Akismet-Alternative: Spam-Schutz, der die Seite nicht verlässt

Akismet steckt in jeder frischen WordPress-Installation, noch bevor du das erste Plugin selbst installierst. Und es funktioniert: Die Erkennungsrate ist gut, die Einrichtung dauert zwei Minuten, der Kommentarbereich bleibt sauber. Es gibt gute Gründe, warum das Plugin seit Jahren der Standard ist.

Zwei Dinge stören trotzdem. Erstens verlässt jeder Kommentar und jede Formularnachricht deine Website: Der komplette Text geht zur Prüfung an einen fremden Server, zusammen mit der IP-Adresse und der E-Mail-Adresse des Absenders. Zweitens ist die kommerzielle Nutzung lizenzpflichtig, was viele erst nach der ersten Mahnung merken. Wer eine Firmenseite betreibt und den kostenlosen Tarif nutzt, bewegt sich außerhalb der Lizenzbedingungen.

Dieser Beitrag sortiert die Alternativen, erklärt, wie Spamschutz ohne Cloud technisch arbeitet, und benennt die Stellen, an denen lokale Verfahren schlechter abschneiden als Cloud-Dienste.

Alle Preisangaben sind Nettopreise und Größenordnungen, Stand Mitte August 2026. Anbieter ändern ihre Tarife häufig – prüfe vor einer Entscheidung die aktuelle Preisseite.

Woran sich Akismet-Nutzer reiben

1. Jeder Beitrag verlässt die Website

Damit Akismet einen Kommentar bewerten kann, muss es ihn kennen. Übertragen wird deshalb nicht nur ein Prüfsummenwert, sondern der Inhalt selbst: Kommentartext, Name, E-Mail-Adresse, Website-Angabe, IP-Adresse, User-Agent und die aufgerufene Seite. Bei Kontaktformularen gilt dasselbe, sobald du die Akismet-Anbindung aktivierst. Das ist technisch nachvollziehbar, denn ohne Text keine Textbewertung. Es bedeutet aber, dass Nachrichten, die dir jemand vertraulich schreibt, zuerst bei einem Dienstleister landen.

2. Kommerzielle Nutzung ist lizenzpflichtig

Der kostenlose Akismet-Tarif ist für persönliche, nicht-kommerzielle Websites gedacht. Sobald auf der Seite Werbung läuft, ein Shop hängt oder schlicht eine Firma dahintersteht, gehört die Nutzung in einen bezahlten Tarif. Die Größenordnung für eine kommerzielle Einzelseite liegt bei etwa 120 Euro im Jahr, Stand Mitte August 2026. Das ist kein unfairer Preis für ein Werkzeug, das täglich arbeitet. Unangenehm ist nur, dass viele Betreiber die Grenze nicht kennen und die Rechnung als Überraschung erleben.

3. So arbeitet lokaler Spamschutz technisch

Wer die Cloud vermeiden will, braucht Verfahren, die ohne fremdes Wissen auskommen. Drei Bausteine tragen den Großteil der Arbeit:

Honeypot-Felder sind Eingabefelder, die im Formular existieren, aber per CSS ausgeblendet sind. Ein Mensch sieht sie nicht und lässt sie leer. Ein Bot liest das Formular aus dem HTML und füllt brav alles aus, was er findet. Ist das unsichtbare Feld gefüllt, ist der Absender mit hoher Sicherheit automatisiert.

Zeitfallen messen, wie lange zwischen dem Aufbau der Seite und dem Absenden vergeht. Ein Mensch braucht für eine Kontaktnachricht mindestens ein paar Sekunden. Bots füllen Formulare in Millisekunden aus, weil sie den Inhalt nicht lesen, sondern nur die Felder befüllen. Eine Einsendung nach 400 Millisekunden ist kein Kunde.

Muster- und Heuristikprüfung schaut sich den Inhalt selbst an: Verhältnis von Links zu Text, kyrillische Zeichen mitten in einem deutschen Satz, typische Werbephrasen, identische Nachrichten aus wechselnden Absendern, Formularfelder in einer Reihenfolge ausgefüllt, die kein Browser erzeugt. Jedes einzelne Signal ist schwach. In Summe ergeben sie eine belastbare Entscheidung, und zwar komplett auf deinem eigenen Server.

