Captchas sind leider nicht mehr ausreichend genug, um Spammer draussen zu halten. Sie können wahrscheinlich immer noch die Anzahl der durch Spambots erstellten Accounts reduzieren aber nicht mehr vollständig (und manchmal werden Accounts zum Spammen auch noch durch Personen erstellt, für die die Captchas dann noch weniger ein Hindernis sind).

Du solltest auf jeden Fall das Spam Login Filter-Plugin verwenden (https://elgg.org/plugins/774755 bzw. Version 2.1.1 von https://github.com/beck24/spam_login_filter/releases/tag/2.1.1). Damit wird bei der Account-Registrierung anhand der eingeben Accountdaten (Benutzername und Email-Adresse) plus der IP-Adresse in der Datenbank von StopForumSpam.com geprüft, ob mit diesen Daten schon Accounts angelegt worden sind, die dann zum Spammen verwendet wurden. Damit Du auch selbst Spammer melden kannst, mußt Du Dich bei StopForumSpam.com registrieren und einen API-Key erzeugen. Diesen API-Key müßtest Du dann in den Plugin-Einstellungen des Spam Login Filter-Plugins eingeben. Dann hast Du die Möglichkeit, statt einen Accounts auf Deiner Seite einfach nur zu löschen diesen auch gleichzeitig als Spammer an StopForumSpam.com zu melden.

Auch mit dem Spam Login Filter-Plugin wirst Du wahrscheinlich nicht 100%-ig verhindern können, dass sich Spammer registrieren. Aber hoffentlich reduziert sich die Anzahl. Und wenn Du die Spammer auf Deiner Seite beim Löschen der Accounts meldest, können sie sich mit den gleichen Anmeldedaten (und IP-Adresse) auch nicht wieder bei Dir oder einer anderen Seite einen Account anlegen. Je mehr Leute also die Spammer melden, desto besser für alle.

Ich hab ein ähnliches Plugin wie das Spam Login Filter-Plugin geschrieben (http:blacklist https://elgg.org/plugins/1641554). Das funktioniert allerdings nicht ganz so erfolgreich, da man einerseits keine Spammer melden kann und die Datenbank, mit der die Accountdaten abgeglichen werden, hauptsächlich aus anderen Quellen stammt (also nicht in erster Linie Foren und andere Social Network-Seiten sondern eher von Email-Spammern). Im Prinzip kann man http:blacklist und Spam Login Filter beide parallel betreiben. Aber fürs erste würde ich raten, Spam Login Filter auf jeden Fall zu verwenden.

Es gibt noch ein paar andere Plugin, die bei der Bekämpfung von Spam helfen sollten. Die setzten allerdings nicht bei der Accountregistrierung an sondern versuchen, Spammer zu identifieren, wenn sie was posten (mehrere Einträge in sehr kurzer Zeit) bzw. erlauben anderen Usern, Spam-Postings zu melden. Siehe https://elgg.org/plugins/821368, https://elgg.org/plugins/1508060 und https://elgg.org/plugins/1508071. Ich hab diese Plugins allerdings noch nicht selbst eingesetzt, da ich bisher noch kein gravierendes Spam-Problem hatte. Ich glaube aber, sie werden beispielsweise hier auf der Communits-Seite verwendet.