Szenario: 500 Einsendungen in zehn Minuten
Es ist 14:37 Uhr. Ihr Kontaktformular erhaelt eine erste Einsendung. Dann eine weitere. Dann zehn, dann hundert. Um 14:47 Uhr zeigt Ihr Dashboard 500 neue Leads an — alle mit ungueltigen Daten, alle aus demselben IP-Adressbereich, alle von einem Skript generiert, das in Endlosschleife laeuft.
Das ist ein Volumenangriff. Er versucht nicht, Ihre Daten zu stehlen. Er versucht, Ihre Datenbank zu saettigen, Ihre Kontingente zu erschoepfen, Ihre echten Leads unter einer Flut von Fake-Daten zu begraben. Ohne Schutz merken Sie es erst, wenn der Schaden angerichtet ist.
Diese Art von Angriff ist alltaeglich. Er erfordert keinerlei besondere Faehigkeiten: Ein zwanzigzeiliges Python-Skript genuegt. Die Frage ist nicht ob Ihr Formular angegriffen wird, sondern wann.
Dieser Artikel erklaert Ihnen, wie Prospect Hub dieses Problem loest, Schicht fuer Schicht — ohne Ihre echten Kunden zu blockieren.
Rate Limiting: Der Tuersteher am Eingang
Stellen Sie sich einen Tuersteher vor einem Club vor. Er schaut nicht nur, ob Sie verdaechtig aussehen. Er beobachtet auch die Frequenz: Wenn dieselbe Person zwanzigmal in fuenf Minuten versucht hereinzukommen, stimmt etwas nicht, egal wie sie aussieht.
Rate Limiting funktioniert genau nach dieser Logik.
Begrenzung pro IP-Adresse
Jede IP-Adresse hat ein Kontingent an erlaubten Einsendungen in einem gleitenden Zeitfenster. Konkret: Eine IP-Adresse kann nicht mehr als N Formulare pro Stunde absenden. Ueberschreitet sie diesen Schwellenwert, werden die folgenden Anfragen abgewiesen — oder als verdaechtig markiert — fuer eine bestimmte Dauer.
Dieser Ansatz deckt die grosse Mehrheit der Volumenangriffe ab, da einfache Skripte eine einzelne IP-Adresse oder einen eingeschraenkten Bereich verwenden. Ein Mensch, selbst ein sehr schneller, wird nie zwanzigmal pro Stunde ein Formular absenden.
Begrenzung pro API-Key
Die IP-Begrenzung schuetzt gegen externe Missbraeuche. Die API-Key-Begrenzung schuetzt gegen interne Missbraeuche — oder genauer gesagt, gegen die Kompromittierung eines Keys.
Jede Kunden-Website verfuegt ueber ihren eigenen API-Key (pk_xxxxx). Dieser Key ist mit einem Gesamtkontingent verbunden. Wenn er versehentlich in einem oeffentlichen Quellcode exponiert oder missbraeuchlich verwendet wird, wird der Key gedrosselt, bevor die Auswirkungen kritisch werden. Andere Kunden sind nicht betroffen; Ihre echten Leads kommen weiterhin normal an.
Diese beiden Ebenen arbeiten parallel. Ein Angreifer, der die IP-Begrenzung durch Verwendung mehrerer Adressen umgehen wuerde, stoesst immer noch auf die API-Key-Begrenzung.
Das IP-Reputations-Dashboard
Rate Limiting ist eine automatische Barriere. Aber jede automatische Barriere erzeugt False Positives. Ein Vertriebsmitarbeiter, der sein eigenes Formular in Schleife testet, ein Monitoring-Tool, das die Verfuegbarkeit des Formulars prueft, ein Firmennetzwerk, in dem mehrere Mitarbeiter dieselbe ausgehende IP teilen: alles legitime Situationen, die einen Alarm ausloesen koennen.
Deshalb enthaelt Prospect Hub ein IP-Reputations-Dashboard, zugaenglich ueber die Admin-Oberflaeche.
Was Sie sehen
Die Ansicht listet die IP-Adressen auf, die Alarme ausgeloest haben, mit fuer jede:
- Die Anzahl der Einsendungen im Zeitfenster
- Den berechneten Reputationsscore (Kombination aus Frequenz, User-Agent, HiveProtect-Verhalten)
- Den aktuellen Status: ueberwacht, voruebergehend blockiert, manuell blockiert
Der “Entsperren”-Button
Wenn Sie eine legitime IP erkennen — einen Partner, Ihr eigenes Team, ein Test-Tool — koennen Sie sie mit einem Klick entsperren. Der Score wird zurueckgesetzt, zukuenftige Einsendungen von dieser Adresse werden wieder normal akzeptiert.
Diese Aktion wird in den Logs protokolliert. Sie wissen, wer was wann entsperrt hat.
HiveProtect: Der unsichtbare Fingerabdruck
Rate Limiting analysiert Volumina. HiveProtect analysiert Verhaltensweisen.
