Widerrufbutton – Belagerung durch Bots

Hallo,

seitdem dieser Widerrufsbutton eingebaut werden musste, bekomme ich tagtäglich etliche automatisierte Nachrichten.

Der Button ist ein absoluter Magnet für Spam-Bots !!

Gibt es eine funktionierende Möglichkeit, das Formular abzusichern (z. B. per Honeypot oder Captcha), ohne dass es zu Fehlern in Siquando kommt?
Wie geht Ihr damit um? Was kann man dagegen tun ? 

Schöne Grüße
Rainer

Hallo Rainer

Du schreibst, dass Du seit Einführung des Widerrufsbuttons täglich etliche automatisierte Nachrichten erhältst. Darf ich fragen, welchen Widerrufsbutton Du verwendest?

Siquando bietet eine integrierte Lösung meines Wissens erst ab proWeb/Shop 10 bzw. ab Version 12R an. Ich hatte vor einiger Zeit hier im Forum auch einmal einen KI-generierten Widerrufsbutton vorgestellt. Daneben gibt es beispielsweise auch Lösungen vom Händlerbund.

Mich und weitere User hier im Forum würde interessieren, welche Variante bei Dir im Einsatz ist. Dann könnte man vielleicht besser eingrenzen, ob die Spam-Nachrichten mit der jeweiligen Umsetzung zusammenhängen oder ob eher Bots das dahinterliegende Formular gezielt angreifen.

Hallo Rainer,

du arbeitest ja noch mit der proWeb 6-Version. Deshalb würde mich interessieren, ob dieses Verhalten auch bei Anwendern von ProShop 10 auftritt oder ob es nur die älteren Versionen betrifft. 

Grundsätzlich vermute ich, dass nicht der Widerrufsbutton selbst das Problem ist, sondern das öffentlich zugängliche Formular dahinter. Solche Formulare werden von Spam-Bots automatisiert gefunden und ausprobiert.

Mich würde deshalb interessieren:

Sind es tatsächlich Spam-Nachrichten, die über das Formular eingehen?

Oder handelt es sich lediglich um viele Zugriffe in den Logdateien?

Falls mehrere Nutzer – insbesondere mit ProShop 10 – das gleiche Problem haben, wäre das aus meiner Sicht ein Thema, das Siquando mit einem integrierten Bot-Schutz (z. B. Honeypot oder Cloudflare Turnstile) lösen sollte.

Da ich meinen Shop in der Schweiz betreibe unterliege ich nicht dieser Pflicht und kann daher als proShop10 User keine ERfahrungen diesbezüglich hier im Forum machen

 Hallo Rau Lu,

so viel ich weiß, ist der Einsatz von Captcha rechtlich von Gesetzgeber verboten, da es eine zusätzliche Hürde für den Widerrufer darstellt. (Ergänzung: Wenn die Datenschutzrechtlichen Anforderungen erfüllt werden, ist der Einsatz von Captcha angeblich nach Internetrecherche möglich, aber lasst euch da lieber von einem Rechtsberater beraten, das Thema wird auf jeden Fall viel diskutiert).

Die Lösung mit "Versteckten Felder", also die so genannten "Honeypots" wären eine Lösung. Im Formular kann man "Versteckte Felder" einfügen, da ich jedoch kein Shop habe und das Widerufformular nicht habe, kann ich hierzu leider nicht helfen diese einzubauen. 

Kann also nur empfehlen, dass du dich an Siquando wendest, damit die eine Lösung für alle erarbeiten.

Hier ein Beispiel für ein Honeypot-Formularfeld (verstecktes Feld), das ähnlich ergänzt werden könnte:

<form ...>

...

<div class="clearfix">
<label for="feld-0815" style="display:none;>0815-Feld:</label>
<input id="feld-0815" type="email" name="kngspam" inputmode="email" value="" style="display:none;>
</div>

...

</form>

Zugehörigt die Skript-Abfrage, das in ähnlicher Form hinzugefügt werden kann und das dafür sorgt, wenn das Feld ausgefüllt ist, das die E-Mail nicht gesendet wird:

<script>

...

if (!empty($_POST['kngspam'])) {
input:submit:disabled {
display:none;
color: #aaaaaa;
}
die("Spam-E-Mail nicht gesendet!");
}

...

<script>

Das soll nur zeigen, was sich hinter ein Honeypot-Feld in ähnlicher Form verbirgt.

Hallo Thomas
wenn ich das richtig gesehen habe benutzt Rainer "Pro Shop 6". Siquando bietet den Wiederruf aber erst ab proShop 10 un Shop12R an. Ich gehe daher davon aus das nicht das Original von proShop10 verwendet wird.
Ich selbst habe pro Shop10 und da steht im 

Widerufsbutton in Pro Shop Workshop:

Seite 14 ff

Missbrauchsschutz aktivieren

Den Vorgaben des Gesetzes folgend, haben wir in der Ausgestaltung des Widerrufsformulars keinerlei Funktionen integriert, die dessen Nutzung erschweren könnten. Das bedeutet aber auch, dass jeder das Formular verwenden, eine fremde E-Mail-Adresse eintragen und es so zum Versand von SPAM nutzen kann. Mit dem Missbrauchschutz können Sie insbesondere die automatisierte „Nutzung“ des Formulars zum Versand unerwünschter Mails 14 erschweren. Sie finden die Funktion unter Datei → Mail-Eigenschaften → Widerruf. Ist sie aktiviert, wird die wiederkehrende Nutzung des Formulars von ein und derselben IP-Adresse mit einer exponentiell wachsenden Wartezeit versehen, was die Funktion für Spammer unattraktiver macht. Mehr dazu finden Sie im Handbuch von SIQUANDO Shop.

Hallo René,

da wird die IP-Adresse, nachdem einmal (oder zweimal, vermutet) die E-Mail mit der zugehörigen IP-Adresse des Absender gesendet wurde, für eine Zeit gesperrt. Das ist eine Maßnahme, um vor sehr viele in sehr kurzer Zeit, Spam-E.Mails zu schützen, aber die ersten Spam-E-Mail, also mindestens die erste geht durch. Woher sonst sollte das Wissen der IP-Adresse der Spam-E-Mail kommen.
Spambots können mit sehr viel E-Mails in kürzester Zeit ein ganzen Server in die Knie zwingen, was dann ja auch vom Spammern so gewollt ist.
Es gibt aber unterschiedliche Spambots mit unterschiedlichen Ziel die z.B. anfangs auch nur 1-2 E-Mails am Tag zu senden.

Hallo Thomas

Vielen Dank für Deine ausführliche Erläuterung. Jetzt ist mir auch klarer, weshalb solche Schutzmechanismen erst nach den ersten eingegangenen Nachrichten greifen können.

Das eigentliche Problem scheint mir aber zu sein, dass der gesetzlich vorgeschriebene Widerrufsbutton für Spambots ein leicht erkennbares Ziel darstellt. Selbst wenn IP-Sperren oder ähnliche Massnahmen wirken, kommen die ersten Spam-Nachrichten trotzdem durch. Und bei Bots, die ihre Anfragen über viele verschiedene IP-Adressen oder zeitlich verteilt versenden, stossen solche Schutzmechanismen verständlicherweise an ihre Grenzen.

Tja, da kann man wohl sagen, dass sich die EU mit dieser Regelung (Wiederrufsrecht) ungewollt ein Problem geschaffen hat, ohne sich der möglichen Konsequenzen für die Shopbetreiber und Provider wirklich bewusst zu sein.

Vielen Dank nochmals für Deine verständliche Erklärung.