Spam, Bots und doppelte Einsendungen verhindern — ohne die Anonymität zu brechen

Zwei Wünsche kommen in fast jedem Formularprojekt gemeinsam. «Stellen Sie sicher, dass Bots es nicht zuspammen» und «stellen Sie sicher, dass niemand zweimal einsenden kann». Und dann, oft in derselben Sitzung, ein dritter: «und anonym muss es sein». Diese drei Sätze stehen im Widerspruch, und der Widerspruch ist keine Produktschwäche — er ist Arithmetik. Um zu wissen, dass diese Einsendung nicht von derselben Person stammt wie jene, brauchen Sie etwas, das Personen unterscheidet. Dieses Etwas ist ein Identifikationsmerkmal, und ein Identifikationsmerkmal ist das Gegenteil von Anonymität.

Dieser Beitrag ist die praktische Fassung dieser Abwägung: was gegen Spam hilft, was jeder Anti-Doppel-Mechanismus tatsächlich kostet, wie das Muster «anonym, aber verifiziert» funktioniert und wann ein Login die richtige und nicht bloss die bequeme Antwort ist.

Wie verhindere ich Spam und Bots?

Beginnen wir hier, denn diese Hälfte ist wirklich einfach und kostet überhaupt keine Anonymität. Fast aller Formularspam ist automatisiert, ungerichtet und billig — Skripte, die einen öffentlichen Endpunkt finden und wiederholt darauf senden. Vier Schichten genügen.

1. Ratenbegrenzung. Eine Obergrenze, wie viele Einsendungen eine Quelle pro Minute, Stunde und Tag machen darf, macht aus einer Flut ein Rauschen. Die Grenzen sollten grosszügig genug sein, um legitime Muster zu überleben — ein Gemeinschaftsbüro, eine Schule, ein Kiosk-Tablet an einer Veranstaltung, ein Kanton hinter NAT — und sie sollten offen ausfallen: eine defekte Begrenzung darf echten Verkehr nie blockieren.
2. Ein Honeypot-Feld. Ein Feld, das für Menschen unsichtbar, im Markup aber vorhanden ist. Menschen lassen es leer; naive Bots füllen alles. Kostet nichts, fängt überraschend viel und fügt kein Identifikationsmerkmal hinzu.
3. Strukturelle Grenzen. Die unterschätzteste Abwehr. Schliessen Sie das Formular an einem Datum. Begrenzen Sie die Gesamtzahl der Antworten. Setzen Sie einen Freischaltcode. Ein Formular, das 200 Antworten annimmt und dann stoppt, lässt sich nicht auf 20 000 fluten — und keine dieser drei Kontrollen muss wissen, wer einsendet.
4. Validierung und Pflichtfelder. Formatprüfungen, Plausibilitätsregeln und erforderliche Antworten filtern den Müll heraus, der alles andere übersteht, und verbessern Ihre Datenqualität ohnehin.

Dazu kommt die Eskalationsschicht: nach genügend abgewiesenen Anfragen aus einer Quelle wird diese Quelle vorübergehend gesperrt. Das entscheidende Detail dabei — automatische Sperren müssen ablaufen. Eine dauerhafte automatische Sperre bestraft irgendwann ein gemeinsam genutztes Netz — ein Hotel, ein Spital, eine Universität — für das Verhalten einer einzelnen Person darin.

Jeder Anti-Doppel-Mechanismus ist ein Identifikationsmerkmal

Doppeleinsendungen sind ein anderes Problem, und hier zählt die ehrliche Rahmung. Es gibt keinen Weg, «eine Einsendung pro Person» durchzusetzen und dabei nichts über die Person zu wissen. Variabel ist nur, wie viel Sie erfahren, wie lange Sie es behalten und ob es auf einen Menschen zurückführbar ist. Nach nDSG ist eine IP-Adresse, die sich auf eine bestimmbare Person bezieht, ein Personendatum — jede Zeile der Tabelle unten ist also ein Bearbeitungsentscheid, der Zweck und Aufbewahrungsfrist braucht.

