Contact Form 7 Alternative: 5 Formular-Plugins im Vergleich

Contact Form 7 steht seit 2007 im WordPress-Verzeichnis, und dafür gibt es Gründe: Es ist kostenlos, es ist schlank, und es tut genau das, was der Name sagt. Gründe für die Suche nach einer Alternative gibt es aber auch. Wer mehr will als ein nacktes Kontaktformular, stößt schnell an Grenzen, die das Plugin gar nicht verschweigt. Es ist bewusst minimalistisch. Die Frage ist nur, ob Minimalismus an dieser Stelle die richtige Währung ist.

Wo Contact Form 7 im Alltag wehtut

An drei Punkten entzündet sich der Wechselwunsch fast immer. Erstens: Spam. Ab Werk filtert Contact Form 7 nichts. Es bringt Schnittstellen zu Akismet, reCAPTCHA und Turnstile mit, aber jede davon willst du erst einrichten, und jede schickt Daten nach draußen (dazu gleich mehr). Zweitens: Anfragen existieren nur als E-Mail. Die eigene Doku sagt es offen: Contact Form 7 speichert übermittelte Nachrichten nirgends, und bei Problemen mit dem Mailserver oder einer falschen Mail-Einstellung können sie für immer verloren gehen (CF7-Doku zu Flamingo, abgerufen am 4. Oktober 2026). Für ein Unternehmen ist das kein Schönheitsfehler, sondern verlorener Umsatz. Abhilfe schafft Flamingo, ein kostenloses Plugin vom selben Autor, das alle Nachrichten in die Datenbank schreibt; im Census liegt es im Band ab 800.000 Installationen (Census-Profil von Flamingo). Drittens: der leere Baukasten. Jedes Formular beginnt bei null, mit einer Markup-artigen Syntax aus Form-Tags wie [text* your-name], an der Einsteiger oft hängen bleiben.

Spam und Datenschutz: was Contact Form 7 mitbringt

Contact Form 7 hat mehr Spam-Werkzeuge, als sein Ruf vermuten lässt. Die eigene Doku empfiehlt sogar, mehrere Arten zu kombinieren. Datenschutzseitig sind sie aber grundverschieden, und genau hier entscheidet sich, ob CF7 für dein Projekt taugt.

Die Grundlage ist erfreulich sauber. In der Standardeinstellung verfolgt CF7 niemanden heimlich, schreibt keine personenbezogenen Daten in die Datenbank, sendet nichts an externe Server und setzt keine Cookies; schaltest du reCAPTCHA, Akismet, Turnstile, Brevo, Constant Contact oder Stripe ein, können die Daten der Absender samt IP-Adresse beim jeweiligen Anbieter landen (Datenschutzhinweise im wordpress.org-Eintrag, abgerufen am 4. Oktober 2026). Der Eintrag empfiehlt deshalb, die Datenschutzbestimmungen des jeweiligen Anbieters zu prüfen.

Akismet: das Herzstück, mit Datenweitergabe

Die CF7-Doku nennt Akismet den Kern ihrer Spam-Abwehr. Du markierst Namens-, E-Mail- und URL-Feld mit Optionen wie akismet:author_email, und beim Absenden schickt CF7 alle Eingaben des Formulars, nicht nur die markierten Felder, zusammen mit Umgebungsvariablen an Akismet (CF7-Doku zu Akismet). Für persönliche Blogs gibt es den API-Schlüssel kostenlos, für gewerbliche Seiten verweist die Doku auf bezahlte Abos. Falsch einsortierte Nachrichten meldest du nur zurück, wenn zusätzlich Flamingo läuft. Akismet selbst steht im Census im Band ab 5 Mio. Installationen (Census-Profil von Akismet). Welche Wege ohne Cloud gegen Spam helfen, vergleichen wir im Beitrag Akismet-Alternative: Spam-Schutz ohne Cloud.