Wenn ein Benutzer Ihr Formular laedt, misst ein JavaScript-Skript diskret mehrere Signale:
Die Ausfuellzeit. Ein Mensch, der ein Formular ausfuellt, braucht selten weniger als fuenf Sekunden. Er liest die Labels, tippt seinen Namen, wechselt zwischen Feldern. Ein Bot, der die Werte direkt in den DOM injiziert, braucht in der Regel weniger als eine Sekunde — oft wenige Millisekunden.
Die Maus- und Tastaturinteraktionen. Ein Mensch bewegt seine Maus, klickt, macht Fehler, korrigiert sie. Ein Bot erzeugt keine Mausbewegungen, keine Zwischenereignisse. HiveProtect misst das Vorhandensein oder Fehlen dieser Ereignisse.
Die Focus-Sequenz. Ein Mensch navigiert in der Reihenfolge der Felder, geht manchmal zurueck. Ein Bot fuellt oft alle Felder gleichzeitig aus, ohne die natuerliche Reihenfolge des Formulars zu respektieren.
Erkennung verdaechtiger User-Agents
Ein User-Agent ist die Kennung, die der HTTP-Client dem Server sendet, um sich vorzustellen. Moderne Browser senden lange und praezise Zeichenketten. Angriffsskripte senden oft verraterische User-Agents.
Prospect Hub blockiert oder bestraft automatisch Einsendungen von:
curlundwget(Kommandozeilen-Tools)python-requests,python-urllib(Python HTTP-Bibliotheken)axios,node-fetchohne identifizierten Browser-Kontext- Leeren oder generischen Zeichenketten (
bot,spider,scraper) - Erkennbaren Headless-Browsern (
HeadlessChrome,PhantomJS)
Ein echter Browser sendet nie diese User-Agents. Die Erkennung ist schnell, kostenguenstig und filtert einen signifikanten Anteil der automatisierten Angriffe.
Zusammenfassungstabelle: Welche Schicht blockiert was
| Angriffstyp | Eingreifende Schicht |
|---|---|
| Einfaches Skript von einer einzigen IP | Rate Limiting pro IP |
| Verteiltes Skript mit kompromittiertem API-Key | Rate Limiting pro API-Key |
| Bot ohne Browser-User-Agent | User-Agent-Erkennung |
| Schneller Bot mit gefaelschtem User-Agent | HiveProtect (Ausfuellzeit < 1s) |
| Raffinierter Bot mit kuenstlicher Verzoegerung | HiveProtect (Fehlen von Mausinteraktionen) |
| Ausserhalb des Browsers eingesendetes Formular | HiveProtect (fehlender Fingerabdruck) + User-Agent |
| Niedriges aber wiederholtes Volumen ueber laengere Zeit | IP-Reputation (Kumulation im gleitenden Fenster) |
Keine Schicht ist allein unfehlbar. Es ist ihre Kombination, die den Angriff fuer den Angreifer wirtschaftlich unrentabel macht.
Die visuellen Indikatoren im Lead-Dashboard
Jeder in Ihrer Pipeline angezeigte Lead traegt Vertrauensindikatoren. Ein sauberer Lead zeigt nichts Besonderes an. Ein verdaechtiger Lead zeigt farbige Badges, die anzeigen, was erkannt wurde:
- Verdaechtige IP: Die IP-Adresse hatte zum Zeitpunkt der Einsendung einen verschlechterten Reputationsscore
- Bot-Verhalten: Der HiveProtect-Fingerabdruck zeigt nicht-menschliches Ausfuellen an
- Ungueltiger User-Agent: Die Anfrage stammte von einem Nicht-Browser-HTTP-Client
- Rate-Limit erreicht: Die Einsendung wurde trotz Kontingent-Ueberschreitung akzeptiert (Degraded Mode)
Beim Klicken auf einen Lead greifen Sie auf das vollstaendige Detail zu: Score jedes Signals, empfangener User-Agent-Wert, gemessene Ausfuellzeit, IP-Status zum Zeitpunkt der Einsendung. Nichts ist intransparent.
Weitergehende Informationen
Rate Limiting und IP-Reputation sind zwei der neun Schutzschichten, die Prospect Hub auf jedes Formular anwendet. Wenn Sie das gesamte System verstehen moechten, lesen Sie unseren Artikel ueber die 9 Anti-Spam-Schutzschichten.
Fuer einen technischen Vergleich zwischen Honeypot, CAPTCHA und Verhaltensschutz lesen Sie unseren Anti-Bot-Vergleich. Und wenn Sie Ihr Formular noch nicht mit Prospect Hub verbunden haben, begleitet Sie der Integrations-Leitfaden Schritt fuer Schritt.
Schliesslich erklaert unser Artikel ueber Formular-Spam und KI, warum klassische Schutzmassnahmen gegen die modernen, KI-gestuetzten Bots nicht mehr ausreichen.
Moechten Sie den Schutz an Ihren eigenen Formularen testen?
Prospect Hub ist ohne Verpflichtung verfuegbar. Verbinden Sie Ihr erstes Formular in weniger als fuenf Minuten und beobachten Sie in Echtzeit, was Ihr Formular wirklich erhaelt — und was gefiltert wird, bevor es Ihre Pipeline erreicht.