Die Regel, die daraus folgt: wählen Sie den schwächsten Mechanismus, der Ihr tatsächliches Problem löst. Eine Zufriedenheitsumfrage, bei der eine Handvoll Doppelantworten keinen Entscheid ändern würde, braucht die erste Zeile. Eine Vereinsabstimmung, die über ein Budget entscheidet, braucht die dritte. Zum Login zu greifen, weil es endgültig ist, obwohl die Doppel keine Rolle gespielt hätten, verwandelt einen anonymen Datensatz ohne analytischen Gewinn in einen personenbezogenen.

Wie verhindern wir doppelte Einsendungen?

Einmal pro Gerät — ehrlich benannt

Ein Merker im Browser der teilnehmenden Person verhindert, dass derselbe Browser zweimal einsendet. Das ist konstruktionsbedingt eine Bestmöglich-Massnahme: ein neuer Browser, ein anderes Gerät oder ein privates Fenster setzen ihn zurück, und wer will, löscht ihn. Damit ist er genau richtig für das häufigste echte Problem — zweimal auf Absenden klicken oder das Formular erneut ausfüllen, weil man unsicher war, ob es geklappt hat — und genau falsch für alles Gegnerische. Werkzeuge, die das als «eine Antwort pro Person» vermarkten, versprechen zu viel; korrekt ist «eine Antwort pro Browser, sofern es niemand darauf anlegt».

Einmal pro IP — serverseitig, mit zwei Vorbehalten

Zu prüfen, ob aus demselben Netz schon eine Einsendung kam, geschieht auf dem Server und überlebt daher Browsertricks. Die zwei Vorbehalte sind entgegengesetzte Fehlerfälle, und beide zählen. Eine gemeinsame Leitung — ein Firmenbüro, eine Schule, eine Familie, das NAT eines Mobilfunkanbieters — lässt mehrere legitime Personen als eine erscheinen, und die zweite wird abgewiesen. Und Mobilfunknetze rotieren Adressen, sodass eine Person als mehrere erscheint. Eine gute Kontrolle für Eine-pro-Haushalt-Situationen und Veranstaltungskioske, eine schlechte für «eine Stimme pro Mitglied» am Arbeitsplatz.

Zwei Details machen sie in der Praxis vertretbar: einen pro Formular gesalzenen, serverseitig gepfefferten Fingerabdruck statt der Adresse speichern — und den Fingerabdruck löschen, wenn die Einsendung gelöscht wird. Damit gibt das Entfernen einer Antwort dieses Netz wieder frei, und das Merkmal überlebt die Daten nicht, die es schützen sollte.

Einmal-Token — die richtige Antwort für einen bekannten Kreis

Wenn Sie wissen, wer antwortberechtigt ist — Mitglieder, Mitarbeitende, eingeladene Haushalte, angemeldete Teilnehmende —, geben Sie jeder Person einen einmal verwendbaren Code oder Link und markieren ihn beim Absenden als benutzt. Das ist genau, doppelresistent und, entscheidend, in seinen Datenschutzeigenschaften steuerbar: ob es Identität offenbart, hängt allein davon ab, ob Sie die Zuordnung zwischen Token und Person behalten. Behalten Sie sie, haben Sie eine pseudonyme Umfrage. Vernichten Sie sie bei der Ausgabe, haben Sie etwas, das der Anonymität sehr nahe kommt — siehe den nächsten Abschnitt.

Die vergessene Massnahme: Doppel unattraktiv machen

Ein grosser Teil der Angst vor Doppeleinsendungen ist eigentlich Angst um einen Gewinn: begrenzte Plätze, ein Gutschein, eine Wettbewerbsteilnahme, eine Stimme, die ein Ergebnis kippt. Wo Sie nicht stark verifizieren können, entfernen Sie stattdessen den Anreiz — Gesamtzahl begrenzen, unter allen Eingaben auslosen statt nach Eingangszeit vergeben, im Nachhinein bei der Prüfung entdoppeln statt an der Tür, oder die Belohnung von der Anzahl der Einsendungen unabhängig machen. 300 Antworten auf offensichtliche Doppel durchzusehen kostet einen Nachmittag; 300 Personen zu identifizieren kostet eine Rechtsgrundlage.

