Weblogs effektiv vor Kommentar-Spam schützen

Immer mehr Blogger wachen morgens auf, werfen einen ersten Blick in Ihre Kommentarliste und finden dort zahlreiche nervende "Kommentare", die eigentlich nur das Eine im Sinn haben: auf kommerzielle Internetseiten mit zweifelhaften Angeboten zu verlinken. Egal ob Schönheitspillen, Glücksspiele oder nackte Tatsache angepriesen werden, die Masche ist immer die gleiche: Automatisierte Programme, sogenannte Spam-Bots (oder auch Crapflooder), grasen das Internet nach offenen Kommentarmöglichkeiten ab und hinterlassen scheinbar zufällig unzählige Kommentare - und verursachen so Kopfschmerzen bei Weblog-Betreibern.

In seltenen Fällen hinterlässt ein Spam-Bot eindeutige Spuren. Lassen sich wiederholte Spam-Kommentare auf eine bestimmte IP-Adresse eingrenzen, ist die vom Webmaster einzuleitende Gegenmaßnahme relativ einfach. Die meisten Weblog-Plattformen erlauben hierfür die Verwaltung einer IP-Sperrliste, mit der wirksam bestimmte IP-Adressen oder auch IP-Bereiche gänzlich von Kommentarfunktion ausgeschlossen werden können. Alternativ greifen hier Schutzmaßnahmen wie IP-Throttling, mit der sich die Anzahl der Kommentare, die von der selben IP-Adresse innerhalb eines festgelegten Zeitraums abgesetzt werden können, eingrenzen lässt (z.B. 1 Kommentar pro Minute).

Leider ist die Verwendung von IP-Sperrlisten und IP-Throttling nur ein bedingt wirksamer Schutz vor Kommentarspam, da die meisten Spam-Bot-Programme sehr raffniniert und unter Vortäuschung falscher IP-Adressen und Ausnutzung offener Proxy-Server die tatsächliche Herkunft verschleiern und mit oft wechselnden IP-Adressen agieren.

Spamschutz ist daher - leider - immer auch ein Hase-und-Igel-Rennen, bei dem die Webmaster effektive Schutzmaßnahmen austüfteln und die Spammer versuchen, diese Schutzmechanismen mit Hilfe von Spamprogrammen zu umgehen bzw. auszuhebeln. Genau an diesem Punkt sollte aber ein effektiver Spamschutz ansetzen: Spam-Bots sind Programme oder Skripte und keine hochintelligenten Lebewesen. Spam-Bots arbeiten nach einem bestimmten Schema und gehen von bestimmten Voraussetzungen aus. Verändert ein Webmaster eine oder mehrere dieser Variablen, lässt sich ein Spam-Schutz erheblich verbessern. Ansatzpunkte gibt es einige:

• Verändern Sie den Namen des Kommentar-Skripts Ihrer Weblog-Software. Bei Movable Type trägt das Kommentar-Skript standardmässig den Namen mt-comments.cgi. Mittels der Konfigurationsdatei mt.cfg kann dieser Name allerdings beliebig geändert werden. So können Sie Ihr Kommentar-Skript beispielweise in xyz.cgi umbenennen und den Wert dann einfach in Ihrer Konfigurationsdatei entsprechend anpassen.

• Erzwingen Sie eine Kommentar-Vorschau. Viele Spam-Bots arbeiten unter der Annahme, dass Kommentare unmittelbar durch das standardmässige Kommentarfeld eingegeben werden und direkt in dem Weblog erscheinen. Die meisten Weblog-Plattformen erlauben dem Webmaster allerdings, dass dieser Prozess durch eine erzwungende Kommentarvorschau unterbrochen wird. Hierzu müssen Sie allerdings Ihre Templates anpassen und sollten über fortgeschrittene HTML-Kenntnisse verfügen. In der Regel gibt die Dokumentation Ihrer Weblog-Software Auskunft über die notwendigen Arbeitsschritte bzw. die optionalen Einstellungen.