reCAPTCHA v3: unsichtbar, aber bei Google

CF7 nutzt reCAPTCHA v3, das ohne „Ich bin kein Roboter“-Kästchen im Hintergrund eine Punktzahl vergibt. Für Besucher ist das bequem, für dich heißt es: Bei jedem Absenden ist ein Google-Dienst beteiligt. Die CF7-Doku warnt außerdem, Google wolle alle reCAPTCHA-Nutzer zu reCAPTCHA Enterprise umziehen, was für viele höhere Kosten bedeute (CF7-Doku zu reCAPTCHA). Ob du dafür eine Einwilligung brauchst, entscheidet sich an § 25 TDDDG: Informationen auf dem Endgerät speichern oder auslesen darf eine Website nur mit Einwilligung, es sei denn, das ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Wer reCAPTCHA vorsichtshalber erst nach Zustimmung lädt, hat bei allen, die ablehnen, keinen Spam-Schutz. Wie Einwilligungen in WordPress sauber laufen, steht im Beitrag über Cookie-Consent und DSGVO in WordPress.

Cloudflare Turnstile: die Empfehlung der CF7-Doku

Turnstile ist Cloudflares Ersatz für klassische Captchas. Die CF7-Doku nennt es im Gegensatz zu reCAPTCHA kostenlos und empfiehlt es, solange nichts für reCAPTCHA spricht (CF7-Doku zu Turnstile). Eingerichtet ist es schnell: Schlüsselpaar bei Cloudflare holen, unter Kontakt › Integration eintragen, fertig. Das Widget erscheint dann automatisch oben in jedem Formular. Datenschutzseitig verschiebt sich die Frage nur: Statt bei Google können die Absenderdaten samt IP-Adresse dann bei Cloudflare landen.

Was lokal bleibt: Sperrliste, Quiz, Honeypot

Ohne fremden Server kommen diese Wege aus. Die Sperrliste nutzt die Liste unzulässiger Kommentar-Schlüssel aus Einstellungen › Diskussion: Nachrichten mit einem gelisteten Wort oder von einer gelisteten IP-Adresse behandelt CF7 als Spam und stellt sie nicht zu (CF7-Doku zur Sperrliste). Das Quiz stellt eine einfache Frage wie „12+48=?“, die Besucher richtig beantworten müssen. Einen Honeypot, also ein für Menschen unsichtbares Feld, in das nur Bots etwas eintragen, findest du nicht in der CF7-Doku, sondern in Erweiterungen wie CF7 Apps (Kennung contact-form-7-honeypot), im Census mit einem Band ab 300.000 Installationen und 3,8 von 5 Sternen (Census-Profil von CF7 Apps). Und es gibt Really Simple CAPTCHA vom CF7-Autor, ein Bild-Captcha, über das der eigene Verzeichniseintrag sagt, es sei nicht stark abgesichert (wordpress.org-Eintrag von Really Simple CAPTCHA). Bild-Captchas und Rätselfragen verlangen Besuchern allerdings etwas ab, und genau das wird für viele Menschen mit Einschränkungen zur Hürde. Was die WCAG dazu sagen, steht in Captcha und Barrierefreiheit.

Die Alternativen im Überblick

WPForms: der Komfort-Baukasten

WPForms ist der bekannteste Drag-and-drop-Baukasten und im Einstieg angenehm einfach; die Lite-Fassung steht im Census im Band ab 5 Mio. Installationen mit 4,8 von 5 Sternen. Der Haken liegt im Modell. Bedingte Logik und Datei-Uploads nennt der Verzeichniseintrag als Funktionen von WPForms Pro, und laut eigener Doku speichert WPForms Lite Einsendungen gar nicht in der WordPress-Datenbank (WPForms-Doku zu Lite Connect, abgerufen am 4. Oktober 2026). Wer dort die Sicherung „Lite Connect“ einschaltet, schickt jede Einsendung auf Server von WPForms, wo sie ein Jahr liegt und nach einem Upgrade ins Dashboard zurückkommt. Stand 4. Oktober 2026 kostet die kleinste Bezahlstufe Basic im ersten Jahr 49,50 US-Dollar, danach regulär 99 US-Dollar, die Stufen reichen bis Elite mit 299,50 bzw. regulär 599 US-Dollar (WPForms-Preisseite). Gut für Marketing-Sites, die ohnehin US-Dienste in der Kette haben. Für datensensible Projekte prüfenswert.