Wie verifiziere ich Teilnehmende, ohne die Anonymität zu verlieren?

Das ist die Anforderung, die unmöglich klingt und bloss unbequem ist. Sie kommt ständig vor: ein Verein, in dem jedes Mitglied einmal abstimmt, aber keine Stimme zuordenbar sein darf; ein Hinweisgeberkanal, der Meldungen nur von Mitarbeitenden annehmen soll; eine Mitarbeiterbefragung, die alle einmal erreichen und niemanden identifizieren darf. Das Muster, das das löst, hat einen Kerngedanken — die Berechtigungsprüfung von der Einsendung trennen und beides nie zusammen speichern.

Sollte ich ein Login oder eine E-Mail-Adresse verlangen?

Manchmal — und es lohnt sich, bewusst zu entscheiden, auf welcher Seite Sie stehen. Identität zu verlangen ist richtig, wenn der Prozess ohnehin personenbezogen ist: ein Leistungsantrag, ein Fördergesuch, eine Patientenaufnahme, ein Kauf, alles, worauf Sie individuell antworten. Dort ist die Identität der Punkt, und das Gegenteil zu behaupten schafft Reibung ohne Datenschutzgewinn.

Falsch ist es, wenn der Wert der Daten von Offenheit abhängt. Beschwerden, Hinweise auf Missstände, Mitarbeiterbefragungen, Meldungen zu Belästigung, Rückmeldungen zur Führung: sobald ein Login vor dem Formular steht, sinkt die Antwortqualität, und was kommt, sind die unverfänglichen Antworten. Das ist nicht hypothetisch — es ist der belastbarste Befund der Forschung zu internem Feedback und der Grund, weshalb unser HR- und Hinweisgeber-Anwendungsfall identitätsfreie Erhebung als funktionale Anforderung behandelt und nicht als Datenschutznettigkeit.

• Identität verlangen, wenn Sie individuell antworten müssen, eine Berechtigung genau prüfen, eine gesetzliche Identifikationspflicht erfüllen oder Geld bewegen.
• Identität vermeiden, wenn der Zweck Messung oder das Melden von Missständen ist, die Grundgesamtheit klein genug für eine Enttarnung ist oder Sie irgendwo in Ihrer Kommunikation Anonymität versprochen haben.
• Dazwischen ist ein Einmal-Token dem Login vorzuziehen und ein freiwilliges Kontaktfeld dem Pflichtfeld — «hinterlassen Sie eine E-Mail-Adresse, wenn Sie eine Antwort möchten» respektiert beide Fälle gleichzeitig.

Was die Plattform standardmässig übernehmen sollte

Ein Teil dieser Liste sollte gar nicht Ihre Entscheidung sein. Eine Formularplattform sollte mit bereits aktiven, grosszügig eingestellten und datenschutzbewussten Missbrauchskontrollen ankommen — sodass Ihnen nur bleibt, pro Formular die Doppelregel zu wählen.

• Ratenbegrenzung auf der öffentlichen Oberfläche — pro Formular und global, über mehrere Zeitfenster, tolerant gegenüber Kiosken und gemeinsam genutzten Netzen, und offen ausfallend, wenn die Begrenzung selbst ein Problem hat.
• Grenzen auch an den lauten Rändern, nicht nur beim Absenden: Formularaufrufe, Versuche mit Freischaltcodes und Anfragen nach nicht existierenden Formular-IDs, damit auch Enumeration und aufgeblähte Aufrufzähler begrenzt sind.
• Automatische, ablaufende Sperren für eine Quelle, die dauernd Abweisungen auslöst, plus eine manuelle Sperre für den seltenen hartnäckigen Fall — mit Protokolleintrag für beides.
• Eine Doppelregel pro Formular, einstellbar ohne Support-Ticket: unbeschränkt, einmal pro Gerät oder einmal pro Netz.
• Datenschutzfreundliche Durchsetzung — ein pro Formular gesalzener, serverseitig gepfefferter Fingerabdruck statt einer gespeicherten IP-Adresse, gelöscht mit der Einsendung.
• Keine Skripte Dritter auf der Formularseite, damit die Missbrauchsabwehr nicht selbst zur Bekanntgabe an eine ausländische Auftragsbearbeiterin wird.
• Blockieren von Wegwerf-Adressen bei der Registrierung, wo Einweg-Postfächer einer Person unbegrenzt Konten ermöglichen — und bewusst nicht bei Login oder Passwortzurücksetzung, damit eine bestehende Kundin auf einer solchen Domain nie von ihren eigenen Daten ausgeschlossen wird.