Die fünf Alternativen

Antispam Bee: der deutsche Klassiker

Antispam Bee ist seit vielen Jahren die naheliegende Antwort auf die Akismet-Frage im deutschsprachigen Raum: kostenlos, GPL, ohne Kontozwang und weitgehend lokal arbeitend. Das Plugin kombiniert Heuristiken, Sprachprüfung und optionale Abgleiche, hält die Prüfung aber im Normalbetrieb auf der eigenen Installation. Bei Kommentarspam ist die Erkennung solide und für die meisten Blogs vollkommen ausreichend.

Die Grenze liegt im Umfang: Antispam Bee kümmert sich um Kommentare und Trackbacks. Kontaktformulare, Benutzerregistrierungen und WooCommerce-Prozesse wie Bewertungen oder Bestellnotizen deckt es nicht ab. Wer Spam nicht nur unter Blogbeiträgen, sondern auch im Postfach hat, braucht zusätzlich etwas anderes.

CleanTalk: hohe Erkennung, dafür Cloud

CleanTalk gehört zu den Diensten mit den besten Erkennungsraten im Feld, und zwar deutlich über Kommentare hinaus: Formulare, Registrierungen, Shop-Prozesse. Das liegt an derselben Mechanik wie bei Akismet, nämlich einer zentralen Datenbank, die Signale aus sehr vielen Websites gleichzeitig sieht.

Der Preis dafür ist derselbe wie bei Akismet: Die Prüfung findet in der Cloud statt. Du brauchst einen Auftragsverarbeitungsvertrag, einen Eintrag im Verarbeitungsverzeichnis und einen Passus in der Datenschutzerklärung. Dazu kommen Anfrage-Limits im Tarif, die bei einer stark frequentierten Seite spürbar werden. CleanTalk ist die richtige Wahl, wenn Erkennungsrate über allem steht.

Cloudflare Turnstile: Captcha ohne Bilderrätsel

Turnstile ist die schlanke Antwort auf das Captcha-Problem: keine Ampeln, keine Fahrräder, keine verzerrten Buchstaben. Im Regelfall sieht der Besucher nur ein kurzes Prüfhäkchen, die Bewertung passiert im Hintergrund. Für die Bedienbarkeit ist das ein klarer Fortschritt gegenüber Bilderrätseln.

Zwei Einschränkungen bleiben. Erstens verlagerst du die Prüfung wieder zu einem US-Dienst, das Datenschutzthema ist also nicht gelöst, sondern nur umgezogen. Zweitens schützt Turnstile den Absendevorgang, nicht den Inhalt: Es unterscheidet Bot von Mensch, aber nicht Werbetext von echter Anfrage. Ein Mensch, der bezahlt Spam eintippt, kommt durch.

reCAPTCHA: verbreitet und umstritten

Googles reCAPTCHA ist das bekannteste Verfahren und in unzähligen Formularen verbaut. Es erkennt Bots zuverlässig und kostet in normalen Größenordnungen nichts. Dafür ist es einwilligungsbedürftig, weil vor der Einbindung personenbezogene Daten an Google fließen, was die Prüfung in den Consent-Banner zwingt und damit an eine aktive Zustimmung koppelt. Wie du diesen Teil sauber aufsetzt, steht in unserem Beitrag zu Cookie-Consent und DSGVO.

Dazu kommt die Barrierefreiheit: Die Audio-Alternative funktioniert, ist aber mühsam, und Nutzer mit Screenreader oder motorischen Einschränkungen scheitern überdurchschnittlich oft. Für ein Kontaktformular, das Anfragen bringen soll, ist jede zusätzliche Hürde eine verlorene Anfrage.

Wellenbrecher: lokale Prüfung für die ganze Website

Unser eigenes Plugin, deshalb hier mit offenem Visier. Wellenbrecher ist Local-first Anti-Spam für WordPress und schützt Kommentare, Formulare, Registrierungen und WooCommerce. Die Prüfung findet auf deinem eigenen Server statt: keine Cloud, kein Auftragsverarbeitungsvertrag nötig, kein Request-Limit, und die kommerzielle Nutzung ist frei.

