Kommentar-Spam stoppen — Ruhe im Postfach, ohne Captcha-Quälerei.
Hundert Kommentare über Nacht, alle mit Links zu zweifelhaften Shops. Kommentarspam ist lästig, bläht die Datenbank auf und kann dem Ruf der Website schaden. Die gute Nachricht: Mit wenigen Einstellungen ist Ruhe, und niemand muss verdrehte Buchstaben abtippen.
Der schnellste Weg: Kommentare abschalten, wo sie nichts bringen — auf Seiten, alten Beiträgen und Anhängen. Wo sie erwünscht sind: Bordmittel richtig einstellen (Freigabe, Linklimit, Sperrliste), Trackbacks abschalten, ein Anti-Spam-Plugin ohne Captcha einsetzen und den Spam-Ordner automatisch leeren. Captchas sind der letzte Schritt, nicht der erste.
Warum Spam kommt.
Kommentarspam wird fast vollständig von automatisierten Programmen erzeugt, die das Netz nach WordPress-Installationen absuchen. Es geht selten um Menschen, die deine Seite gelesen haben, und meist um Links: Der Spammer hofft auf einen Verweis von deiner Website. Deshalb hilft alles, was den Vorgang für Maschinen unattraktiv macht — und deshalb ist es unnötig, echten Lesern das Leben schwer zu machen.
Kommentare gezielt abschalten.
Die ehrlichste Frage zuerst: Brauchst du Kommentare überhaupt? Auf Unternehmenswebsites, Leistungsseiten und Portfolios sind sie meist überflüssig. Dann ist Abschalten die beste Lösung, weil sie auch keinen Pflegeaufwand mehr erzeugt.
- Für neue Inhalte: Einstellungen → Diskussion → Haken bei „Besuchern erlauben, neue Beiträge zu kommentieren“ entfernen.
- Für bestehende Inhalte: In der Beitragsliste alle auswählen, Mehrfachbearbeitung, Kommentare „nicht erlauben“. Bei Seiten genauso.
- Automatisch schließen: Kommentare nach zum Beispiel 30 Tagen automatisch schließen — bremst Spam auf alten Beiträgen wirksam.
- Anhänge nicht vergessen: Bilder in der Mediathek haben eigene Seiten, auf denen Spam landen kann.
Bordmittel richtig einstellen.
Unter Einstellungen → Diskussion steckt mehr, als viele nutzen:
| Einstellung | Empfehlung |
|---|---|
| Kommentar muss manuell freigegeben werden | Bei wenig Verkehr: an. Dann erscheint nichts ungeprüft |
| Autor muss vorher schon Kommentar veröffentlicht haben | Gute Mischung aus Komfort und Kontrolle |
| In der Warteschlange halten ab X Links | Auf 1 setzen — Spam enthält fast immer Links |
| Sperrliste | Typische Spam-Wörter, Adressen und IPs eintragen |
| Kommentare älter als X Tage schließen | 30 bis 90 Tage |
| Avatare und Gravatar | Abschalten spart externe Anfragen (Datenschutz) |
Trackback- und Pingback-Spam.
Trackbacks und Pingbacks sind Benachrichtigungen zwischen Blogs. Heute sind sie fast nur noch Spam-Kanal und nebenbei ein Werkzeug für Überlastungsangriffe. Abschalten unter Einstellungen → Diskussion, Haken bei „Link-Benachrichtigungen von anderen Blogs erlauben“ entfernen. Für bereits bestehende Beiträge ebenfalls per Mehrfachbearbeitung. Wer XML-RPC nicht braucht, kann es zusätzlich sperren — das reduziert auch Anmeldeversuche (WordPress absichern).
Anti-Spam-Plugins.
- Akismet — in WordPress bereits mitgeliefert, erkennt Spam sehr zuverlässig. Für kommerzielle Websites kostenpflichtig, prüft Kommentardaten auf externen Servern, gehört also in die Datenschutzerklärung.
- Antispam Bee — deutscher Anbieter, kostenlos, arbeitet ohne Captcha und ohne Daten an Dritte zu senden. Für die meisten Websites die passende Wahl.
- Honeypot-Plugins — blenden ein für Menschen unsichtbares Feld ein, das nur Bots ausfüllen. Unauffällig und wirksam.
- Sicherheits-Plugins mit Ratenbegrenzung — bremsen Massenanfragen unabhängig vom Inhalt.
Für Kontaktformulare gilt derselbe Gedanke mit anderen Mitteln: Formular-Spam stoppen.
Captcha: wann und welches.
Captchas kosten echte Besucher Nerven und Anfragen. Sie sind der letzte Schritt, wenn Honeypot, Bordmittel und Plugin nicht reichen. Wenn doch eines nötig ist, dann eines, das ohne Bilderrätsel auskommt — etwa eine unsichtbare Prüfung oder eine einfache Rechenaufgabe. Google reCAPTCHA überträgt Daten an Google und braucht deshalb eine Einwilligung und einen Eintrag in der Datenschutzerklärung (Cookie-Banner). Datenschutzfreundliche Alternativen mit EU-Hosting gibt es inzwischen mehrere.
