W-QS-03 — Kontaktformular-Werkzeug

Worum es geht

Wenn Ihre bestehende Seite ein Kontaktformular hat, läuft es nach dem Werkzeug-Lauf zunächst nicht mehr — der ursprüngliche Server-Empfänger (oft ein Plugin im CMS) ist nicht mehr da. Damit das Formular weiterhin als Formular funktioniert, braucht es einen eigenen kleinen Empfänger.

Im Standard wandeln wir das Formular deshalb in einen Mail-Link um — siehe unten unter „Standard: Mail-Link statt Formular". Ihre Seite bleibt damit reines HTML, ganz ohne Server-Technik.

Wer das Formular als Formular behalten möchte, bekommt mit diesem Baustein einen eigenen kleinen Empfänger: ein schlankes PHP-Skript, das die Eingaben per Mail an Sie weiterleitet. Kein externer Anbieter, keine wiederkehrenden Kosten, keine Datenübermittlung an Dritte. Den Baustein vereinbaren wir nur im Ausnahmefall und auf Ihren ausdrücklichen Wunsch — vorher sprechen wir mit Ihnen über den Abschnitt „Was das für die Sicherheit bedeutet".

Was technisch passiert

Das Standardformular Ihrer Seite (Anrede, Name, Telefon, E-Mail, Nachricht) wird mit einem <form>-Verarbeitungsskript verbunden, das im Webspace abgelegt wird. Beim Absenden:

• Die Eingaben werden an das Skript übergeben
• Das Skript prüft sie auf grundlegende Plausibilität und gegen typische Spam-Muster
• Eine Mail mit den Inhalten wird an die hinterlegte Empfänger-Adresse geschickt
• Der Besucher sieht eine Bestätigungs-Seite

Das Skript verwendet im Standard die mail()-Funktion des Webspaces — sie ist auf praktisch allen deutschen Webspaces aktiv und erfordert keine zusätzliche Konfiguration. Wenn das ursprüngliche Formular funktioniert hat, wird auch das neue funktionieren.

Spam-Schutz ist eingebaut: ein verstecktes Honeypot-Feld (Bots füllen es aus, Menschen sehen es nicht), eine Mindest-Bearbeitungszeit (Bots sind zu schnell), Längen-Begrenzung der Felder, und ein Schutz gegen Header-Injection.

Eine automatische Antwort-Mail an den Absender („Vielen Dank für Ihre Nachricht, wir melden uns") ist im Standard nicht eingebaut. Wer das wünscht, sollte das vor der Buchung ansprechen — es geht über den Werkzeug-Standard hinaus und wäre eine Sonder-Aufgabe.

Was das für die Sicherheit bedeutet

Das Skript ist die einzige Stelle Ihrer Seite, an der dann noch Server-Technik läuft. Es nutzt die PHP-Umgebung Ihres Hosters und ist damit auf sie angewiesen: Wird in PHP selbst eine Sicherheitslücke bekannt, lässt sie sich über jedes erreichbare PHP-Skript ausnutzen — unabhängig davon, wie sorgfältig das Skript geschrieben ist. Das ist im Oktober 2026 tatsächlich passiert. Eine reine HTML-Seite ohne Formular-Skript bietet diesen Angriffsweg nicht.

Die Aktualisierung von PHP liegt bei Ihrem Hoster. Bei üblichen Webspace-Paketen spielt er Sicherheits-Updates zentral ein. Wenn Sie in Ihrem Hosting-Paket die PHP-Version selbst auswählen, sollte es eine aktuell unterstützte sein.

Im Standard verschickt das Skript über die eingebaute Mailfunktion von PHP. Dann liegt kein weiterer fremder Code in Ihrem Webspace, und die Updates kommen mit PHP von Ihrem Hoster. Nur wenn Ihr Hoster diese Funktion nicht anbietet oder die Mails im Spam landen, versenden wir über Ihr Postfach (SMTP) mit der verbreiteten Bibliothek PHPMailer. Sie ist fremder Code in Ihrem Webspace, den Ihr Hoster nicht pflegt: Um ihre Sicherheits-Updates müssen Sie sich dann selbst kümmern. Darauf weisen wir Sie in diesem Fall bei der Übergabe noch einmal schriftlich hin.

Mit der Übergabe geht das Skript in Ihre Verantwortung über, wie die übrige Seite auch: Für PHP ist Ihr Hoster zuständig, für Skript und PHPMailer Sie als Betreiber. Eine laufende Betreuung ist mit dem Baustein nicht verbunden.

Standard: Mail-Link statt Formular

Im Sockel ist die Umwandlung in einen Mail-Link enthalten und ohne Aufpreis der Normalfall. Das vorhandene Formular wird dann nicht durch ein PHP-Skript ersetzt, sondern in einen Mail-Link umgewandelt — der Klick auf „Senden" öffnet das Mail-Programm des Besuchers mit Ihrer Empfänger-Adresse und einer vorbereiteten Betreff-Zeile.

Viele Betreiber stellen dabei fest, dass das Kontaktformular eher Pflicht-Inventar war als ein wirklich genutzter Kanal — Anfragen kommen ohnehin meist per Direktmail oder Telefon.

Die Lösung ist schlanker (kein Skript, kein Server-Pfad, kein Spam über das Formular, keine Abhängigkeit vom PHP des Hosters), hat aber zwei Einschränkungen: Sie erfordert ein eingerichtetes Mail-Programm beim Besucher, und manche Besucher (besonders auf Smartphones, wo das oft die Default-App ist) brechen den Vorgang ab. Wer auf jeden eingehenden Anfragen-Eingang Wert legt, ist mit diesem Baustein besser bedient — dann im Wissen, dass die Seite damit wieder ein kleines Stück Server-Technik enthält.

Komplexere Formulare

Der Baustein deckt das Standardformular ab. Wenn Ihr Formular besondere Funktionen hat — Datei-Anhänge, mehrstufige Eingabe, Anbindung an ein CRM oder einen Kalender — geht das über den Werkzeug-Umfang hinaus. Solche Lösungen sind möglich, aber nicht mit einem festen Preis kalkulierbar; sie werden im Diagnose-Bericht als Sonder-Aufgabe aufgeführt.

Reine Buchungs- oder Termin-Strecken (Kalender, Online-Bezahlung, Konfiguratoren) sind keine Kontaktformulare im Sinn dieses Bausteins. Hier brauchen Sie eine eigenständige Lösung — entweder einen externen Dienst (Calendly, Doodle und ähnliche) oder eine Programmier-Aufgabe jenseits des updatefrei-Werkzeug-Angebots.

Was Sie tun müssen

Bei der Buchung geben Sie eine Empfänger-Adresse an — meist die gleiche wie im bestehenden Formular.

Nach der Auslieferung empfehlen wir einen Test: Schicken Sie sich selbst eine Probe-Nachricht über das Formular, prüfen Sie, dass die Mail in Ihrem Postfach ankommt und nicht im Spam-Ordner landet. Sollte etwas nicht stimmen, melden Sie sich per Mail oder Kontaktformular — kleinere Justierungen nehmen wir nach.

Eine Anmerkung zur Voraussetzung: Der Webspace muss PHP unterstützen und die mail()-Funktion aktiv haben. Beides ist bei deutschen Hosting-Anbietern (Strato, IONOS, Hetzner, 1blu, Mittwald, all-inkl, etc.) Standard. Wenn das ursprüngliche Formular funktioniert hat, ist die Voraussetzung erfüllt.