• Verwendung von CAPTCHA, Sicherheits-Codes oder Kommentar-Fragen. "CAPTCHA" ist die Abkürzung für Completely Automated Public Turing-Test to Tell Computers and Humans Apart - ein Test, um zu entscheiden, ob das Gegenüber ein Mensch oder ein Computerprogramm ist. Für alle weit verbreiteten Weblog-Plattformen gibt es inzwischen Erweiterungen bzw. Plugins, die mit Hilfe des Captcha-Verfahrens Buchstaben-Zahlen-Kombinationen erzeugen, die optisch so verfremdet sind, dass sie zwar vom menschlichen Auge aber nicht von Computern entziffert werden können. Nur durch Eingabe dieser Code-Kombination in ein zusätzliches Eingabefeld kann ein Kommentar abgeschickt werden. CAPTCHA-Lösungen auf Plugin-Basis sind meist relativ einfach zu installieren, erfordern allerdings eine Modifikation der Kommentar-Templates. Plugins wie SCode für Movable Type sind allerdings sehr gut dokumentiert. Ein Nachteil von CAPTCHA ist, dass der Code beispielsweise für blinde Nutzer eine unüberwindbare Hürde darstellt. Alternativ zu CAPTCHA können Kommentar-Fragen verwendet werden, deren korrekte Beantwortung ähnlich der Sicherheitscodeabfrage einen Kommentar gestattet. Sicherheitsfragen können vielfältig formuliert werden: "Das Gegenteil von kalt ist: ...." oder "Die Hauptstadt von Deutschland ist: ......"

• Kommentarmoderierung und Registrierung. Diverse Weblog-Plattformen bieten die Möglichkeit der Moderierung von Kommentaren. Hierbei werden Kommentare nicht sofort in dem Weblog angezeigt, sondern nachträglich durch den Webmaster freigeschaltet. Optional kann eine Moderierung auch mit einer Registrierung verknüpft werden, indem beispielsweise registrierte Kommentatoren sofort kommentieren dürfen und Kommentare von nicht-registrierten Nutzern erst zeitverzögert freigegeben werden. Six Apart beispielsweise verwendet für eine Registrierung den offenen Authentifizierungsdienst TypeKey.

• Spamschutz durch Blacklists. Blacklist-Plugins verwalten in der Regel eine Liste von IP-Adressen, Email-Adressen, URLs und regulären Ausdrücken bzw. Schlüsselwörtern, mit denen Spam-Kommentare automatisch identifiziert werden können. Diese Liste wird entweder zentral oder dezentral verwaltet und kann jederzeit aktualisiert werden. Ein sehr populärer Blacklist-Filter ist MT-Blacklist für Movable Type von Jay Allen, auf dessen Filterliste auch Plugins für andere Weblog-Systeme zurückgreifen.

Ein wirksamer Schutz vor Kommentarspam ergibt sich aus einer Kombination der hier genannten möglichen Maßnahmen.

Abschließend möchte ich darauf hinweisen, dass einige Webmaster durch Methoden wie einem kreativen Einsatz von .htaccess und Apaches mod_rewrite relativ zuverlässigen Spamschutz dadurch gewährleisten, dass sie das jeweilige Kommentar-Skript vor automatisierten Zugriffen von aussen schützen. Auch wenn es wohl nur eine Frage der Zeit ist, bis Spam-Bots auch diesen Schutz aushebeln werden, möchte ich diese Methode hier nicht im Detail erklären, um Spam-Bot-Autoren die Arbeit nicht unnötig zu erleichtern.

Heiko Hebig, Six Apart

Comments

[Kommentiert von: Marc]

Die meisten Aktionen sind überflüssig, wenn man die Bot-Trap benutzt, wie ich auf vielen Domains.

Fängt mir sauber seit geraumer Zeit sämtliche Spamversuche ab :-)

Darunter hatte ich insbesondere zu leiden, weil ich mehrere Suchmaschinen mit Anmeldeformularen betreibe. Die sind jetzt auch sicher.

bot-trap.de - ist kostenlos und kann sich selbst aktualisieren.

[Kommentiert von: CMG]

man kann auch eine Software, ein Blogtool benutzen, das die Anzahl Links in einer Texteingabe beschränkt...

dann werden Kommentare, die nur aus blöden Viagra-Links bestehen, auch nicht akzeptiert

[Kommentiert von: Uwe]

Interessanter Artikel. In meinem Gästebuch finden sich auch viele Einträge von Spambots. Ich habe versucht durch ein unsichtbares Formularfeld zu verhindern, dass diese Einträge entstehen.
Ich werde wohl dann doch mal die Namen der Scripts und die Dateien ändern und zudem captchas benutzen

[Kommentiert von: mademoiselle a.]

Danke fuer die Hinweise soweit! Erlebe auf meiner Seite gerade den wunderbaren [nicht] Dauernerv vom olivia*gadamer Spammer. Den habe ich zwar durch die MT Blacklist schnell stoppen koennen, aber was nuetzt es, wenn die Attacken nicht aufhoeren? Da geht doch alles zu Lasten meiner Bandbreite, und ich muss auch noch riskieren, dass mein Provider mir mit Rausschmiss droht, weil ich den Server zu sehr belaste?
Ich werde es jetzt mit einer entsprechenden Zeile ueber htaccess versuchen...