hi,

Klar, weil ohne Session-Eintrag ist der Vorschau-Zwang witzlos - da schaut sich der Spammer einmal an, wie mein Submitbutton heißt und welchen Wert er hat - und liefert diese Daten dann gleich beim ersten Request mit.
Da hast Du es aber wohl mit einem manuellen Spammer zu tun

Nein, glaube ich nicht.
Die Funktionsweise einmal zu analysieren, mag manuellen Aufwand erfordert haben - aber danach ist nur noch ein simpler POST-Request nötig, mit dem man jede noch so dumme Maschine beauftragen kann.

und nicht mit einem Bot.

Doch, die Regelmäßigkeit spricht dafür.

gruß,
wahsaga