird, und beeinflussen die Hauptseiten nicht. Cloud-Dienste (Akismet, CleanTalk) führen Prüfungen asynchron auf ihren Servern durch und beeinträchtigen die Ladegeschwindigkeit der Website nicht.

Was tun, wenn trotz aller Filter weiterhin Spam durchkommt?

Prüfen Sie, ob Bots alte Anhangseiten attackieren (Methode 8); das ist eine häufige Lücke. Stellen Sie sicher, dass Trackbacks deaktiviert sind (Methode 10). Bleibt das Problem bestehen, ergänzen Sie Cloudflare (Methode 17): Es blockiert Anfragen von bekannten Botnetzen, bevor sie WordPress erreichen.

Ist reCAPTCHA nötig, wenn Antispam Bee bereits läuft?

Nicht unbedingt. Antispam Bee blockiert die meisten Bots durch Honeypot und Zeitprüfung auch ohne Captcha. Fügen Sie ein Captcha nur hinzu, wenn nach der Installation von Antispam Bee weiterhin Spam auftritt; das bedeutet, dass der Angriff nicht von einfachen Bots, sondern von fortgeschritteneren Skripten kommt.

Disqus oder Facebook Comments: Was ist besser für ein Blog?

Disqus, wenn Ihr Publikum technisch orientiert und nicht an ein einzelnes soziales Netzwerk gebunden ist. Facebook Comments, wenn der Traffic überwiegend von Facebook kommt und Sie die Reichweite über die Feeds der Nutzer vergrößern möchten. Ein universeller Kompromiss ist, das Standard-WordPress-Formular mit einem Antispam-Plugin beizubehalten: Das schließt keine Leser aus.

Was Sie 2026 auf Ihrer Website installieren sollten

Der Antispam-Schutz folgt dem Prinzip der angemessenen Ausreichend: Jede zusätzliche Schicht erhöht die Komplexität, während der Nutzen abnimmt. Für die meisten Websites genügt eine Kombination aus 3-4 Methoden.

Die WordPress-Grundeinstellungen (Methoden 2, 3, 6 und 7) blockieren einfache Bots in 5 Minuten und sind kostenlos. Ein lokales Antispam-Plugin (Antispam Bee) schneidet eine weitere Schicht durch Honeypot und Timing ab, ebenfalls kostenlos. Bei hohem Traffic ergänzen Sie Cloudflare am Perimeter; das entlastet den Server.

Beginnen Sie jetzt sofort mit den Methoden 2, 3 und 6. Drei Checkboxen im Admin-Panel, sofortige Ergebnisse. Ergänzen Sie den Rest, wenn Ihre Website wächst.