Max Korn
Du baust gerade deine Website in WordPress, und jetzt fehlt noch das Kontaktformular. Im Plugin-Verzeichnis gibt es dafür eine lange Liste, und dein Page Builder hat auch eins eingebaut. Welches WordPress-Kontaktformular nimmst du, und welche Felder brauchst du wirklich?
Wenn du das Formularmodul deines Page Builders schon nutzt und es Anfragen speichert, bleib dabei. Sonst reicht für eine typische Firmenwebsite ein schlankes kostenloses Plugin wie Fluent Forms, das Anfragen zusätzlich auf deiner Website speichert. Ein größeres oder kostenpflichtiges Werkzeug brauchst du erst, wenn das Formular mehr können muss als eine Nachricht entgegenzunehmen: Dateien annehmen, Felder je nach Antwort ein- und ausblenden oder Daten an ein CRM oder einen Zahlungsdienst übergeben.
Für eine erste Antwort per Mail reichen E-Mail-Adresse und Nachricht als Pflichtangaben. Name und Telefonnummer bleiben freiwillig, solange du sie nicht für die konkrete Anfrage brauchst.
Welches Formular-Plugin für deine Firmenwebsite reicht
WordPress bringt kein eigenes Kontaktformular mit. Du brauchst also ein Plugin oder das Formularmodul deines Page Builders oder Themes, bei Elementor zum Beispiel das Formular-Widget.
Neben dem Funktionsumfang zählt vor allem eine Frage. Speichert das Werkzeug Anfragen auf deiner Website? Wenn nicht, gibt es eine Anfrage nur als E-Mail. Kommt die Mail nicht an, ist die Anfrage weg, und du merkst es nicht mal.
| Werkzeug | Speichert Anfragen? | Eingebauter Spam-Schutz | Passt, wenn … |
|---|---|---|---|
| Elementor-Formular-Widget (nur Elementor Pro) | erst ab dem Tarif Advanced Solo | Honeypot | du Elementor Pro in einem Tarif mit Speicherung schon nutzt |
| Fluent Forms (kostenlos) | ja, im Dashboard | Honeypot | du noch kein Formularmodul hast |
| Contact Form 7 | nur mit dem Zusatzplugin Flamingo | Sperrliste, Honeypot nur per Add-on | es schon läuft und du es ergänzt |
| WPForms Lite | nein, nur per E-Mail | standardmäßig aktiv | du ohnehin einen Bezahltarif planst |
Für WPForms Lite gibt es ein optionales Backup namens Lite Connect. Es liegt aber auf den Servern von WPForms, und wiederherstellen kannst du die Einträge laut Anbieter erst nach einem Upgrade.
Das Formular-Widget von Elementor gibt es nur in Elementor Pro. Im Tarif Essential speichert es laut Preisseite keine Einsendungen, das kommt erst ab Advanced Solo dazu, Stand September 2026. Bei einem anderen Page Builder schaust du in dessen Doku, ob sein Formular Einsendungen speichert.
Ohne vorhandenes Formularmodul ist die kostenlose Version von Fluent Forms ein solider Start. Läuft bei dir schon Contact Form 7, musst du nicht wechseln. Ergänz dann Flamingo und den Honeypot aus der Tabelle.
Mehr Werkzeug lohnt sich erst, wenn du es konkret brauchst. Datei-Upload, bedingte Logik (ein Feld erscheint nur bei einer bestimmten Antwort) und gespeicherte Einträge gibt es bei WPForms ab dem Tarif Basic. Er kostet laut Anbieter 49,50 $ pro Jahr für eine Website im Aktionspreis, regulär 99 $.
Zahlungs- und CRM-Anbindungen bietet WPForms erst in den teureren Tarifen. Fluent Forms Pro kostet zum Vergleich laut Anbieter regulär 79 $ pro Jahr für eine Domain. Die Preise sind vom September 2026.
Welche Felder du wirklich brauchst
Für eine erste Antwort per Mail brauchst du die E-Mail-Adresse und die Nachricht. Ob weitere Angaben nötig sind, hängt von der Anfrage ab. Einen Namen oder eine Telefonnummer fragst du nur verpflichtend ab, wenn du sie für die Bearbeitung tatsächlich brauchst. Sonst bleiben sie optional.
Jedes weitere Pflichtfeld braucht einen Grund. Pflichtangaben zu Telefon, Budget oder Adresse schrecken Leute ab, die erst mal nur eine Frage haben. Außerdem sammelst du damit Daten, die du für die Antwort nicht brauchst. Das verträgt sich schlecht mit dem Grundsatz der Datenminimierung.
Für den Aufbau empfiehlt das Usability-Institut Nielsen Norman Group, unnötige Felder zu streichen, Beschriftungen über das Feld zu setzen und einspaltig zu bauen. Pflichtfelder markierst du mit einem Sternchen, auch wenn fast alle Felder Pflicht sind. Optionale Felder bekommen den Zusatz „optional“.
Stell dir vor, ein Umzugsunternehmen arbeitet im Umkreis seiner Stadt und will vor dem Rückruf wissen, ob sich die Anfahrt lohnt. Ein optionales Feld „Ort des Umzugs“ ist berechtigt, weil der Betrieb die Angabe direkt nutzt. Ein Pflichtfeld für die Wohnungsgröße wäre es nicht, denn die klärt er sowieso beim Besichtigungstermin.