Ninja Forms: freie Basis mit Einsendungen, Rest als Add-on

Ninja Forms hat seine freie Fassung kräftig ausgebaut. Laut Verzeichniseintrag landet jede Einsendung ohne Limit in der eigenen WordPress-Datenbank, und auf jedem Formular ist automatisch ein Honeypot aktiv; bedingte Logik, Datei-Uploads, mehrstufige Formulare, Zahlungen und Integrationen bleiben Add-ons, einzeln oder als Mitgliedschaft zu kaufen (wordpress.org-Eintrag von Ninja Forms, abgerufen am 4. Oktober 2026). Die kleinste Mitgliedschaft Plus kostet Stand 4. Oktober 2026 im ersten Jahr 59,40 US-Dollar, danach regulär 99 US-Dollar (Ninja-Forms-Preisseite). Wer genau eine Zusatzfunktion braucht, fährt hier gut. Wer wachsen will, rechnet vorher nach.

Fluent Forms: das beste Gesamtpaket der Baukästen

Fluent Forms ist unter den klassischen Baukästen unsere Empfehlung, wenn es ein Baukasten sein soll. Die freie Fassung bringt laut Verzeichniseintrag schon bedingte Logik, Zahlungen über Stripe sowie Felder für reCAPTCHA, hCaptcha und Turnstile mit, Einsendungen lassen sich exportieren und importieren. Im Census steht es mit 4,8 von 5 Sternen aus 790 Bewertungen und allen acht Support-Fäden gelöst da. Pro kostet Stand 4. Oktober 2026 für eine Website regulär 79 US-Dollar im Jahr, im ersten Jahr rabattiert 63 US-Dollar (Fluent-Forms-Preisseite). Kritikpunkt: Der Funktionsumfang ist so breit, dass die Oberfläche stellenweise überladen wirkt.

Gravity Forms: der Entwickler-Klassiker

Gravity Forms ist seit Jahren das Werkzeug für komplexe Formular-Projekte: mehrstufige Formulare, Berechnungen, Workflows, eine reife Entwickler-API. Eine freie Fassung gibt es nicht, im wordpress.org-Verzeichnis steht das Plugin nicht, und deshalb hat es auch kein Census-Profil. Stand 4. Oktober 2026 kostet die Basic-Lizenz 59 US-Dollar im Jahr für eine Website, Elite 259 US-Dollar für beliebig viele (Gravity-Forms-Preisseite). Gegen Spam gibt es einen Honeypot, den du je Formular in den Einstellungen einschaltest (Gravity-Forms-Doku zu den Formulareinstellungen). Für Agenturen mit Sonderfällen die sicherste Bank, für ein simples Kontaktformular zu viel.

Leadlotse: vom Ziel her gedacht

Unser eigenes Plugin Leadlotse geht einen anderen Weg, und weil es unser eigenes ist, sagen wir das gleich dazu. Leadlotse ist kein weiterer leerer Baukasten, sondern startet mit Zweck-Vorlagen: Kontakt, Beratung, Anfrage, Newsletter, Download, Rückruf, Angebot oder Event. Auswählen, anpassen, fertig, Felder, Datenschutztext und Bestätigungsmail sind schon dabei. Jede Einsendung landet in einer Anfragen-Inbox direkt in WordPress, mit Status (Neu, In Arbeit, Erledigt), Suche, Filter und CSV-Export; die Mail ist nur noch Zusatzkanal statt einziger Speicher. Bleibt eine Anfrage zu lange liegen, meldet sich Hans, der Lotse. In Pro erzeugt die Veranstaltungs-Anmeldung nach dem Double-Opt-in Tickets mit QR-Code, samt Check-in per Scan und Kapazitätsgrenze. Wie das gegen eine Ticketplattform abschneidet, steht in unserem Vergleich Eventbrite-Alternative.

Beim Thema Spam ist der Unterschied zu CF7 am größten. Leadlotse verarbeitet Anfragen auf deinem Server und macht keinen externen Aufruf, den Spam hält es mit Honeypot, Zeitfalle und Rate Limiting ab, ganz ohne Captcha. Ist unser Spam-Schutz Wellenbrecher aktiv, laufen die Formulare zusätzlich durch dessen Bewertung. Im Census taucht Leadlotse nicht auf, der erfasst erst Plugins ab 10.000 Installationen. Wer nur Kommentarspam hat, kommt oft mit Antispam Bee aus; wo dessen Grenze bei Formularen liegt, steht in der Antispam-Bee-Alternative.