Das schließt genau die Lücke, die zwischen den bisherigen Optionen offen bleibt. Antispam Bee arbeitet lokal, deckt aber nur Kommentare ab. CleanTalk deckt alles ab, prüft aber in der Cloud. Wellenbrecher kombiniert beides: derselbe Umfang, aber ohne Datenabfluss. Als Teil der Hafenstudios-Flotte arbeitet es mit Leadlotse als Formularquelle zusammen, sodass Kontaktformulare ohne zusätzliche Konfiguration mitgeschützt sind. Wenn du bei der Formularseite ohnehin gerade aufräumst, ist unser Vergleich der Contact-Form-7-Alternativen der passende Nachbarartikel.

Die Preise: Free kostet nichts. Pro liegt bei 19 Euro pro Jahr für eine Website, die Flotte-Stufe deckt 10 Websites für 69 Euro ab. Pro und Flotte sind derzeit vorbestellbar, die Free-Version kannst du sofort laden. Alle Stufen stehen auf der Preisseite. Zur Einordnung: Akismet bewegt sich für kommerzielle Nutzung in der Größenordnung von etwa 120 Euro im Jahr, CleanTalk und vergleichbare Dienste prüfen in der Cloud und limitieren die Anfragen. Beides Stand Mitte August 2026 und ohne Gewähr, dass die Anbieter das nächste Woche noch so handhaben.

Vergleichstabelle

DSGVO: eine Einordnung, keine Rechtsberatung

Vorweg, weil es wichtig ist: Was hier steht, ist unsere Einordnung als Entwickler, keine Rechtsberatung. Für eine verbindliche Bewertung deiner konkreten Website fragst du bitte jemanden mit Zulassung.

Der Unterschied zwischen lokaler und Cloud-Prüfung ist datenschutzrechtlich kein Detail, sondern der Kern. Bei einer Cloud-Prüfung überträgst du für jeden Kommentar und jede Formularnachricht typischerweise: den vollständigen Text, Name und E-Mail-Adresse des Absenders, dessen IP-Adresse, den User-Agent und die aufgerufene URL. IP-Adresse und E-Mail-Adresse sind personenbezogene Daten, der Nachrichtentext kann es ebenfalls sein und ist es bei Kontaktanfragen fast immer.

Daraus folgen drei praktische Konsequenzen. Erstens brauchst du mit dem Dienstleister einen Auftragsverarbeitungsvertrag und einen Eintrag im Verarbeitungsverzeichnis. Zweitens muss die Übermittlung in der Datenschutzerklärung stehen, benannt mit Anbieter, Zweck und Empfängerland. Drittens ist bei Anbietern außerhalb der EU der Drittlandtransfer zu dokumentieren, was zusätzliche Prüf- und Begründungsarbeit bedeutet.

Findet die Prüfung dagegen auf deinem eigenen Server statt, entfällt dieser Block. Es gibt keinen Empfänger, also auch keinen Vertrag, keinen Transfer und keinen Absatz in der Datenschutzerklärung, der einen erklären müsste. Das ist der eigentliche Vorteil lokaler Verfahren, und er wiegt in der Praxis schwerer als jeder Prozentpunkt Erkennungsrate.

Wo lokale Prüfung an ihre Grenzen stößt

Eine ehrliche Gegenrechnung gehört dazu, sonst ist der Vergleich keiner. Eine lokale Prüfung kennt keine netzwerkweite Reputation. Wenn eine Spam-Welle zeitgleich tausende Websites trifft, sieht ein Cloud-Dienst dieses Muster nach den ersten paar Hundert Treffern und blockt ab da überall. Deine Installation sieht nur, was bei dir ankommt, und muss sich ihr Urteil selbst bilden.

Lokale Verfahren gleichen das über Heuristiken, Zeitfallen und Honeypots aus, und das trägt im Alltag erstaunlich weit, weil die meisten Bots an den mechanischen Prüfungen scheitern, bevor der Inhalt überhaupt bewertet wird. Bei brandneuen Mustern sind sie aber langsamer als ein Netzwerk, das Millionen Seiten gleichzeitig beobachtet.

Ein Hinweis zum Stand: Wellenbrecher Pro ist derzeit vorbestellbar, die Free-Version ist sofort verfügbar. Wenn du erst einmal sehen willst, wie viel eine rein lokale Prüfung auf deiner Seite wegfängt, kostet dich der Test nichts außer der Installation.

Häufige Fragen