Eines kann keine Plattform für Sie tun: die Massnahmen in den Datenschutzhinweis schreiben. Wenn Sie Raten begrenzen, Adressen sperren oder Netze mit Fingerabdrücken versehen, ist das Bearbeitung — und die Transparenzpflicht nach Art. 19 nDSG gilt dafür wie für die Antworten. Eine Zeile — «zur Missbrauchsabwehr erfassen wir technische Daten wie einen Netz-Fingerabdruck, aufbewahrt für die Laufzeit des Formulars» — genügt, und genau diese Zeile sucht eine Revision.

Die Kontrolle für ein echtes Formular wählen

Lesen Sie die Mittelspalte zuerst. In vier dieser sechs Zeilen ist die Doppeleinsendung das kleinere Risiko — das ist die allgemeine Form dieses Problems und der Grund, weshalb «Doppel verhindern» nie vor «zu welchem Preis» beantwortet werden sollte.

Fünf Fehler, die Anonymität versehentlich brechen

• Personalisierte Einladungslinks bei einer «anonymen» Umfrage. Der häufigste Weg, auf dem ein Anonymitätsversprechen unwahr wird. Identifiziert der Link die Empfängerin, ist die Antwort bestenfalls pseudonym.
• Die Token-Personen-Zuordnung «für den Fall» behalten. Sie verwandelt den ganzen Entwurf zurück in einen personenbezogenen — und sie wird verlangt, sobald jemand Nichtantwortende nachfassen will.
• IP-Adressen zur Missbrauchsabwehr im Klartext protokollieren und nie löschen. Der Zweck endet mit dem Formular; die Daten sollten mit ihm enden.
• Ein CAPTCHA einbauen und den Datenschutzhinweis nicht anpassen. Ein Aufruf zu Dritten bei jedem Seitenaufruf ist eine Bekanntgabe, ob jemand absendet oder nicht.
• Zeitstempel auf die Sekunde in einem kleinen Team. Mit bekannten Arbeitsmustern kombiniert identifiziert eine Einsendezeit die Verfasserin so zuverlässig wie ein Name — dieselbe Art von Leck wie eine demografische Kreuztabelle.

Fazit

Lösen Sie die zwei Probleme getrennt. Spam ist Menge: Ratenbegrenzung, Honeypots, ablaufende Sperren und strukturelle Obergrenzen erledigen ihn, ohne über irgendjemanden etwas zu erfahren. Doppeleinsendungen sind Identität, und die einzige diskussionswürdige Frage ist, wie wenig Identität Sie ausgeben können: ein Gerätemarker, wenn das Risiko ein verirrter Doppelklick ist; ein datenschutzfreundlicher Netz-Fingerabdruck, wenn Eine-pro-Haushalt genügt; ein unverknüpfter Einmal-Token, wenn es exakt und trotzdem anonym sein muss; ein Login nur dort, wo der Prozess ohnehin personenbezogen ist.

Und wenn jemand alle drei Eigenschaften gleichzeitig verlangt — spamsicher, doppelsicher, anonym —, lautet die Antwort nicht «unmöglich». Sie lautet: Berechtigung an einem Ort prüfen, Einsendungen an einem anderen annehmen und die beiden nie zusammenführen.