Alte Kommentare aufräumen.
Tausende Spam-Einträge blähen die Datenbank auf und bremsen das Backend (Backend langsam). Der Spam-Ordner wird von WordPress automatisch nach 30 Tagen geleert, der Papierkorb ebenfalls. Wer sofort aufräumen will, nimmt die Massenaktion im Backend oder die Kommandozeile.
# Anzahl ansehen
wp comment count
# Alle als Spam markierten Kommentare endgültig löschen
wp comment delete $(wp comment list --status=spam --format=ids) --force
# Papierkorb ebenfalls leeren
wp comment delete $(wp comment list --status=trash --format=ids) --force
# Danach Tabellen optimieren
wp db optimizeVorher ein Backup anlegen. Bei sehr vielen Einträgen in Paketen arbeiten, sonst läuft der Befehl in eine Zeitbegrenzung.
Spam-Registrierungen.
Ein verwandtes Problem: Hunderte neue Benutzerkonten, die niemand angelegt hat. Ursache ist fast immer die Option „Jeder kann sich registrieren“ unter Einstellungen → Allgemein. Braucht deine Website keine Registrierung, gehört der Haken weg. Wird sie gebraucht, etwa im Shop oder Mitgliederbereich, hilft eine Bestätigung per E-Mail, ein Honeypot im Registrierungsformular und eine Ratenbegrenzung. Bestehende Spam-Konten lassen sich nach Datum sortiert löschen — vorher prüfen, ob daran Bestellungen hängen.
Wenn du nicht weiterkommst.
Wenn trotz aller Einstellungen täglich Spam durchkommt oder die Datenbank voll ist, räume ich auf und stelle die Website sauber ein. Ich richte das ein, prüfe die Einbindung und erkläre dir, worauf es ankommt: WordPress-Hilfe. Damit es dauerhaft sauber bleibt: WordPress-Wartung.
Wer hilft.
Ich bin Manuel Killert, WordPress-Entwickler aus Quakenbrück. Seit 2020 baue und betreue ich WordPress-Websites — für Handwerksbetriebe, Industrie, Gastronomie, Start-ups und Vereine —, entwickle eigene Plugins und unterrichte WordPress als Dozent an der KW Design Akademie. Das heißt: Ich kenne die typischen Fehler nicht nur aus Foren, sondern aus eigenen Projekten, und ich kann sie so erklären, dass du sie beim nächsten Mal selbst erkennst. Du erreichst mich direkt, ohne Ticketsystem.
Echte Projekte — live ansehen.
WordPress-Websites, die ich gebaut habe oder laufend betreue.
Markenfest
Stärkerer Online-Shop — Webdesign, Content und individuelle Shop-Funktionen.
Website ansehen ↗
KT Bodenteam
Professioneller Auftritt für einen Bodenleger — Vorher-Nachher-Slider und regionale SEO.
Website ansehen ↗
Potassco Solutions
Klare Website für ein KI-Unternehmen, die komplexe Technologie verständlich macht.
Website ansehen ↗FAQ — Kommentar-Spam in WordPress stoppen.
Wie stoppe ich Spam-Kommentare in WordPress?
Kommentare abschalten, wo sie nicht gebraucht werden, unter Einstellungen, Diskussion die Freigabe und das Linklimit setzen, Trackbacks abschalten und ein Anti-Spam-Plugin wie Antispam Bee oder Akismet einsetzen.
Wie schalte ich Kommentare komplett ab?
Unter Einstellungen, Diskussion den Haken für neue Beiträge entfernen und bestehende Beiträge und Seiten per Mehrfachbearbeitung auf Kommentare nicht erlauben setzen. Auch Anhangseiten nicht vergessen.
Brauche ich ein Captcha gegen Kommentarspam?
Meist nicht. Bordmittel, ein Honeypot und ein Anti-Spam-Plugin reichen in der Regel. Captchas kosten echte Besucher Geduld und sollten der letzte Schritt sein.
Was ist besser, Akismet oder Antispam Bee?
Akismet erkennt sehr zuverlässig, ist für kommerzielle Websites kostenpflichtig und prüft Daten auf externen Servern. Antispam Bee ist kostenlos, kommt von einem deutschen Anbieter und arbeitet ohne Übertragung an Dritte.
Sollte ich Pingbacks und Trackbacks abschalten?
Ja, in fast allen Fällen. Sie sind heute vor allem Spam-Kanal und können für Überlastungsangriffe missbraucht werden.
Wie lösche ich tausende Spam-Kommentare?
Im Backend über die Massenaktion im Spam-Ordner oder per WP-CLI mit wp comment delete. Danach die Datenbank optimieren. Vorher ein Backup anlegen.
Das bin ich – rechts im BildErzähl mir, was nicht funktioniert.
Domain und eine kurze Beschreibung reichen — du bekommst eine ehrliche Einschätzung, was los ist und was die Behebung kostet.
Antwort meist innerhalb von 24 Stunden · hallo@manuelkillert.de