Kostenloser Spamschutz für Shopware 6: Botschutz für Registrierung und Newsletter ohne Captcha

Spam-Konten in der Kundenliste, Bot-Anmeldungen im Newsletter, Kontaktanfragen mit kyrillischen Namen und Links: Fast jeder Shopware-6-Shop kennt das. Wir haben dafür ein eigenes Plugin gebaut, das Registrierung, Newsletter und Kontaktformular unsichtbar schützt. Ohne Captcha, ohne externe Dienste und kostenlos.

Warum Bots Ihre Registrierung und Ihren Newsletter angreifen

Bots legen in Shopware-Shops massenhaft Kundenkonten an oder tragen fremde E-Mail-Adressen in den Newsletter ein. Oft steckt dahinter keine Absicht gegen Ihren Shop. Die Formulare werden genutzt, um über die Bestätigungsmails Werbung oder Links an fremde Postfächer zu schicken.

Die Folgen landen trotzdem bei Ihnen:

• Die Kundenliste füllt sich mit Konten, die nie bestellen.
• Ihr Shop verschickt Mails an Adressen, die sich nie angemeldet haben. Das schadet dem Ruf Ihres Mailservers und kann dazu führen, dass echte Bestellbestätigungen im Spam landen.
• Newsletter-Listen und Auswertungen werden unbrauchbar.

Ein Captcha hilft nur bedingt. Es nervt echte Kunden, kostet Conversions und lädt bei den bekannten Anbietern Skripte von fremden Servern, was Sie wieder in der Datenschutzerklärung und im Cookie-Banner abbilden müssen.

Spam Schutz Easy Mode: unsichtbarer Botschutz für Shopware 6

Unser Plugin heißt „Spam Schutz Easy Mode“ und läuft ab Shopware 6.7.9. Es setzt direkt an den Shopware-Routen für Registrierung, Newsletter-Anmeldung und Kontaktformular an, bevor irgendetwas gespeichert oder verschickt wird. Das gilt für die Storefront und für die Store-API, außerdem für Gastbestellungen und für Kontaktformulare in Erlebniswelten.

Der Kunde sieht davon nichts. Es gibt kein Rätsel, kein Häkchen „Ich bin kein Roboter“ und keine Verzögerung.

Diese Prüfungen bringt das Plugin mit

• Honeypot: Ein für Menschen unsichtbares Feld, das nur Bots ausfüllen.
• Browser-Prüfung: Ein kleines Skript im Formular zeigt, dass ein echter Browser im Spiel ist und das Formular nicht schneller als in 2 Sekunden abgeschickt wurde. Express-Checkouts wie PayPal bleiben davon unberührt.
• Schriftfilter: Namen, Firma oder Adresse in fremden Schriftsystemen, standardmäßig Kyrillisch. Welche Schriften und Felder geprüft werden, stellen Sie selbst ein.
• Namensprüfung: Links im Namen, Werbetexte mit Ausrufezeichen oder identische Vor- und Nachnamen mit auffälliger Länge.
• Adressprüfung: Straße und Hausnummer mit demselben Inhalt, ein typisches Muster von Bot-Konten.
• E-Mail-Sperren: Gesperrte Domains und Endungen, mit Freigaben, die Vorrang haben.
• IP-Limits: Zu viele Versuche oder zu viele erfolgreiche Anmeldungen von derselben Adresse in kurzer Zeit.

Sie entscheiden, was mit Spam passiert

Für jede Regel wählen Sie eine von drei Reaktionen:

• Silent Drop: Der Bot bekommt eine ganz normale Erfolgsmeldung. Im Shop wird aber kein Konto angelegt, keine Newsletter-Anmeldung gespeichert und keine Mail verschickt. Der Bot merkt also nicht, dass er aufgefallen ist, und probiert es nicht mit Varianten weiter.
• Blockieren: Das Formular zeigt eine Fehlermeldung.
• Nur protokollieren: Nichts wird verhindert, Sie sehen aber, was das Plugin abgefangen hätte.

Für den Start gibt es einen Testmodus, in dem alle Regeln nur protokollieren. So prüfen Sie in Ruhe, ob echte Kunden betroffen wären, bevor Sie scharf schalten. Und falls im Plugin einmal ein technischer Fehler auftritt, lässt es die Anfrage durch. Ein echter Kunde wird also nie wegen eines Fehlers im Spamschutz ausgesperrt.

Statistik direkt im Shopware-Dashboard

Damit Sie sehen, was der Schutz bringt, zeigt das Plugin eine eigene Karte auf dem Dashboard im Shopware-Admin: verhinderte Anfragen gesamt, heute, in den letzten 7 und 30 Tagen, aufgeteilt nach Regel und nach Formular, dazu der Verlauf der letzten 30 Tage.

Der Screenshot stammt aus einem Kundenshop, in dem das Plugin seit dem 30. Oktober 2026 läuft. In der ersten Woche hat es dort 542 Spam-Anfragen abgefangen, 527 davon bei der Registrierung. Vor dem Scharfschalten haben wir die Regeln gegen den Kundenbestand des Shops laufen lassen: Alle 6.681 bekannten Spam-Konten wurden erkannt, kein echter Kunde wäre betroffen gewesen. Das ist ein Erfahrungswert aus diesem Shop, kein Versprechen für jeden anderen. Genau dafür gibt es den Testmodus.

Die Karte sehen nur Admin-Benutzer mit Leserecht auf das Spam-Protokoll. Texte gibt es auf Deutsch und Englisch.

Datenschutz: keine externen Dienste, keine Klartext-IPs

Das Plugin lädt keine Skripte von fremden Servern und gibt keine Daten an Dritte weiter. Im Protokoll speichert es Formular, Regel, Reaktion und Feldname sowie eine gekürzte, gesalzene Kennung der IP-Adresse. Klartext-IPs und Formularinhalte landen dort nicht. Die Einträge werden nach 7 Tagen automatisch gelöscht, einstellbar bis höchstens 180 Tage. Die Zahlen für das Dashboard sind reine Tageszähler ohne personenbezogene Daten.

Wer das Plugin deinstalliert und die Daten nicht behalten will, bekommt alle Tabellen des Plugins wieder entfernt.

So kommen Sie an das Plugin

Das Plugin ist kostenlos. Es liegt gerade zur Prüfung bei Shopware und soll noch 2026 im Shopware Store erscheinen. Wann genau, hängt von der Freigabe durch Shopware ab. So lange müssen Sie nicht warten: Schreiben Sie uns über das Kontaktformular, welche Shopware-Version Sie nutzen, dann schicken wir es Ihnen zu. Die Installation läuft wie bei jedem Plugin über „Erweiterungen > Meine Erweiterungen“.

Unsere Empfehlung für den Start:

1. Plugin installieren und den Testmodus aktivieren.
2. Ein paar Tage auf die Dashboard-Karte und ins Protokoll schauen.
3. Die Regeln scharf schalten, die nur Bots treffen, am besten mit Silent Drop.

Sie brauchen für Ihren Shop eine angepasste Lösung oder eine ganz andere Erweiterung? Alles dazu finden Sie unter Shopware Plugin-Entwicklung.