Keine Form-Variablen direkt in SQL-Queries verwenden.