Ehrlicherweise gehört dazu: Leadlotse will gar nicht alles können. Wer fünfzig Feldtypen, Zahlungs-Integrationen und mehrseitige Berechnungsformulare braucht, ist bei Gravity oder Fluent besser aufgehoben. Leadlotse ist für Selbstständige und kleine Teams gebaut, die Anfragen zuverlässig erfassen und abarbeiten wollen, ohne einen Formular-Nachmittag zu investieren. Wie es dazu kam, steht im Leadlotse-Stapellauf-Beitrag.

Die Plugins in Zahlen: was der Census zeigt

Wie gut ein Plugin gepflegt wird, verrät kein Funktionsvergleich. Unser Plugin Directory Census 01/2026 hat zum Stichtag 28.08.2026 die öffentlichen Kennzahlen aller gelisteten Plugins ab 10.000 Installationen erfasst. Installationen meldet wordpress.org nur als Band, „ab 10 Mio.“ heißt 10 bis knapp 20 Millionen.

Zwei Dinge fallen auf. Contact Form 7 hat die meisten Installationen, liegt bei Bewertung und Support aber unter dem Median seiner Gruppe ab einer Million Installationen (4,7 Sterne, 71,9 % gelöste Fäden), und seine Quote gelöster Fäden ist die niedrigste in dieser Tabelle. Und wer CF7 mit Flamingo und einem Honeypot aufrüstet, hängt sein Formular an drei Plugins von zwei Anbietern, die alle einzeln gepflegt werden wollen. Gravity Forms fehlt, weil es nicht im Verzeichnis steht; Leadlotse liegt unter der Schwelle von 10.000 Installationen.

Vergleichstabelle

Double-Opt-in mit Contact Form 7

Wer über das Formular Newsletter-Abonnenten sammelt, braucht mehr als ein Häkchen. Art. 7 Abs. 1 DSGVO verlangt, dass du nachweisen kannst, dass die Person in die Verarbeitung ihrer Daten eingewilligt hat. Das Double-Opt-in, also die Bestätigung über einen Link in einer Mail, ist ein verbreiteter Weg zu diesem Nachweis.

Contact Form 7 löst das über seine Brevo-Anbindung. Ein Zustimmungs-Kästchen mit der Option consent_for:sendinblue sorgt dafür, dass Kontaktdaten nur nach dem Häkchen an Brevo gehen, und für ein Double-Opt-in genügt es laut CF7-Doku, zusätzlich das Plugin Double Opt-In Helper zu aktivieren (CF7-Doku zur Brevo-Anbindung). Darüber hinaus richtet sich der Double Opt-In Helper an Entwickler, die den Ablauf in eigene Plugins einbauen; eine offene Bestätigung bleibt dort standardmäßig 24 Stunden gültig (Beschreibung des Double Opt-In Helper). Was rechtlich hinter dem Verfahren steckt, steht in Double-Opt-in und DSGVO.

Leadlotse bringt das Double-Opt-in für Newsletter-Anmeldungen ohne Zusatzplugin mit und protokolliert die Einwilligung mit Zeitpunkt, Text und Version. Ob das für deinen Fall reicht, hängt an deiner Datenschutzerklärung und deinem Versandweg. Ob die Bestätigungsmail überhaupt im Posteingang ankommt, entscheiden unter anderem SPF, DKIM und DMARC deiner Absenderdomain, mehr dazu in Mails landen im Spam. Das ist eine Einordnung, keine Rechtsberatung.

Unsere Empfehlung

Wenn dein Formular nur ein Briefkasten sein soll und du gern bastelst: Bleib bei Contact Form 7, installier Flamingo und einen Honeypot, und nimm Turnstile oder Akismet erst dazu, wenn trotzdem Spam durchkommt. Wenn du einen mächtigen Baukasten willst: Fluent Forms. Wenn du Einsendungen ohne Bezahlstufe in WordPress brauchst und mit Add-ons leben kannst: Ninja Forms. Wenn du Sonderfälle und Budget hast: Gravity Forms. Und wenn du Anfragen als das behandeln willst, was sie sind, nämlich potenzielle Kunden, die nicht im Spam-Ordner verschwinden dürfen, dann schau dir Leadlotse an.

Häufige Fragen