Wie deaktiviere ich Kommentare in WordPress oder stoppe Kommentar-Spam?

Warum das wichtig ist

Kommentar-Spam verstopft nicht nur deine Moderationsliste. Spam-Links, die durchrutschen, führen von deiner Website zu Orten, die du nie empfehlen würdest. Ausstehende Kommentare häufen sich in der Datenbank. Und in einem Shop können gefälschte Produktbewertungen neben echten stehen und den ganzen Bewertungsbereich unglaubwürdig wirken lassen.

Die leise Wahrheit ist: Viele Websites brauchen überhaupt keine Kommentare. Eine Unternehmenswebsite, ein Portfolio oder der Blog eines Shops bekommt oft mehr Spam als Gespräche. Kommentare dort zu schließen ist kein Aufgeben, sondern das Entfernen einer Tür, die niemand nutzt.

Wo Kommentare wichtig sind, funktionieren dieselben unsichtbaren Prüfungen wie bei Formular-Spam: Bots füllen versteckte Felder aus, senden zu schnell, wiederholen sich von derselben IP und fügen Links ein.

Eine schnelle Entscheidungshilfe pro Bereich:

Häufige Fehler

• Kommentare nur für neue Beiträge schließen. Die Einstellung unter Diskussion lässt alte Beiträge unberührt – und genau auf die zielen Bots.
• Das Kommentarformular verstecken, den Endpunkt aber offen lassen. Bots brauchen dein Formular nicht. Sie senden direkt an wp-comments-post.php.
• Bewertungen wie Kommentare behandeln. Wer alles schließt, um Blog-Spam zu stoppen, kann in einem Shop auch Produktbewertungen und Sternebewertungen entfernen.
• Pingbacks eingeschaltet lassen. Sie sind ein stetiges Rinnsal aus Spam bei fast null Nutzen.
• Alles Verdächtige automatisch löschen. Halte zweifelhafte Kommentare zurück, statt sie wegzuwerfen.

Ohne Plugin

So schließt du Kommentare überall von Hand:

1. Einstellungen → Diskussion: Entferne die Haken bei „Link-Benachrichtigungen von anderen Blogs (Pingbacks und Trackbacks) zu neuen Beiträgen erlauben“ und „Besuchern erlauben, neue Beiträge zu kommentieren“.
2. Beiträge → Alle Beiträge: Alle auswählen, unter Mehrfachaktionen Bearbeiten wählen, Kommentare auf „Nicht erlauben“ und Pings auf „Nicht erlauben“ stellen.
3. Optional unter Einstellungen → Diskussion die Kommentare bei Beiträgen schließen, die älter als eine bestimmte Anzahl Tage sind.

Weise dann direkte Einsendungen an den Kommentar-Endpunkt ab, zum Beispiel in einem Must-use-Plugin:

<?php
add_filter( 'comments_open', '__return_false', 20 );
add_filter( 'pings_open', '__return_false', 20 );
add_action( 'pre_comment_on_post', function () {
    wp_die( 'Comments are closed.', 403 );
} );

Das funktioniert, schließt aber alles – mit WooCommerce auch die Produktbewertungen – und entfernt weder das Menü „Kommentare“ noch die REST-Endpunkte für Kommentare. Willst du Kommentare offen, aber gefiltert, musst du wieder Honeypots und Limits von Hand einbauen oder einen Cloud-Dienst nutzen.

Wenn etwas schiefgeht

• Echte Kommentare erscheinen nicht. Sieh zuerst im Protokoll nach (und, mit Pro, in der Quarantäne). Bist du im Modus Blockieren, wechsle für ein paar Tage in den Beobachtungsmodus und prüfe das Protokoll.
• Produktbewertungen sind verschwunden. Wahrscheinlich hast du Bewertungen zusammen mit den Kommentaren geschlossen. Stelle Produktbewertungen wieder auf „Geschützt“.
• Der Spam geht nach dem Schließen weiter. Leere deinen Seiten-Cache; gecachte Seiten zeigen eventuell noch das alte Formular. Bots, die direkt senden, werden so oder so abgewiesen.

Mit Hushfort

Der Spam-Schutz von Hushfort Security, dem kostenlosen WordPress-Sicherheitsplugin, behandelt jeden Bereich getrennt. Für Beitragskommentare und für WooCommerce-Produktbewertungen wählst du:

• Geschützt: offen, wobei Bots durch Honeypot, Ausfüllzeit-Prüfung und signiertes Token herausgefiltert werden (Pro ergänzt ein Link-Limit und Limits pro IP);
• Aus: entfernt Kommentarformular, Kommentarliste, REST-Endpunkte und das Admin-Menü „Kommentare“ und weist Bots ab, die direkt an wp-comments-post.php senden;
• Nicht anfassen: Hushfort hält sich raus.

Pingbacks und Trackbacks lassen sich auf derselben Seite abschalten, und ein Beobachtungsmodus lässt dich prüfen, bevor blockiert wird. Mit Pro bekommst du außerdem Limits pro IP und pro E-Mail, ein Link-Limit, Wort- und Sperrlisten sowie die Quarantäne mit „Kein Spam“-Lernfunktion. Nichts wird an einen externen Dienst gesendet.