Spam-Schutz: erst lokal, dann ein externer Dienst
Gegen Spam gehst du in Stufen vor. Die nächste Stufe nimmst du erst, wenn die vorige nicht reicht. Jede bringt mehr Datenfluss oder Kosten mit.
- Zuerst schützt du das Formular lokal, ohne externen Dienst. Ein Honeypot ist ein Feld, das Menschen nicht sehen. Bots füllen es aus und verraten sich damit. Eine Zeitprüfung verwirft Formulare, die schneller abgeschickt werden, als ein Mensch tippen kann. Ein Honeypot allein hält nicht jeden Bot ab, deshalb kombinierst du beides. Für Contact Form 7 liefert zum Beispiel das Add-on CF7 Apps einen Honeypot. Ob ein Add-on auch eine Zeitprüfung mitbringt, steht in seiner Beschreibung. Optionale Module mit Verbindungen zu externen Diensten lässt du aus.
- Reicht das nicht, kommt ein datensparsamer Dienst dazu. Cloudflare Turnstile verarbeitet laut Cloudflare unter anderem IP-Adresse, Browserkennung und einen technischen Fingerabdruck der Verbindung und nutzt diese Signale auch, um Turnstile zu verbessern. Friendly Captcha ist ein deutscher Anbieter und setzt laut eigener Aussage keine Cookies und Tracker ein. Sein kostenloses WordPress-Plugin unterstützt unter anderem Contact Form 7 und Elementor. Der Gratistarif gilt aber nur für nicht kommerzielle Websites, der Starter-Tarif kostet laut Anbieter 9 € im Monat. Auch dieser Preis ist vom September 2026.
- Google reCAPTCHA kommt zuletzt. Deutsche Datenschutz-Ratgeber raten überwiegend davon ab, es ohne vorherige Einwilligung einzusetzen. Außerdem brauchst du ein Google-Cloud-Konto, kostenlos sind laut Google 10.000 Prüfungen pro Monat und Organisation.
Bei jedem externen Dienst stellt sich eine Rechtsfrage: Ob Captcha-Skripte von Drittanbietern nach § 25 TDDDG ohne Einwilligung laden dürfen, ist umstritten. Kommst du mit der ersten Stufe aus, stellt sich die Frage gar nicht. Brauchst du einen Dienst, klär vorher, wann du für externe Skripte eine Einwilligung brauchst und was beim Einbinden externer Dienste gilt.
Datenschutzhinweis und zuverlässige Zustellung
Unter das Formular gehört ein kurzer Hinweis zur Verarbeitung der Formulardaten, der erklärt, wofür du die Angaben nutzt. Er verlinkt auf einen eigenen Abschnitt zum Kontaktformular in deiner Datenschutzerklärung. Was dort stehen muss, regelt Art. 13 DSGVO: unter anderem Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und welche Angaben Pflicht sind. Setzt du einen Captcha-Dienst ein, ist auch er ein Empfänger.
Für die Anfragebearbeitung kann je nach Fall Art. 6 Abs. 1 lit. b oder f DSGVO greifen. Eine Einwilligung ist deshalb nicht pauschal für jede Anfrage nötig. Holst du für einen zusätzlichen Zweck eine Einwilligung ein, muss sie freiwillig sein und getrennt von der Anfrage erfolgen. Das Kästchen darf nicht vorausgefüllt sein.
Der zweite Punkt ist die Zustellung. Laut WP Mail SMTP verschickt WordPress Formularmails standardmäßig über die PHP-Funktion mail(), und solche Mails landen ohne SMTP-Authentifizierung oft im Spam oder verschwinden. Mit SMTP verschickt die Website ihre Mails über ein echtes Postfach mit Benutzername und Passwort, zum Beispiel das Postfach deiner Domain. Das richtest du per SMTP-Plugin ein.
Wie du die Zustellung vorab testest und welcher Versandweg passt, steht im Ratgeber zu WordPress-Formularmails, die nicht ankommen. Die Speicherung aus der Werkzeugwahl bleibt dein Sicherheitsnetz, falls trotzdem mal eine Mail verloren geht.
Prüf dein Formular auf dem Smartphone
Öffne dein Formular auf dem Smartphone und geh die Liste durch:
- Pflicht sind nur die Felder, die du für die Antwort brauchst.
- Pflichtfelder tragen ein Sternchen, optionale Felder den Zusatz „optional“.
- Unter dem Formular steht ein Datenschutzhinweis, dessen Link zum passenden Abschnitt der Datenschutzerklärung führt.
- Kein Captcha-Dienst lädt, ohne dass er in der Datenschutzerklärung steht und die Einwilligungsfrage geklärt ist.
- Einsendungen landen zusätzlich im Backend deiner Website.
- Die Formularmails laufen über SMTP.
- Eine Testanfrage kommt in deinem Posteingang an, und du hast auch im Spam-Ordner nachgesehen.
- Nach dem Absenden erscheint eine klare Bestätigung, dass die Nachricht angekommen ist.
Beheb jeden Punkt, der nicht passt, und schick danach eine zweite Testanfrage. Funktioniert das Formular und kommen trotzdem kaum Anfragen, lohnt sich ein Blick auf die übrige Website. Kommt trotz Honeypot, Zeitprüfung und SMTP weiter Spam durch oder verschwinden Anfragen, schau ich mir dein Formular gern an.
