Forminator Alternative: Leichtgewicht statt Feature-Paket

Was Forminator gut macht

Ehrlich gesagt: Forminator hat wahrscheinlich die großzügigste Free-Version aller WordPress-Formular-Plugins. Conditional Logic, Multi-Step, Datei-Uploads, Berechnungen, sogar Stripe- und PayPal-Zahlungen, Quizze und Umfragen kosten nichts. Dazu 600.000+ aktive Installationen und 4,8 von 5 Sternen auf WordPress.org bei über 2.000 Bewertungen. Und die Pro-Stufen unterscheiden sich nur in der Website-Anzahl, nicht im Funktionsumfang, keine Feature-Treppe wie bei WPForms oder Formidable.

Warum also eine Alternative suchen? Weil die Großzügigkeit zwei Preise hat: Gewicht und Datenschutz-Defaults.

Die Datenschutz-Defaults: ab Werk nicht DSGVO-freundlich

Forminator speichert standardmäßig die IP-Adresse jeder Einsendung, mit einer Standard-Aufbewahrung von 12 Monaten. Beides lässt sich abschalten bzw. verkürzen, aber du musst es wissen und aktiv tun, auf jeder Website neu. Beim Spam-Schutz bietet Forminator reCAPTCHA, hCaptcha, Cloudflare Turnstile und Akismet an, alles Dienste, die Besucherdaten an US-Anbieter übertragen. Das österreichische Bundesverwaltungsgericht hat am 13.09.2024 entschieden, dass reCAPTCHA ohne vorherige Einwilligung DSGVO-widrig ist, und die französische CNIL hat den reCAPTCHA-Einsatz ohne Einwilligung bereits mehrfach mitsanktioniert. Mehr dazu: reCAPTCHA und die DSGVO: Warum dein Kontaktformular ein Rechtsrisiko ist.

Flinkform dreht die Defaults um: keine IP-Speicherung, kein User-Agent-Logging, Spam-Schutz komplett auf deinem Server (Honeypot, signierter Zeit-Check, Proof-of-Work mit Mathe-Fallback ohne JavaScript) und eine Aufbewahrungsfrist pro Formular mit automatischer Löschung. Es gibt nichts abzuschalten und nichts, was in die Datenschutzerklärung eingetragen werden müsste. Was ein DSGVO-sauberes Formular-Plugin sonst noch ausmacht, steht hier: DSGVO-konformes Formular-Plugin.

Gewicht: 129 KB gegen unter 15 KB

Der große Funktionsumfang wird mitgeliefert, auch wenn du nur ein Kontaktformular brauchst: Forminator lädt auf Formular-Seiten laut unabhängiger Messung rund 47 KB CSS und 82 KB JavaScript. Dazu kommt, dass die Vorschau im Builder ein separater Schritt ist, du siehst beim Bauen nicht live, wie das Formular in deinem Theme aussieht.

Flinkform ist als block-natives Formular-Plugin gebaut: Jedes Feld ist ein Gutenberg-Block, das Formular entsteht direkt in der Seite mit Live-Vorschau in deinem Theme-Design. Im Frontend nutzt es die WordPress Interactivity API, kein jQuery, unter 15 KB JavaScript, und Assets werden nur auf Seiten geladen, die tatsächlich ein Formular enthalten. Farben, Schrift und Eckenradius erbt es automatisch über theme.json, statt eigene Styles mitzubringen.

Teil des WPMU-DEV-Bundles

Forminator ist kein eigenständiges Produkt, sondern Teil des WPMU-DEV-Ökosystems von Incsub (Smush, Defender, Hummingbird und mehr). Das hat Vorteile, etwa den schnellen WPMU-DEV-Support. Aber es bindet dich: Für Updates der Pro-Version musst du das zusätzliche Plugin "WPMU DEV Dashboard" installieren, und die Preislogik ist auf die Mitgliedschaft ausgerichtet. Wer nur ein Formular-Plugin will, kauft ein Stück Ökosystem mit.

Flinkform ist genau ein Plugin mit genau einer Aufgabe. Das kostenlose Plugin kommt von WordPress.org, das optionale Flinkform Pro ist ein einzelnes Add-on ohne Dashboard-Pflicht und ohne Bundle.

Sicherheitshistorie: CVE-2024-28890

2024 wurde in Forminator eine kritische Lücke gefunden (CVE-2024-28890, CVSS 9.8): unbeschränkter Datei-Upload, dazu eine XSS- und eine SQL-Injection-Schwachstelle, behoben in Version 1.29.3. Betroffen waren mehrere hunderttausend Websites. Das ist kein K.-o.-Kriterium, Sicherheitslücken treffen früher oder später jedes große Plugin, und WPMU DEV hat gepatcht. Aber es zeigt: Je größer die Codebasis, desto größer die Angriffsfläche. Ein schlankes Plugin ohne Datei-Upload, Zahlungen und Quiz-Engine im kostenlosen Kern hat schlicht weniger Stellen, an denen etwas schiefgehen kann.

Wann du NICHT wechseln solltest

• Du brauchst Quizze, Umfragen oder Polls. Die hat Flinkform nicht und wird sie auch nicht bekommen.
• Du willst Zahlungen komplett kostenlos: Forminator bietet Stripe und PayPal in der Free-Version. Bei Flinkform sind Stripe-Zahlungen Teil von Flinkform Pro (ab 59 € pro Jahr).
• Du nutzt die Google-Sheets-Anbindung oder Frontend-Post-Submissions von Forminator. Beides gibt es in Flinkform nicht.
• Du bist ohnehin WPMU-DEV-Mitglied und nutzt Hosting, Smush und Co. Dann ist Forminator praktisch schon bezahlt.
• Deine Website läuft noch ohne Block-Editor. Flinkform braucht WordPress 6.5+ und PHP 8.1+.

Fazit

Forminator ist das Schweizer Taschenmesser unter den Formular-Plugins: extrem viel kostenlos, aber schwer, mit IP-Speicherung ab Werk und Spam-Schutz über US-Dienste. Wenn du Quizze, Umfragen oder kostenlose Zahlungen brauchst, bleib dabei. Wenn du Kontakt-, Anfrage- oder Multi-Step-Formulare willst, die schnell laden, dein Theme-Design erben und ohne Datenschutz-Nacharbeit auskommen, ist Flinkform die schlankere Wahl: kostenlos, unter 15 KB Frontend-JS, Spam-Schutz ohne externe Dienste (wie das funktioniert, steht unter Formular-Spam stoppen ohne CAPTCHA), und wenn du später Zahlungen brauchst, kostet Flinkform Pro 59 € im Jahr.